Sanctions NIS2 : ce que risquent vraiment les dirigeants d'entreprise
La directive NIS2 (2022/2555) ne se contente pas d'imposer des obligations techniques en matière de cybersécurité : elle prévoit un régime de sanctions explicite et sévère, qui engage la responsabilité des entreprises mais aussi, fait nouveau en droit européen du numérique, celle des dirigeants à titre personnel.
Des amendes administratives substantielles
NIS2 distingue deux niveaux de sanctions financières selon la catégorie de l'entité sanctionnée. Pour les entités essentielles, l'amende maximale est fixée à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour les entités importantes, le plafond est de 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial total.
Ces plafonds sont à mettre en perspective avec d'autres régimes de sanctions européens. Ils restent inférieurs à ceux du RGPD (20 M€ ou 4 % du CA mondial), mais ils s'y ajoutent le cas échéant : une violation de données résultant d'un défaut de sécurité NIS2 peut donner lieu à des sanctions cumulatives au titre des deux réglementations.
La responsabilité personnelle des dirigeants : une rupture majeure
L'article 20 de la directive NIS2 constitue une novation juridique importante. Il impose que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques de cybersécurité et supervisent leur mise en œuvre. Plus encore, les États membres doivent veiller à ce que les membres des organes de direction puissent être tenus personnellement responsables en cas de manquement à ces obligations.
En pratique, cela signifie que les dirigeants — PDG, directeurs généraux, membres du conseil d'administration — peuvent être sanctionnés à titre individuel, indépendamment des sanctions infligées à l'entreprise. Les États membres peuvent notamment prévoir des interdictions temporaires d'exercer des fonctions de direction, une mesure particulièrement dissuasive.
Cette disposition opère un glissement significatif : la cybersécurité n'est plus seulement une question technique déléguée aux équipes informatiques, mais une responsabilité de gouvernance qui remonte au plus haut niveau de l'organisation.
Les pouvoirs de l'ANSSI en matière de contrôle et d'exécution
En France, l'ANSSI est l'autorité nationale compétente chargée de superviser l'application de NIS2. Ses pouvoirs sont étendus. Pour les entités essentielles, l'ANSSI dispose de pouvoirs de supervision proactive : elle peut conduire des audits, des inspections sur site, des scans de vulnérabilités et des tests de pénétration. Elle peut également exiger des entités qu'elles fournissent des informations et documentations spécifiques.
Pour les entités importantes, les contrôles sont déclenchés a posteriori, généralement à la suite d'un incident signalé ou d'un signalement. Mais une fois déclenché, le contrôle suit les mêmes modalités que pour les entités essentielles.
En cas de manquement avéré, l'ANSSI peut émettre des injonctions de mise en conformité, des avertissements publics — ce qui peut avoir des effets réputationnels significatifs — et, en dernier recours, saisir les autorités judiciaires compétentes pour l'application des sanctions pécuniaires.
Comment les dirigeants peuvent se protéger
Face à ces risques, plusieurs mesures concrètes permettent aux dirigeants de démontrer leur engagement et de limiter leur exposition personnelle. Il est essentiel de formaliser par écrit l'approbation des politiques de sécurité au niveau de l'organe de direction, de s'assurer que des ressources (humaines et financières) adéquates sont allouées à la cybersécurité, de documenter les décisions de gouvernance relatives aux risques cyber, et de mettre en place un processus de reporting régulier vers la direction sur l'état de la posture de sécurité.
La conformité à NIS2 n'est pas optionnelle, et l'ignorance de la réglementation ne constitue pas une défense recevable. Pour les dirigeants d'entreprises opérant dans les secteurs couverts par la directive, il est urgent de s'informer et d'agir.
*Cet article est informatif et ne constitue pas un conseil juridique.*