Les points cl\u00e9s<\/p>\n
- \n
- Nouveau cadre pour l’aspect physique.<\/strong> La loi-cadre KRITIS met en \u0153uvre la directive EU-CER et r\u00e9glemente pour la premi\u00e8re fois de mani\u00e8re uniforme au niveau national la r\u00e9silience des installations critiques. Elle compl\u00e8te les obligations en mati\u00e8re de s\u00e9curit\u00e9 informatique issues de la NIS2, sans les remplacer.<\/li>\n
- Le fournisseur est dans le champ d’application.<\/strong> Les fournisseurs et les techniciens de service ayant un acc\u00e8s physique ou num\u00e9rique sont soumis aux m\u00eames exigences d’int\u00e9grit\u00e9 et de fiabilit\u00e9 que les employ\u00e9s proprement dits.<\/li>\n
- Le d\u00e9lai commence en juillet.<\/strong> \u00c0 compter du 17 juillet 2026, les exploitants s’enregistrent sur la plateforme commune de la BBK (Office f\u00e9d\u00e9ral de gestion des crises) et du BSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 des technologies de l’information), au plus tard trois mois apr\u00e8s leur classification en tant qu’installation critique.<\/li>\n
- Contr\u00f4le plut\u00f4t que prise de vue instantan\u00e9e.<\/strong> Un contr\u00f4le unique des fournisseurs ne ferme pas le vecteur. L’acc\u00e8s, l’acc\u00e8s, les contrats et la reprise doivent inclure en permanence la cha\u00eene d’approvisionnement.<\/li>\n<\/ul>\n<\/div>\n
Liens associ\u00e9s :<\/strong> Le Cyber Resilience Act s’applique \u00e9galement \u00e0 vos actifs<\/a> · Cinq indicateurs cl\u00e9s que le conseil de surveillance comprend vraiment<\/a><\/p>\n
Ce que la loi-cadre Dach modifie dans la cha\u00eene d’approvisionnement<\/h2>\n
La loi-cadre KRITIS est en vigueur depuis le 17 mars 2026. Le cabinet l’avait d\u00e9cid\u00e9e le 29 janvier, et le Bundesrat y a donn\u00e9 son accord. Sur le plan juridique, elle met en \u0153uvre la directive UE 2022\/2557 relative \u00e0 la r\u00e9silience des infrastructures critiques, \u00e9galement appel\u00e9e directive CER. Cela cr\u00e9e pour la premi\u00e8re fois un cadre uniforme au niveau f\u00e9d\u00e9ral, s’appliquant \u00e0 tous les secteurs, pour la protection physique et la r\u00e9silience des installations critiques.<\/p>\n
Il est important de noter que cette loi est le compl\u00e9ment physique de la partie IT, qui est couverte par la NIS2 et le BSIG. Environ 1 300 exploitants sont concern\u00e9s par la logique CER et doivent d\u00e9sormais remplir des obligations de d\u00e9claration, disposer d’une gestion de la continuit\u00e9 des activit\u00e9s, d\u00e9montrer la s\u00e9curit\u00e9 physique et la fiabilit\u00e9 du personnel, et mettre en place une gestion de crise solide. La cha\u00eene d’approvisionnement est incluse dans chacun de ces domaines, non pas comme un appendice, mais comme une partie int\u00e9grante de l’installation.<\/p>\n
La directive CER con\u00e7oit la r\u00e9silience de mani\u00e8re large et intentionnelle. Elle ne se r\u00e9f\u00e8re pas seulement aux cyberattaques, mais \u00e0 la panne en soi : que ce soit par sabotage, par un \u00e9v\u00e9nement naturel, par la perte d’un fournisseur ou par une combinaison de ces facteurs. \u00c0 ce stade, le monde physique rencontre le monde num\u00e9rique. Un acc\u00e8s \u00e0 distance manipul\u00e9 constitue un incident cybern\u00e9tique avec des cons\u00e9quences physiques, tandis qu’un c\u00e2ble sectionn\u00e9 repr\u00e9sente un incident physique avec des cons\u00e9quences num\u00e9riques. L’exploitant doit conna\u00eetre les deux cha\u00eenes. Les deux m\u00e8nent t\u00f4t ou tard \u00e0 un fournisseur.<\/p>\n
\n\n17 juillet<\/div>\nD\u00e9but de l’enregistrement sur la plateforme de BBK et BSI (2026)<\/p>\n<\/div>\n
\n1 300<\/div>\nExploitants concern\u00e9s par la mise en \u0153uvre de la directive CER<\/p>\n<\/div>\n
\n3 mois<\/div>\nD\u00e9lai d’enregistrement apr\u00e8s la classification en tant qu’installation critique<\/p>\n<\/div>\n<\/div>\n
Le fournisseur se retrouve soudainement dans le champ d’application<\/h2>\n
