Introduction
Pendant la majeure partie de 2025 et au début de 2026, l’application de NIS2 est restée théorique : une directive aux plafonds de sanctions élevés, sans aucun précédent. Cela a changé cet été. Des amendes confirmées ont désormais été infligées dans au moins quatre États membres, les injonctions formelles des autorités de contrôle se comptent par dizaines rien qu’en Allemagne et en France, et le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre l’Irlande, l’Espagne, la France et les Pays-Bas, faute d’avoir pleinement transposé la directive en droit national. NIS2 n’est plus une échéance de conformité sur une diapositive. C’est un régime de contrôle et de sanction pleinement actif.
Les amendes à ce jour
- Belgique : environ 185 000 €
- Italie : environ 450 000 €
- Hongrie : environ 78 000 €
- Lituanie : environ 52 000 €
L’activité de supervision devance les amendes
Les amendes sont un indicateur retardé. Le signal plus immédiat est le volume d’injonctions formelles déjà émises : environ 47 par le BSI allemand et 23 par l’ANSSI française, qui agit dans le cadre existant de 2018 tant que la transposition formelle de NIS2 reste en suspens au niveau national. Des programmes d’audit sont désormais actifs dans au moins 14 États membres et ciblent d’abord les entités essentielles. Une organisation qui n’a pas encore été sanctionnée ne doit pas y voir la preuve de sa conformité, seulement le signe que son autorité de contrôle ne s’est pas encore penchée sur son cas.
Pourquoi quatre États membres se retrouvent devant la Cour
NIS2 imposait une transposition nationale au plus tard en octobre 2024. En mai 2026, environ 21 à 23 des 27 États membres l’avaient fait, laissant une minorité persistante (dont certaines des plus grandes économies de l’UE) fonctionner avec des cadres nationaux partiels ou incomplets. La saisine de la CJUE par la Commission contre l’Irlande, l’Espagne, la France et les Pays-Bas est une escalade formelle, pas un geste symbolique : elle ouvre une procédure judiciaire qui peut, à terme, aboutir à des sanctions financières contre l’État membre lui-même, qui s’ajoutent aux obligations pesant déjà sur les entités réglementées qui y opèrent, sans les remplacer.
Ce que cela change concrètement pour les preuves de conformité
Les organisations qui ont jusqu’ici échappé aux amendes ne sont pas celles qui ont les meilleures politiques sur le papier : les amendes ont frappé des entités essentielles et importantes qui, lors de l’enquête, n’ont pas pu produire de preuves continues des contrôles décrits dans leurs documents de politique. Un audit de supervision ne demande pas si une politique de sécurité existe ; il demande si l’organisation peut démontrer, preuves horodatées à l’appui, que la politique a été appliquée aux dates qui comptent. C’est précisément sur cette distinction que des preuves de conformité vérifiables par machine et générées en continu l’emportent sur un classeur d’audit figé à un instant donné.
Alors que l’application de NIS2 passe de la théorie à la pratique, c’est dans l’écart entre une politique de conformité et des preuves de conformité que tombent les amendes. Découvrez comment ROOTKey génère des preuves NIS2 continues, prêtes pour l’audit.