SaaSFort Depuis fin 2025, la transposition nationale de NIS2 est en vigueur dans la plupart des États membres. Pas de période de transition, pas de report. La loi oblige personnellement les dirigeants à approuver les mesures de gestion des risques et à en superviser la mise en œuvre. Qui ne le fait pas engage son patrimoine personnel.
Cela ne concerne pas que les grands groupes. Tout fournisseur SaaS classé « entité importante » au sens de NIS2 — ce qui inclut beaucoup d’éditeurs B2B à partir de 50 salariés ou 10 M€ de chiffre d’affaires — tombe sous cette règle.
Ce que la loi exige concrètement
La transposition NIS2 oblige la direction des entités particulièrement importantes et importantes à trois devoirs concrets :
- Approbation des mesures de gestion des risques
- Supervision de la mise en œuvre de ces mesures
- Participation régulière à des formations sur les risques de cybersécurité
Selon Greenberg Traurig : les tâches opérationnelles peuvent être déléguées, la responsabilité de haut niveau reste à la direction. Vous pouvez recruter un RSSI — la responsabilité reste la vôtre.
Point décisif : une renonciation aux droits de recours contre la direction est exclue par la loi. Aucune décision d’associés et aucune clause statutaire ne peut lever cette responsabilité. Morrison Foerster le confirme : la responsabilité n’est pas entièrement délégable.
Amendes : trois niveaux qui font mal
NIS2 échelonne les amendes selon le type d’entité et le manquement :
| Type de manquement | Entité particulièrement importante | Entité importante |
|---|---|---|
| Absence de mesures de gestion des risques | Jusqu’à 10 M€ ou 2 % du CA annuel | Jusqu’à 7 M€ ou 1,4 % du CA annuel |
| Absence d’enregistrement auprès de l’autorité | Jusqu’à 500 000 € | Jusqu’à 500 000 € |
| Manquement aux obligations de notification | Jusqu’à 500 000 € | Jusqu’à 500 000 € |
Pour une entreprise SaaS avec 5 M€ de CA annuel, la sanction maximale en cas de mesures de sécurité manquantes est de 7 M€. Le second piège fréquent est l’obligation de notification sous 24 heures de l’article 23 — ne pas signaler un incident significatif à temps fait courir la même amende que l’absence d’enregistrement. Un modèle de notification et un exercice sur table préparés réduisent le risque que les devoirs de la direction soient violés sous pression temporelle.
Responsabilité personnelle vs. amende d’entreprise
Les amendes frappent l’entreprise. La responsabilité personnelle frappe en plus le dirigeant — pour les dommages causés par une omission fautive. La direction peut être personnellement mise en cause pour les dommages survenus si elle a manqué à son devoir de supervision.
Exemple pratique : votre produit SaaS est piraté parce que des failles connues n’ont pas été corrigées. Votre client — une entité réglementée NIS2 — subit un dommage et exerce un recours. En tant que dirigeant, vous engagez votre responsabilité personnelle si vous n’avez pas démontré avoir supervisé la mise en œuvre des mesures de sécurité.
La preuve la plus simple de votre devoir de supervision : un self-audit documenté des 10 mesures de l’article 21(2). Notre modèle Excel gratuit de self-audit NIS2 article 21 couvre les 10 mesures avec colonnes statut, priorité, responsabilité et échéance — de qualité conseil d’administration, remplissable en une heure.
Assurance D&O : pas un blanc-seing
Beaucoup de dirigeants se reposent sur leur assurance D&O (Directors & Officers). C’est risqué :
- Exclusions cyber : certaines polices D&O excluent explicitement les incidents cyber ou les amendes réglementaires. Selon Noerr, les polices existantes doivent être vérifiées d’urgence pour la couverture NIS2.
- Exclusion pour faute consciente : si vous connaissiez les défaillances de sécurité sans agir, l’assurance D&O ne joue pas.
- Recours de l’entreprise : l’entreprise peut réclamer réparation au dirigeant — et y renoncer est exclu par la loi.
Vérifiez votre police D&O maintenant : couvre-t-elle les réclamations liées à NIS2 ? Contient-elle des exclusions cyber ? Si oui, négociez une extension — avant qu’un incident ne survienne.
Ce que « supervision » signifie concrètement
La loi n’exige pas d’expertise technique de la direction. Elle exige un système de supervision démontrable. En clair :
Des processus documentés plutôt que des projets ponctuels. L’autorité ne vérifie pas si vous avez fait un audit de sécurité une fois. Elle vérifie l’existence d’un système continu — avec rapports réguliers, responsabilités définies et mesures traçables.