La phrase qui s\u00e9parait l’approvisionnement de la s\u00e9curit\u00e9 dispara\u00eet avec la loi-cadre. Les fournisseurs et les techniciens de service ayant un acc\u00e8s physique ou num\u00e9rique \u00e0 une installation critique sont soumis aux m\u00eames exigences d’int\u00e9grit\u00e9 et de fiabilit\u00e9 que les employ\u00e9s internes. L’acc\u00e8s \u00e0 distance d’un fabricant, le technicien dans le poste de commande, le service cloud derri\u00e8re le syst\u00e8me de contr\u00f4le de processus : les trois sont, du point de vue de l’installation, des acteurs internes proches, et non externes.<\/p>\n
Pour les exploitants, cela d\u00e9place une responsabilit\u00e9. Jusqu’\u00e0 pr\u00e9sent, le prestataire de services \u00e9tait une question d’achat avec un contrat-cadre. Maintenant, c’est une question de s\u00e9curit\u00e9 avec un contr\u00f4le d’acc\u00e8s, des droits d’acc\u00e8s, une v\u00e9rification des ant\u00e9c\u00e9dents et une image claire de qui a acc\u00e9d\u00e9 \u00e0 quel syst\u00e8me et quand. Celui qui d\u00e9l\u00e8gue cette responsabilit\u00e9 au fournisseur et la laisse entre ses mains n’a pas rempli son devoir.<\/p>\n
\nD\u00e9finition · Installation critique<\/p>\n
Un \u00e9tablissement dont la d\u00e9faillance perturberait consid\u00e9rablement l’approvisionnement de la population, par exemple dans les domaines de l’\u00e9nergie, de l’eau, de la sant\u00e9 ou des transports. La loi-cadre rend sa r\u00e9silience obligatoire pour les exploitants et implique \u00e9galement ses fournisseurs dans cette obligation. Dans le contexte DACH (Allemagne, Autriche, Suisse), il est important de noter que cette loi-cadre vise \u00e0 renforcer la s\u00e9curit\u00e9 des installations critiques, qui sont essentielles pour le fonctionnement de la soci\u00e9t\u00e9.<\/p>\n<\/div>\n
Pourquoi une liste d’audit ne ferme pas le vecteur<\/h2>\n
Un fournisseur peut avoir \u00e9t\u00e9 v\u00e9rifi\u00e9, approuv\u00e9 et valid\u00e9 une fois, mais l’installation peut n\u00e9anmoins rester vuln\u00e9rable. Le canal de maintenance \u00e0 distance reste actif, l’ordinateur portable du technicien passe d’un client \u00e0 l’autre, et le sous-traitant n’appara\u00eet m\u00eame pas dans le contrat. Un instantan\u00e9 du processus d’approvisionnement ne prend en compte aucun de ces \u00e9tats. Il procure une bonne impression et une case coch\u00e9e dans le tableau.<\/p>\n
La r\u00e9silience n’appara\u00eet que lorsque l’acc\u00e8s est g\u00e9r\u00e9 de mani\u00e8re permanente. Le principe du moindre privil\u00e8ge pour les externes, les acc\u00e8s temporis\u00e9s, la maintenance \u00e0 distance enregistr\u00e9e et une cha\u00eene de d\u00e9claration qui fonctionne m\u00eame lorsque l’incident d\u00e9bute chez le prestataire de services. Il ne s’agit pas d’un projet ponctuel, mais d’un mode de fonctionnement.<\/p>\n
Et le canal ne s’arr\u00eate pas non plus chez le fournisseur direct. Le fournisseur de services cloud de ce dernier, sa plateforme de maintenance \u00e0 distance, ses sous-traitants, tous ces \u00e9l\u00e9ments prolongent la cha\u00eene et ajoutent des maillons qui ne figurent souvent m\u00eame pas dans le contrat. Celui qui ne v\u00e9rifie que le partenaire contractuel voit le risque s’arr\u00eater une \u00e9tape trop t\u00f4t. Pour les installations critiques, c’est justement cette profondeur cach\u00e9e de la cha\u00eene d’approvisionnement qui fait que la fiabilit\u00e9 sur le papier et la fiabilit\u00e9 dans la pratique peuvent diverger.<\/p>\n
La responsabilit\u00e9 reste au sommet<\/h2>\n
La loi-cadre s’adresse aux exploitants, et non \u00e0 leurs prestataires de services. Cette orientation est intentionnelle. La responsabilit\u00e9 de la r\u00e9silience d’une installation critique repose sur sa direction et ne peut pas \u00eatre transf\u00e9r\u00e9e par contrat. Un exploitant peut acheter des services, mais il n’ach\u00e8te pas la responsabilit\u00e9 de leur s\u00e9curit\u00e9 avec.<\/p>\n
Pour la direction g\u00e9n\u00e9rale, cela signifie une obligation de preuve. Elle doit \u00eatre en mesure de d\u00e9montrer que les risques li\u00e9s aux fournisseurs sont identifi\u00e9s, \u00e9valu\u00e9s et ma\u00eetris\u00e9s. Un registre qui documente cet examen fait, dans les cas graves, la diff\u00e9rence entre une diligence prouv\u00e9e et une accusation ouverte. La surveillance ne demandera pas si un prestataire de services a \u00e9chou\u00e9, mais si l’exploitant avait un contr\u00f4le sur lui.<\/p>\n
