NIS2 s’applique en Allemagne par la loi NIS2UmsuCG, en vigueur depuis le 6 décembre 2025, et par une nouvelle loi BSI, le BSI-Gesetz (BSIG). Elle vise les entités d’un secteur de l’annexe 1 ou 2 qui comptent au moins 50 salariés, ou dont le chiffre d’affaires et le total du bilan dépassent 10 millions d’euros. Ces entités doivent s’enregistrer auprès du BSI, notifier les incidents importants dans les 24 heures et prendre les mesures du § 30.
Ce guide présente la loi et ses dates, le champ d’application, l’enregistrement, la notification des incidents, les mesures du § 30, les exploitants d’infrastructures critiques (KRITIS), les obligations de la direction, la supervision et les amendes, ce que la loi laisse ouvert, et une liste de contrôle.
| Obligation | BSIG | NIS2 | La règle en une ligne |
|---|---|---|---|
| Champ d’application et catégories d’entités | § 28(1), (2) | Art. 2, 3 | Type d’entité de l’annexe 1 ou 2 et critère de taille ; certains types quelle que soit leur taille |
| Activités négligeables | § 28(3) | Pas d’article équivalent | Les activités accessoires négligeables peuvent ne pas être prises en compte |
| Calcul des effectifs et du chiffre d’affaires | § 28(4) | Art. 2, par. 1 | Recommandation européenne sur les PME, avec une exception pour l’indépendance informatique |
| Administration fédérale | § 29, § 44 | Art. 2, par. 2, point f) | Les organismes fédéraux doivent respecter les normes minimales du BSI |
| Mesures de gestion des risques | § 30 | Art. 21 | Mesures appropriées, proportionnées et efficaces, documentées |
| Mesures supplémentaires pour les kritische Anlagen (installations critiques) | § 31 | Art. 5 | Protection renforcée et détection des attaques pour l’installation critique |
| Notification des incidents | § 32 | Art. 23 | 24 heures, 72 heures, un mois |
| Enregistrement | § 33, § 34 | Art. 3, par. 4, et art. 27 | Dans les trois mois suivant l’entrée dans le champ d’application |
| Obligations de la direction | § 38 | Art. 20 | Mettre en œuvre, surveiller, se former ; responsabilité envers l’entité |
| Preuves KRITIS | § 39 | Art. 5 | Audits, contrôles ou certifications tous les trois ans |
| Supervision | § 61, § 62 | Art. 32, 33 | Pouvoirs plus larges sur les besonders wichtige que sur les wichtige |
| Amendes | § 65 | Art. 34, 35 | Jusqu’à 10 millions d’euros (besonders wichtige) ou 7 millions d’euros (wichtige) ; 2 % ou 1,4 % au-delà de 500 millions d’euros de chiffre d’affaires |
Qu’est-ce que la loi NIS2UmsuCG ?
La NIS2UmsuCG est la loi allemande de transposition de NIS2. Son titre officiel est Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (loi transposant la directive NIS2 et fixant les grands principes de la gestion de la sécurité de l’information dans l’administration fédérale). L’abréviation correspond à NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (loi de transposition de NIS2 et de renforcement de la cybersécurité).
Il s’agit d’une loi omnibus (Artikelgesetz). Un de ses articles édicte un nouveau BSIG, la loi relative au BSI et à la sécurité de l’information des entités. D’autres articles modifient des lois sectorielles, notamment le droit des télécommunications et celui de l’énergie. Les obligations des entreprises figurent dans le nouveau BSIG.
| Étape | Date |
|---|---|
| Date limite de transposition de NIS2 fixée par l’UE | 17 octobre 2024 |
| Le Conseil des ministres fédéral adopte le projet du gouvernement | 30 juillet 2025 |
| Le Bundestag adopte la loi | 13 novembre 2025 |
| Le Bundesrat approuve la loi | 21 novembre 2025 |
| Signature de la loi (Ausfertigung) | 2 décembre 2025 |
| Publication, BGBl. 2025 I Nr. 301 | 5 décembre 2025 |
| Entrée en vigueur | 6 décembre 2025 |
L’Allemagne a transposé la directive plus d’un an après l’échéance européenne. Les obligations décrites ci-dessous s’appliquent depuis le 6 décembre 2025.
