Les points cl\u00e9s en bref<\/p>\n
- \n
- La protection physique devient obligatoire.<\/strong> La loi-cadre KRITIS transpose la directive UE-CER et \u00e9tablit pour la premi\u00e8re fois des normes minimales f\u00e9d\u00e9rales uniformes pour la r\u00e9silience physique des installations critiques.<\/li>\n
- Deux piliers, un seul risque.<\/strong> Au r\u00e9gime cyber issu du BSIG et de NIS2 s’ajoute d\u00e9sormais le pilier physique. L’Allemagne construit ces deux niveaux de protection en parall\u00e8le.<\/li>\n
- Les comp\u00e9tences restent floues.<\/strong> Le BBK, le BSI et le minist\u00e8re de l’Int\u00e9rieur se partagent la supervision, et les fronti\u00e8res ne sont pas encore clairement d\u00e9limit\u00e9es selon le Bundestag.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/span>Loi-cadre KRITIS en vigueur : ce que les exploitants doivent mettre en \u0153uvre d\u00e8s maintenant<\/a> \/<\/span> R\u00e9silience aux ransomwares : pourquoi les entreprises allemandes paient moins souvent<\/a><\/p>\n
Ce que la loi-cadre KRITIS r\u00e9glemente de nouveau<\/h2>\n
Jusqu’en 2026, la protection des infrastructures critiques en Allemagne \u00e9tait fragment\u00e9e. La cybers\u00e9curit\u00e9 relevait de la loi BSI, tandis que la protection physique d\u00e9pendait d’un patchwork de r\u00e9glementations sectorielles et de dispositions r\u00e9gionales. La loi-cadre KRITIS unifie ce niveau physique pour la premi\u00e8re fois \u00e0 l’\u00e9chelle f\u00e9d\u00e9rale.<\/p>\n
Qu’est-ce que la loi-cadre KRITIS ?<\/strong> La loi-cadre KRITIS est la transposition allemande de la directive UE 2022\/2557 sur la r\u00e9silience des entit\u00e9s critiques, dite CER. Elle oblige les exploitants d’installations critiques \u00e0 renforcer leur r\u00e9sistance physique contre toutes les menaces, des catastrophes naturelles aux d\u00e9faillances techniques en passant par le sabotage et le terrorisme. S’y ajoutent des obligations de notification et une supervision \u00e9tatique.<\/p>\n
Le champ d’application est d\u00e9fini par un seuil de 500 000 habitants approvisionn\u00e9s par installation. Environ 1 300 exploitants sont ainsi concern\u00e9s par la loi. L’approche tous risques constitue la v\u00e9ritable rupture avec le pass\u00e9 : les exploitants ne doivent plus cocher une liste de sc\u00e9narios individuels, mais pr\u00e9parer leurs installations \u00e0 l’ensemble du spectre des perturbations envisageables.<\/p>\n
\nenviron 1 300<\/div>\nExploitants d’installations critiques soumis \u00e0 la loi-cadre KRITIS, tenus de d\u00e9montrer leur r\u00e9silience physique.<\/div>\nSource : Bundestag \/ Loi-cadre KRITIS<\/div>\n<\/div>\nLa r\u00e9silience physique devient une discipline cyber<\/h2>\n
L’effet le plus marquant de la loi n’est pas la nouvelle obligation en elle-m\u00eame, mais sa proximit\u00e9 avec la cybers\u00e9curit\u00e9. Quiconque exploite un poste de transformation ou une installation de traitement de l’eau se retrouve d\u00e9sormais soumis \u00e0 deux r\u00e9gimes parall\u00e8les : la loi-cadre KRITIS pour la protection physique et le BSIG avec NIS2 pour le volet num\u00e9rique. Les deux exigent des analyses de risques, des voies de signalement et des preuves. Dans la pratique, il est presque impossible de les dissocier.<\/p>\n
Une attaque contre l’alimentation \u00e9lectrique commence rarement aujourd’hui par une cisaille et se termine dans un centre de donn\u00e9es, ou inversement. Le sabotage du mat\u00e9riel et l’intrusion dans les logiciels de contr\u00f4le sont deux chemins vers le m\u00eame objectif. C’est pr\u00e9cis\u00e9ment pourquoi la distinction entre r\u00e9silience physique et num\u00e9rique est artificielle. La loi-cadre KRITIS oblige les op\u00e9rateurs \u00e0 r\u00e9unir les deux dimensions dans un tableau de situation unique, ce qui modifie la r\u00e9partition des responsabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9 au sein des entreprises.<\/p>\n
