NIS2 pour les DSI : obligations concrètes et plan d'action 2026

NIS2 pour les DSI

Et si la directive NIS2, perçue comme une contrainte majeure, était en réalité le plus grand levier de performance pour votre système d'information des trois prochaines années ? À l'approche de l'échéance de transposition fixée au 17 octobre 2024, nous comprenons parfaitement la pression qui pèse sur vos épaules. Entre la complexité du texte, le spectre de la responsabilité pénale et la difficulté à évaluer votre niveau de maturité actuel, le chemin vers la conformité peut sembler intimidant.

Pourtant, une approche structurée et pragmatique est possible. C'est précisément l'objectif de ce guide : décrypter pour vous les enjeux de NIS2 pour les DSI : obligations concrètes et plan d'action 2026. Ensemble, nous allons transformer cette exigence réglementaire en une feuille de route claire pour renforcer votre gouvernance, sécuriser vos opérations et garantir une performance durable à votre organisation. Vous découvrirez ainsi un plan d'action concret pour non seulement atteindre la conformité, mais aussi pour rassurer durablement vos partenaires et clients.

Points Clés

• Identifiez précisément si votre entreprise est une Entité Essentielle ou Importante et découvrez les 10 mesures de cybersécurité à mettre en œuvre pour sécuriser votre SI.

• Structurez votre feuille de route grâce à notre guide NIS2 pour les DSI : obligations concrètes et plan d'action 2025, en commençant par un diagnostic de maturité pour prioriser vos actions.

• Comprenez pourquoi la sécurité de la supply chain devient un enjeu majeur et apprenez à évaluer la cybersécurité de vos fournisseurs et prestataires critiques.

• Adoptez une approche stratégique pour transformer cette contrainte réglementaire en un véritable levier de performance durable et de confiance pour votre écosystème.

Comprendre la directive NIS2 : Enjeux et périmètre pour les DSI en 2026

La directive NIS2, officiellement désignée comme la directive (UE) 2022/2555, constitue bien plus qu'une simple évolution de sa version précédente. Elle incarne une refonte stratégique de la cybersécurité à l'échelle européenne, dont la transposition en droit français est attendue pour octobre 2024. Cette nouvelle réglementation vise à instaurer un niveau de maturité cyber élevé et homogène pour les organisations critiques. Pour aborder sereinement le sujet NIS2 pour les DSI : obligations concrètes et plan d'action 2025, il est essentiel de commencer par ses fondements. La directive, dont vous pouvez consulter une synthèse sur la page Directive NIS 2 (Wikipédia), établit une distinction clé entre deux types d'acteurs : les Entités Essentielles (EE) et les Entités Importantes (EI), élargissant considérablement le champ d'application. L'année 2026 marquera un tournant décisif, où la conformité ne sera plus une option mais un prérequis opérationnel. Plus important encore, NIS2 engage directement la responsabilité juridique et financière des instances dirigeantes, faisant de la cybersécurité un sujet de gouvernance incontournable.

Êtes-vous concerné ? Les nouveaux critères d'éligibilité

L'un des premiers défis pour un DSI est de déterminer avec certitude si son organisation tombe dans le périmètre de NIS2. La directive clarifie les règles en se basant sur trois piliers : le secteur d'activité, la taille de l'entreprise et son rôle dans l'écosystème. Les secteurs sont désormais répartis en deux annexes :

• Secteurs hautement critiques (Annexe I) : Énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique et espace.

• Autres secteurs critiques (Annexe II) : Services postaux et d'expédition, gestion des déchets, fabrication et distribution de produits chimiques, production et distribution de denrées alimentaires, et recherche.

Sauf exceptions, une entreprise opérant dans ces secteurs est concernée si elle est de taille moyenne ou grande, c'est-à-dire si elle emploie au moins 50 personnes et réalise un chiffre d'affaires annuel supérieur à 10 millions d'euros. Le concept d'entité territoriale, notamment dans une région à forte densité économique comme l'Île-de-France, renforce l'idée qu'une entreprise peut être assujettie en raison de son rôle crucial dans une chaîne de valeur locale, même si elle ne répond pas strictement aux seuils.