Qui est concerné par NIS2 en Allemagne ?
Vous êtes concerné si vous correspondez à un type d’entité de l’annexe 1 ou de l’annexe 2 (Anlage 1, Anlage 2) du BSIG et atteignez les seuils de taille. Certains types sont concernés quelle que soit leur taille. Le BSIG classe les entreprises régulées en deux catégories :
- besonders wichtige Einrichtungen (entités particulièrement importantes, qui correspondent aux entités essentielles de NIS2)
- wichtige Einrichtungen (entités importantes)
Pour la première catégorie, la version allemande de la directive emploie le terme « wesentliche Einrichtungen ».
| Catégorie | Qui | Critère de taille |
|---|---|---|
| besonders wichtige, § 28(1) | Betreiber kritischer Anlagen (exploitants d’installations critiques), prestataires de services de confiance qualifiés, registres des noms de domaine de premier niveau et fournisseurs de services DNS, quelle que soit leur taille ; opérateurs de télécommunications publics comptant au moins 50 salariés, ou dont le chiffre d’affaires et le total du bilan dépassent chacun 10 millions d’euros ; grandes entités de l’annexe 1 | Entités de l’annexe 1 : au moins 250 salariés, ou chiffre d’affaires supérieur à 50 millions d’euros et total du bilan supérieur à 43 millions d’euros |
| wichtige, § 28(2) | Autres prestataires de services de confiance, quelle que soit leur taille ; opérateurs de télécommunications publics plus petits ; entités des annexes 1 et 2 qui remplissent le critère de taille et ne sont pas besonders wichtige | Entités des annexes 1 et 2 : au moins 50 salariés, ou chiffre d’affaires et total du bilan supérieurs chacun à 10 millions d’euros |
Les exploitants de réseaux publics de télécommunications et les fournisseurs de services de télécommunications accessibles au public, les prestataires de services de confiance, les registres des noms de domaine de premier niveau et les fournisseurs de services DNS sont concernés quelle que soit leur taille. Pour les opérateurs de télécommunications publics, la catégorie dépend de la taille. Les prestataires de services de confiance non qualifiés sont des wichtige Einrichtungen quelle que soit leur taille.
L’annexe 1 couvre sept secteurs : Energie (énergie), Transport und Verkehr (transports), Finanzwesen (finance), Gesundheit (santé), Wasser (eau), Digitale Infrastruktur (infrastructure numérique) et Weltraum (espace). Dans le BSIG, le secteur Digitale Infrastruktur comprend aussi les fournisseurs de services gérés (MSP) et les fournisseurs de services de sécurité gérés (MSSP). L’annexe 2 couvre une autre partie de Transport und Verkehr, Abfallbewirtschaftung (gestion des déchets), les produits chimiques, les denrées alimentaires, Verarbeitendes Gewerbe (fabrication), Anbieter digitaler Dienste (fournisseurs numériques) et Forschung (recherche).
Le moyen le plus rapide de faire un premier tri est notre vérificateur de périmètre NIS2. La logique européenne des deux catégories est expliquée dans entités essentielles et entités importantes.
Comment compter les effectifs et le chiffre d’affaires ?
- La recommandation 2003/361/CE de la Commission s’applique, à l’exception de l’article 3, paragraphe 4, de son annexe.
- Les effectifs se comptent en unités de travail par année (UTA), et non par personne.
- Les chiffres couvrent l’ensemble de l’entreprise, y compris les entreprises liées, même situées hors d’Allemagne et hors de l’UE.
- Exception allemande, § 28(4) : les données des entreprises partenaires et liées ne sont pas additionnées lorsque l’entité, compte tenu des circonstances juridiques, économiques et factuelles, est indépendante de ces entreprises pour la conception et l’exploitation de ses systèmes, composants et processus informatiques.
Cette exception compte pour les filiales. En pratique, une filiale qui gère son informatique de façon indépendante peut utiliser ses propres chiffres. Une filiale qui fonctionne sur l’informatique du groupe comptera généralement les chiffres du groupe.
Que prévoit la règle des activités négligeables du § 28(3) ?
