Une sanction NIS2 ne tombera pas parce que vous avez subi une attaque. Elle tombera parce que vous n’aurez pas su montrer ce que vous aviez mis en place avant. La nuance est capitale : le régulateur juge votre diligence, pas votre malchance.
Mesurer votre exposition avant qu’elle ne coûte
Nous cadrons votre périmètre réglementaire et vérifions ce que votre contrat prend en charge en cas de procédure. Étude gratuite sous 48 heures.
Les montants prévus par la directive
Deux plafonds coexistent selon votre classement. Pour une entité essentielle, 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Pour une entité importante, 7 millions ou 1,4 %. Dans les deux cas, c’est le montant le plus élevé qui s’applique, pas le plus faible.
Ce détail change tout pour une ETI. Une entreprise à 400 millions d’euros de chiffre d’affaires classée essentielle s’expose théoriquement à 8 millions d’euros, donc au pourcentage. Une PME à 20 millions s’expose au plafond fixe de 10 millions, très au-delà de sa capacité financière.
| Classement | Plafond fixe | Plafond proportionnel | Règle appliquée |
|---|---|---|---|
| Entité essentielle | 10 M€ | 2 % du CA mondial | Le plus élevé des deux |
| Entité importante | 7 M€ | 1,4 % du CA mondial | Le plus élevé des deux |
Source : directive (UE) 2022/2555, article 34. Les montants définitifs applicables en France dépendront de la loi de transposition.
Mesure prononcée par une autorité publique, ici l’ANSSI, sans passer par un juge pénal. Elle vise à faire cesser un manquement et à dissuader. Son caractère personnel explique qu’elle ne soit pas assurable en droit français. Source : Legifrance.
Ce qui arrive avant l’amende
L’amende est le dernier étage. Avant elle, l’autorité dispose d’un arsenal gradué que la plupart des dirigeants ignorent, et qui coûte souvent plus cher en pratique.
Elle peut vous adresser un avertissement, vous enjoindre de corriger dans un délai contraint, vous imposer un audit de sécurité à vos frais, exiger que vous informiez vos clients d’une vulnérabilité, ou rendre public le manquement constaté. Cette dernière mesure est redoutable : elle transforme un dossier technique en problème commercial.
Pour une entreprise qui vend à des grands comptes, voir son nom associé publiquement à un manquement de cybersécurité déclenche immédiatement des audits clients, des demandes de garanties contractuelles et parfois des déréférencements. Aucun contrat d’assurance ne rachetera cette perte de confiance.
Cabinet indépendant près de Rennes, nous vérifions notamment l’étendue de la garantie frais de défense, celle qui joue en cas de procédure administrative. Elle varie fortement d’un contrat à l’autre.
La sanction qui vise les dirigeants
La directive permet aux autorités d’interdire temporairement l’exercice de fonctions dirigeantes, pour les entités essentielles, en cas de manquement persistant. C’est la mesure la plus lourde du texte, et la plus commentée dans les conseils d’administration.
Elle s’ajoute à l’obligation de formation imposée aux membres de l’organe de direction. Un dirigeant ne pourra plus plaider l’incompétence technique : le texte présuppose qu’il ait été formé.
La situation. Un opérateur de traitement des déchets en Ille-et-Vilaine, 210 salariés, classé entité essentielle.
L’incident. Un contrôle révèle l’absence de procédure de déclaration d’incident et de sauvegarde déconnectée. Injonction de corriger sous quatre mois.
Le dénouement. Les mesures sont déployées dans les délais, aucune amende n’est prononcée. Le coût réel aura été l’audit imposé et six mois de mobilisation interne.
Vos frais de défense sont-ils couverts ?
Nous relisons cette garantie ligne à ligne, c’est celle qui joue face à une autorité et celle qui varie le plus entre contrats.
Ce qui est assurable et ce qui ne l’est pas
L’amende elle-même n’est pas assurable. Les sanctions administratives sont considérées comme non assurables en droit français, au nom du caractère personnel de la peine. Le raisonnement vaut déjà pour les amendes CNIL et vaudra pour NIS2.
Le reste l’est. Frais d’avocat, frais d’expertise technique, coûts de mise en conformité d’urgence dans certains contrats, gestion de crise et communication : ces postes forment la majeure partie de la facture d’une procédure. Un contrat cyber bien négocié les prend en charge, un contrat d’entrée de gamme les plafonne très bas.
- Non assurable : l’amende administrative prononcée par l’autorité.
- Assurable : les honoraires d’avocat et de conseil pour vous défendre.
- Assurable : l’expertise technique demandée pour démontrer votre diligence.
- Assurable : la gestion de crise et la communication vers vos clients.