Les risques du statu quo : sanctions et perte de confiance

Ignorer l'échéance de 2026 expose l'entreprise à des risques financiers et opérationnels majeurs. La nouvelle directive renforce considérablement l'arsenal de sanctions pour garantir son application. Les amendes administratives sont dissuasives : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial total pour les Entités Essentielles (le montant le plus élevé étant retenu). Au-delà des sanctions, la pression viendra de votre écosystème. Dès 2025, les grands donneurs d'ordre, eux-mêmes soumis à NIS2, exigeront de leurs fournisseurs des garanties de conformité cyber. Ne pas pouvoir les fournir signifiera une perte de contrats et un désavantage concurrentiel certain. Enfin, l'impact sur l'assurabilité cyber sera direct. Les assureurs, qui ont déjà durci leurs conditions après une sinistralité record de 60% en 2023, utiliseront la conformité NIS2 comme un critère fondamental pour évaluer le risque et fixer les primes. Un manque de préparation pourrait rendre votre entreprise tout simplement inassurable en 2026.

Les 10 obligations concrètes de NIS2 : Décryptage pour le SI

La directive NIS2 transcende la simple recommandation pour imposer un socle de 10 mesures de gestion des risques, à la fois techniques et organisationnelles. Pour le DSI, il ne s'agit plus de réagir aux menaces, mais de construire une résilience systémique et démontrable. Ces obligations constituent le nouveau standard de maturité cyber que chaque entité concernée devra atteindre avant la transposition en droit national, prévue pour octobre 2024.

Le point de départ de cette démarche est une analyse des risques rigoureuse, formalisée dans une politique de sécurité des systèmes d'information (PSSI) vivante. De cette analyse découle une gestion des incidents structurée, qui impose une notification à l'ANSSI dans les 24 heures suivant la connaissance d'un incident significatif. Cette réactivité doit s'appuyer sur des plans de continuité (PCA) et de reprise d'activité (PRA) robustes, testés régulièrement pour garantir la pérennité des opérations critiques. La directive met également un accent inédit sur la sécurité de la chaîne d'approvisionnement, vous rendant co-responsable de la sécurité de vos prestataires. L'ensemble de ce dispositif doit faire l'objet d'une évaluation continue de son efficacité, transformant la conformité en un processus d'amélioration permanent. C'est le cœur du sujet NIS2 pour les DSI : obligations concrètes et plan d'action 2025.

Mesures techniques : l'hygiène informatique renforcée

NIS2 impose une élévation drastique du niveau d'hygiène numérique. L'objectif est de rendre la compromission des systèmes plus coûteuse et complexe pour les attaquants. Trois piliers techniques se distinguent :

• Cryptographie et chiffrement : L'utilisation de protocoles robustes comme le chiffrement AES-256 pour les données au repos et en transit devient la norme. Il s'agit de protéger l'information, même en cas de fuite des contenants.

• Sécurisation des accès sensibles : La gestion des accès à privilèges (PAM) et la sécurisation des communications d'urgence sont explicitement mentionnées. Il est impératif de contrôler et tracer les actions des comptes à hauts pouvoirs.

• Authentification multifactorielle (MFA) : Le déploiement généralisé de l'MFA est une exigence fondamentale. Selon une étude de Microsoft datant de 2022, l'MFA peut bloquer plus de 99,9 % des attaques par compromission de comptes, ce qui en fait l'une des mesures les plus efficaces à mettre en œuvre.

Mesures organisationnelles : la gouvernance au cœur du SI

La technologie seule ne suffit pas. La directive NIS2 engage la responsabilité directe des dirigeants et ancre la cybersécurité dans la stratégie globale de l'entreprise. Cette approche par la gouvernance est essentielle pour une performance durable.

• Formation des dirigeants : Les membres des organes de direction ont l'obligation de suivre des formations cyber. Ils doivent comprendre les risques pour les arbitrer et sont désormais tenus personnellement responsables en cas de manquement grave.

• Documentation et culture de la preuve : Vous devez documenter vos politiques, procédures et configurations. Tenir des registres précis n'est pas une charge administrative, mais un outil de pilotage et une preuve de conformité exigible lors d'un audit. Le texte officiel de la directive NIS2 (Commission européenne) détaille ces exigences de documentation.

• Intégration à la stratégie métier : La cybersécurité quitte son silo technique pour devenir une composante de la Business Architecture. Chaque nouveau projet doit intégrer la dimension sécurité dès sa conception ("Security by Design"). Intégrer cette vision stratégique est un défi majeur, c'est pourquoi nous vous accompagnons pour aligner votre cybersécurité sur vos objectifs métiers.

