Le 8 juillet 2026, la Commission européenne a annoncé la saisine de la Cour de justice de l’Union européenne contre la France, notamment parce que la transposition complète de la directive NIS2 n’a pas été notifiée. Cette actualité donne une portée très concrète à une question que les entreprises de production, de transformation et de distribution alimentaire ne peuvent plus repousser : leur activité les place-t-elle déjà dans le périmètre européen, et quelles preuves doivent-elles préparer avant l’enregistrement auprès de l’ANSSI ?

Le sujet est délicat. Une PME qui transforme industriellement des denrées ou qui les distribue en gros peut relever de l’annexe II de la directive. Une petite entreprise artisanale, un simple fournisseur de matières premières ou un commerce de détail n’est pas automatiquement assujetti pour cette seule raison. La taille, l’activité réelle, la place dans la chaîne d’approvisionnement, les systèmes exploités et les futures règles françaises doivent être examinés ensemble.

Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France, ou ReCyF. L’Agence le présente comme un document de travail, par défaut non obligatoire, destiné à aider les futures entités importantes et essentielles à préparer leur sécurisation. Ce cadre permet déjà de constituer un dossier solide : qualification de l’entreprise, cartographie des actifs, gestion des accès, continuité, contrats fournisseurs, procédure d’incident et preuves de décision du dirigeant. Cet article expose la méthode à suivre, en complément de la page du cabinet consacrée au droit des affaires.

I. NIS2 et PME agroalimentaire : êtes-vous déjà concerné par l’enregistrement ANSSI ?

A. Production, transformation, distribution en gros : comment vérifier le périmètre de votre entreprise ?

La première erreur consiste à répondre à la question avec le seul code APE. Le code APE peut orienter l’analyse, mais il ne décrit pas toujours l’activité effectivement exercée. Une société peut avoir un code correspondant au commerce alimentaire tout en exploitant une usine de transformation, une plateforme logistique, un système de traçabilité ou un service informatique qui change complètement son exposition. L’analyse doit partir des opérations réellement réalisées et des services fournis aux clients.

La directive (UE) 2022/2555 vise, à son article 2, les entités publiques ou privées d’un type visé par ses annexes qui constituent des entreprises moyennes ou dépassent les plafonds correspondants, et qui exercent leurs activités dans l’Union. La même disposition prévoit des hypothèses dans lesquelles une entité peut être concernée quelle que soit sa taille, notamment lorsqu’elle est critique pour une activité économique ou sociale, lorsqu’une interruption aurait un impact important sur la sécurité, la santé publique ou l’économie, ou lorsqu’elle joue un rôle spécifique dans un secteur interdépendant. Le texte officiel doit être lu dans sa version complète, avec les exceptions et les mécanismes de désignation prévus par le droit national : directive (UE) 2022/2555, article 2 sur le champ d’application.

L’annexe II, point 4, vise précisément la « production, transformation et distribution des denrées alimentaires ». Elle renvoie aux entreprises du secteur alimentaire qui exercent des activités de distribution en gros ainsi que de production et de transformation industrielles : annexe II, point 4, de la directive NIS2. Cette formulation est plus étroite qu’une expression générale comme « entreprise alimentaire ». Elle appelle une qualification par les faits.

Une société qui fabrique industriellement des produits alimentaires ou les transforme sur une ligne de production doit donc vérifier au moins les éléments suivants :

• la nature des opérations réalisées sur les denrées : fabrication, transformation, conditionnement intégré à un processus industriel ou simple revente ;
• le canal de distribution : vente en gros, approvisionnement de centrales, plateformes logistiques, restauration collective ou vente directe au consommateur ;
• la taille de l’entreprise au sens de la recommandation européenne sur les petites et moyennes entreprises, en tenant compte des effectifs et des données financières pertinentes ;
• les liens avec d’autres sociétés : groupe, entreprises partenaires, société mère, filiales et organisation commune des systèmes d’information ;
• la dépendance de l’activité à des réseaux et systèmes d’information : ERP, supervision de production, gestion d’entrepôt, traçabilité, EDI, contrôle qualité, maintenance à distance et accès aux fournisseurs ;
• le rôle régional ou national de l’entreprise et les conséquences possibles d’une interruption prolongée.