Ce que les exploitants doivent r\u00e9gler dans la cha\u00eene d’approvisionnement<\/h2>\n
La premi\u00e8re \u00e9tape est sans surprise : une carte honn\u00eate de tous ceux qui ont acc\u00e8s physique ou num\u00e9rique \u00e0 l’installation depuis l’ext\u00e9rieur. Cela donne lieu \u00e0 cinq leviers que la loi exige.<\/p>\n
- \n
- Cartographier les acc\u00e8s.<\/strong> Toute personne ext\u00e9rieure ayant acc\u00e8s ou un acc\u00e8s syst\u00e8me doit figurer dans un r\u00e9pertoire \u00e0 jour, y compris les sous-traitants.<\/li>\n
- Transf\u00e9rer les obligations contractuellement.<\/strong> La fiabilit\u00e9, les voies de d\u00e9claration et les droits d’inspection doivent \u00eatre inclus dans le contrat, et non dans une d\u00e9claration d’intention.<\/li>\n
- Contr\u00f4ler l’acc\u00e8s et l’acc\u00e8s.<\/strong> Droits temporis\u00e9s, v\u00e9rifications de s\u00e9curit\u00e9 pour les r\u00f4les sensibles, maintenance \u00e0 distance enregistr\u00e9e.<\/li>\n
- Inclure la reprise.<\/strong> Les plans de continuit\u00e9 des activit\u00e9s et de gestion de crise doivent prendre en compte la d\u00e9faillance d’un fournisseur, et non seulement la leur.<\/li>\n
- Fermer les cha\u00eenes de d\u00e9claration.<\/strong> Le d\u00e9lai de 72 heures pour d\u00e9clarer au BSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informationnelle, Bundesamt f\u00fcr Sicherheit in der Informationstechnik) s’applique \u00e9galement en cas d’incident impliquant un prestataire de services.<\/li>\n<\/ul>\n
Le d\u00e9lai n’est pas une formalit\u00e9.<\/p>\n
\n\n17 mars 2026<\/div>\nLa loi-cadre KRITIS (critique pour la s\u00e9curit\u00e9 de l’approvisionnement) entre en vigueur. Pour les lecteurs internationaux, il est important de noter que KRITIS fait r\u00e9f\u00e9rence aux infrastructures critiques en Allemagne, qui sont essentielles pour la s\u00e9curit\u00e9 de l’approvisionnement et la stabilit\u00e9 de l’\u00c9tat.<\/div>\n<\/div>\n\n17 juillet 2026<\/div>\nL’enregistrement sur la plateforme du BBK (Office f\u00e9d\u00e9ral de gestion des situations de crise, Bundesamt f\u00fcr Bev\u00f6lkerungsschutz und Katastrophenhilfe) et du BSI commence.<\/div>\n<\/div>\n\n+3 mois<\/div>\nL’obligation d’enregistrement apr\u00e8s la classification comme installation critique.<\/div>\n<\/div>\n<\/div>\nLes trois mois peuvent sembler un d\u00e9lai raisonnable. Dans la pratique, le temps passe vite lorsqu’il s’agit de ce qui manque avant : une image compl\u00e8te de ses propres fournisseurs. Ceux qui n’ont pas cette carte aujourd’hui devraient la cr\u00e9er avant le d\u00e9lai, et non apr\u00e8s.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQu’est-ce que la loi-cadre KRITIS r\u00e9git-elle ?<\/strong><\/summary>\n
Il met en \u0153uvre la directive UE-CER et cr\u00e9e un cadre uniforme au niveau f\u00e9d\u00e9ral pour la r\u00e9silience physique des installations critiques : obligations de d\u00e9claration, gestion de la continuit\u00e9 des activit\u00e9s, s\u00e9curit\u00e9 physique, fiabilit\u00e9 du personnel et gestion de crise. Les obligations informatiques issues de la NIS2 restent inchang\u00e9es.<\/p>\n<\/details>\n
\n\u00c0 partir de quand les exploitants doivent-ils s’enregistrer ?<\/strong><\/summary>\n
L’inscription sur la plateforme commune du BBK (Bundesamt f\u00fcr Bev\u00f6lkerungsschutz und Katastrophenhilfe, Office f\u00e9d\u00e9ral de protection de la population et d’aide en cas de catastrophe) et du BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik, Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 des technologies de l’information) est possible \u00e0 partir du 17 juillet 2026. Elle deviendra obligatoire au plus tard trois mois apr\u00e8s la classification en tant qu’installation critique.<\/p>\n<\/details>\n
\nLes fournisseurs sont-ils vraiment soumis aux m\u00eames exigences ?<\/strong><\/summary>\n