Lors du rattachement d’une entité à un type d’entité de l’annexe 1 ou 2, les activités négligeables au regard de l’ensemble de ses activités peuvent ne pas être prises en compte. Les indicateurs possibles retenus par le BSI sont le personnel affecté à l’activité, le chiffre d’affaires qu’elle génère et son total de bilan. Si les statuts ou un acte constitutif comparable mentionnent l’activité, cela peut, selon le BSI, indiquer qu’elle n’est pas négligeable.
En pratique, cette règle aide une entreprise dont le seul lien avec un secteur des annexes est une petite activité accessoire, pas une entreprise dont les statuts font de cette activité un objet social.
KRITIS, DORA, organismes publics et entreprises étrangères
- Kritische Anlagen : leurs exploitants sont des besonders wichtige Einrichtungen quels que soient leurs effectifs, leur chiffre d’affaires ou leur total de bilan (§ 28(1), n° 1). Selon le BSI, le fait qu’une installation relève ou non de cette catégorie s’apprécie, comme auparavant, au regard de la BSI-Kritisverordnung (BSI-KritisV, règlement sur les infrastructures critiques).
- Entités financières soumises à DORA : le § 28(6), n° 1, écarte l’application des §§ 30, 31, 32, 35, 36, 38 et 39 pour les entités financières relevant du règlement (UE) 2022/2554, auxquelles s’appliquent les règles propres de DORA. L’enregistrement au titre du § 33 ne figure pas dans cette liste : elles s’enregistrent donc quand même auprès du BSI.
- Télécommunications et énergie : le § 28(5) écarte l’application des §§ 30, 31, 32, 35, 36, 38, 39, 61 et 62 pour les réseaux et services publics de télécommunications, ainsi que pour les réseaux d’énergie, les installations énergétiques et les services énergétiques numériques soumis aux §§ 5c à 5e de la loi sur le secteur de l’énergie (Energiewirtschaftsgesetz, EnWG). Leurs règles sectorielles de l’EnWG et de la loi sur les télécommunications (Telekommunikationsgesetz, TKG) s’appliquent à la place, sauf dans la mesure où ils exploitent d’autres installations critiques ou relèvent d’un autre type d’entité des annexes.
- Administration fédérale : les organismes de la Bundesverwaltung (administration fédérale) sont couverts par le § 29(1). Les normes minimales du BSI, fixées en vertu du § 44(1), s’imposent à eux.
- L’administration locale n’est pas couverte en tant que telle. Les entreprises municipales peuvent l’être si elles exploitent une installation critique ou atteignent les seuils dans un secteur listé.
- Établissement : le critère du BSI est de savoir si une entreprise est établie en Allemagne ou y a désigné un représentant.
Le BSI n’indique pas aux entreprises si elles sont concernées : chacune s’évalue elle-même. Il n’existe pas non plus de dérogation générale. Le § 37 permet au ministère fédéral de l’Intérieur de délivrer une décision d’exemption (Ausnahmebescheid), partielle ou totale, uniquement pour les entités actives dans la sécurité nationale, la sécurité publique, la défense ou l’application de la loi, ou au service d’autorités de ces domaines, et uniquement si elles respectent des exigences équivalentes. Le ministère agit sur proposition d’autres ministères ou de sa propre initiative ; le BSI confirme que les entités ne peuvent pas en faire la demande.
Quand expirait le délai d’enregistrement auprès du BSI, et comment s’enregistrer ?
En vertu du § 33 BSIG, les besonders wichtige et wichtige Einrichtungen, ainsi que les fournisseurs de services d’enregistrement de noms de domaine, doivent s’enregistrer auprès du BSI au plus tard trois mois après être entrés, pour la première fois ou à nouveau, dans le champ d’application. Le dispositif d’enregistrement est géré conjointement par le BSI et l’Office fédéral de la protection de la population et de l’aide en cas de catastrophe (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, BBK). Pour les entreprises concernées dès l’entrée en vigueur de la loi le 6 décembre 2025, ce délai a expiré début mars 2026. La page NIS-2 du BSI indique désormais que le délai légal est expiré et que les entités concernées doivent s’enregistrer immédiatement dans le BSI-Portal.