Une PME de cinquante à deux cent quarante-neuf salariés n’est pas dispensée de l’analyse. Elle peut être une entreprise moyenne au sens du droit européen, même si elle n’a pas la visibilité d’un grand groupe. Une entreprise plus importante franchit les plafonds de la catégorie moyenne et doit également examiner le secteur et le type d’activité. À l’inverse, le fait de compter moins de cinquante salariés ne suffit pas toujours à écarter le risque : les exceptions de l’article 2, paragraphe 2, ainsi que la désignation par un texte français peuvent avoir un effet.

La distinction entre production industrielle et commerce de détail est utile. Un magasin qui revend des denrées au public n’entre pas nécessairement dans la catégorie de l’annexe II du seul fait qu’il vend de l’alimentaire. Une plateforme qui achète, stocke et revend en gros, avec une activité logistique essentielle, doit mener une analyse différente. Une société qui prépare des produits dans un atelier artisanal doit étudier la taille, les clients, le caractère critique du service et les textes français à venir, sans se déclarer automatiquement concernée.

Le mot « fournisseur » doit aussi être précisé. Fournir des emballages, des matières premières, un service de nettoyage ou du transport à une entité alimentaire ne rend pas mécaniquement la PME fournisseur elle-même soumise à NIS2. En revanche, fournir un service informatique géré, administrer à distance les systèmes d’une usine, exploiter une plateforme cloud ou assurer une fonction numérique essentielle peut faire entrer l’entreprise dans une autre catégorie de la directive. Le raisonnement doit alors porter sur le service informatique réellement fourni, et non sur le seul rattachement commercial au secteur alimentaire.

Une méthode en quatre questions permet de produire une première qualification exploitable :

1. Quelle personne morale exerce l’activité : société d’exploitation, filiale, holding, établissement ou prestataire extérieur ?
2. Quelle opération est réalisée : production industrielle, transformation industrielle, distribution en gros, service numérique ou activité située hors des catégories visées ?
3. Quels sont les effectifs, le chiffre d’affaires, le bilan et les liens capitalistiques à retenir pour apprécier la taille ?
4. Quel serait l’effet concret d’une interruption du système d’information sur la production, la sécurité des denrées, la traçabilité, la distribution et les clients ?

Le résultat doit être écrit dans une note datée. Il faut y joindre l’extrait Kbis, les statuts, la présentation des activités, l’organigramme du groupe, les comptes utiles, la liste des sites, les contrats informatiques et une description des systèmes critiques. Une qualification orale, même donnée par un prestataire informatique, ne suffit pas à protéger le dirigeant lorsqu’un client ou une autorité demande pourquoi l’entreprise s’est considérée hors périmètre.

La chaîne d’approvisionnement ne doit pas être confondue avec l’assujettissement direct. L’article 21 de la directive exige que les entités essentielles et importantes prennent en compte la sécurité de leurs fournisseurs et prestataires. Une PME agroalimentaire qui n’est pas directement assujettie peut donc recevoir un questionnaire de sécurité, une annexe contractuelle, une demande d’audit ou une exigence de notification rapide. Cette pression commerciale peut arriver avant la fin de la transposition française. Elle justifie une préparation proportionnée, mais elle ne transforme pas à elle seule le fournisseur en entité NIS2.

La jurisprudence commerciale fournit déjà des repères pour répartir les responsabilités dans les projets informatiques. Dans son arrêt du 6 mai 2003, pourvoi n° 00-11.530, la chambre commerciale a approuvé la prise en compte du fait que « la société Promatec était tenue d’un devoir de conseil » en qualité de prestataire informatique, et qu’elle devait envisager les risques liés au projet : Cass. com., 6 mai 2003, n° 00-11.530. Pour une usine, un fournisseur d’ERP ou un infogérant, le contrat et les échanges doivent donc définir les alertes, les limites de mission, les prérequis techniques et le partage des tâches.

Le dirigeant doit en tirer une conséquence simple : le périmètre NIS2 ne se décide pas en regardant seulement la taille ou le secteur. Il se décide en reliant la personne morale, l’activité industrielle ou de gros, les systèmes d’information, le rôle dans la chaîne et le cadre réglementaire applicable.

B. Recours de la Commission, ReCyF et pré-enregistrement : que faut-il faire avant la transposition française complète ?

La directive fixait au 17 octobre 2024 la date limite d’adoption et de publication des mesures nationales de transposition, avec une application des dispositions à partir du 18 octobre 2024 : article 41 de la directive NIS2 sur la transposition. Le 8 juillet 2026, la Commission a annoncé un recours contre la France pour défaut de notification de la transposition complète. Cette procédure met en évidence un retard institutionnel ; elle ne constitue pas, à elle seule, une décision individuelle désignant chaque PME agroalimentaire comme entité essentielle ou importante. Le communiqué européen doit être distingué des obligations qui résulteront de la loi et des textes français : communiqué de la Commission européenne du 8 juillet 2026.

