Les points cl\u00e9s en bref<\/p>\n
- \n
- 29.500 entit\u00e9s r\u00e9glement\u00e9es en Allemagne.<\/strong> La NIS2UmsuCG a \u00e9tendu le p\u00e9rim\u00e8tre allemand de 4.500 \u00e0 29.500 entit\u00e9s. Beaucoup ignorent encore qu’ils sont concern\u00e9s.<\/li>\n
- Phase d’application active depuis mai 2026.<\/strong> La premi\u00e8re \u00e9ch\u00e9ance belge \u00e9tait le 18 avril 2026. Le BSI est en phase d’inspection op\u00e9rationnelle \u00e0 partir de mai 2026. L’Autriche suivra avec son entr\u00e9e en vigueur le 1er octobre 2026.<\/li>\n
- Plafond d’amende : 10 Mio. EUR ou 2%.<\/strong> Pour les entit\u00e9s particuli\u00e8rement importantes. S’ajoute en Allemagne une responsabilit\u00e9 personnelle des dirigeurs jusqu’\u00e0 500.000 EUR – non pas la personne morale, mais l’individu.<\/li>\n
- 84% pas pr\u00eats.<\/strong> Selon CyberSmart (avril 2026), 84% des organisations expos\u00e9es \u00e0 l’application ne sont pas conformes. L’\u00e9cart entre l’exigence r\u00e9glementaire et la r\u00e9alit\u00e9 op\u00e9rationnelle ne s’est pas r\u00e9duit.<\/li>\n<\/ul>\n<\/div>\n\n
Li\u00e9s<\/span>Loi europ\u00e9enne sur l’IA : Syst\u00e8mes \u00e0 haut risque \u00e0 partir du 2 ao\u00fbt 2026<\/a> \/<\/span> \n
Ce que NIS2 exige des r\u00e9glement\u00e9s<\/h2>\n
Qu’est-ce que NIS2 ?<\/strong> La directive europ\u00e9enne sur la s\u00e9curit\u00e9 des r\u00e9seaux et de l’information (NIS2, directive 2022\/2555) \u00e9tablit des obligations de cybers\u00e9curit\u00e9 contraignantes pour les secteurs critiques. Elle remplace la directive NIS de 2016, \u00e9tend consid\u00e9rablement son champ d’application et introduit un r\u00e9gime de sanctions uniforme avec une responsabilit\u00e9 personnelle des dirigeants.<\/p>\n
Le NIS2UmsuCG est en vigueur depuis le 6 d\u00e9cembre 2025. La souvent cit\u00e9e \u00ab\u00a0s\u00e9curit\u00e9 appropri\u00e9e\u00a0\u00bb est d\u00e9sormais pr\u00e9cis\u00e9e par les Directives techniques de mise en \u0153uvre de l’ENISA (juin 2025) – c’est la diff\u00e9rence avec les cadres de conformit\u00e9 ant\u00e9rieurs qui laissaient plus de marge \u00e0 l’interpr\u00e9tation. Celui qui affirme n’avoir pas eu de clart\u00e9 sur ce qui devait \u00eatre fait concr\u00e8tement a un probl\u00e8me de recherche, pas un probl\u00e8me r\u00e9glementaire.<\/p>\n
L’art. 21 NIS2 d\u00e9finit dix cat\u00e9gories de mesures qu’un r\u00e9glement\u00e9 doit mettre en \u0153uvre et documenter. L’ENISA a en outre pr\u00e9cis\u00e9 au T1 2026 : l’AMF pour les acc\u00e8s privil\u00e9gi\u00e9s, les comptes d’acc\u00e8s distant et les comptes fournisseurs est \u00ab\u00a0pratiquement toujours appropri\u00e9e\u00a0\u00bb – la marge de man\u0153uvre par \u00ab\u00a0lorsque appropri\u00e9\u00a0\u00bb y est quasi inexistante.<\/p>\n\n
\n\nCe que beaucoup ont d\u00e9j\u00e0<\/p>\n
- \n
- Firewall et protection des endpoints<\/li>\n
- Routine de sauvegarde (g\u00e9n\u00e9ralement sans test de r\u00e9cup\u00e9ration)<\/li>\n
- Gestion des correctifs – d’une mani\u00e8re ou d’une autre<\/li>\n
- Antivirus sur les endpoints<\/li>\n
- Politique de mots de passe de base<\/li>\n<\/ul>\n<\/div>\n\n
Ce qui manque g\u00e9n\u00e9ralement<\/p>\n
- \n
- Plan de r\u00e9ponse aux incidents document\u00e9<\/li>\n
- ISMS avec registre des risques<\/li>\n
- Processus de d\u00e9claration au BSI 24h (point de contact, cha\u00eene d’escalade)<\/li>\n
- AMF sur tous les comptes privil\u00e9gi\u00e9s<\/li>\n
- Analyse des risques de la cha\u00eene d’approvisionnement pour les prestataires IT<\/li>\n<\/ul>\n<\/div>\n<\/div>\n\n
L’\u00e9tat d’avancement de la mise en \u0153uvre dans l’espace DACH<\/h2>\n
L’Allemagne a mis en \u0153uvre NIS2 parmi les derniers \u00c9tats membres de l’UE. Le NIS2UmsuCG est entr\u00e9 en vigueur le 6 d\u00e9cembre 2025, soit presque 15 mois apr\u00e8s la date limite europ\u00e9enne d’impl\u00e9mentation. Entre l’adoption et l’application par le BSI, les entreprises concern\u00e9es ont eu environ 13 semaines – soit moins d’un trimestre pour mettre en place la gestion des risques, la documentation et l’enregistrement.<\/p>\n
