Outil · NIS2
Votre entreprise relève-t-elle de NIS2 ?
Trois questions sur les cas particuliers, le secteur et la taille, sur la base de la transposition allemande de NIS2 dans la loi sur le BSI (BSIG). Vous saurez ensuite si vous êtes vraisemblablement une entité importante ou essentielle – et ce qui vous attend. Sans inscription, rien ne quitte votre navigateur.
Explication
Comment la BSIG classe les entreprises.
Trois éléments sont déterminants : ce que vous faites, votre taille et l’existence d’un cas particulier.
Depuis le 6 décembre 2025, la loi allemande de transposition de NIS2 (NIS2UmsuCG) est en vigueur en Allemagne. Elle a refondu la loi allemande sur le BSI (BSIG), qui encadre les missions de l’Office fédéral de la sécurité des technologies de l’information (BSI), et a fortement élargi le cercle des entreprises concernées. Auparavant, il s’agissait essentiellement des exploitants d’infrastructures critiques. Aujourd’hui, de nombreux fabricants, logisticiens, entreprises agroalimentaires et prestataires informatiques de taille moyenne sont également concernés. Cette vérification repose sur les règles allemandes. La France transpose la directive NIS2 par sa propre loi, dont les critères ne sont pas reproduits ici.
Première question : que faites-vous ?
La loi énumère dans deux annexes les activités concernées. L’annexe 1 regroupe les secteurs hautement critiques : énergie, transports, banques et infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructure numérique, prestataires informatiques de services gérés et espace. L’annexe 2 cite d’autres secteurs : services postaux et d’expédition, déchets, chimie, denrées alimentaires, une partie de l’industrie manufacturière, de la construction de machines à la construction de véhicules, services numériques comme les places de marché en ligne, et recherche. Les activités qui pèsent peu au regard de l’ensemble de l’activité peuvent être ignorées pour le classement.
Deuxième question : quelle est votre taille ?
En règle générale, seules les moyennes et grandes entreprises sont concernées. Est une entité importante celle qui exerce dans un secteur de l’annexe 1 ou 2 et compte au moins 50 salariés, ou à la fois plus de 10 millions d’euros de chiffre d’affaires annuel et plus de 10 millions d’euros de total du bilan. Une entité de l’annexe 1 devient essentielle à partir de 250 salariés, ou avec plus de 50 millions d’euros de chiffre d’affaires et en même temps plus de 43 millions d’euros de total du bilan. Le calcul suit la recommandation de l’UE concernant les petites et moyennes entreprises, entreprises partenaires et liées comprises. La BSIG ne tient pas compte de ces données si votre informatique en est indépendante.
Troisième question : existe-t-il un cas particulier ?
Certaines entités sont concernées quelle que soit leur taille. Les exploitants d’installations critiques, les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS sont toujours des entités essentielles. Les prestataires de services de confiance non qualifiés sont toujours des entités importantes. Pour les opérateurs de télécommunications, le seuil de l’entité essentielle est fixé dès 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires et de total du bilan. Des règles spécifiques s’appliquent à l’administration fédérale. Les administrations des Länder et les collectivités locales relèvent de la législation des Länder.
Ce qui en découle
Les entreprises concernées doivent s’enregistrer auprès du BSI dans un délai de trois mois. Elles mettent en œuvre des mesures de gestion des risques appropriées dans les dix domaines du § 30 et les documentent. Elles notifient les incidents de sécurité importants selon le § 32 en trois étapes : une alerte précoce sous 24 heures, une notification avec une première évaluation sous 72 heures et un rapport final au bout d’un mois. La direction doit mettre en œuvre les mesures, en surveiller l’application et suivre régulièrement des formations (§ 38). Les manquements peuvent coûter cher : jusqu’à 10 millions d’euros pour les entités essentielles et jusqu’à 7 millions d’euros pour les entités importantes, et pour les grandes entreprises également une part du chiffre d’affaires mondial.
Et si vous n’êtes pas concerné ?
La BSIG ne s’applique alors pas directement à vous. Vos clients peuvent néanmoins être concernés. Ils doivent tenir compte de la sécurité de leur chaîne d’approvisionnement et interrogent donc leurs fournisseurs et prestataires. Si vous pouvez présenter vos mesures de façon structurée, vous gagnez du temps et de la confiance.
Le détail des obligations est présenté sur la page Mettre en œuvre NIS2. Une liste de travail à cocher est disponible dans la checklist NIS2.
Questions et réponses
Questions sur la vérification NIS2
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Quelle est la fiabilité du résultat ?
La vérification reproduit de façon simplifiée les règles de taille et de secteur du § 28 de la BSIG. Elle ne remplace pas un examen juridique. Les cas limites concernent surtout les activités mixtes, les structures de groupe et la question de savoir si une activité est négligeable. Dans ces cas, un second regard par un spécialiste est utile.
Les salariés des filiales et des sociétés sœurs comptent-ils ?
En principe, oui. Le critère déterminant est la recommandation de l’UE concernant la définition des petites et moyennes entreprises, qui inclut les entreprises partenaires et liées. La BSIG ne tient pas compte de ces données si votre entreprise est indépendante pour ses systèmes informatiques, ses composants et ses processus. Cela doit pouvoir être démontré.
Nous ne sommes pas concernés. Devons-nous tout de même agir ?
Juridiquement, pas au titre de la BSIG. En pratique, souvent oui : les clients concernés doivent sécuriser leur chaîne d’approvisionnement et répercutent leurs exigences par contrat, questionnaire ou audit. Si vous pouvez prouver vos mesures, vous répondez plus vite à ces demandes.
Avant quelle date devons-nous nous enregistrer auprès du BSI ?
Au plus tard trois mois après que votre entreprise est devenue pour la première fois une entité importante ou essentielle. Pour toutes celles qui étaient déjà concernées lors de l’entrée en vigueur en décembre 2025, ce délai a expiré en mars 2026. Toute modification des informations déclarées doit être signalée dans un délai de deux semaines.
Nous sommes une entité financière. NIS2 s’applique-t-elle à nous ?
Pour les entités financières soumises à DORA, les règles de DORA relatives à la gestion des risques, à la notification des incidents et aux obligations de la direction priment. Certaines obligations de la BSIG, comme l’enregistrement, peuvent néanmoins subsister. Clarifiez ce point avec votre autorité de contrôle.
Mes données sont-elles enregistrées ou transmises ?
Non. L’évaluation se fait entièrement dans votre navigateur. Si vous partagez le résultat, vos réponses figurent uniquement dans le lien lui-même, après le caractère #. Cette partie de l’adresse n’est pas transmise à notre serveur.
Concerné ? Alors, tout repose sur la preuve.
Sightadel vous guide à travers les dix mesures du § 30 BSIG, prépare la chaîne de notification et consigne la décision de la direction. Essai gratuit de 14 jours, sans moyen de paiement.