Cette nuance est importante pour éviter deux erreurs opposées. Une entreprise ne doit pas affirmer qu’elle est déjà condamnable à une amende NIS2 simplement parce que la Commission a saisi la Cour de justice. Elle ne doit pas non plus attendre le dernier texte pour commencer une cartographie qui prendra plusieurs mois. Les obligations françaises déjà en vigueur, les engagements contractuels, le règlement général sur la protection des données, le droit des contrats et les règles pénales relatives aux atteintes aux systèmes informatiques continuent de produire leurs effets.

L’ANSSI décrit le ReCyF comme un référentiel destiné à aider les futures entités concernées à atteindre les objectifs de NIS2. La page officielle précise que le document, diffusé depuis le 17 mars 2026, est à ce stade un document de travail et que son caractère est par défaut non obligatoire : présentation de la directive NIS2 par l’ANSSI et du ReCyF. Une entreprise peut donc l’utiliser comme grille de préparation et de preuve, sans le présenter comme une loi déjà applicable dans tous ses détails.

Le pré-enregistrement ANSSI doit être traité avec la même prudence. Il peut aider l’entreprise à entrer dans le parcours proposé par l’Agence et à structurer les informations demandées. Il ne remplace pas la qualification juridique de l’entité, ne garantit pas à lui seul la catégorie « essentielle » ou « importante » et ne dispense pas de suivre les textes de transposition. Le dirigeant doit conserver la version du formulaire, la date de la démarche, les réponses apportées et les documents sur lesquels il s’est appuyé.

Un dossier de pré-enregistrement sérieux doit contenir une fiche d’identité complète :

• dénomination, SIREN, siège, établissements et responsables opérationnels ;
• activité réelle de production, de transformation ou de distribution en gros ;
• effectifs, chiffres financiers et sociétés liées retenus pour le calcul ;
• secteur et sous-secteur de l’annexe II susceptibles de correspondre ;
• services numériques exploités pour la production, la traçabilité, la logistique et la relation client ;
• prestataires qui disposent d’un accès distant, administrateur ou privilégié ;
• incidents connus, audits, certifications, assurances et plans de continuité déjà en place ;
• conclusion motivée : assujettissement probable, assujettissement à confirmer, ou absence d’assujettissement direct avec exposition contractuelle à une entité régulée.

Cette fiche doit être approuvée par la direction. L’article 20 de la directive prévoit que les États membres veillent à ce que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Il prévoit également une formation des membres des organes de direction. La responsabilité évoquée par ce texte dépend toutefois du régime applicable et du droit national ; elle ne signifie pas que chaque dirigeant devient personnellement débiteur de toutes les conséquences d’une panne.

La meilleure décision, avant la loi française complète, consiste à figer une photographie documentée de l’entreprise et à mettre en œuvre les mesures qui répondent déjà à des risques identifiés. Il est préférable de pouvoir montrer une analyse datée, un budget, des arbitrages et un calendrier qu’une déclaration générale de conformité sans preuve.

II. NIS2 en entreprise alimentaire : quelles preuves préparer et que faire en cas d’incident ?

A. Cartographie, gouvernance, contrats et sauvegardes : comment constituer un dossier de conformité utile ?

L’article 20 organise la gouvernance. L’article 21 décrit les mesures de gestion des risques. Le texte vise des mesures techniques, opérationnelles et organisationnelles « appropriées et proportionnées » et demande un niveau de sécurité adapté au risque. Il cite notamment les politiques d’analyse des risques, la gestion des incidents, la continuité, la sécurité de la chaîne d’approvisionnement, le développement et la maintenance sécurisés, l’évaluation de l’efficacité, la formation, la cryptographie, le contrôle des accès et l’authentification multifacteur : directive NIS2, articles 20 et 21 sur la gouvernance et la gestion des risques.