En synthèse, la directive impose une vision à 360 degrés de la sécurité. Les mesures techniques et organisationnelles ne sont pas des chantiers distincts, mais les deux faces d'une même pièce : la résilience opérationnelle. Pour le DSI, le défi est de traduire ces dix obligations en un plan d'action pragmatique et financé, qui transforme une contrainte réglementaire en un véritable levier de confiance et de performance pour l'entreprise.

Gouvernance et Supply Chain : Les nouveaux piliers du pilotage IT

La directive NIS 2 marque une rupture fondamentale : la cybersécurité ne s'arrête plus aux frontières de votre système d'information. Elle s'étend désormais à l'ensemble de votre chaîne de valeur. La sécurité de la chaîne d'approvisionnement (ou supply chain) n'est plus une simple bonne pratique, mais le défi majeur de conformité pour 2026. Pour les DSI, cela implique une évolution du rôle, passant de gestionnaire technique à chef d'orchestre de la résilience collective. Comprendre la portée de NIS2 pour les DSI : obligations concrètes et plan d'action 2025 commence par la maîtrise de cet écosystème interconnecté, où la vulnérabilité d'un seul partenaire peut compromettre l'ensemble de l'édifice.

Auditer ses prestataires : une nécessité réglementaire

L'obligation d'évaluer et de maîtriser le risque lié aux tiers est l'une des mesures les plus structurantes de la directive. Il ne s'agit plus de faire confiance sur parole, mais de vérifier et de documenter. Notre approche se décline en trois étapes clés :

• Cartographier les fournisseurs critiques : La première étape consiste à identifier et classer vos prestataires en fonction de leur criticité. Nous vous aidons à distinguer les fournisseurs stratégiques (hébergeurs, éditeurs de logiciels critiques, infogéreurs) de ceux présentant un risque moindre. Cette cartographie est le socle de votre plan de maîtrise des risques.

• Valider la conformité : Une simple déclaration de conformité ne suffit plus. La directive impose de s'assurer des mesures de sécurité de vos partenaires. Le recours à des audits et diagnostics SI externes permet d'obtenir une évaluation objective et documentée de la posture de sécurité de vos fournisseurs, une preuve tangible de votre diligence.

• Exiger des garanties : Intégrez des exigences de sécurité claires dans vos appels d'offres et contrats. Exiger des certifications reconnues comme l'ISO 27001 (management de la sécurité de l'information) ou SecNumCloud pour les prestataires de services cloud est un levier puissant. Ces exigences sont directement inspirées des mesures de gestion des risques listées dans le Texte officiel de la directive NIS 2.

Le DSI devient ainsi le pivot de la coordination inter-services. Il doit collaborer étroitement avec la direction des Achats pour intégrer des clauses de cybersécurité robustes dans les contrats (droit d'audit, notification d'incident, pénalités) et avec le service Juridique pour en garantir la validité. C'est un travail d'équipe indispensable à la réussite.

La co-construction de la stratégie de sécurité

Au-delà de la conformité des tiers, NIS 2 vous invite à repenser votre stratégie de sécurité interne de manière collaborative. La sécurité n'est plus l'affaire d'une poignée d'experts, mais une culture d'entreprise. Pour aligner la trajectoire de votre SI, nous recommandons de vous concentrer sur l'alignement de la trajectoire cloud avec les exigences de souveraineté implicites de NIS 2, en privilégiant des solutions garantissant la localisation des données en Europe. Il est tout aussi crucial d'impliquer les collaborateurs via des programmes de sensibilisation incarnés et réguliers, transformant chaque employé en un maillon fort de votre défense. Enfin, il est temps de passer d'une sécurité périmétrique, aujourd'hui obsolète, à une approche Zero Trust. Ce modèle, qui part du principe qu'aucune confiance ne doit être accordée par défaut, impose une vérification systématique de chaque accès, protégeant ainsi vos actifs même en cas de compromission d'un segment de votre réseau.

Plan d'action 2026 : Étapes clés pour une mise en conformité sereine

L'échéance de transposition de la directive NIS2 en droit français, fixée au 18 octobre 2024, approche à grands pas. Pour les DSI, l'enjeu n'est plus de savoir s'il faut agir, mais comment agir avec méthode et efficacité. Aborder cette transition non comme une contrainte réglementaire, mais comme une opportunité de renforcer la résilience de votre organisation est la clé du succès. Nous vous proposons une démarche structurée en quatre étapes, conçue pour transformer cette obligation en un véritable levier de performance durable.