Le § 33(1) énumère les données à transmettre : le nom, avec la forme juridique et, le cas échéant, le numéro d’inscription au registre du commerce ; l’adresse et les coordonnées actuelles, y compris l’adresse électronique, les plages d’adresses IP publiques et les numéros de téléphone ; le secteur concerné des annexes ; les États membres de l’UE dans lesquels vous fournissez ces services ; et les autorités de supervision compétentes au niveau fédéral et des Länder. Les modifications doivent être communiquées sans retard injustifié, et au plus tard dans les deux semaines suivant leur prise de connaissance (§ 33(5)).
Les fournisseurs numériques soumis à la règle de l’établissement principal, comme les fournisseurs de services d’informatique en nuage, de centres de données et de services gérés, s’enregistrent au titre du § 34. Ils déclarent les plages d’adresses IP publiques de l’établissement principal et de leurs autres implantations dans l’UE.
L’enregistrement se fait en deux étapes :
- Demandez un certificat d’organisation ELSTER via Mein Unternehmenskonto (MUK), le compte fédéral des entreprises. Un numéro fiscal allemand est nécessaire. La lettre d’activation arrive par courrier et prend généralement au moins cinq jours ouvrables.
- Enregistrez l’entité dans le BSI-Portal (portal.bsi.bund.de) avec ce certificat.
Pour les données IP, le BSI attend les plages d’adresses IP publiques placées sous votre contrôle exclusif, comme les plages attribuées par le RIPE ou par un fournisseur et les adresses fixes des lignes. Peu importe qu’une plage soit effectivement utilisée ; les adresses dynamiques et celles d’hébergement mutualisé sont exclues.
Au 30 juin 2026, 17 729 entreprises s’étaient enregistrées, dont 6 215 besonders wichtige et 11 501 wichtige Einrichtungen. Par secteur, la fabrication arrivait en tête avec 4 095 enregistrements, devant la santé (3 354), l’infrastructure numérique (2 373) et l’énergie (2 365). Une entreprise peut s’enregistrer dans plusieurs secteurs.
Que faut-il notifier au titre du § 32 BSIG, et dans quels délais ?
Un incident important (erheblicher Sicherheitsvorfall, § 2, n° 11, BSIG) est un incident qui a causé ou peut causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité. Il l’est aussi s’il a affecté ou peut affecter d’autres personnes en causant des dommages matériels ou immatériels considérables. En vertu du § 32(1), les notifications sont adressées à un guichet commun de notification mis en place par le BSI et le BBK.
| Étape | Délai | Contenu |
|---|---|---|
| Première notification précoce (frühe Erstmeldung) | Sans retard injustifié, au plus tard dans les 24 heures suivant la prise de connaissance | Alerte précoce : cause illicite ou malveillante suspectée, impact transfrontière possible |
| Notification d’incident | Sans retard injustifié, au plus tard dans les 72 heures suivant la prise de connaissance | Mise à jour avec une évaluation initiale de la gravité et de l’impact, et les indicateurs de compromission lorsqu’ils sont disponibles |
| Rapport intermédiaire | À la demande du BSI | Mises à jour pertinentes sur la situation |
| Rapport final (Abschlussmeldung) | Au plus tard un mois après la notification | Description complète, gravité, cause, mesures, impact transfrontière |
Si l’incident est toujours en cours au bout d’un mois, un rapport d’avancement est dû à la place, et le rapport final suit une fois l’incident traité. La règle empirique du BSI est « Schnelligkeit vor Vollständigkeit » : la rapidité avant l’exhaustivité. Notifiez tôt, même avec des informations incomplètes.
Les entités enregistrées notifient via le BSI-Portal. Une entité qui subit un incident important avant de s’être enregistrée utilise le formulaire en ligne du Melde- und Informationsportal (MIP, portail de notification et d’information) du BSI. Les exploitants KRITIS et les autorités fédérales utilisent pour l’instant leurs anciens canaux de notification. Au 30 juin 2026, le BSI avait reçu via le portail 692 premières notifications précoces et 1 659 notifications NIS2 au total.
La gestion concrète de ces délais est détaillée dans le calendrier de notification des incidents NIS2.
Qu’exige le § 30 BSIG ?
