Depuis l'entrée en vigueur de NIS2 dans les premiers États membres en octobre 2024, les autorités nationales ont commencé à utiliser leurs nouvelles prérogatives de sanction. L'Allemagne (BSI) et les Pays-Bas (NCSC-NL) font figure de pionniers. Leurs premiers cas publics sont riches d'enseignements.
Les premières sanctions en Allemagne
Le BSI (Bundesamt für Sicherheit in der Informationstechnik) a prononcé ses premières sanctions NIS2 formelles en mars 2026. Deux cas ont été rendus publics :
Cas 1 — Opérateur d'infrastructure énergétique (amende : 2,1 M€)
Une entreprise du secteur de la distribution électrique a été sanctionnée pour :
- Absence de notification d'un incident significatif dans le délai de 24h (notification effectuée 11 jours après la découverte)
- Absence de PCA testé (le plan existait sur papier mais n'avait jamais fait l'objet d'un exercice)
- Fournisseurs critiques sans évaluation de sécurité documentée
Le BSI a souligné que l'amende aurait été plus élevée sans la coopération de l'entreprise lors de l'enquête.
Cas 2 — Prestataire de services numériques (amende : 890 000€)
Un hébergeur cloud classifié EI a été sanctionné pour absence de MFA sur les accès d'administration et PSSI non validée par la direction générale (signée par le responsable IT uniquement, ce qui ne suffit pas selon NIS2).
Les Pays-Bas : une approche plus pédagogique
Le NCSC-NL a opté pour une approche en deux temps : mises en demeure sans sanction immédiate pour les premiers manquements, suivies de sanctions graduées si la mise en conformité n'est pas réalisée dans les délais. Quatre mises en demeure publiques ont été émises en début 2026, dont deux ont conduit à des amendes entre 150 000 et 400 000€ fin mars.
Les 5 manquements les plus souvent relevés
En compilant les cas publics disponibles en Europe (Allemagne, Pays-Bas, mais aussi Belgique et Danemark), on identifie cinq catégories de manquements récurrents :
- Délais de notification non respectés — dans 70% des cas sanctionnés, la notification d'incident était soit absente, soit hors délai
- PSSI non validée formellement par la direction — la validation par un RSSI ou un DSI ne suffit pas
- Absence de test du PCA/PRA — avoir un plan sur papier ne suffit pas, il faut prouver des exercices annuels
- MFA absent sur les accès privilégiés — souvent sous-estimé par les PME qui ont des systèmes legacy
- Fournisseurs sans évaluation documentée — les clauses contractuelles seules ne suffisent pas
Ce que cela signifie pour les entreprises françaises
La France a transposé NIS2 plus tardivement. L'ANSSI a annoncé une « période d'accompagnement » jusqu'à fin 2026, avec une priorité donnée à la mise en conformité plutôt qu'aux sanctions immédiates. Mais les enseignements des cas européens montrent que les autorités ciblent en priorité :
- Les incidents non notifiés ou notifiés hors délai (risque élevé car l'ANSSI sera immédiatement informée via les mécanismes européens de partage d'information)
- L'absence totale de gouvernance documentée (pas de PSSI, pas de PCA)
- Les entités qui auront ignoré les demandes d'enregistrement sur MonEspaceNIS2
Point clé : Dans tous les cas européens sanctionnés, les entreprises n'avaient pas de documentation prouvant leurs efforts de conformité. La conformité NIS2 n'est pas seulement une question de mesures techniques — c'est aussi une question de preuves documentées.