Ce parcours pragmatique constitue le cœur de notre approche NIS2 pour les DSI : obligations concrètes et plan d'action 2025. Il vise à vous donner une visibilité complète et à sécuriser votre trajectoire vers la conformité.

• Étape 1 : Diagnostic de maturité et analyse d'écarts (Gap Analysis) Toute stratégie pertinente commence par un état des lieux honnête et exhaustif. L'objectif est de cartographier précisément votre posture de sécurité actuelle par rapport aux 10 mesures de gestion des risques imposées par l'article 21 de la directive. Il s'agit d'une photographie à un instant T qui révélera vos forces et, plus important encore, les zones de vulnérabilité à traiter en priorité. Cet audit initial est le socle sur lequel reposera toute votre stratégie de mise en conformité.

Le diagnostic initial : point de départ de votre sérénité

Cette première phase cruciale doit inclure un inventaire complet de vos actifs informationnels (serveurs, applications, données critiques), une évaluation de la robustesse de vos infrastructures fondamentales comme l'Active Directory, et l'identification de "quick wins". Ces actions à gain rapide, comme l'activation de l'authentification multifacteur (MFA) sur les comptes à privilèges, permettent de réduire immédiatement votre surface d'attaque, démontrant une prise en main proactive du sujet.

• Étape 2 : Définition de la trajectoire et priorisation des investissements Une fois les écarts identifiés, il est essentiel de ne pas se disperser. La seconde étape consiste à construire une feuille de route claire, hiérarchisée en fonction du niveau de criticité des risques. En utilisant une matrice de risques (probabilité d'occurrence vs. impact métier), vous pourrez objectivement prioriser les chantiers. Cette démarche permet de justifier les investissements nécessaires auprès de votre direction en liant chaque euro dépensé à une réduction tangible du risque pour l'entreprise.

• Étape 3 : Mise en œuvre des mesures prioritaires et remédiation technique C'est la phase opérationnelle où le plan se transforme en actions concrètes. Cela peut inclure le déploiement d'un EDR (Endpoint Detection and Response), la segmentation de votre réseau pour contenir les incidents, ou encore la mise en place de plans de réponse à incident et de continuité d'activité. La formation et la sensibilisation de vos collaborateurs, qui représentent selon une étude de l'ANSSI près de 50% des vecteurs d'entrée lors d'une cyberattaque, est également un chantier non négociable.

Piloter le changement : du projet au processus

La mise en conformité est un projet d'envergure qui nécessite un pilotage rigoureux. La nomination d'un chef de projet dédié ou le recours à un RSSI externe à temps partagé est souvent indispensable. Il vous faudra budgétiser les coûts (outils, conseil, ressources humaines) qui, pour une PME, peuvent représenter un investissement initial de 15 000 € à plus de 70 000 €. Enfin, documentez chaque décision et chaque mesure. En cas de contrôle de l'ANSSI, une documentation claire et à jour sera votre meilleur atout. Pour sécuriser cette démarche complexe, bénéficiez d'un diagnostic NIS2 offert par nos experts.

• Étape 4 : Mise en place du cycle d'amélioration continue (PDCA) La cybersécurité n'est pas un projet avec une fin, mais un processus d'amélioration continue. La conformité NIS2 doit s'inscrire dans cette dynamique. En adoptant un cycle Plan-Do-Check-Act (Planifier-Faire-Vérifier-Agir), vous instaurez une culture de la sécurité durable. Cela passe par des audits de sécurité réguliers, des tests d'intrusion annuels, des exercices de gestion de crise et une revue systématique de vos politiques. C'est ainsi que vous maintiendrez votre niveau de conformité et, surtout, votre résilience face à des menaces en constante évolution.

L'accompagnement AE Consulting : Transformer NIS2 en levier de performance

La directive NIS2 représente bien plus qu'une simple contrainte réglementaire. Pour le DSI visionnaire, c'est une opportunité unique de repositionner la cybersécurité au cœur de la stratégie d'entreprise, de moderniser les infrastructures et de renforcer la confiance des partenaires. Chez AE Consulting, nous ne voyons pas NIS2 comme une ligne d'arrivée, mais comme le point de départ d'une performance plus durable et résiliente. Notre approche sur-mesure combine une vision stratégique de haut niveau avec un pragmatisme opérationnel ancré dans votre réalité quotidienne.