Le § 30(1) impose aux besonders wichtige et wichtige Einrichtungen de prendre des mesures techniques et organisationnelles appropriées, proportionnées et efficaces (« geeignete, verhältnismäßige und wirksame »), et de documenter le respect de cette obligation. Selon le § 30(2), les mesures devraient respecter l’état de la technique et tenir compte des normes européennes et internationales pertinentes, et elles doivent reposer sur une approche « tous risques ». Il énumère dix mesures minimales qui reprennent l’article 21, paragraphe 2, de la directive :
| § 30(2) | Mesure | NIS2, art. 21, par. 2 |
|---|---|---|
| N° 1 | Analyse des risques et concepts de sécurité informatique | a) |
| N° 2 | Gestion des incidents de sécurité | b) |
| N° 3 | Continuité des activités, sauvegardes, reprise après sinistre, gestion de crise | c) |
| N° 4 | Sécurité de la chaîne d’approvisionnement | d) |
| N° 5 | Sécurité de l’acquisition, du développement et de la maintenance | e) |
| N° 6 | Évaluation de l’efficacité des mesures | f) |
| N° 7 | Formation de base et sensibilisation | g) |
| N° 8 | Cryptographie | h) |
| N° 9 | Sécurité du personnel, contrôle d’accès, gestion des systèmes, produits et processus TIC | i) |
| N° 10 | Authentification à plusieurs facteurs ou authentification continue, communications sécurisées, communications d’urgence sécurisées le cas échéant | j) |
Trois particularités allemandes :
- La documentation fait partie de l’obligation. Le § 30(1) impose aux entités de documenter leur conformité, et pas seulement de prendre les mesures. L’absence de documentation constitue en soi une infraction passible d’amende (§ 65(2), n° 3).
- L’état de la technique n’est pas défini. Le BSIG renvoie au « Stand der Technik » aux §§ 3, 30, 31 et 44 sans le définir. Le BSI renvoie à la définition du manuel fédéral de légistique et publie des orientations.
- ISO 27001 n’est pas une preuve. Le BSI indique qu’une certification ISO/IEC 27001 ne signifie pas automatiquement qu’une entité respecte toutes les exigences du § 30, et qu’elle ne peut pas être considérée comme une preuve de conformité à NIS2. Il la qualifie de bonne base.
Pour les fournisseurs de services d’informatique en nuage, de centres de données, de réseaux de diffusion de contenu, de services gérés et de services de sécurité gérés, les fournisseurs de services DNS et les registres des noms de domaine de premier niveau, les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance, le règlement d’exécution (UE) 2024/2690 fixe les exigences techniques détaillées et prévaut (§ 30(3)). Les fournisseurs hors du champ ressentent aussi les effets du § 30 : le BSI relève que les clients régulés doivent sécuriser leur chaîne d’approvisionnement au titre du § 30(2), n° 4, et leur répercuteront des exigences.
Chaque mesure est expliquée dans les 10 mesures de l’article 21 de NIS2.
Quelles règles supplémentaires s’appliquent aux exploitants KRITIS ?
Les exploitants d’installations critiques forment un sous-ensemble des besonders wichtige Einrichtungen et ont davantage d’obligations :
- § 31(1) : pour les systèmes informatiques dont dépendent leurs installations critiques, des mesures de protection plus exigeantes sont réputées proportionnées, sauf si l’effort est disproportionné par rapport aux conséquences d’une défaillance.
- § 31(2) : ils doivent utiliser des systèmes de détection des attaques (Systeme zur Angriffserkennung) sur les systèmes, composants et processus informatiques déterminants pour l’installation. Ces systèmes doivent collecter et évaluer en continu et automatiquement des paramètres appropriés issus de l’exploitation courante, une obligation reprise de l’ancienne loi.
- § 39 : ils doivent prouver au BSI que les mesures des §§ 30 et 31 sont en place, au moyen d’audits de sécurité, de contrôles ou de certifications, tous les trois ans, et transmettre les résultats, y compris les lacunes constatées. Le BSI fixe la première échéance, au plus tôt trois ans après qu’un exploitant remplit les critères pour la première fois. Le cycle était de deux ans sous l’ancienne loi.