Pour une PME agroalimentaire, ces obligations doivent être traduites dans le fonctionnement réel d’un site. La cartographie ne doit pas s’arrêter au serveur de fichiers. Elle doit inclure les automates et équipements de production lorsqu’ils sont connectés, les logiciels de formulation et de contrôle qualité, les systèmes de pesée, les outils de traçabilité des lots, l’ERP, la gestion des stocks, les plateformes EDI, les terminaux mobiles, les connexions des transporteurs, les caméras et dispositifs d’accès, la messagerie, les sauvegardes, les outils de paie et les comptes des prestataires.

Chaque actif doit avoir un responsable, un niveau de criticité, une dépendance identifiée et un plan de secours. Il faut savoir ce qui se passe si l’ERP est indisponible pendant une journée, si la traçabilité d’un lot est interrompue, si l’accès au système de commandes est chiffré par un rançongiciel, si un prestataire perd ses identifiants ou si le fournisseur cloud n’est plus joignable. Une procédure papier temporaire peut être prévue, mais elle doit être testée et limitée dans le temps.

Le premier document est une matrice des risques. Elle doit associer chaque scénario à une mesure, un responsable, une échéance, un coût, une preuve attendue et un niveau de risque résiduel. Les scénarios peuvent comprendre :

• rançongiciel sur le système de production ou sur l’ERP ;
• compromission d’un compte administrateur ou d’un accès distant ;
• indisponibilité d’un hébergeur, d’une connexion réseau ou d’un outil de traçabilité ;
• modification frauduleuse d’une recette, d’un lot, d’une commande ou d’une donnée de livraison ;
• exfiltration de données de salariés, clients, fournisseurs ou consommateurs ;
• défaillance d’un sous-traitant qui conserve des sauvegardes ou administre le système ;
• erreur humaine dans la restauration, la suppression d’un compte ou la transmission d’un fichier.

Le deuxième document est le registre des décisions de la direction. Il doit faire apparaître les mesures approuvées, le budget, les priorités et les écarts acceptés. Un refus de déployer l’authentification multifacteur pour un accès distant, par exemple, doit être identifié comme une décision de risque, assortie d’une mesure compensatoire et d’une date de réexamen. Une politique parfaite sur le papier ne protège pas l’entreprise si les comptes réellement utilisés la contredisent.

Le troisième document concerne les fournisseurs. Les contrats avec l’infogérant, le fournisseur ERP, le prestataire de sauvegarde, l’hébergeur, le mainteneur d’automates et l’agence qui administre le site doivent préciser :

• les systèmes et données accessibles ;
• les personnes autorisées et les conditions d’accès distant ;
• l’authentification, la journalisation et la révocation des droits ;
• les délais d’alerte en cas d’incident ou de vulnérabilité ;
• la coopération pour la qualification, la notification et l’expertise ;
• les sauvegardes, les tests de restauration et la réversibilité ;
• les sous-traitants autorisés, l’hébergement et les transferts de données ;
• la conservation des journaux et la production de preuves en cas de litige.

Le Code civil, article 1103, prévoit que les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. L’article 1104 impose une exécution de bonne foi : Code civil, article 1104. Les exigences NIS2 doivent donc être répercutées avec précision dans les contrats, sans utiliser une formule vague du type « sécurité conforme aux normes en vigueur » qui ne permet ni de savoir qui agit, ni dans quel délai, ni avec quelle preuve.

La chambre commerciale a traité plusieurs fois les difficultés liées aux projets informatiques. Dans l’arrêt du 13 février 2007, pourvoi n° 05-17.407, elle a retenu que « le manquement du débiteur à une obligation essentielle du contrat est de nature à faire échec à l’application d’une clause limitative » : Cass. com., 13 février 2007, n° 05-17.407. Une clause qui plafonne la responsabilité d’un prestataire ne doit donc pas être considérée comme une solution suffisante lorsque le contrat est privé de son obligation centrale.

Dans l’arrêt du 14 mars 2018, pourvoi n° 16-24.635, relatif à un projet de système d’information, la Cour a approuvé le raisonnement selon lequel « la société IBM aurait dû conseiller une période de suspension des travaux » pendant l’attente d’un module indispensable : Cass. com., 14 mars 2018, n° 16-24.635. Pour une entreprise alimentaire, cette solution rappelle l’intérêt d’une décision écrite lorsqu’un outil ne peut pas être déployé normalement : suspendre une migration, conserver l’ancien système, limiter les changements et documenter les coûts peuvent éviter une aggravation du dommage.