Nous comprenons que votre défi principal est de traduire des exigences techniques complexes en un langage clair et percutant pour votre Direction Générale. Il s'agit de démontrer la valeur ajoutée de la conformité au-delà de la simple gestion du risque. Notre rôle est de construire avec vous un argumentaire solide pour le projet NIS2 pour les DSI : obligations concrètes et plan d'action 2025, en quantifiant son retour sur investissement en termes de continuité d'activité, de réputation et d'avantage concurrentiel. Basés à Boulogne-Billancourt et Paris, nous sommes votre partenaire de proximité pour mener à bien cette transformation.

Management de transition et expertise technique

Piloter un projet d'envergure comme la mise en conformité NIS2 tout en assurant la gestion des opérations courantes est un défi majeur. Notre offre de management de transition et notre pôle d'experts techniques sont conçus pour vous apporter le soutien ciblé dont vous avez besoin, au moment où vous en avez besoin.

• Assurer la continuité de la gouvernance : Un DSI ou RSSI de transition peut prendre les rênes de votre programme NIS2, garantissant un pilotage rigoureux et une prise de décision rapide sans perturber vos équipes internes.

• Bénéficier d'un regard extérieur expert : Nos consultants apportent une perspective objective et des benchmarks sectoriels pour réaliser vos audits SI et diagnostics. En moyenne, nos audits permettent d'identifier 15% d'optimisations de processus avant même le début du déploiement.

• Accélérer le déploiement de votre plan d'action : Nous mettons à votre disposition des experts immédiatement opérationnels (architectes sécurité, chefs de projet, etc.) pour accélérer la mise en œuvre des mesures techniques et organisationnelles, réduisant ainsi vos délais de mise en conformité.

Vers une performance durable et sécurisée

La conformité NIS2 ne doit pas être un projet ponctuel, mais l'amorce d'une culture de la sécurité intégrée à l'ensemble de vos processus. C'est notre conviction et le fil conducteur de notre accompagnement. Nous vous aidons à intégrer la sécurité comme un réflexe et un véritable moteur de performance pour l'entreprise.

L'approche "Security by Design" que nous promouvons consiste à intégrer les exigences de sécurité dès la phase de conception de vos nouveaux projets applicatifs ou d'infrastructure. Cette méthode proactive permet de réduire les vulnérabilités de plus de 50% par rapport à une approche corrective, tout en maîtrisant les coûts sur le long terme. Nous vous aidons également à optimiser vos infrastructures existantes pour trouver le juste équilibre entre l'agilité requise par le métier et la robustesse imposée par la réglementation. Il ne s'agit pas de choisir entre performance et sécurité, mais de les faire converger. Prenez de la hauteur sur vos enjeux IT et transformez vos obligations en opportunités avec AE Consulting à vos côtés.

Votre feuille de route NIS2 : sécuriser 2025 et au-delà

L'échéance d'octobre 2024 pour la transposition de NIS2 se rapproche, transformant la conformité en une priorité stratégique pour chaque Direction des Systèmes d'Information. La directive redéfinit en profondeur la cybersécurité, en l'étendant au-delà des périmètres techniques pour intégrer la gouvernance au plus haut niveau et la sécurisation de votre chaîne d'approvisionnement. Maîtriser le sujet NIS2 pour les DSI : obligations concrètes et plan d'action 2025 n'est plus une option, mais le fondement d'une résilience durable.

Aborder cette transition demande une vision claire et une expertise éprouvée. Forts de plus de 15 ans d'expertise en stratégie IT et en tant que spécialiste du management de transition DSI, nous vous accompagnons pour transformer cette contrainte réglementaire en un véritable levier de performance. Notre approche de proximité en Île-de-France garantit une mise en œuvre pragmatique et sur-mesure, alignée avec vos réalités opérationnelles.

Le chemin vers la conformité est une opportunité de renforcer votre posture stratégique. Sécurisez votre trajectoire NIS2 avec AE Consulting et construisons ensemble, à vos côtés, une cyber-résilience à la hauteur de vos ambitions.

Questions fréquentes sur la directive NIS2 pour les DSI

Quelles sont les dates limites pour se conformer à la directive NIS2 en France ?