Ce que les auditeurs veulent voir :
- Rapports de sécurité réguliers à la direction (au moins trimestriels)
- Évaluations de risques avec mesures et échéances documentées
- Attestations de formation de la direction elle-même
- Rapports d’audit externes comme validation indépendante
Construire la preuve de conformité en 4 étapes
Pour les dirigeants de SaaS qui partent de zéro aujourd’hui :
Étape 1 : Vérifier la posture de sécurité externe (jour 1)
Scannez votre domaine gratuitement — 60 contrôles dans 21 catégories, note A-F, en moins de 60 secondes. Le résultat montre votre situation actuelle du point de vue d’un auditeur externe. Aucun compte requis.
14 jours d’essai gratuit : tous les nouveaux comptes reçoivent automatiquement le plan Growth (19 €/mois) — 50 scans, multi-domaine, export NIS2 — pendant 14 jours gratuitement. Aucune carte bancaire requise. Ensuite Starter à partir de 9 €/mois.
Étape 2 : Générer un rapport de conformité NIS2 (jour 1)
SaaSFort mappe tous les résultats de scan aux 10 mesures de l’article 21(2) de NIS2. Générez votre PDF de conformité NIS2 — gratuit via l’API publique. Le PDF documente quelles mesures sont satisfaites et où subsistent des écarts.
Étape 3 : Combler les écarts critiques (semaines 1-4)
Corrigez d’abord ce qui fait chuter votre note à D ou F : certificats TLS expirés, en-têtes de sécurité manquants, chemins d’administration ouverts. Chaque point corrigé améliore mesurablement votre pourcentage de conformité NIS2.
Étape 4 : Mettre en place une surveillance continue (à partir de la semaine 2)
Des scans ponctuels ne suffisent pas comme preuve. Mettez en place des scans automatisés hebdomadaires — ou intégrez SaaSFort directement dans votre pipeline CI/CD. Chaque déploiement déclenche un scan. Cela génère la preuve continue exigée.
SaaSFort est disponible à partir de 9 €/mois — ou 14 jours d’essai gratuit avec toutes les fonctions Growth (50 scans/mois, multi-domaine, export NIS2, sans carte bancaire). Un avis de consultant sur la conformité NIS2 coûte 200-500 €/heure.
FAQ
Suis-je concerné en tant que CEO de SaaS ?
Si votre entreprise est classée « entité importante » ou « particulièrement importante » au sens de NIS2 — oui. Pour les entreprises SaaS, les seuils s’appliquent : à partir de 50 salariés ou 10 M€ de CA annuel dans le secteur « infrastructure numérique » ou « services TIC ». Même si vous n’êtes pas réglementé vous-même : vos clients dans la chaîne d’approvisionnement NIS2 vous demanderont des preuves de conformité.
Puis-je déléguer la responsabilité à mon RSSI ?
Non. Les tâches opérationnelles peuvent être déléguées, le devoir d’approbation et de supervision reste à la direction. Taylor Wessing le confirme : la responsabilité de haut niveau n’est pas transférable.
Que se passe-t-il si je n’approuve pas les mesures ?
Vous violez vos obligations légales. L’entreprise risque des amendes jusqu’à 10 M€. Vous engagez personnellement votre responsabilité pour les dommages causés par l’omission. Et votre assurance D&O vérifiera si vous avez agi en connaissance de cause.
Un test d’intrusion annuel suffit-il comme preuve ?
Non. La loi exige des analyses de risques et des mesures de sécurité continues — pas des tests ponctuels. La surveillance continue de la sécurité avec scans automatisés entre les pentests est le standard attendu des auditeurs en 2026.
Quelles formations dois-je justifier en tant que dirigeant ?
La loi exige une participation « régulière » à des formations sur les risques de cybersécurité. La fréquence exacte n’est pas définie — au moins annuelle, idéalement semestrielle. Documentez chaque formation avec date, contenu et attestation de participation.
En quoi la responsabilité diffère-t-elle du RGPD ?
Le RGPD s’adresse principalement à l’entreprise. NIS2 s’adresse directement à la direction en tant que personne physique. La renonciation aux droits de recours est exclue par la loi sous NIS2 — le RGPD n’a pas cette règle.
Vérifiez maintenant votre statut NIS2. Scan gratuit — 60 contrôles, note A-F, en moins de 60 secondes. Nouveau compte : 14 jours Growth gratuits (sans carte bancaire). Puis générez un PDF de conformité NIS2 comme première preuve.
Ready to put this into practice?
Two ways to start — pick what fits. Free Scan if you want to see your security grade in 60s with no commitment. Free 14-day Growth trial if you're ready to monitor multiple domains, export NIS2 reports, and download Deal Reports — no credit card required.
No credit card · Cancel anytime · GDPR-ready · EU-hosted