La preuve doit être répartie avec soin. Dans l’arrêt du 19 septembre 2018, pourvoi n° 17-15.191, la Cour de cassation a reproché aux juges de ne pas avoir recherché « si les manquements respectifs des parties à leurs obligations avaient causé à chacune d’elles un égal préjudice » : Cass. com., 19 septembre 2018, n° 17-15.191. Une entreprise ne doit donc pas seulement conserver le rapport de son prestataire ; elle doit aussi établir ce qu’elle a demandé, les alertes reçues, les décisions prises, les accès accordés et les mesures qu’elle a refusées ou retardées.

L’arrêt du 14 novembre 2019, pourvoi n° 18-16.711, rappelle, dans le contentieux de l’assistance à maîtrise d’ouvrage, que l’évaluation du dommage et les pièces produites restent décisives lorsque la partie condamnée conteste le montant : Cass. com., 14 novembre 2019, n° 18-16.711. Les journaux d’incident, les tickets, les rapports d’intervention, les courriels et les procès-verbaux de comité doivent être conservés dans un espace protégé, avec une date et un auteur identifiables.

La décision du 24 juin 2020, pourvoi n° 18-22.408, est également instructive : après examen des pièces, la Cour a retenu que « la preuve n’était pas rapportée » du manquement allégué au fournisseur : Cass. com., 24 juin 2020, n° 18-22.408. Lorsqu’un système tombe en panne, l’entreprise doit donc distinguer le défaut du logiciel, l’erreur de configuration, l’intervention d’un tiers, la mauvaise utilisation et la défaillance de l’infrastructure. Une capture d’écran seule ne donne pas cette réponse.

La sauvegarde est un autre point de preuve. Il faut conserver plusieurs copies, séparer au moins une copie du domaine d’administration courant, tester la restauration, mesurer le délai nécessaire et inscrire les résultats dans un compte rendu. La présence d’un contrat de sauvegarde ne démontre pas que l’entreprise peut reprendre sa production. Un test négatif n’est pas à cacher : il permet de décider d’une correction et de montrer que le risque a été découvert, traité et suivi.

Lorsque des données personnelles sont traitées, le règlement général sur la protection des données ajoute une couche obligatoire. Son article 32 exige des mesures techniques et organisationnelles adaptées au risque, notamment la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes : RGPD, article 32 sur la sécurité du traitement. Le responsable du traitement doit aussi notifier à la CNIL une violation de données, si possible dans les 72 heures, selon l’article 33 : RGPD, article 33 sur la notification à l’autorité de contrôle. En cas de risque élevé pour les personnes, l’article 34 organise l’information des personnes concernées : RGPD, article 34 sur la communication aux personnes concernées.

Il faut distinguer ces règles. Le délai de 72 heures du RGPD concerne une violation de données à caractère personnel susceptible de créer un risque pour les droits et libertés. Le délai de 24 heures prévu par l’article 23 de NIS2 pour une alerte précoce concerne un incident important au sens de la directive, lorsque celle-ci s’applique et que les textes nationaux ont organisé le destinataire. Un même rançongiciel peut déclencher les deux régimes, mais les questions à documenter ne sont pas identiques.

B. Incident cyber, notification et responsabilité du dirigeant : quelles actions dans les premières heures ?

L’article 23 de NIS2 organise une séquence graduée. Un incident important doit donner lieu à une alerte précoce, si possible dans les 24 heures après la connaissance de l’incident, à une notification dans les 72 heures avec une première évaluation et à un rapport final au plus tard un mois après la notification. Le texte précise aussi que la simple notification d’un incident n’accroît pas la responsabilité de l’entité à l’origine du signalement : article 23 de la directive NIS2 sur les obligations d’information. Pour une PME qui prépare sa procédure aujourd’hui, ces délais doivent être utilisés comme une cible opérationnelle, avec vérification du régime français effectivement applicable au moment du fait.

À la première alerte, la direction doit éviter les réactions improvisées. Elle doit désigner une personne pour tenir la chronologie et une autre pour coordonner les mesures techniques. Le dirigeant doit recevoir des points de situation courts, datés et compréhensibles. Les actions prioritaires sont généralement les suivantes :

1. isoler les postes ou serveurs compromis sans détruire les journaux et les éléments utiles à l’enquête ;
2. révoquer ou suspendre les comptes suspects, en particulier les comptes administrateurs et les accès distants ;
3. préserver les sauvegardes saines et empêcher la propagation au domaine d’administration ;
4. ouvrir une chronologie : heure de découverte, personne alertée, système touché, premières mesures, décisions et communications ;
5. faire qualifier l’incident par un prestataire compétent, avec un mandat écrit et des règles de confidentialité ;
6. examiner immédiatement si des données personnelles, des secrets d’affaires, des données de production ou des obligations contractuelles sont concernés ;
7. préparer les notifications et les messages aux clients sans attendre de connaître chaque détail technique.