La date limite pour la transposition de la directive NIS2 dans le droit français est fixée au 18 octobre 2024. À partir de cette date, les entreprises concernées devront engager leur mise en conformité. Bien qu'un délai d'application sera probablement précisé par la législation nationale, il est impératif d'anticiper, car les premiers contrôles par l'ANSSI pourraient débuter dès 2025. Une préparation proactive est donc la clé pour aborder cette échéance avec sérénité et efficacité.

Une PME de moins de 50 salariés peut-elle être soumise à NIS2 ?

Oui, une PME de moins de 50 salariés peut être soumise à la directive NIS2 dans des cas spécifiques. Si les critères de taille (moins de 50 salariés et moins de 10 millions d'euros de chiffre d'affaires) excluent généralement les PME, des exceptions existent. C'est le cas si votre entreprise est un fournisseur unique dans un secteur critique ou si elle joue un rôle essentiel dans la chaîne d'approvisionnement d'une entité plus grande déjà concernée. Une analyse de votre écosystème est donc indispensable.

Quelle est la différence concrète entre une Entité Essentielle et une Entité Importante ?

La différence majeure entre une Entité Essentielle (EE) et une Entité Importante (EI) réside dans le régime de supervision et le niveau des sanctions. Les EE font l'objet d'un contrôle proactif de la part de l'ANSSI, avec des audits réguliers. Les EI, quant à elles, sont soumises à un contrôle réactif, déclenché après un incident. Les sanctions financières sont également plus lourdes pour les EE, pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial.

Comment l'ANSSI va-t-elle contrôler la mise en œuvre de la directive ?

L'ANSSI adoptera une approche de contrôle adaptée au statut de votre entreprise. Pour les Entités Essentielles, la supervision sera proactive, incluant des audits sur site, des analyses de sécurité et des demandes de preuves documentaires. Pour les Entités Importantes, les contrôles seront réactifs et généralement initiés suite à un incident de sécurité notifié. Dans tous les cas, l'agence vérifiera la bonne application des mesures de gestion des risques et des obligations de déclaration.

Quels sont les investissements prioritaires à prévoir dans le budget IT 2026 ?

Pour votre budget 2026, les investissements prioritaires doivent s'aligner sur les exigences de NIS2. Nous recommandons de vous concentrer sur la supervision de la sécurité (SOC/SIEM), la gestion des identités et des accès (IAM/PAM), et la formation continue de vos équipes. Prévoir des ressources pour la sécurisation de votre chaîne d'approvisionnement et la mise à jour de vos plans de continuité d'activité (PCA) est également crucial. Un bon plan d'action NIS2 pour les DSI : obligations concrètes et plan d'action 2025 commence par cette budgétisation.

Le Cloud souverain est-il obligatoire pour respecter NIS2 ?

Non, la directive NIS2 n'impose pas explicitement l'utilisation d'un Cloud souverain. Cependant, elle exige une analyse rigoureuse des risques liés à votre chaîne d'approvisionnement, ce qui inclut vos fournisseurs de services Cloud. Vous devez garantir que votre prestataire respecte des normes de sécurité élevées. Opter pour un fournisseur certifié SecNumCloud par l'ANSSI constitue un gage de confiance et facilite grandement la démonstration de votre conformité lors d'un contrôle.

Peut-on externaliser totalement la responsabilité de la conformité NIS2 ?

Non, la responsabilité juridique de la conformité NIS2 ne peut être totalement externalisée. Elle incombe en dernier ressort à l'organe de direction de votre entreprise. Vous pouvez déléguer la mise en œuvre de mesures techniques à des partenaires spécialisés, comme un MSSP. Toutefois, la validation de la stratégie de gestion des risques et la supervision de son application restent de votre entière responsabilité. C'est un point de gouvernance fondamental de la directive.

Quelles sont les sanctions prévues en cas de non-respect des obligations de notification ?

Le non-respect des délais de notification d'incident (alerte initiale sous 24h, notification détaillée sous 72h) est lourdement sanctionné. Pour une Entité Essentielle, l'amende peut s'élever jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel. Pour une Entité Importante, le plafond est fixé à 7 millions d'euros ou 1,4% de ce même chiffre d'affaires. Des sanctions administratives, comme la suspension d'une certification, peuvent également être appliquées.