Qu’est-ce que NIS2 ? Définition et obligations

NIS2 est la deuxième directive européenne sur la sécurité des réseaux et des systèmes d’information. En Allemagne, la loi de transposition de NIS-2 est entrée en vigueur le 6 décembre 2025. Les entités concernées doivent maîtriser les risques pesant sur leurs systèmes informatiques, signaler les incidents de sécurité importants et s’enregistrer auprès du BSI. La direction a ses propres obligations et peut voir sa responsabilité engagée envers son entité.

Ce que NIS2 réglemente en Allemagne

La directive (UE) 2022/2555 établit un cadre européen pour la cybersécurité. L’Allemagne l’a transposée dans la loi sur le BSI par la loi de transposition de NIS-2. Cette loi distingue notamment les entités particulièrement importantes et les entités importantes.

Pour ces deux groupes, la loi prévoit en principe des obligations de gestion des risques, de notification et d’enregistrement. Les règles applicables à chaque cas dépendent aussi des exceptions prévues par des lois sectorielles et de l’activité exercée.

Quelles sont les entités concernées ?

La loi sur le BSI vise certains types d’entités dans ses annexes. Il s’agit notamment d’activités dans les domaines de l’énergie, des transports, de la santé et des infrastructures numériques. L’appartenance à un secteur ne suffit pas à elle seule pour déterminer la catégorie d’une entité.

Pour de nombreuses entités, la taille et les indicateurs économiques sont déterminants. Le seuil applicable aux entités importantes peut notamment être atteint à partir de 50 salariés ou si le chiffre d’affaires annuel et le total du bilan annuel dépassent chacun dix millions d’euros. Pour certains services, la loi s’applique quelle que soit leur taille. Les entreprises doivent donc vérifier le type précis d’entité et les exceptions prévues par la loi afin de déterminer leur catégorie.

Quelles obligations et quels délais s’appliquent ?

Les entités concernées doivent prendre des mesures techniques et organisationnelles appropriées, proportionnées et efficaces. Elles comprennent notamment les analyses de risques, la gestion des incidents de sécurité, la gestion des situations d’urgence et la sécurité de la chaîne d’approvisionnement. Les mesures doivent être adaptées aux risques et à la taille de l’entité.

Les incidents de sécurité importants doivent en principe être signalés sans délai au BSI : d’abord par une alerte précoce dans les 24 heures suivant leur découverte, puis par une notification de l’incident de sécurité dans les 72 heures. Un rapport final suit en principe au plus tard un mois après la notification. Des règles particulières s’appliquent à certains cas.

Les entités importantes et particulièrement importantes doivent en principe s’enregistrer dans un délai de trois mois à compter du moment où elles remplissent les conditions correspondantes. L’enregistrement s’effectue sur le portail du BSI. Les entités concernées depuis plus longtemps qui ne sont pas encore enregistrées devraient régulariser leur situation.

Les responsabilités de la direction

Les directions doivent mettre en œuvre les mesures de gestion des risques requises et en superviser l’application. Elles doivent également suivre régulièrement des formations. En pratique, il est important de pouvoir retracer les décisions et les responsabilités et de documenter les contrôles.

Si la direction manque à son obligation de mise en œuvre ou de supervision et cause ainsi par sa faute un préjudice à l’entité, sa responsabilité peut être engagée envers celle-ci. Les règles du droit des sociétés applicables à la forme juridique de l’entité sont alors déterminantes. La loi sur le BSI ne limite pas cette responsabilité aux manquements graves.

En cas de certaines infractions aux obligations de gestion des risques ou de notification, les entités particulièrement importantes s’exposent à des amendes pouvant atteindre dix millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent. Le montant le plus élevé est retenu.

Questions fréquentes

Chaque question est fermée. Appuyez dessus pour afficher la réponse.

Les petites entreprises peuvent-elles aussi être concernées ?

Oui. Pour certains types d’entités mentionnés dans la loi, les obligations s’appliquent quelle que soit la taille de l’entreprise. L’activité précise est déterminante.

Quand faut-il s’enregistrer ?

En principe, dans un délai de trois mois à compter du moment où l’entité remplit les conditions légales. Les entités déjà concernées devraient régulariser tout enregistrement en attente.

Quel est le rapport entre NIS2 et DORA ?

DORA réglemente la résilience opérationnelle numérique de certaines entreprises financières. La loi sur le BSI exempte ces entreprises de plusieurs obligations NIS2 expressément mentionnées. Les autres obligations applicables dépendent de chaque cas.

Sélection de la rédaction

À lireCinq postes qui nécessitent un budget avant le SIEMÀ lireCe que la direction générale doit documenter au titre de NIS2À lireDORA en fonction : ce que la surveillance veut voir

Plus du réseau MBF Media

cloudmagazinMigration KRITIS vers le cloud : ce qui garantit la securiteMyBusinessFutureLa surveillance de l’IA en Allemagne a maintenant une adresseDigital ChiefsL’intelligence artificielle écrit le code. Qui en est responsable ?

Source de l’image : générée par IA (juillet 2026), certificat C2PA intégré à l’image

Plus d’articles du réseau MBF Media

• Infrastructures critiques dans le cloud : sécuriser la migration
• La supervision de l’IA en Allemagne a désormais une adresse
• L’IA écrit le code. Qui en est responsable ?

Source de l’image : générée par IA (Juli 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.