L’Autriche a adopt\u00e9 le NISG 2026 le 12 d\u00e9cembre 2025. Entr\u00e9e en vigueur : 1er octobre 2026. Les entreprises autrichiennes concern\u00e9es ont ainsi une courte fen\u00eatre pour \u00e9tablir leurs bases de conformit\u00e9 avant que la nouvelle autorit\u00e9 de supervision – l’Office f\u00e9d\u00e9ral de cybers\u00e9curit\u00e9 – n’entame sa phase op\u00e9rationnelle. Port\u00e9e : environ 4 000 entreprises dans 18 secteurs.<\/p>\n
La Pologne a mis en \u0153uvre avec la KSC Act du 3 avril 2026 l’une des transpositions les plus \u00e9tendues de l’UE : 42 000 r\u00e9glement\u00e9s, \u00e9tendus \u00e0 partir d’environ 400 auparavant. Ce n’est pas une faute de frappe. Pour les cha\u00eenes d’approvisionnement germano-polonaises et les partenaires de nearshoring, cela signifie une pression imm\u00e9diate de conformit\u00e9 des deux c\u00f4t\u00e9s.<\/p>\n
Suisse : Membre de l’UE ? Non, donc obligation NIS2 directe. Pour les entreprises suisses qui agissent comme prestataires IT pour des r\u00e9glement\u00e9s de l’UE, une pression indirecte s’exerce via les exigences de la cha\u00eene d’approvisionnement du donneur d’ordre.<\/p>\n
Ce que les \u00e9quipes IT doivent v\u00e9rifier maintenant<\/h2>\n
Cinq \u00e9tapes de travail couvrent les lacunes de conformit\u00e9 les plus courantes. Aucun de ces points ne n\u00e9cessite ISO 27001 – mais tous exigent des preuves \u00e9crites.<\/p>\n\n
\n\n1<\/div>\nV\u00e9rifier le champ d’application.<\/strong> L’entreprise rel\u00e8ve-t-elle de l’un des 18 secteurs NIS2 selon l’annexe 1 ou 2 du BSIG? Seuil : \u00e0 partir de 50 employ\u00e9s OU 10 Mio. EUR de chiffre d’affaires annuel, combin\u00e9 avec l’appartenance sectorielle. Le classement en tant qu’entit\u00e9 \u00ab\u00a0importante\u00a0\u00bb ou \u00ab\u00a0particuli\u00e8rement importante\u00a0\u00bb d\u00e9termine le cadre des amendes.<\/div>\n<\/div>\n\n2<\/div>\nRattraper l’enregistrement BSI.<\/strong> Le d\u00e9lai expire le 6 mars 2026. Le BSI a jusqu’\u00e0 pr\u00e9sent montr\u00e9 de la tol\u00e9rance, mais la marge de man\u0153uvre se r\u00e9tr\u00e9cit. L’enregistrement sur le portail BSI est la premi\u00e8re \u00e9tape, avant que toute autre preuve de conformit\u00e9 ne devienne pertinente.<\/div>\n<\/div>\n\n3<\/div>\nDocumenter les mesures de gestion des risques.<\/strong> Les dix cat\u00e9gories de l’art. 21 NIS2 doivent \u00eatre mises en \u0153uvre de mani\u00e8re v\u00e9rifiable. Aucun registre de risques signifie dans le contexte d’un examen : aucune preuve. Aucune certification ISO 27001 compl\u00e8te n’est n\u00e9cessaire, mais le document doit exister.<\/div>\n<\/div>\n\n4<\/div>\nActiver le processus de d\u00e9claration.<\/strong> Qui est le contact BSI dans l’entreprise ? Existe-t-il une cha\u00eene d’escalade \u00e9crite pour l’obligation de d\u00e9claration en 24h en cas d’incidents significatifs ? Conna\u00eetre le portail de d\u00e9claration du BSI, communiquer en interne, d\u00e9signer les responsables.<\/div>\n<\/div>\n\n5<\/div>\n\u00c9valuer les fournisseurs.<\/strong> Quels prestataires IT ont un acc\u00e8s direct aux syst\u00e8mes critiques ? La s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement n’est pas un \u00e9l\u00e9ment optionnel, mais fait partie de l’analyse des risques. Obtenir des preuves \u00e9crites de s\u00e9curit\u00e9 des fournisseurs cl\u00e9s.<\/div>\n<\/div>\n<\/div>\n\nFoire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n\n
Qu’est-ce qui est consid\u00e9r\u00e9 comme \u00ab\u00a0entit\u00e9 particuli\u00e8rement importante\u00a0\u00bb selon NIS2 ?<\/strong><\/summary>\n
