Qu\u2019est-ce que les infrastructures critiques (KRITIS) ?<\/strong> KRITIS d\u00e9signe les infrastructures critiques, c\u2019est-\u00e0-dire les organisations et installations d\u2019importance centrale pour le bien commun de l\u2019\u00c9tat. En cas de d\u00e9faillance ou de perturbation de leur fonctionnement, des p\u00e9nuries durables ou des menaces pour la s\u00e9curit\u00e9 publique peuvent survenir. En Allemagne, les exploitants concern\u00e9s sont d\u00e9finis par la loi sur le BSI (BSI-Gesetz) et le r\u00e8glement sur les infrastructures critiques du BSI (BSI-Kritisverordnung).<\/p>\n<\/div>\n Points cl\u00e9s<\/p>\n Le l\u00e9gislateur attribue dix secteurs aux infrastructures critiques : \u00e9nergie, eau, alimentation, technologies de l’information et t\u00e9l\u00e9communications, sant\u00e9, services financiers et assurances, transports et trafic, \u00e9limination des d\u00e9chets urbains, ainsi que l’\u00c9tat et l’administration, et le domaine des m\u00e9dias et de la culture. Ce qui est d\u00e9terminant n’est pas uniquement le secteur d’activit\u00e9, mais l’importance de l’installation en termes d’approvisionnement.<\/p>\n Pour savoir si une entreprise est soumise \u00e0 ces r\u00e8gles, il faut se r\u00e9f\u00e9rer \u00e0 des seuils. L’ordonnance BSI-Kritis d\u00e9finit des limites pr\u00e9cises pour chaque type d’installation, souvent mesur\u00e9es en fonction du nombre de personnes desservies. Une valeur de r\u00e9f\u00e9rence de 500 000 personnes servies sert d’indicateur. Toute entreprise d\u00e9passant ce seuil est consid\u00e9r\u00e9e comme exploitant au sens de la loi.<\/p>\n Pour les lecteurs internationaux : en Allemagne, les infrastructures critiques (KRITIS) d\u00e9signent les installations essentielles \u00e0 la soci\u00e9t\u00e9 et \u00e0 l’\u00e9conomie, dont la perturbation pourrait avoir des cons\u00e9quences graves. Leur protection est encadr\u00e9e par la loi pour garantir la continuit\u00e9 des services vitaux.<\/p>\n De l’\u00e9nergie \u00e0 l’\u00c9tat et \u00e0 l’administration, la classification l\u00e9gale des infrastructures critiques en Allemagne couvre un large \u00e9ventail de domaines<\/p>\n Source : ordonnance BSI-Kritis<\/p>\n<\/div>\n Les exploitants doivent mettre en place des mesures organisationnelles et techniques appropri\u00e9es pour \u00e9viter les perturbations affectant la disponibilit\u00e9, l\u2019int\u00e9grit\u00e9, l\u2019authenticit\u00e9 et la confidentialit\u00e9 de leurs syst\u00e8mes. La r\u00e9f\u00e9rence \u00e0 appliquer est l\u2019\u00e9tat de l\u2019art technologique. Ces mesures doivent \u00eatre justifi\u00e9es r\u00e9guli\u00e8rement aupr\u00e8s du BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik), en pratique tous les deux ans.<\/p>\n S\u2019y ajoute l\u2019obligation de signalement. Les perturbations significatives pouvant entra\u00eener une interruption ou une d\u00e9gradation d\u2019un service critique doivent \u00eatre d\u00e9clar\u00e9es au BSI. Celui-ci centralise ces signalements dans une situation globale et transmet des alertes aux autres exploitants.<\/p>\n Premi\u00e8res \u00e9tapes pour les futurs exploitants<\/p>\n Le KRITIS (syst\u00e8me de protection des infrastructures critiques) r\u00e9glemente depuis des ann\u00e9es la cybers\u00e9curit\u00e9 des services essentiels en Allemagne. La directive europ\u00e9enne NIS2 \u00e9largit consid\u00e9rablement le cercle des entit\u00e9s concern\u00e9es et renforce les obligations de d\u00e9claration ainsi que les responsabilit\u00e9s de direction. L\u2019Allemagne transpose cette directive dans son droit national via la loi de transposition NIS2 (NIS2-Umsetzungsgesetz), qui s\u2019int\u00e8gre au cadre existant du KRITIS.