- Variable selon contrat : les frais de mise en conformité imposés par injonction.
À partir de quand les sanctions tomberont
Pas avant que la loi française ne soit promulguée, ce qui n’était pas le cas au 3 août 2026. Le projet de loi relatif à la résilience des infrastructures critiques a été adopté au Sénat le 12 mars 2025 et en commission spéciale à l’Assemblée le 10 septembre 2025, l’examen en séance publique étant programmé pour juillet 2026.
Les travaux préparatoires évoquent une montée en charge progressive : enregistrement des entités d’abord, premiers audits ensuite, régime de sanctions pleinement effectif dans un second temps. Personne ne recevra d’amende le lendemain de la publication au Journal officiel. Ce qui ne veut pas dire qu’il faille attendre, comme nous l’expliquons dans notre article sur le périmètre de NIS2.
« NIS 2 rentrera en vigueur en France dès lors que l’ensemble des textes de transposition, loi, décrets et arrêtés, auront été promulgués. »
ANSSI, documentation officielle MonEspaceNIS2, cyber.gouv.fr, 2025
Comment réduire concrètement le risque
La meilleure protection contre une sanction n’est pas d’être parfait, c’est d’être capable de prouver ce que vous avez fait et quand. Le régulateur sanctionne l’absence de diligence, rarement l’imperfection technique.
Concrètement : datez et conservez vos analyses de risque, vos comptes rendus de conseil abordant la cybersécurité, vos tests de restauration de sauvegarde, vos formations. Ces traces valent plus qu’un outil coûteux acheté sans preuve d’usage. Le coût réel d’une cyberattaque et celui d’une procédure se réduisent avec les mêmes documents.
Mettez un point cybersécurité à l’ordre du jour d’un conseil par an, et faites-le figurer au procès-verbal. C’est la trace la moins chère et la plus solide de la diligence de votre organe de direction, exactement ce que NIS2 exige. Elle sert aussi à l’assureur pour apprécier votre gouvernance, comme détaillé sur notre page assurance cyber entreprise.
« Le nombre d’entités régulées passe d’environ 500 sous NIS1 à environ 15 000 sous NIS2, réparties sur dix-huit secteurs. »
Synthèse des travaux parlementaires sur le projet de loi résilience, Sénat, 2025
Cabinet indépendant près de Rennes, nous regardons le risque réglementaire et le risque financier ensemble.
- Cadrage de votre périmètre et de votre classement probable
- Relecture des garanties frais de défense et gestion de crise
- Mise en concurrence de plusieurs compagnies
Une étude cyber gratuite, sous 48 heures
Comparatif garanties, plafonds et frais de défense sur votre profil réel, sans engagement.
Questions fréquentes
Quel est le montant maximal d’une amende NIS2 ?
10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour une entité essentielle, le montant le plus élevé des deux étant retenu. Pour une entité importante, 7 millions ou 1,4 %.
Une amende NIS2 peut-elle être couverte par une assurance ?
En règle générale non. Les sanctions administratives sont considérées comme non assurables en droit français. En revanche, les frais de défense, d’expertise et de gestion de crise sont couverts par un contrat cyber correctement négocié.
Sera-t-on sanctionné dès la première attaque ?
Non. NIS2 sanctionne le manquement aux obligations, pas la survenance d’un incident. Une entreprise diligente qui subit une attaque sophistiquée n’a pas vocation à être sanctionnée. Une entreprise négligente qui n’a rien mis en place s’expose, même sans incident.
Les sanctions s’appliquent-elles déjà en France ?
Non, pas au 3 août 2026. La loi de transposition n’était pas promulguée. Les sanctions ne seront applicables qu’une fois la loi et ses textes d’application publiés, avec vraisemblablement une montée en charge progressive.
Un dirigeant peut-il être interdit d’exercer ?
La directive le prévoit pour les entités essentielles, à titre temporaire et en cas de manquement persistant après injonction. C’est une mesure de dernier recours, mais elle figure bien dans le texte.
Que faut-il conserver pour prouver sa diligence ?
Vos analyses de risque datées, les procès-verbaux de conseil traitant du sujet, les rapports de test de restauration de sauvegarde, les attestations de formation et les échanges avec vos prestataires. Ce sont ces traces qui vous défendront.
La publicité du manquement est-elle vraiment utilisée ?
La directive l’autorise explicitement parmi les mesures à disposition des autorités. Son effet dissuasif est considéré comme supérieur à celui de l’amende pour les entreprises en relation avec des donneurs d’ordre exigeants.
Expert en Responsabilité Civile Professionnelle
Courtier spécialisé en RC Pro et en assurance cyber, Nicolas accompagne les indépendants, professions libérales et dirigeants d’entreprises dans la protection de leur activité.