La période de grâce NIS2 touche à sa fin. Selon des articles de presse parus début octobre 2026, l’Office fédéral allemand de la sécurité des technologies de l’information (BSI) entend lancer dès le quatrième trimestre 2026 une initiative visant à faire respecter l’obligation d’enregistrement. À partir du premier trimestre 2027, certaines entités devront en outre faire contrôler leur sécurité informatique et présenter des preuves. Sont visées en premier lieu les entreprises qui relèvent manifestement de la loi mais ne se sont pas encore déclarées auprès du BSI.
Ce que le BSI a annoncé
Ces informations proviennent d’un article du Tagesspiegel, repris par la presse spécialisée. À la date de rédaction, le BSI n’avait publié aucun communiqué de presse à ce sujet. Selon ces articles, le BSI prévoit deux étapes :
| Période | Projet |
|---|---|
| Quatrième trimestre 2026 | Prise de contact directe avec les entreprises qui auraient dû s’enregistrer |
| À partir du premier trimestre 2027 | Contrôles ordonnés auprès de certaines entités, chacun avec un axe thématique |
Selon ces articles, le BSI entend commencer par les entités essentielles des secteurs où il estime que le besoin d’action est le plus grand. La première étape ne serait pas une amende, mais une audition. Une procédure d’amende peut toutefois suivre.
Pourquoi maintenant
Le délai légal d’enregistrement au titre du § 33 BSIG a expiré le 6 mars 2026 pour la plupart des entreprises. Le BSI avait ensuite appelé à des déclarations tardives jusqu’à fin juillet 2026. Selon les chiffres cités dans les articles, environ 20 000 enregistrements avaient été effectués fin septembre 2026, établissements secondaires compris. Le BSI lui-même estime à près de 30 000 le nombre d’entités concernées. Une part considérable manque donc toujours.
Pour une vue d’ensemble des obligations, consultez notre article NIS2 en Allemagne : ce qu’il faut faire maintenant après le lancement.
Ce que la loi autorise le BSI à faire
Les mesures annoncées s’appuient sur des pouvoirs prévus par la loi BSI depuis décembre 2025. En résumé, dans nos propres termes :
- Ordonner des contrôles (§ 61, alinéa 1 BSIG). Le BSI peut ordonner à certaines entités essentielles de faire réaliser des audits, contrôles ou certifications par des organismes indépendants. Il s’agit de vérifier le respect des mesures du § 30, des obligations de notification du § 32 et des obligations de la direction. Aucun délai d’attente ne s’applique.
- Preuves régulières (§ 61, alinéa 3 BSIG). Le BSI ne pourra exiger des preuves de manière générale que trois ans après l’entrée en vigueur de la loi, soit à partir de décembre 2028. Un délai plus long s’applique aux hôpitaux agréés. Cela ne contredit pas les contrôles à partir de 2027 : il s’agit d’injonctions ciblées au cas par cas.
- Entités importantes (§ 62 BSIG). Le BSI n’intervient ici que si des faits indiquent que les obligations ne sont pas ou pas correctement remplies. Un incident notifié peut par exemple constituer un tel motif.
- Amendes (§ 65 BSIG). Des informations manquantes, erronées ou tardives lors de l’enregistrement constituent une infraction administrative, pour laquelle la loi prévoit une amende pouvant atteindre 500 000 euros. Pour les manquements aux mesures de sécurité et aux obligations de notification, les plafonds sont nettement plus élevés.
Seul le texte de loi publié sur gesetze-im-internet.de fait foi. La manière dont le BSI exercera concrètement ses pouvoirs ne se révélera qu’en pratique.
Qui est visé en premier
Selon les informations disponibles, le BSI se concentre sur deux groupes. D’une part, les entreprises qui relèvent manifestement de NIS2 mais ne se sont pas enregistrées. D’autre part, les entités essentielles des secteurs à haut risque. Si vous y exercez votre activité, attendez-vous à ce que les contrôles ne commencent pas seulement en 2028.
Les entités importantes ne sont pas pour autant tirées d’affaire. Un incident de sécurité grave ou des signalements de tiers peuvent suffire pour que le BSI pose des questions. Il importe alors que vous puissiez justifier vos mesures.
À quoi pourrait ressembler un contrôle ordonné
La loi laisse une marge de manœuvre au BSI. Il peut fixer les exigences auxquelles les organismes de contrôle doivent satisfaire et exiger les résultats des contrôles, les défaillances constatées ainsi qu’un plan pour y remédier. Selon les articles, chaque contrôle aura un axe thématique. Les thèmes retenus ne sont pas encore connus. Les domaines clés du § 30 semblent évidents : analyse des risques, gestion des incidents de sécurité, chaîne d’approvisionnement, protection des accès et planification d’urgence.
Un certificat ISO/IEC 27001 existant ne remplace pas automatiquement un tel contrôle. Il est toutefois utile, car de nombreuses preuves existent déjà et ont été vérifiées. Veillez à ce que le domaine d’application couvre les services et sites pertinents pour NIS2.
Ce que cela signifie pour vous
- Vérifier l’enregistrement. Si vous relevez de NIS2 et n’êtes pas encore enregistré, régularisez immédiatement votre situation via le portail du BSI. Une déclaration tardive avant une audition vous place en meilleure position. Vérifiez également que les informations déclarées sont toujours exactes.
- Consigner la classification. Documentez pourquoi vous êtes une entité essentielle, une entité importante ou aucune des deux. Vous aurez besoin de cette justification si le BSI pose des questions.
- Organiser les preuves. Déterminez pour chaque domaine du § 30 la politique, le processus et la preuve correspondants. En vous organisant dès maintenant, vous pourrez répondre à une injonction dans le délai imparti.
- Impliquer la direction. La direction doit approuver les mesures, superviser leur mise en œuvre et suivre régulièrement des formations. Consignez par écrit les décisions et les formations.
Sur la page consacrée à NIS2, découvrez comment Sightadel reproduit les exigences du BSIG contrôle par contrôle et archive les preuves pour chaque mesure. Si vous travaillez déjà selon ISO/IEC 27001, la page consacrée à ISO/IEC 27001 présente le lien entre les deux référentiels. Vous pouvez tester Sightadel gratuitement pendant 14 jours, sans données de paiement.
État : 9 octobre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.