Avec la loi-cadre KRITIS et le dispositif cyber issu du BSIG et de NIS2, l’Allemagne met en \u0153uvre les deux piliers en parall\u00e8le, chacun avec sa propre loi. C’est contraignant \u00e0 mettre en \u0153uvre, mais cela comble une lacune que les attaquants avaient jusqu’ici exploit\u00e9e d\u00e9lib\u00e9r\u00e9ment.<\/p>\n
L\u00e0 o\u00f9 les comp\u00e9tences restent floues<\/h2>\n
Si la double protection est judicieuse, sa gouvernance reste incertaine. La loi-cadre KRITIS fait de l’Office f\u00e9d\u00e9ral de la protection de la population et de l’aide en cas de catastrophe l’autorit\u00e9 de surveillance pour le pilier physique, tandis que le BSI est responsable du volet cyber et que le minist\u00e8re de l’Int\u00e9rieur assure la coordination g\u00e9n\u00e9rale. Le Bundestag lui-m\u00eame a relev\u00e9 que la r\u00e9partition des t\u00e2ches entre ces instances n’est pas clairement d\u00e9limit\u00e9e.<\/p>\n
Pour les op\u00e9rateurs, ce n’est pas qu’un d\u00e9tail administratif. Quiconque signale un incident touchant les deux niveaux doit savoir \u00e0 qui s’adresser. Les signalements en double, les exigences contradictoires ou les lacunes entre les autorit\u00e9s constituent un risque r\u00e9el tant que les interfaces ne sont pas clairement d\u00e9finies. C’est dans la pratique de surveillance des prochains mois que l’on verra si l’\u00e9difice tient.<\/p>\n
Ce que les op\u00e9rateurs devraient faire maintenant<\/h2>\n
Ind\u00e9pendamment de la question ouverte des comp\u00e9tences, il est utile de se mettre en marche d\u00e8s \u00e0 pr\u00e9sent. Trois \u00e9tapes s’imposent avant que les autorit\u00e9s de surveillance ne formulent leurs premi\u00e8res demandes.<\/p>\n
Premi\u00e8rement, \u00e9tablir un tableau de situation commun : regrouper les risques physiques et cyber dans une seule analyse, plut\u00f4t que de les g\u00e9rer dans des d\u00e9partements s\u00e9par\u00e9s. Deuxi\u00e8mement, clarifier la cha\u00eene de signalement : d\u00e9finir quel incident est adress\u00e9 \u00e0 quelle autorit\u00e9 et r\u00e9p\u00e9ter la proc\u00e9dure avant qu’elle ne compte dans une situation r\u00e9elle. Troisi\u00e8mement, centraliser les responsabilit\u00e9s : lorsque la s\u00e9curit\u00e9 physique et num\u00e9rique convergent, il faut une instance qui surveille les deux dimensions, plut\u00f4t que deux silos qui se renvoient mutuellement la balle en cas d’incident.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nDepuis quand la loi-cadre KRITIS est-elle en vigueur ?<\/strong><\/summary>\n
La loi est entr\u00e9e en vigueur le 16 mars 2026. Le Bundestag l’avait adopt\u00e9e le 29 janvier 2026 et le Bundesrat avait donn\u00e9 son accord le 6 mars 2026. Elle transpose la directive europ\u00e9enne CER en droit national.<\/p>\n<\/details>\n
\nQui est concern\u00e9 par la loi-cadre KRITIS ?<\/strong><\/summary>\n
Sont concern\u00e9s les op\u00e9rateurs d’installations critiques d\u00e9passant un seuil de 500 000 habitants approvisionn\u00e9s par installation. Les estimations font \u00e9tat d’environ 1 300 op\u00e9rateurs concern\u00e9s, qui doivent apporter la preuve de leur r\u00e9silience physique.<\/p>\n<\/details>\n
\nQuelle est la diff\u00e9rence entre la loi-cadre et NIS2 ?<\/strong><\/summary>\n
La loi-cadre KRITIS r\u00e9git la protection physique des installations critiques, tandis que NIS2 et le BSIG s’appliquent \u00e0 la cybers\u00e9curit\u00e9. Les deux sont applicables en parall\u00e8le, exigent des analyses de risques et des obligations de signalement, et s’imposent simultan\u00e9ment \u00e0 de nombreux op\u00e9rateurs.<\/p>\n<\/details>\n
\nQuelle autorit\u00e9 est comp\u00e9tente pour la surveillance ?<\/strong><\/summary>\n
Pour le pilier physique, l’Office f\u00e9d\u00e9ral de la protection de la population et de l’aide en cas de catastrophe devient l’autorit\u00e9 de surveillance ; pour le volet cyber, c’est le BSI. Selon le Bundestag, la d\u00e9limitation pr\u00e9cise entre les instances concern\u00e9es n’est pas encore clairement \u00e9tablie.<\/p>\n<\/details>\n
