La question n'est plus de savoir si NIS2 sera contrôlée. Elle l'est déjà. Cinq amendes ont été prononcées en Europe depuis janvier 2025, pour un total de 885 000 euros. Elles couvrent cinq pays, cinq secteurs et cinq types de manquements distincts. Lire ces dossiers dans le détail, c'est comprendre ce que les autorités cherchent réellement lors d'un contrôle.
Les cinq premières sanctions, pays par pays
La première amende NIS2 confirmée a été prononcée en Belgique en janvier 2025. Un établissement de santé a été sanctionné à hauteur de 185 000 euros pour n'avoir pas émis l'alerte précoce dans les 24 heures suivant la détection d'un incident significatif. La violation existait. Les systèmes avaient été compromis. Mais l'organisation n'avait pas de procédure établie pour déclencher la notification dans le délai légal. C'est la procédure qui a été sanctionnée, pas la compromission elle-même.
En mars 2025, un prestataire de services cloud italiens a écopé de 450 000 euros d'amende : l'absence de programme formalisé de gestion des risques. Pas d'incident majeur déclaré, pas de fuite de données publiée. L'autorité italienne (ACN) a constaté lors d'un audit que l'organisation ne disposait pas de politique de sécurité documentée couvrant l'ensemble de son périmètre. Le montant — le plus élevé de la première vague — reflète la taille de l'entité et l'étendue du manque.
En juillet 2025, une entreprise de distribution d'eau hongroise a été sanctionnée à hauteur de 78 000 euros pour des procédures de réponse aux incidents jugées insuffisantes. L'organisation disposait d'un plan de continuité, mais celui-ci n'avait pas été testé depuis plus de dix-huit mois et ne couvrait pas les scénarios d'attaque cyber. Un plan non exercé est traité, dans la logique NIS2, comme un plan inexistant.
En septembre 2025, une entité lituanienne du secteur de l'énergie a reçu une amende de 52 000 euros pour l'absence de contrôles documentés sur sa chaîne d'approvisionnement. Ses fournisseurs ICT critiques n'avaient pas fait l'objet d'évaluation de sécurité dans les deux années précédant le contrôle.
En France, en février 2026, un prestataire de services DNS a été sanctionné à hauteur de 120 000 euros pour notification tardive d'un incident significatif. L'alerte précoce avait été transmise à l'ANSSI avec un retard de 38 heures sur le délai légal de 24 heures, et le rapport intermédiaire avec 11 jours de retard sur le délai de 72 heures.
Le signal que ces dossiers envoient
La lecture transversale de ces cinq cas révèle une constante : aucun d'eux ne porte sur une défaillance technique qui aurait rendu le contrôle inévitable. Les autorités n'ont pas attendu une attaque réussie pour agir. Elles ont contrôlé des processus, des procédures et des registres. Ce qu'elles ont trouvé — ou n'ont pas trouvé — a suffi à fonder la sanction.
Les cinq manquements identifiés — notification hors délai, absence de politique de gestion des risques, plan de réponse non testé, cartographie des fournisseurs manquante, rapport d'incident incomplet — sont tous des lacunes documentaires ou procédurales. Aucun n'implique une technologie particulière ou un investissement matériel significatif. Ce sont les manquements les moins coûteux à corriger, ce qui rend leur persistance d'autant plus notable.
Pour comprendre pourquoi ces délais de notification restent un point de friction, l'article sur les pièges opérationnels de la notification NIS2 en 24 heures détaille les points de blocage les plus fréquents dans les organisations françaises.
La responsabilité personnelle : deux précédents
Au-delà des amendes pesant sur les organisations, deux cas illustrent l'activation de la responsabilité personnelle prévue par l'article 20 de NIS2.
En Belgique, le dirigeant de l'établissement de santé sanctionné a reçu une amende personnelle de 15 000 euros, assortie d'une obligation de formation aux risques cyber. C'est le premier précédent documenté de sanction nominale d'un dirigeant sous NIS2 en Europe.
En Italie, l'autorité compétente a proposé une suspension temporaire du RSSI de l'entité cloud sanctionnée. Cette décision fait l'objet d'un recours devant le tribunal administratif régional de Rome. Quel que soit l'issue du recours, l'instruction elle-même constitue un signal : les autorités sont prêtes à utiliser l'ensemble des outils que NIS2 leur confère, y compris ceux qui visent des personnes physiques.
Ce que les programmes de contrôle nationaux révèlent
Au-delà des cinq amendes publiées, des programmes d'audit ont été lancés dans quatorze États membres ciblant les entités essentielles. Les rapports préliminaires disponibles identifient cinq lacunes systématiques : registres de risques fournisseurs non tenus à jour, procédures de réponse aux incidents non documentées, authentification multifacteur absente sur les accès administrateurs, absence de politique de divulgation responsable des vulnérabilités, formation insuffisante des organes de direction.
Ces cinq points constituent ce que les auditeurs appellent la vérification de premier niveau : ce sont les contrôles effectués avant même d'entrer dans le détail technique du système d'information. Un organisme qui ne passe pas ce premier niveau ne progresse pas vers un audit approfondi — il reçoit une mise en demeure immédiate.
Ce que cela signifie pour votre programme
Les organisations qui ont traité NIS2 comme un exercice de conformité documentaire sont, paradoxalement, mieux positionnées que celles qui ont investi massivement dans des outils sans formaliser leurs processus. Ce n'est pas un argument pour négliger la technique. C'est un argument pour commencer par ce que les autorités vérifient en premier.
Trois points à consolider avant la fin du trimestre, sans nécessiter d'investissement matériel. Premièrement, vérifier que votre procédure de notification NIS2 est testée et que les personnes responsables de l'envoyer connaissent le formulaire ANSSI et le délai de 24 heures. Un exercice de simulation de deux heures suffit. Deuxièmement, s'assurer que votre registre de fournisseurs ICT critiques est à jour et que chacun fait l'objet d'une évaluation de sécurité documentée datant de moins de douze mois. Troisièmement, vérifier que votre plan de réponse aux incidents a été testé dans les dix-huit derniers mois et que le compte rendu de l'exercice est archivé.
Ces trois points constituent le socle documentaire minimal que les cinq premiers dossiers NIS2 montrent comme étant le premier périmètre de contrôle. Les corriger maintenant coûte moins que d'expliquer leur absence à une autorité de supervision.