Depuis le 6 décembre 2025, la loi allemande de transposition de NIS2 (NIS2UmsuCG) est en vigueur. Elle a profondément refondu la loi allemande sur le BSI (BSIG) et considérablement élargi le cercle des entreprises réglementées en Allemagne. Au lieu de quelques milliers d’exploitants d’infrastructures critiques, de nombreuses entreprises de taille moyenne sont désormais concernées dans de nombreux secteurs, de l’énergie et de la santé à la logistique et à l’alimentation, en passant par les services numériques et une partie de l’industrie manufacturière. Dix mois après le démarrage, les bases devraient être en place. Cet article résume où les entreprises devraient en être aujourd’hui.
Êtes-vous concerné ?
La loi distingue les entités essentielles et les entités importantes. Deux questions sont déterminantes : exercez-vous une activité dans l’un des secteurs listés, et atteignez-vous le seuil de taille ? En gros, les entreprises moyennes à partir de 50 salariés ou avec un chiffre d’affaires annuel et un total de bilan supérieurs à 10 millions d’euros peuvent être concernées. Pour certains services, par exemple certaines infrastructures numériques, la loi s’applique indépendamment de la taille. Chaque entité procède elle-même à sa qualification. Il n’existe pas de confirmation par l’Office fédéral de la sécurité des technologies de l’information (BSI). Consignez donc votre évaluation par écrit, avec sa justification.
Enregistrement selon le § 33 de la BSIG
Les entités concernées doivent s’enregistrer auprès du BSI, au plus tard trois mois après être entrées pour la première fois dans le champ de la loi. Pour toutes celles qui étaient déjà concernées lors de l’entrée en vigueur, ce délai a expiré le 6 mars 2026. Comme nettement moins d’entreprises s’étaient déclarées que prévu, le BSI a appelé à rattraper l’enregistrement d’ici fin juillet 2026. Cette date est elle aussi dépassée.
Si vous n’êtes toujours pas enregistré, faites-le sans plus attendre. L’enregistrement s’effectue via le portail du BSI. Il nécessite un accès via « Mein Unternehmenskonto » (le compte entreprise de l’administration allemande), qui repose sur un certificat ELSTER. Prévoyez quelques jours, car certains identifiants sont envoyés par courrier. Si les informations déclarées changent, par exemple le point de contact, vous devez en informer le BSI rapidement.
Mesures selon le § 30 de la BSIG
Le cœur de la loi, ce sont des mesures appropriées de gestion des risques. Le § 30 cite dix domaines à couvrir au minimum. Résumés avec nos propres mots :
- Politiques d’analyse des risques et de sécurité des systèmes d’information
- Gestion des incidents de sécurité
- Continuité des activités, sauvegarde et restauration, gestion de crise
- Sécurité de la chaîne d’approvisionnement
- Sécurité de l’acquisition, du développement et de la maintenance, y compris la gestion des vulnérabilités
- Évaluation de l’efficacité des mesures
- Cyberhygiène et formations
- Cryptographie et chiffrement
- Sécurité des ressources humaines, contrôle d’accès et gestion des actifs
- Authentification multifacteur et communications sécurisées
Approprié signifie : les mesures doivent être adaptées au risque, à la taille de l’entité et aux coûts, et tenir compte de l’état de l’art. La loi n’impose aucune certification. En cas d’incident, vous devez toutefois pouvoir démontrer ce que vous avez mis en œuvre.
Obligations de notification selon le § 32 de la BSIG
Les incidents de sécurité importants doivent être notifiés au BSI en trois étapes : une première notification dans les 24 heures après en avoir pris connaissance, une notification plus détaillée dans les 72 heures et un rapport final au plus tard un mois après cette notification. Ces délais ne peuvent être tenus que si l’on a défini à l’avance qui décide si un incident est important, qui notifie et qui assure la suppléance. Une chaîne de notification conçue seulement pendant l’incident arrive trop tard.
Obligations de la direction selon le § 38 de la BSIG
Le § 38 s’adresse directement à la direction. Elle doit mettre en œuvre les mesures du § 30 et en surveiller la mise en œuvre. En outre, les membres de la direction doivent suivre régulièrement des formations afin de pouvoir identifier les risques et évaluer les mesures. Cette tâche ne peut pas être entièrement déléguée à l’informatique. Si la direction manque fautivement à ses obligations, elle peut engager sa responsabilité envers l’entité. Documentez donc les décisions, les rapports à la direction et les preuves de formation.
Priorités pour les prochaines semaines
- Vérifier et documenter la qualification. Avec justification, secteur et critères de taille.
- Rattraper l’enregistrement ou vérifier les informations. Le point de contact et les données sont-ils toujours exacts ?
- Définir et tester la chaîne de notification. Responsables, suppléants, critères d’importance, modèles pour les trois étapes de notification.
- Analyse des écarts au regard du § 30. Où en êtes-vous dans les dix domaines ? Ce qui manque entre dans un plan d’action, avec échéance et responsables.
- Impliquer la direction. Rapports réguliers, décisions documentées et une première formation de la direction.
Ce que cela signifie pour vous
Si vous êtes concerné, les obligations s’appliquent déjà. L’enregistrement et la chaîne de notification sont prioritaires, car des délais courent et les manquements sont passibles d’amendes. Vient ensuite la mise en œuvre progressive des mesures. Si vous exploitez déjà un SMSI selon l’ISO 27001, vous avez déjà accompli une grande partie du travail et complétez surtout l’enregistrement, les circuits de notification et le rôle de la direction.
Dans Sightadel, les mesures du § 30 sont structurées en contrôles, la chaîne de notification est disponible sous forme de modèle, et vous consignez les décisions et les formations de la direction comme preuves. Plus d’informations sur la page NIS2. Essayez par vous-même : Essai gratuit de 14 jours. Pour l’évaluation juridique de votre cas particulier, veuillez consulter votre conseil juridique.
État : 7 octobre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.