\nPar o\u00f9 les op\u00e9rateurs devraient-ils commencer ?<\/strong><\/summary>\n
Construire un tableau de situation commun int\u00e9grant les risques physiques et cyber, clarifier et tester la cha\u00eene de signalement selon le type d’incident, puis centraliser la responsabilit\u00e9 des deux niveaux de s\u00e9curit\u00e9 en un seul point, plut\u00f4t que de les maintenir dans des silos s\u00e9par\u00e9s.<\/p>\n<\/details>\n
Recommandations de la r\u00e9daction<\/h3>\n
- \n
- Zero Trust chez les fournisseurs d’\u00e9nergie : ce que les audits NIS2 r\u00e9v\u00e8lent d\u00e9sormais<\/a><\/li>\n
- Les zones et conduits deviennent obligatoires dans les environnements OT<\/a><\/li>\n
- R\u00e9silience face aux ransomwares : pourquoi les entreprises allemandes paient moins souvent<\/a><\/li>\n<\/ul>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/adaptive-mfa-nis2-bsi-zero-trust-mittelstand-fido2-2026-hero-250x167.jpg\")
<\/span>\u00c0 lire<\/span>Zero Trust chez le fournisseur d\u2019\u00e9nergie : Ce que les audits NIS2 r\u00e9v\u00e8lent maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/st-20-04-ot-security-iec-62443-cra-2026-250x167.jpg\")
<\/span>\u00c0 lire<\/span>S\u00e9curit\u00e9 OT 2026 : pourquoi il faut lire conjointement l\u2019IEC 62443 et l\u2019acte europ\u00e9en sur la cybers\u00e9curit\u00e9<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/ransomware-resilienz-reboot-germany-250x166.jpg\")
<\/span>\u00c0 lire<\/span>R\u00e9silience aux ransomwares : pourquoi les entreprises allemandes paient moins souvent<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-bsi-kritis-cloud-2026-nis2-dachgesetz-c5-90008061.jpg\")
<\/span>cloudmagazin<\/span>BSI KRITIS et le Cloud 2026 : NIS2, loi-cadre et C5<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-wie-synaforce-krankenhaeuser-transformie-89285657-250x156.jpg\")
<\/span>MyBusinessFuture<\/span>Digitalisation des h\u00f4pitaux : Synaforce connecte les soins<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-industrie-5-0-als-fuehrungsentscheidung-61355365-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Industrie 5.0 : une d\u00e9cision de direction \u00e0 retenir de la Hannover Messe 2026<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La protection KRITIS devient physique : la loi-cadre oblige environ 1 300 exploitants \u00e0 r\u00e9sister \u00e0 toutes les menaces.","protected":false},"author":50,"featured_media":17790,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Loi-cadre critique","_yoast_wpseo_title":"Critique de la loi-cadre KRITIS : Quand la r\u00e9silience physique devient une discipline cybern\u00e9tique","_yoast_wpseo_metadesc":"Protection KRITIS devient physique : la loi cadre oblige environ 1 300 exploitants \u00e0 r\u00e9sister \u00e0 tous les dangers.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[3,2,260],"tags":[],"class_list":["post-17900","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-aktuelles","category-innovation","category-strategie-governance-fr"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":17789,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/17900","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=17900"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/17900\/revisions"}],"predecessor-version":[{"id":21706,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/17900\/revisions\/21706"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/17790"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=17900"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=17900"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=17900"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Les zones et conduits deviennent obligatoires dans les environnements OT<\/a><\/li>\n
- Deux piliers, un seul risque.<\/strong> Au r\u00e9gime cyber issu du BSIG et de NIS2 s’ajoute d\u00e9sormais le pilier physique. L’Allemagne construit ces deux niveaux de protection en parall\u00e8le.<\/li>\n