- Enregistrement et notification : ils s’enregistrent comme besonders wichtige Einrichtungen dans le BSI-Portal. En vertu du § 33(2), les installations critiques elles-mêmes sont enregistrées conformément au § 8 du KRITIS-Dachgesetz (la loi-cadre KRITIS). La page KRITIS du BSI, consultée le 24 septembre 2026, oriente toujours l’enregistrement des installations et les notifications d’incidents KRITIS vers le MIP, et prévoit qu’il restera disponible à cet effet jusqu’au 31 décembre 2026. Leurs notifications doivent aussi préciser le type d’installation, le service critique et l’impact sur celui-ci (§ 32(3)).
- Énergie : en raison du § 28(5), le BSI indique que la compétence pour les installations de services énergétiques numériques est passée du BSI à la Bundesnetzagentur (Agence fédérale des réseaux). Les exploitants qui ne devaient envoyer au BSI que les preuves de détection des attaques ne les lui envoient plus.
Sur les 6 215 besonders wichtige Einrichtungen enregistrées au 30 juin 2026, 1 342 étaient des exploitants KRITIS.
Quelles obligations le § 38 impose-t-il à la direction ?
La Geschäftsleitung (direction) désigne les personnes physiques qui, en vertu de la loi, des statuts ou du contrat de société, dirigent et représentent l’entité. Dans une GmbH, c’est la Geschäftsführung (gérance) ; dans une AG, le Vorstand (directoire). Le § 38 leur impose trois choses :
- Mettre en œuvre et surveiller. La direction doit mettre en œuvre les mesures du § 30 et surveiller leur mise en œuvre (§ 38(1)). La directive dit que les organes de direction « approuvent » ces mesures ; le BSIG dit « umsetzen », mettre en œuvre.
- Responsabilité. Les membres qui manquent à ces obligations sont responsables envers l’entité des dommages causés par leur faute, selon les règles du droit des sociétés applicables à sa forme juridique (§ 38(2)). Le BSIG n’institue lui-même une responsabilité que lorsque ces règles du droit des sociétés ne contiennent pas de telle disposition.
- Formation. Ses membres doivent suivre régulièrement des formations pour être en mesure d’identifier et d’évaluer les risques et les pratiques de gestion des risques en matière de sécurité informatique, ainsi que leur impact sur les services de l’entité (§ 38(3)). Le BSI a publié en avril 2026 un guide (Handreichung) sur la formation de la direction.
En pratique, la direction peut déléguer le travail, mais pas la responsabilité. La preuve qu’une autorité recherche est une trace de ce que la Geschäftsleitung a vu, décidé et suivi, ainsi qu’une preuve de formation. Pour aller plus loin : la responsabilité de la direction sous NIS2.
Comment le BSI exerce-t-il sa supervision, et quelles sont les amendes ?
Le BSI est l’autorité de supervision chargée de l’application du BSIG. Le § 61 fixe ses mesures de supervision et d’exécution à l’égard des besonders wichtige Einrichtungen, et le § 62 à l’égard des wichtige Einrichtungen, selon la répartition des articles 32 et 33 de la directive. En vertu du § 61(3), le BSI peut exiger la preuve que les mesures du § 30 sont en place.
Pour le défaut de prendre ou de documenter les mesures du § 30, et le défaut d’effectuer les notifications du § 32, y compris le rapport final, le § 65 fixe les amendes maximales suivantes :
| Catégorie | Amende maximale |
|---|---|
| besonders wichtige Einrichtungen | 10 millions d’euros ; 2 % du chiffre d’affaires mondial si le chiffre d’affaires de l’entreprise dépasse 500 millions d’euros (§ 65(6)) |
| wichtige Einrichtungen | 7 millions d’euros ; 1,4 % du chiffre d’affaires mondial si le chiffre d’affaires de l’entreprise dépasse 500 millions d’euros (§ 65(7)) |
Ces montants correspondent aux plafonds minimaux qu’impose l’article 34 de la directive : le pourcentage ne dépasse le montant fixe qu’au-delà de 500 millions d’euros de chiffre d’affaires. Le chiffre d’affaires est celui de l’ensemble de l’entreprise à laquelle appartient l’entité, pour l’exercice précédant la décision (§ 65(8)). La réduction de moitié du maximum habituellement prévue en cas de négligence par le § 17(2) de la loi sur les infractions administratives (Gesetz über Ordnungswidrigkeiten, OWiG) ne s’applique pas à ces amendes (§ 65(9)). Les exploitants KRITIS sont des besonders wichtige Einrichtungen et relèvent du palier supérieur.
