NIS2 : les sanctions encourues par les dirigeants en cas de non-conformité

1. La nouveauté NIS2 : la responsabilité personnelle du dirigeant

La directive (UE) 2022/2555 marque une rupture nette avec NIS1 : elle rend les organes de direction personnellement responsables de la mise en conformité de leur entité. Ce n'est plus uniquement l'entreprise qui est sanctionnée — c'est aussi le dirigeant à titre individuel.

L'article 20(1) de la directive impose que les organes de direction approuvent les mesures de gestion des risques cyber, suivent des formations et supervisent activement la mise en œuvre. L'article 32(6) prévoit explicitement la mise en cause personnelle des membres des organes de direction en cas de manquement.

2. Les montants des sanctions

Les amendes administratives sont fixées par les articles 32 et 33 de la directive. Elles s'appliquent à l'entité, mais peuvent s'accompagner de mesures personnelles contre les dirigeants.

• Entité Essentielle (EE) — Art. 32(4) : amende d'au moins 10 M€ ou 2 % du chiffre d'affaires mondial annuel total, le montant le plus élevé étant retenu.
• Entité Importante (EI) — Art. 33(4) : amende d'au moins 7 M€ ou 1,4 % du chiffre d'affaires mondial annuel total, le montant le plus élevé étant retenu.
• Ces plafonds sont des minima que les États membres doivent garantir — la transposition française (Loi Résilience) peut les dépasser.

3. Ce que "responsabilité personnelle" signifie concrètement

Au-delà de l'amende infligée à la société, l'article 32(5) de la directive prévoit des mesures directement applicables aux personnes physiques responsables :

• Suspension temporaire de l'exercice de fonctions dirigeantes au sein de l'entité (interdiction temporaire d'exercer).
• Publication de la décision de sanction avec identification de la personne physique responsable — impact direct sur la réputation personnelle et professionnelle.
• Mise en cause de la responsabilité civile du dirigeant si le manquement a causé un préjudice à des tiers (clients, patients, partenaires).

4. Les 3 scénarios qui déclenchent des sanctions

1. 1

   Non-inscription et non-déclaration à l'ANSSI

   Les entités EE/EI ont l'obligation de s'inscrire sur la plateforme Mon Espace NIS2 et de notifier leurs incidents significatifs. L'absence totale de démarche est le premier motif de contrôle.

   • Alerte précoce manquée sous 24 h (Art. 23(1)(a)).
   • Notification détaillée manquée sous 72 h (Art. 23(1)(b)).
2. 2

   Absence de mesures de gestion des risques

   L'article 21 impose 10 catégories de mesures minimales : politiques de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, authentification forte, chiffrement, etc. Un audit ANSSI qui constate l'absence de ces mesures peut déclencher une procédure de sanction.

3. 3

   Incident cyber suivi d'un constat de négligence

   Un ransomware ou une fuite de données ne génère pas automatiquement une sanction. En revanche, si l'enquête post-incident révèle que les mesures Art. 21 n'étaient pas en place et que la direction n'avait pas exercé ses obligations de supervision (Art. 20), la responsabilité personnelle peut être engagée.

5. Comment s'en prémunir

La conformité NIS2 n'est pas seulement une obligation légale : c'est la documentation de preuve qui protège le dirigeant en cas de contrôle ou d'incident.

• Vérifiez votre classification EE/EI via le simulateur (2 minutes, gratuit)Point de départ obligatoire
• Évaluez votre maturité sur les 20 objectifs ANSSIIdentifie vos écarts prioritaires
• Documentez chaque mesure mise en place avec des preuves horodatéesOpposable à l'ANSSI en cas de contrôle
• Présentez le suivi NIS2 en COMEX au moins une fois par anObligation Art. 20(1) — à consigner au procès-verbal
• Mettez en place le workflow de notification 24h/72hLa non-notification est sanctionnable indépendamment de l'incident

Source : Articles 20, 21, 23, 32 et 33 de la directive (UE) 2022/2555. Ce contenu est fourni à titre informatif — consultez un avocat spécialisé en droit du numérique pour votre situation spécifique.