Depuis l'entrée en vigueur de NIS2, les entités essentielles et importantes ont l'obligation de notifier les incidents significatifs dans les 24 heures. Ce que le texte ne dit pas, c'est si elles doivent divulguer un paiement de rançon. La directive de 2022 garde le silence sur ce point. La proposition d'amendement publiée par la Commission européenne le 20 janvier 2026 y met fin.
Ce que NIS2 dit aujourd'hui, et ce que l'amendement change
La directive NIS2 actuelle exige de signaler tout incident ayant un impact significatif. Elle décrit les délais, les destinataires et les contenus minimaux de ces notifications. Elle ne demande pas si vous avez payé une rançon. Ce silence était voulu : les négociateurs ont préféré ne pas cristalliser une position sur un sujet où les États membres divergent encore.
La proposition de la Commission du 20 janvier 2026 comble cette lacune. Pour les attaques par rançongiciel qualifiées de significatives, les entités devront désormais inclure dans leur rapport d'incident les éléments suivants : la confirmation de la détection d'une attaque par rançongiciel, le vecteur d'attaque utilisé, les mesures d'atténuation mises en place. Et, si une rançon a été demandée, si un paiement a été effectué, son montant et son mode de règlement.
Sur demande explicite de l'autorité compétente, l'entité devra en outre identifier le destinataire du paiement. Cette formulation est importante. La divulgation spontanée porte sur le fait du paiement et son montant. L'identification du portefeuille ou du compte bénéficiaire intervient seulement si l'autorité le demande formellement.
Ce que cela signifie concrètement pour votre processus de décision
Jusqu'ici, la décision de payer une rançon était traitée dans la plupart des organisations comme une décision interne, arbitrée entre la direction générale, la direction juridique et le RSSI. La continuité d'activité d'un côté, le risque de récidive et les considérations éthiques de l'autre. Le règlement alimentait rarement cette discussion autrement que par l'interdiction des paiements aux entités sanctionnées sous OFAC ou équivalents européens.
L'amendement ajoute une dimension que beaucoup d'équipes n'ont pas encore intégrée : le paiement devient une information réglementée. Si vous payez, vous devrez le déclarer aux autorités nationales de supervision NIS2. Cette information entre dans un cadre de collecte coordonné entre ENISA et Europol, dont le mandat est d'améliorer la connaissance statistique du phénomène rançongiciel en Europe.
Selon les données de Coveware publiées au premier trimestre 2026, 46 % des organisations victimes de rançongiciel en Europe ont payé au moins une fois entre 2023 et 2025. La médiane des paiements s'établissait à 480 000 euros pour les entités de taille intermédiaire. Ces chiffres alimentent aujourd'hui les analyses des équipes d'ENISA. Ils seront demain produits, au moins partiellement, par les déclarations que les entités soumises à NIS2 auront l'obligation de transmettre.
Le cas particulier des contrats d'assurance
Les polices cyber comportent souvent des clauses de confidentialité autour des paiements de rançon. Certains assureurs imposent contractuellement de ne pas divulguer le fait d'un paiement, pour des raisons tenant à la réassurance et à la lutte contre les demandes frauduleuses en série. Ces clauses peuvent entrer directement en tension avec l'obligation de divulgation réglementaire qui se dessine.
Ce conflit potentiel est documenté dans les observations soumises au Parlement européen en mars 2026 par plusieurs fédérations d'assureurs européens. Les discussions législatives n'ont pas encore tranché ce point. Mais le risque est réel : une organisation qui honore sa clause d'assurance en maintenant la confidentialité du paiement pourrait simultanément manquer à son obligation de déclaration NIS2. La hiérarchie des normes plaide pour la primauté du droit européen sur la clause contractuelle, mais ce raisonnement devra être validé par votre direction juridique.
Pour les procédures de notification d'incident existantes et les pièges opérationnels des délais NIS2, voir l'article sur les 5 pièges de la notification d'incident NIS2 en 24 heures : les tensions évoquées ici s'ajoutent à celles que cet article documente.
Le calendrier des négociations
La proposition du 20 janvier 2026 est entrée dans la procédure législative ordinaire. Les négociations entre le Parlement européen et le Conseil sont attendues jusqu'à la deuxième moitié de 2027. Après adoption, les États membres disposeront d'un délai de transposition de douze mois. En pratique, les nouvelles obligations entreraient en vigueur dans la majorité des États membres entre fin 2027 et début 2028.
Ce calendrier pourrait laisser croire que le sujet peut attendre. Ce serait une erreur de calendrier. Premièrement, certaines autorités nationales de supervision interrogent déjà les entités sur leurs pratiques en matière de rançongiciel dans le cadre de leurs contrôles courants, sans attendre la formalisation législative. Deuxièmement, les processus de gouvernance interne autour de la décision de payer prennent du temps à stabiliser : ils impliquent la direction générale, le juridique, l'assureur et le RSSI. Les construire en urgence pendant un incident est une mauvaise idée.
Trois ajustements à intégrer maintenant
Premier ajustement : formaliser la décision de payer comme un moment de gouvernance documenté. Qui peut autoriser un paiement ? Selon quel processus ? Avec quelle traçabilité ? Ces réponses doivent exister par écrit avant l'incident, pas être improvisées sous pression.
Deuxième ajustement : analyser vos contrats d'assurance cyber pour identifier les clauses de confidentialité sur les paiements de rançon. Évaluer avec votre direction juridique si ces clauses survivraient à une demande de divulgation formulée par l'autorité NIS2 de votre État membre. Anticiper un éventuel avenant.
Troisième ajustement : mettre à jour vos plans de réponse aux incidents pour y inclure explicitement le scénario rançongiciel avec paiement. Le plan doit décrire qui notifie l'autorité compétente, sous quel délai, avec quels éléments, et qui conserve la trace des échanges avec l'assureur. Ce ne sont pas des détails : ce sont les preuves que vous produirez si l'autorité engage une investigation.
Ce qui ne change pas
L'amendement ne crée pas d'interdiction de payer. Aucune disposition européenne ne le fait à ce stade, même si certains États membres en discutent. Il crée une obligation de transparence vis-à-vis des autorités. Cette transparence est le prix de la décision : si vous payez, vous l'assumez dans le cadre réglementaire. Si vous ne payez pas, vous n'avez rien à divulguer sur ce point.
La mesure de fond reste ce qu'elle a toujours été : réduire la probabilité d'être victime d'un rançongiciel, et réduire l'impact si vous l'êtes. Les sauvegardes testées, la segmentation réseau, la gestion des privilèges et la détection précoce restent les seuls moyens de ne pas être placé devant le choix de payer. L'amendement NIS2 ne change pas la réponse à cette question. Il en complique seulement les conséquences.