Le dirigeant doit se méfier d’une restauration précipitée qui écraserait les traces. Il faut préserver les journaux d’authentification, les alertes de sécurité, les sauvegardes, les courriels, les factures de rançon, les échanges avec les prestataires, les versions de fichiers et les décisions de coupure. La plainte pénale peut être utile lorsqu’une intrusion ou une extorsion est suspectée. L’article 323-1 du Code pénal sanctionne l’accès ou le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données : Code pénal, article 323-1. Les qualifications pénales dépendent des faits ; il ne faut pas les affirmer avant d’avoir sécurisé les éléments.

Les premiers échanges avec l’assureur cyber doivent également être conservés. Une police peut imposer un délai, une procédure d’accord préalable, le recours à un prestataire agréé ou des limites au paiement d’une rançon. L’entreprise doit vérifier la garantie, les franchises, les exclusions liées aux mises à jour et les obligations de sécurité déclarées lors de la souscription. Une réponse fausse ou incomplète à l’assureur peut devenir un sujet distinct du litige avec le client.

Le contentieux avec un fournisseur se construit souvent sur plusieurs années de documents. Dans l’arrêt du 6 mai 2003, pourvoi n° 00-11.530, la Cour de cassation a admis que le prestataire devait tenir compte de l’activité et de l’environnement particulier de son client. Dans l’arrêt du 19 septembre 2018, pourvoi n° 17-15.191, elle a exigé une analyse concrète des préjudices respectifs. Dans l’arrêt du 24 juin 2020, pourvoi n° 18-22.408, elle a validé l’examen des tickets d’assistance, des rapports techniques et de la conformité de l’environnement du client. Ces trois décisions invitent à conserver une preuve continue, avant même la panne.

La responsabilité contractuelle se rattache notamment à l’article 1231-1 du Code civil : le débiteur peut être condamné à des dommages et intérêts en raison de l’inexécution ou du retard, sauf force majeure. Le texte est accessible sur Légifrance, Code civil, article 1231-1. Le préjudice doit être relié à une obligation identifiée : absence de sauvegarde, défaut d’alerte, accès non révoqué, indisponibilité non traitée, retard de restauration ou non-respect d’une clause de sécurité. Une simple référence générale à NIS2 ne remplace pas la démonstration du manquement et du lien causal.

La responsabilité extracontractuelle peut aussi être invoquée lorsque le dommage est subi par un tiers. L’article 1240 du Code civil pose le principe selon lequel tout fait fautif qui cause un dommage oblige son auteur à le réparer : Légifrance, Code civil, article 1240. L’entreprise doit donc vérifier ses notifications, ses communications publiques et ses informations adressées aux clients afin de ne pas aggraver le dommage ou créer une contradiction avec les constatations techniques.

La responsabilité personnelle du dirigeant ne se déduit pas automatiquement d’une cyberattaque. Pour une SARL, l’article L. 223-22 du Code de commerce vise les fautes de gestion des gérants envers la société ou les tiers : Code de commerce, article L. 223-22. Pour une société anonyme, l’article L. 225-251 vise notamment les violations des règles applicables et les fautes commises dans la gestion : Code de commerce, article L. 225-251. La forme sociale et la qualité du demandeur doivent être identifiées.

À l’égard des tiers, l’arrêt de la chambre commerciale du 20 mai 2003, pourvoi n° 99-17.092, pose que la responsabilité personnelle du dirigeant suppose une faute séparable de ses fonctions ; la Cour ajoute qu’il en est ainsi lorsque le dirigeant commet intentionnellement « une faute d’une particulière gravité incompatible avec l’exercice normal des fonctions sociales » : Cass. com., 20 mai 2003, n° 99-17.092. Le défaut d’un outil ou l’erreur d’un salarié ne suffit donc pas, sans autre élément, à mettre le passif de l’entreprise sur le patrimoine personnel du dirigeant.