D’autres manquements ont des plafonds plus bas : jusqu’à 500 000 EUR pour le défaut d’enregistrement ou de transmission des données d’enregistrement, et jusqu’à 1 million d’euros pour le défaut de fourniture des preuves KRITIS du § 39. Lorsqu’une autorité de contrôle au titre du RGPD a déjà sanctionné le même comportement en vertu de l’article 58, paragraphe 2, point i), du RGPD, aucune seconde amende n’est infligée au titre du BSIG (§ 65(11)). Le fonctionnement du cadre européen est expliqué dans les amendes administratives NIS2.
Qu’est-ce que le BSIG laisse ouvert en pratique ?
Le BSIG dit ce qui doit exister, pas à quoi ressemble un niveau suffisant. Le § 30 exige des mesures « wirksam », efficaces, et documentées, au regard d’un état de la technique que la loi ne définit pas. Un certificat ne règle pas la question, comme le BSI l’a dit à propos d’ISO/IEC 27001. Et en vertu du § 61(3), le BSI peut demander des preuves à une besonders wichtige Einrichtung.
La question n’est donc pas « avons-nous une politique pour la mesure n° 10 ? » mais « pouvons-nous montrer aujourd’hui que l’authentification à plusieurs facteurs (MFA) est activée sur chaque compte d’administration ? ». Il en va de même pour les délais d’application des correctifs, les tests de restauration, le registre des fournisseurs et la trace de ce que la Geschäftsleitung a examiné. Le délai de 24 heures du § 32 pose la même question : on ne peut notifier qu’un incident que l’on a détecté.
Ces preuves se trouvent dans le fournisseur d’identité, les outils de gestion des postes de travail, les comptes cloud et l’outil de ticketing. Collectées à la main avant un audit, elles sont déjà périmées à leur arrivée. Collectées en continu depuis ces systèmes, rattachées aux numéros du § 30(2), avec une personne qui examine les exceptions, elles répondent à la question que pose le BSI. C’est ainsi que fonctionne la plateforme CloudSoul, et le programme complet est présenté sur la page conformité NIS2.
Le premier document à produire est logiquement la décision de périmètre elle-même. Le BSI ne la prendra pas à votre place, et c’est la première chose à vérifier si le BSI met en question votre enregistrement.
FICHE DE DÉCISION DE PÉRIMÈTRE BSIG (§ 28)
Entité et forme juridique :
Établie en Allemagne ou représentant désigné : oui / non
Types d'entités de l'annexe 1 / annexe 2 pouvant s'appliquer :
- type | secteur | description de l'activité
Activités négligeables exclues (§ 28(3)) :
- activité | effectifs | chiffre d'affaires | part du bilan
- mentionnée dans les statuts ? oui / non
Taille (recommandation 2003/361/CE, unités de travail par année) :
- propres chiffres : effectifs | chiffre d'affaires | bilan
- entreprises liées et partenaires ajoutées ? oui / non
- indépendance informatique du § 28(4) invoquée ? oui / non
preuves :
Exploitant d'une kritische Anlage (BSI-KritisV) ? oui / non
Entité financière DORA (§ 28(6)) ? oui / non
Télécoms ou énergie relevant du § 28(5) ? oui / non
Résultat : besonders wichtig / wichtig / hors champ
Enregistrée dans le BSI-Portal le : référence :
Approuvée par la Geschäftsleitung le : prochaine revue :Liste de contrôle NIS2 pour l’Allemagne
- Consignez votre décision de périmètre au titre du § 28, y compris les chiffres du groupe et les éventuelles activités négligeables.
- Si vous êtes concerné et pas encore enregistré, enregistrez-vous dès maintenant dans le BSI-Portal : le délai est expiré. Signalez les modifications dans les deux semaines.
- Demandez tôt le certificat d’organisation ELSTER ; la lettre d’activation prend au moins cinq jours ouvrables.
- Vérifiez par un test que vous pouvez envoyer une première notification précoce dans les 24 heures suivant la prise de connaissance d’un incident.
- Faites correspondre vos mesures de sécurité aux dix mesures du § 30(2) et documentez-les.
