Sanctions NIS2 : ce que risque vraiment une entreprise

« Et si je ne fais rien, je risque quoi ? » C'est souvent la vraie question derrière NIS2. Voici les sanctions prévues, et le risque réel selon votre situation.

Des amendes qui dépendent de votre catégorie

NIS2 distingue deux catégories d'entités, avec des plafonds d'amende différents :

• Entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.

Ce sont les plafonds fixés par la directive. Les montants et modalités précis en France seront arrêtés par la loi de transposition.

Ce ne sont pas que des amendes

La sanction financière n'est que la partie visible. NIS2 prévoit aussi des mesures coercitives : injonctions de mise en conformité, audits imposés, avertissements publics, et, dans les cas graves, la possibilité de suspendre temporairement une certification ou une autorisation d'exercer.

Autre nouveauté marquante : la responsabilité des dirigeants. Les organes de direction doivent approuver et superviser les mesures de sécurité. Leur manquement peut engager leur responsabilité personnelle.

Le vrai risque pour une PME sous-traitante

Si votre entreprise n'est pas directement régulée par NIS2, vous n'êtes pas exposé à ces amendes. Mais votre risque est ailleurs, et il est tout aussi concret : le risque commercial. Vos clients régulés doivent sécuriser leur chaîne d'approvisionnement. S'ils jugent votre niveau de sécurité insuffisant, ou si vous ne savez pas répondre à leurs questionnaires, ils peuvent vous écarter au profit d'un concurrent mieux préparé. Pour un sous-traitant, la « sanction », c'est la perte du contrat.

En résumé

Pour les entités régulées, NIS2 prévoit des amendes lourdes, des mesures coercitives et une responsabilité des dirigeants. Pour les sous-traitants, le risque n'est pas l'amende mais le déréférencement commercial. Dans les deux cas, mieux vaut s'y préparer que subir.

FAQ

Les amendes s'appliquent-elles aux PME sous-traitantes ? Non, pas directement, si vous n'êtes pas une entité régulée. Votre risque est commercial : perdre des contrats.

Les dirigeants sont-ils personnellement responsables ? Oui, pour les entités régulées : la direction doit approuver et suivre les mesures de sécurité, sous peine d'engager sa responsabilité.

À partir de quand les sanctions s'appliquent-elles en France ? Une fois la loi de transposition promulguée et les délais de mise en conformité écoulés. Les grands donneurs d'ordre, eux, imposent déjà leurs exigences.