L’article 20 de NIS2 doit être lu avec cette réserve. Il impose une implication réelle des organes de direction et ouvre la possibilité d’une responsabilité dans le cadre défini par les textes applicables. Il ne crée pas une responsabilité personnelle automatique, illimitée et détachée de toute faute. Un dirigeant qui approuve une politique, suit les alertes, finance les mesures proportionnées, demande des audits et documente les arbitrages n’est pas dans la même situation que celui qui dissimule un incident, détruit des preuves ou maintient sciemment un accès dangereux malgré des alertes précises.

La jurisprudence relative au hameçonnage rappelle également l’importance de la preuve des comportements et des mesures de sécurité. Dans l’arrêt du 28 mars 2018, pourvoi n° 16-20.018, la chambre commerciale a jugé que la preuve d’une fraude ou d’une négligence grave « ne peut se déduire du seul fait » que les données de sécurité ont été utilisées ; elle a ensuite apprécié les indices du courriel et la réaction de l’utilisateur : Cass. com., 28 mars 2018, n° 16-20.018. Dans une entreprise, les journaux de formation, les consignes anti-hameçonnage, les simulations, l’authentification multifacteur et les alertes traitées permettront de reconstituer la situation.

Pour les entreprises de Paris et d’Île-de-France, le dossier doit aussi tenir compte des relations avec les prestataires locaux, des sites logistiques, des sous-traitants de maintenance et des clients qui exigent une réponse rapide après une interruption. La localisation ne change pas le périmètre européen, mais elle peut modifier les interlocuteurs, les contrats, les lieux de conservation des preuves et la stratégie contentieuse. Un audit à distance ne doit pas empêcher une visite lorsque la production, les équipements connectés ou la chaîne du froid sont au cœur du risque.

Un calendrier de trente jours permet d’éviter la paralysie :

• jours 1 à 3 : désigner un pilote, geler la documentation existante et rédiger la note de qualification ;
• jours 4 à 10 : cartographier les actifs, les comptes, les flux de données et les prestataires ;
• jours 11 à 17 : tester les sauvegardes, fermer les accès inutiles et traiter les comptes administrateurs ;
• jours 18 à 24 : mettre à jour les contrats, le plan d’incident et les modèles de notification ;
• jours 25 à 30 : présenter les risques à la direction, approuver un budget et conserver le procès-verbal de décision.

Ce calendrier ne prétend pas rendre une PME conforme à lui seul. Il crée une trajectoire vérifiable et permet de repérer rapidement les sujets qui exigent un conseil juridique : qualification d’une entité, clause imposée par un client régulé, partage de responsabilité avec un infogérant, notification d’une violation, conservation des secrets d’affaires, demande d’audit ou mise en cause personnelle d’un dirigeant.

Conclusion

Une PME agroalimentaire n’est pas concernée par NIS2 uniquement parce qu’elle vend de la nourriture ou travaille pour un grand client. La question dépend de son activité réelle : production ou transformation industrielle, distribution en gros, taille européenne, rôle critique, services numériques exploités et place dans la chaîne d’approvisionnement. Une entreprise qui n’est pas directement assujettie peut néanmoins subir une forte demande contractuelle de garanties cyber.

Le recours européen du 8 juillet 2026 et la mise à disposition du ReCyF depuis le 17 mars 2026 rendent la préparation urgente. Le pré-enregistrement ANSSI doit être accompagné d’une note de qualification, d’une cartographie, d’un plan d’incident et de décisions documentées. Les obligations existantes du RGPD, du Code civil, du Code de commerce et du Code pénal restent applicables indépendamment du calendrier de la transposition complète.

Le dirigeant doit surtout pouvoir démontrer une démarche cohérente : risques identifiés, mesures proportionnées, fournisseurs encadrés, sauvegardes testées, accès maîtrisés, incident signalé et preuves conservées. Cette méthode protège l’activité, facilite la relation avec l’ANSSI et les clients et permet de répondre plus solidement à une mise en cause contractuelle ou personnelle.

Besoin d’un avis rapide sur votre dossier.

Consultation téléphonique en 48 heures avec un avocat du cabinet.

Nous pouvons examiner votre qualification NIS2, votre relation avec l’ANSSI, vos contrats informatiques et votre plan de réponse à incident à Paris et en Île-de-France.

Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact.

Envoyez vos pièces. Recevez une stratégie.

Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.

Appeler maintenant →Écrire au cabinet

Première analyse offerte

Réponse personnelle sous 24 h

100 % confidentiel

Jusqu’à 1 Go de pièces