- Consignez la surveillance des mesures par la Geschäftsleitung et planifiez sa formation au titre du § 38.
- Exploitants KRITIS : planifiez les prochaines preuves du § 39 selon le cycle de trois ans.
- Tenez des preuves prêtes pour une demande du BSI au titre du § 61(3).
Sources
- Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung du 2 décembre 2025, BGBl. 2025 I Nr. 301, publiée le 5 décembre 2025, recht.bund.de.
- BSI-Gesetz (BSIG) du 2 décembre 2025, version consolidée modifiée en dernier lieu par la loi du 23 juillet 2026, gesetze-im-internet.de : § 28, § 30, § 31, § 32, § 33, § 37, § 38, § 39, § 65.
- BMI, procédure législative de la NIS2UmsuCG, bmi.bund.de.
- BSI, NIS-2-regulierte Unternehmen, bsi.bund.de.
- BSI, FAQ générale sur NIS-2, bsi.bund.de, et FAQ sectorielle, bsi.bund.de.
- BSI, Registrierungspflicht, bsi.bund.de, et Mein Unternehmenskonto, bsi.bund.de.
- BSI, NIS-2-Meldepflicht, bsi.bund.de.
- BSI, NIS-2 in Zahlen (chiffres au 30 juin 2026), bsi.bund.de.
- BSI, Risikomanagementmaßnahmen, bsi.bund.de, et ISO/IEC 27001 im Kontext NIS-2/BSIG, bsi.bund.de.
- BSI, Kritische Infrastrukturen, bsi.bund.de.
- BSI, Geschäftsleitungsschulungen gemäß BSIG (NIS-2), 17 avril 2026, bsi.bund.de.
- BSI, Mindeststandards des Bundes, bsi.bund.de.
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 5, 20, 21, 23, 27, 32, 33, 34 et 35, EUR-Lex.
- Recommandation 2003/361/CE de la Commission concernant la définition des micro, petites et moyennes entreprises, EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, EUR-Lex.
Questions fréquentes
Quand NIS2 est-elle entrée en vigueur en Allemagne ?
La loi NIS2UmsuCG a été publiée au Journal officiel fédéral (BGBl. 2025 I Nr. 301) le 5 décembre 2025 et est entrée en vigueur le 6 décembre 2025. Elle a remplacé l'ancienne loi BSI par un nouveau BSIG.
Qui est concerné par NIS2 en Allemagne ?
Les entités d'un type énuméré à l'annexe 1 ou à l'annexe 2 du BSIG qui comptent au moins 50 salariés, ou dont le chiffre d'affaires annuel et le total du bilan dépassent tous deux 10 millions d'euros. Les exploitants d'installations critiques, les prestataires de services de confiance, les registres des noms de domaine de premier niveau, les fournisseurs de services DNS et les opérateurs de télécommunications publics sont concernés quelle que soit leur taille.
Quel est le délai d'enregistrement NIS2 en Allemagne ?
En vertu du § 33 BSIG, les entités doivent s'enregistrer auprès du BSI au plus tard trois mois après être entrées pour la première fois dans le champ d'application. Pour les entités concernées depuis le 6 décembre 2025, ce délai a expiré début mars 2026, et le BSI demande à celles qui ne sont pas encore enregistrées de le faire immédiatement.
Quelles sont les amendes NIS2 en Allemagne ?
Pour les manquements aux obligations de gestion des risques, de documentation et de notification, le § 65 BSIG prévoit des amendes pouvant atteindre 10 millions d'euros pour les besonders wichtige Einrichtungen (entités particulièrement importantes) et 7 millions d'euros pour les wichtige Einrichtungen (entités importantes). Lorsque le chiffre d'affaires mondial de l'entreprise dépasse 500 millions d'euros, le plafond passe à 2 % ou 1,4 % de ce chiffre d'affaires. Les manquements à l'obligation d'enregistrement sont passibles d'une amende pouvant atteindre 500 000 EUR.
La certification ISO 27001 suffit-elle à respecter les exigences du BSIG ?
Pas automatiquement. Le BSI indique qu'un certificat ISO/IEC 27001 ne signifie pas qu'une entité respecte toutes les exigences du § 30 BSIG et ne peut pas être considéré comme une preuve de conformité à NIS2, même s'il constitue une bonne base.