<\/p>\n Parall\u00e8lement, la future loi-cadre KRITIS (KRITIS-Dachgesetz) vise \u00e0 renforcer la protection physique des infrastructures critiques, par exemple contre les actes de sabotage ou les catastrophes naturelles. La r\u00e9silience, qu\u2019elle soit cyber ou physique, s\u2019inscrit ainsi dans un cadre commun de responsabilit\u00e9s. Pour les op\u00e9rateurs, cela signifie qu\u2019ils doivent consid\u00e9rer ces trois textes r\u00e9glementaires comme un ensemble coh\u00e9rent plut\u00f4t que comme des projets distincts.<\/p>\n Les obligations issues du cadre KRITIS ne sont pas une simple formalit\u00e9 administrative. Si un exploitant ne respecte pas ses obligations de preuve ou de d\u00e9claration, l\u2019BSI<\/abbr> peut prendre des mesures et infliger des amendes. Avec la loi de transposition de la directive NIS2, le cadre des sanctions potentielles s\u2019\u00e9largit consid\u00e9rablement et s\u2019aligne sur les seuils de chiffre d\u2019affaires, \u00e0 l\u2019image du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD).<\/p>\n L\u2019innovation majeure r\u00e9side surtout dans la responsabilit\u00e9 accrue de la direction. La NIS2 impose explicitement aux dirigeants de valider les mesures de gestion des risques et d\u2019en superviser la mise en \u0153uvre. La cybers\u00e9curit\u00e9 devient ainsi une mission de direction, et non plus un simple sujet technique. Anticiper ces exigences permet non seulement de r\u00e9duire les risques cyber, mais aussi de limiter l\u2019exposition personnelle des responsables en cas de manquement.<\/p>\n Le chemin vers la conformit\u00e9 KRITIS commence rarement \u00e0 z\u00e9ro. De nombreux exploitants disposent d\u00e9j\u00e0 d\u2019un SMSI (Syst\u00e8me de Management de la S\u00e9curit\u00e9 de l\u2019Information), par exemple selon la norme ISO 27001 ou la protection de base IT (IT-Grundschutz), qui sert de base solide. Une \u00e9valuation honn\u00eate du niveau de maturit\u00e9 s\u2019impose : quels aspects de l\u2019organisation de s\u00e9curit\u00e9 existante r\u00e9pondent d\u00e9j\u00e0 aux exigences, et o\u00f9 subsistent des lacunes, notamment en mati\u00e8re de voies de signalement, de preuves ou de s\u00e9curisation des installations individuelles ?<\/p>\n L\u2019\u00e9change avec d\u2019autres exploitants s\u2019av\u00e8re particuli\u00e8rement utile. Via la plateforme UP KRITIS, l\u2019\u00c9tat et les entreprises collaborent de mani\u00e8re transversale et partagent leurs exp\u00e9riences concernant les menaces et les mesures de protection. En s\u2019appuyant sur ce cadre, il n\u2019est pas n\u00e9cessaire de r\u00e9inventer la roue : les exploitants sont inform\u00e9s en amont des attaques actuellement pertinentes dans leur secteur d\u2019activit\u00e9.<\/p>\n Contexte pour les lecteurs internationaux :<\/strong> En Allemagne, la notion de KRITIS (Infrastructures Critiques) d\u00e9signe les installations et services essentiels pour le fonctionnement de la soci\u00e9t\u00e9. Leur protection est encadr\u00e9e par la loi sur la s\u00e9curit\u00e9 des infrastructures critiques (KRITIS-Sektorenverordnung), qui impose des exigences strictes en mati\u00e8re de cybers\u00e9curit\u00e9 aux exploitants concern\u00e9s.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n D\u00e8s qu\u2019une installation d\u00e9passe les seuils fix\u00e9s par l\u2019ordonnance allemande sur les infrastructures critiques (BSI-KritisV). Ceux-ci varient selon le secteur et le type d\u2019installation, et sont souvent bas\u00e9s sur le nombre de personnes desservies.<\/p>\n<\/details>\n Le cadre allemand existant pour les infrastructures critiques s\u2019appelle KRITIS. La directive NIS2 de l\u2019UE \u00e9largit le cercle des entit\u00e9s r\u00e9glement\u00e9es et est transpos\u00e9e en droit allemand par la loi nationale de mise en \u0153uvre.<\/p>\n<\/details>\n En Allemagne, l\u2019BSI<\/abbr> (Bundesamt f\u00fcr Sicherheit in der Informationstechnik) est l\u2019autorit\u00e9 comp\u00e9tente pour la cybers\u00e9curit\u00e9 des infrastructures critiques. C\u2019est l\u00e0 que sont centralis\u00e9s les preuves de conformit\u00e9 et les signalements d\u2019incidents.