Les entit\u00e9s particuli\u00e8rement importantes (essential entities) sont des entreprises dans des secteurs de haute criticit\u00e9 (annexe 1 BSIG) avec au moins 250 employ\u00e9s ou 50 Mio. EUR de chiffre d’affaires annuel et 43 Mio. EUR de bilan total. Pour elles s’applique le cadre des amendes plus \u00e9lev\u00e9 de jusqu’\u00e0 10 Mio. EUR ou 2 % du chiffre d’affaires mondial, selon le montant le plus \u00e9lev\u00e9. Les entit\u00e9s importantes (important entities) de l’annexe 2\n
Qu’est-ce que l’obligation de d\u00e9claration en 24 heures en d\u00e9tail ?<\/h3>\n
En cas d’incident de s\u00e9curit\u00e9 significatif – d\u00e9fini comme un incident ayant des impacts importants sur le service – une premi\u00e8re d\u00e9claration doit \u00eatre faite au BSI dans les 24 heures. Dans les 72 heures suit une \u00e9valuation plus d\u00e9taill\u00e9e, et apr\u00e8s un mois un rapport final. La d\u00e9claration se fait via le portail de d\u00e9claration du BSI. Un \u00ab\u00a0incident significatif\u00a0\u00bb est un terme que le BSI pr\u00e9cisera davantage – en cas de doute : d\u00e9clarez, n’attendez pas.<\/p><\/details>\n\n
Les fournisseurs doivent-ils eux-m\u00eames \u00eatre conformes au NIS2 ?<\/strong><\/summary>\n
Pas n\u00e9cessairement sous la forme que les fournisseurs doivent \u00eatre eux-m\u00eames enregistr\u00e9s. Mais les entit\u00e9s r\u00e9glement\u00e9es sont tenues d’\u00e9valuer et de g\u00e9rer les risques de s\u00e9curit\u00e9 dans leur cha\u00eene d’approvisionnement. Cela signifie : preuves \u00e9crites des pratiques de s\u00e9curit\u00e9 des prestataires de services IT avec un acc\u00e8s critique, exigences contractuelles minimales et droits d’audit. Ce qui ne le fait pas, assume lui-m\u00eame le risque de responsabilit\u00e9.<\/p><\/details>\n
Plus du r\u00e9seau MBF Media<\/h3>
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bsi-kritis-cloud-multi-cloud-compliance-61618487.jpg\")
<\/span>cloudmagazin<\/span>L\u2019architecture d\u00e9termine le co\u00fbt de la conform<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-csrd-eu-omnibus-2026-berichtspflicht-esr-38916809-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>CSRD : qui doit rendre compte ?<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-deloitte-2026-operator-orchestrator-tech-80856405-250x143.jpg\")
<\/span>Digital Chiefs<\/span>De l\u2019op\u00e9rateur \u00e0 l\u2019orchestrateur\u202f: l\u2019\u00e9tude Deloitte 2026 et<\/span><\/span><\/a>","protected":false},"excerpt":{"rendered":"Le BSI est en phase de test op\u00e9rationnelle depuis mai\u202f2026. Ce que signifie la vague d\u2019application du NIS2 pour 29\u202f500 \u00e9tablissements r\u00e9glement\u00e9s en\u2026","protected":false},"author":10,"featured_media":13800,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"","_yoast_wpseo_title":"","_yoast_wpseo_metadesc":"Application BSI d\u00e8s mai 2026 : amendes jusqu'\u00e0 10 M\u20ac, enregistrement obligatoire et liste de conformit\u00e9 pour les structures r\u00e9gul\u00e9es NIS2 en DACH.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was-2"],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-13832","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":17967,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13832","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=13832"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13832\/revisions"}],"predecessor-version":[{"id":21424,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/13832\/revisions\/21424"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/13800"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=13832"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=13832"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=13832"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- Phase d’application active depuis mai 2026.<\/strong> La premi\u00e8re \u00e9ch\u00e9ance belge \u00e9tait le 18 avril 2026. Le BSI est en phase d’inspection op\u00e9rationnelle \u00e0 partir de mai 2026. L’Autriche suivra avec son entr\u00e9e en vigueur le 1er octobre 2026.<\/li>\n