L’essentiel en bref<\/p>\n
- \n
- Aucune r\u00e9solution formelle prescrite :<\/strong> Le paragraphe 38 du BSIG exige de mettre en \u0153uvre les mesures et de surveiller leur mise en \u0153uvre. Le terme \u00ab approuver \u00bb de la directive NIS2 ne figure pas dans la loi allemande.<\/li>\n
- La documentation est express\u00e9ment obligatoire :<\/strong> Le paragraphe 30 alin\u00e9a 1 phrase 3 exige de documenter le respect des mesures. Une infraction est sanctionnable par une amende selon le paragraphe 65.<\/li>\n
- Six \u00e9l\u00e9ments doivent figurer au proc\u00e8s-verbal :<\/strong> de la documentation des mesures aux preuves de surveillance et aux d\u00e9cisions de pilotage jusqu’\u00e0 l’\u00e9valuation de l’efficacit\u00e9, aux justificatifs de formation et \u00e0 la cha\u00eene de notification.<\/li>\n
- L’amende frappe l’entit\u00e9, la responsabilit\u00e9 la direction :<\/strong> Les plafonds allant jusqu’\u00e0 10 millions d’euros concernent l’entreprise. La responsabilit\u00e9 personnelle de la direction s’exerce sur le plan civil via le paragraphe 38 alin\u00e9a 2.<\/li>\n<\/ul>\n<\/div>\n
En lien :<\/span>Cinq indicateurs que le conseil de surveillance comprend vraiment \/<\/span> Quels droits de d\u00e9cision du CISO doivent \u00eatre r\u00e9gl\u00e9s par \u00e9crit<\/a><\/p>\n
Ce que la direction g\u00e9n\u00e9rale doit documenter au titre de NIS2 ?<\/h2>\n
Que demande le BSIG en mati\u00e8re de documentation \u00e0 la direction g\u00e9n\u00e9rale ?<\/strong> Le BSIG 2025 oblige l’entit\u00e9 \u00e0 documenter le respect de ses mesures de gestion des risques. La direction g\u00e9n\u00e9rale doit surveiller leur mise en \u0153uvre. De ces deux obligations d\u00e9coule la pratique consistant \u00e0 consigner les d\u00e9cisions de s\u00e9curit\u00e9 prises, leur surveillance et la participation aux formations de mani\u00e8re \u00e0 ce qu’elles soient prouvables lors d’un audit BSI ou d’un examen de responsabilit\u00e9.<\/p>\n
L’erreur la plus courante est de croire que la loi exige une r\u00e9solution formelle de la direction g\u00e9n\u00e9rale sur les mesures de s\u00e9curit\u00e9. Il s’agit de la formulation europ\u00e9enne, et non de la formulation allemande. Quiconque fonde sa gouvernance sur ce malentendu documente en dehors du cadre de la loi. L’obligation r\u00e9elle est d\u00e9finie plus strictement et est plus facile \u00e0 g\u00e9rer en pratique lorsque l’on conna\u00eet le libell\u00e9 exact.<\/p>\n
Mettre en \u0153uvre et surveiller, et non approuver<\/h2>\n
Le coup d’\u0153il sur le texte de loi en vaut la peine. Le paragraphe 38 alin\u00e9a 1 du BSIG oblige les directions g\u00e9n\u00e9rales des entit\u00e9s particuli\u00e8rement importantes et importantes \u00e0 mettre en \u0153uvre les mesures de gestion des risques \u00e0 prendre conform\u00e9ment au paragraphe 30 et \u00e0 surveiller leur mise en \u0153uvre. Il n’y est pas question d’approbation ou de r\u00e9solution.<\/p>\n
La confusion vient de la directive NIS2 de niveau sup\u00e9rieur. Son article 20 exige que les organes dirigeants approuvent les mesures, en surveillent la mise en \u0153uvre et puissent \u00eatre tenus responsables des violations. Lors de la transposition, le l\u00e9gislateur allemand a remplac\u00e9 le terme \u00ab approuver \u00bb par \u00ab mettre en \u0153uvre \u00bb, conserv\u00e9 \u00ab surveiller \u00bb et ancr\u00e9 la responsabilit\u00e9 de la direction au paragraphe 38 alin\u00e9a 2. Pour la pratique, cela signifie : aucune obligation l\u00e9gale de r\u00e9solution formelle ne peut \u00eatre d\u00e9duite du BSIG. Cela ne soulage toutefois pas la direction, car une surveillance sans trace document\u00e9e est difficilement d\u00e9montrable lors d’un audit.<\/p>\n
C’est l\u00e0 qu’intervient l’obligation proprement dite de documentation. Le paragraphe 30 alin\u00e9a 1 phrase 3 du BSIG exige express\u00e9ment que le respect de l’obligation de prendre les mesures soit document\u00e9 par l’entit\u00e9. Cette obligation incombe \u00e0 l’entit\u00e9 et est directement assortie d’une sanction p\u00e9cuniaire. Le paragraphe 65 cite l’absence, l’inexactitude ou le caract\u00e8re incomplet de la documentation comme un chef d’incrimination distinct en mati\u00e8re d’infraction administrative. \u00c0 c\u00f4t\u00e9 se trouve l’obligation de la direction du paragraphe 38 alin\u00e9a 1, qui consiste \u00e0 surveiller de mani\u00e8re d\u00e9montrable la mise en \u0153uvre. Celle-ci n’est pas elle-m\u00eame un fait passible d’amende, mais exige pratiquement la m\u00eame trace document\u00e9e. Ces deux normes r\u00e9unies constituent l’ancrage l\u00e9gal pour toute checklist de proc\u00e8s-verbal.<\/p>\n
Six \u00e9l\u00e9ments qui doivent figurer au proc\u00e8s-verbal<\/h2>\n
Le tableau suivant traduit les points d’ancrage l\u00e9gaux en documents concrets. La loi ne prescrit aucun format. Ce qui compte d\u00e8s lors, ce sont des traces v\u00e9rifiables aux bons endroits, prouvables et maintenues \u00e0 jour.<\/p>\n
\n - La documentation est express\u00e9ment obligatoire :<\/strong> Le paragraphe 30 alin\u00e9a 1 phrase 3 exige de documenter le respect des mesures. Une infraction est sanctionnable par une amende selon le paragraphe 65.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/teilzeit-ciso-vciso-delegierbar-bsig-cover-hero-1-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/nis2-apres-lecheance-cest-maintenant-que-commence-la-supervision-de-la-bsi-cover-fr-hero-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>