<\/p>\n<\/details>\n Les exploitants doivent r\u00e9guli\u00e8rement justifier des mesures mises en place, en pratique tous les deux ans. Cette justification s\u2019effectue notamment par le biais d\u2019audits de s\u00e9curit\u00e9, de contr\u00f4les ou de certifications.<\/p>\n<\/details>\n Un projet de loi visant \u00e0 renforcer la protection physique des infrastructures critiques et \u00e0 compl\u00e9ter les obligations existantes en mati\u00e8re de cybers\u00e9curit\u00e9 par des mesures de r\u00e9silience contre les menaces physiques.<\/p>\n<\/details>\n <\/p>\n\n
Quels secteurs rel\u00e8vent des infrastructures critiques (KRITIS)<\/h2>\n
Quelles obligations incombent aux exploitants ?<\/h2>\n
\n
Comment le KRITIS, la directive NIS2 et la loi-cadre allemande s\u2019articulent<\/h2>\n
Quelles sanctions en cas de manquement ?<\/h2>\n
Comment les exploitants peuvent se pr\u00e9parer de mani\u00e8re structur\u00e9e<\/h2>\n
Foire aux questions<\/h2>\n
\u00c0 partir de quand mon entreprise est-elle consid\u00e9r\u00e9e comme un exploitant d\u2019infrastructures critiques (KRITIS) ?<\/strong><\/summary>\n
Quelle est la diff\u00e9rence entre KRITIS et NIS2 ?<\/strong><\/summary>\n
Quelle autorit\u00e9 est comp\u00e9tente\u202f?<\/strong><\/summary>\n
\u00c0 quelle fr\u00e9quence doit-on fournir cette preuve ?<\/strong><\/summary>\n
Qu\u2019est-ce que la loi-cadre KRITIS ?<\/strong><\/summary>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ciso-mandat-entscheidungsrechte-eskalation-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Quels droits de d\u00e9cision du CISO doivent \u00eatre r\u00e9gis par \u00e9crit<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Le risque de la cha\u00eene d\u2019approvisionnement est un programme, pas une liste d\u2019audit<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/geschaeftsfuehrung-nis2-dokumentationspflicht-bsig-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Ce que la direction g\u00e9n\u00e9rale doit documenter au titre de NIS2<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>AI Act de l\u2019UE \u00e0 partir d\u2019ao\u00fbt 2026 : ce que les PME doivent \u00e9tiqueter maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>cloudmagazin<\/span>XFS4IoT rencontre le Cloud : le distributeur automatique de billets devient une plateforme<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"D\u00e9finition des infrastructures critiques, les acteurs concern\u00e9s et les obligations, seuils et d\u00e9clarations exig\u00e9s par l’ANSSI.","protected":false},"author":10,"featured_media":22090,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"op\u00e9rateurs d'infrastructures critiques","_yoast_wpseo_title":"Qu'est-ce que les infrastructures critiques ? Acteurs","_yoast_wpseo_metadesc":"D\u00e9finition des infrastructures critiques, acteurs concern\u00e9s et obligations l\u00e9gales, seuils et d\u00e9clarations impos\u00e9s par l'ANSSI.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[264],"tags":[],"class_list":["post-22318","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheitslexikon-fr"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":22017,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22318","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22318"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22318\/revisions"}],"predecessor-version":[{"id":22319,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22318\/revisions\/22319"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22090"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22318"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22318"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22318"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}