Les fournisseurs et les techniciens de service ayant un acc\u00e8s physique ou num\u00e9rique \u00e0 l’installation sont soumis aux m\u00eames exigences d’int\u00e9grit\u00e9 et de fiabilit\u00e9 que les employ\u00e9s internes. L’exploitant reste responsable, m\u00eame s’il a achet\u00e9 la prestation.<\/p>\n<\/details>\n
\nComment la loi allemande sur le toit (Dachgesetz) se rapporte-t-elle \u00e0 la directive NIS2, qui est une r\u00e9glementation europ\u00e9enne visant \u00e0 am\u00e9liorer la cybers\u00e9curit\u00e9 des entit\u00e9s essentielles dans l’Union europ\u00e9enne, notamment dans les pays du DACH (Allemagne, Autriche, Suisse), o\u00f9 ces r\u00e9glementations ont un impact significatif ?<\/strong><\/summary>\n
Le NIS2 et le BSIG couvrent la s\u00e9curit\u00e9 informatique, la loi-cadre la s\u00e9curit\u00e9 physique et la r\u00e9silience organisationnelle. Pour de nombreux op\u00e9rateurs, les deux r\u00e9gimes s’appliquent en parall\u00e8le. Ils devraient \u00eatre consid\u00e9r\u00e9s comme un syst\u00e8me de gouvernance unique, et non comme deux projets distincts.<\/p>\n<\/details>\n
\nQuel est le premier pas concret ?<\/strong><\/summary>\n
Un r\u00e9pertoire complet de tous les externes ayant acc\u00e8s \u00e0 l’installation, y compris les sous-traitants. Sans cette carte, il est impossible de ren\u00e9gocier les contrats ou de contr\u00f4ler de mani\u00e8re s\u00e9curis\u00e9e l’acc\u00e8s et l’acc\u00e8s.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Le risque de la cha\u00eene d\u2019approvisionnement est un programme, pas une liste d\u2019audit<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/geschaeftsfuehrung-nis2-dokumentationspflicht-bsig-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Ce que la direction g\u00e9n\u00e9rale doit documenter au titre de NIS2<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Quels droits de d\u00e9cision du CISO doivent \u00eatre r\u00e9gis par \u00e9crit<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>AI Act de l\u2019UE \u00e0 partir d\u2019ao\u00fbt 2026 : ce que les PME doivent \u00e9tiqueter maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>cloudmagazin<\/span>XFS4IoT rencontre le Cloud : le distributeur automatique de billets devient une plateforme<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La loi-cadre KRITIS rend les fournisseurs fiables \u00e0 la responsabilit\u00e9 des exploitants. Le plan de gouvernance jusqu’\u00e0 l’enregistrement.","protected":false},"author":50,"featured_media":22055,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"cha\u00eene d'approvisionnement KRITIS","_yoast_wpseo_title":"Le plus faible des fournisseurs ouvre l'installation critique","_yoast_wpseo_metadesc":"La loi-cadre KRITIS impose des obligations aux fournisseurs ayant acc\u00e8s \u00e0 l'installation critique. Ce que les exploitants doivent r\u00e9gler avant le 1er juillet 2026.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[3,260],"tags":[],"class_list":["post-22075","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-aktuelles","category-strategie-governance-fr"],"evm_reading_time_minutes":11,"wpml_language":"fr","wpml_translation_of":22054,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22075","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22075"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22075\/revisions"}],"predecessor-version":[{"id":22078,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22075\/revisions\/22078"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22055"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22075"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22075"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22075"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - Transf\u00e9rer les obligations contractuellement.<\/strong> La fiabilit\u00e9, les voies de d\u00e9claration et les droits d’inspection doivent \u00eatre inclus dans le contrat, et non dans une d\u00e9claration d’intention.<\/li>\n
- Le fournisseur est dans le champ d’application.<\/strong> Les fournisseurs et les techniciens de service ayant un acc\u00e8s physique ou num\u00e9rique sont soumis aux m\u00eames exigences d’int\u00e9grit\u00e9 et de fiabilit\u00e9 que les employ\u00e9s proprement dits.<\/li>\n