Vous avez lu quelque part que les amendes NIS2 peuvent atteindre dix millions d'euros ou deux pour cent du chiffre d'affaires, et vous vous demandez si cela peut vous arriver. La réponse courte : ces montants figurent effectivement dans la directive, mais ils sont destinés aux entités essentielles et importantes — des organisations qui relèvent elles-mêmes de la directive NIS2, avec une obligation de vigilance, une obligation d'enregistrement et une obligation de notification. Si votre entreprise n'en relève pas mais que vous livrez à une telle organisation, une amende n'est pas le risque qui devrait vous tenir éveillé.
Le risque qui vous touchera plus probablement est plus pratique et survient plus vite : un client qui relève lui-même de l'obligation de vigilance doit évaluer ses fournisseurs. Si vous ne pouvez pas répondre au questionnaire ou ne pouvez pas démontrer le respect des exigences contractuelles, la conséquence n'est généralement pas une amende mais la perte du contrat. Ce processus prend souvent des semaines, pas des années.
Pour ceux à qui l'amende est vraiment destinée
La directive oriente l'application sur les organisations qui relèvent elles-mêmes de l'obligation : les entités essentielles et importantes des secteurs énumérés aux annexes I et II. Pour elles, la loi nationale — en Belgique la loi relative à la cybersécurité — détermine comment l'autorité compétente intervient si l'obligation de vigilance ou l'obligation de notification n'a pas été respectée. Si vous ne relevez pas vous-même de l'obligation mais que vous livrez à une telle entité, vous n'êtes pas partie à ce processus d'application. Vous remarquez bien la directive, mais par le biais des exigences contractuelles de votre client, non par une décision d'amende à votre nom. Si vous doutez que votre organisation relève elle-même de la loi, cela peut être établi en quelques questions via le contrôle qui cartographie votre situation en quelques étapes.
Ce que la directive énonce comme montants
La directive elle-même énonce des montants maximaux pour les entités essentielles et importantes, avec un plafond plus élevé pour les entités essentielles que pour les entités importantes. Il s'agit toujours du plus élevé d'un montant fixe ou d'un pourcentage du chiffre d'affaires mondial annuel — donc pas automatiquement le montant complet pour chaque violation. Comment l'autorité compétente pèse les choses dans un cas concret et quel montant est réellement imposé ne sont pas fixés dans la directive et relèvent de l'autorité compétente. Nous nous abstenons délibérément de faire une prédiction à ce sujet ; ce que la directive et la loi nationale disent exactement, vous pouvez le consulter via le texte officiel et les publications de l'autorité compétente.
Pourquoi le contrat vient avant l'amende
Un processus d'amende commence généralement qu'après des signaux, une enquête et une chance de remédier — cela prend du temps. Un département d'approvisionnement qui envoie un questionnaire de sécurité n'attend pas cela. Si la réponse manque ou est incomplète, la commande est souvent simplement attribuée à un autre fournisseur, ou vous recevez un délai de remise en conformité que vous devez remplir vous-même. Cela rend la conversation avec votre client plus urgente pour la plupart des PME que la question de savoir s'il y aura jamais une amende. Pour en savoir plus sur ce qui se cache exactement derrière un tel questionnaire, consultez le résumé des thèmes qui ont été clarifiés selon votre situation.
Ce que cela signifie si vous êtes affecté par la chaîne d'approvisionnement
Si vous ne relevez pas vous-même de l'obligation mais êtes fournisseur d'une organisation soumise à l'obligation, la question n'est pas de savoir s'il y a une amende qui menace, mais si vous pouvez démontrer que vous avez mis en place les mesures demandées. Il s'agit de pièces justificatives, d'une personne responsable pour chaque mesure et d'une réponse que vous n'avez pas besoin de réinventer à chaque fois. Celui qui a cela une fois documenté répond au questionnaire suivant avec beaucoup moins de travail. Les questions fréquemment posées sur ce qui peut et ne peut pas vous être demandé sont rassemblées sur la page des questions fréquemment posées.
Si vous êtes vous-même une entité essentielle ou importante, l'amende compte comme dernier recours, mais l'obligation de vigilance elle-même est le véritable travail : prendre des mesures, les documenter et pouvoir les présenter. Comment ce processus est structuré et d'où proviennent les informations sur ce site est expliqué sur la page qui explique comment la plateforme fonctionne.
Voulez-vous savoir si votre organisation relève elle-même de la directive NIS2 ou est uniquement affectée par le biais d'un client ? Effectuez le contrôle NIS2 gratuit, ou consultez d'abord tranquillement la base de connaissances — les deux sont accessibles sans compte.