7 min de lecture<\/p>\n
Le 6 mars 2026, le d\u00e9lai \u00e9tait expir\u00e9. Trois mois apr\u00e8s l’entr\u00e9e en vigueur de la loi de transposition du NIS2, environ 29 500 entreprises devaient s’inscrire aupr\u00e8s du BSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informatique). R\u00e9sultat : seuls 38,5 % ont respect\u00e9 le d\u00e9lai. Toute entreprise non inscrite s’expose d\u00e9sormais \u00e0 des amendes pouvant atteindre 10 millions d’euros ainsi qu’\u00e0 une responsabilit\u00e9 personnelle des dirigeants. Cet article explique ce que l’article 30 BSIG exige concr\u00e8tement, o\u00f9 se situent les lacunes les plus fr\u00e9quentes, et ce que les \u00e9quipes de s\u00e9curit\u00e9 informatique doivent faire d\u00e8s maintenant.<\/strong><\/p>\n La loi de transposition du NIS2 (NIS2UmsuCG) est entr\u00e9e en vigueur le 6 d\u00e9cembre 2025, sans p\u00e9riode de transition. \u00c0 compter de cette date, toutes les obligations s’appliquaient. Trois mois plus tard, le 6 mars 2026, expirait le d\u00e9lai d’inscription aupr\u00e8s du BSI. Le BSI avait mis en ligne sa plateforme d’inscription le 6 janvier 2026.<\/p>\n Les chiffres apr\u00e8s l’expiration du d\u00e9lai sont alarmants : selon des rapports sectoriels, seulement environ 11 500 des quelque 29 500 \u00e9tablissements concern\u00e9s se sont inscrits. Cela correspond \u00e0 38,5 %. La majorit\u00e9 des entreprises concern\u00e9es sont donc d\u00e9sormais en retard sur le plan formel.<\/p>\n \u00c0 titre de comparaison : sous l’ancienne loi sur la s\u00e9curit\u00e9 informatique, le BSI supervisait environ 4 500 organisations. Avec le NIS2, ce nombre a plus que sextupl\u00e9. De nombreuses entreprises nouvellement concern\u00e9es n’avaient auparavant aucun contact avec la r\u00e9glementation du BSI et sous-estiment consid\u00e9rablement l’effort requis pour mettre en \u0153uvre les mesures minimales.<\/p>\n Sources : Communiqu\u00e9 de presse du BSI, d\u00e9cembre 2025 ; Security Insider, mars 2026 ; article 65 BSIG<\/p>\n Le NIS2 distingue deux cat\u00e9gories. Si vous relevez de l\u2019une d\u2019elles, vous \u00eates tenu de vous inscrire.<\/p>\n \u00c9tablissements particuli\u00e8rement importants :<\/strong> \u00c0 partir de 250 employ\u00e9s ou d\u2019un chiffre d\u2019affaires annuel de 50 millions d\u2019euros, avec un total de bilan d\u2019au moins 43 millions d\u2019euros. Ces entreprises font l\u2019objet de contr\u00f4les proactifs et r\u00e9guliers par le BSI. Les amendes peuvent atteindre 10 millions d\u2019euros ou 2 % du chiffre d\u2019affaires annuel mondial.<\/p>\n \u00c9tablissements importants :<\/strong> \u00c0 partir de 50 employ\u00e9s ou d\u2019un chiffre d\u2019affaires annuel de 10 millions d\u2019euros. Le BSI proc\u00e8de ici \u00e0 des contr\u00f4les r\u00e9actifs, c\u2019est-\u00e0-dire uniquement en cas de soup\u00e7on d\u2019infraction ou apr\u00e8s un incident de s\u00e9curit\u00e9. Les amendes peuvent atteindre 7 millions d\u2019euros ou 1,4 % du chiffre d\u2019affaires annuel mondial.<\/p>\n Au total, le NIS2 couvre 18 secteurs. Onze d\u2019entre eux sont qualifi\u00e9s d\u2019\u00ab essentiels \u00bb : \u00e9nergie, transport, banque, infrastructure des march\u00e9s financiers, sant\u00e9, eau potable, eaux us\u00e9es, infrastructures num\u00e9riques, services TIC, administration publique et espace. Sept autres secteurs sont jug\u00e9s \u00ab importants \u00bb : poste, gestion des d\u00e9chets, chimie, agroalimentaire, industrie manufacturi\u00e8re, fournisseurs de services num\u00e9riques et recherche.<\/p>\n L\u2019erreur la plus courante consiste \u00e0 penser : \u00ab Nous sommes trop petits \u00bb. En r\u00e9alit\u00e9, le seuil est fix\u00e9 \u00e0 50 employ\u00e9s ou 10 millions d\u2019euros de chiffre d\u2019affaires. De nombreuses PME, qui ne se sont jamais consid\u00e9r\u00e9es comme pertinentes au regard du KRITIS (infrastructures critiques), tombent sous ce seuil. Particuli\u00e8rement trompeur : les filiales et soci\u00e9t\u00e9s li\u00e9es peuvent d\u00e9passer ces seuils en raison de leur appartenance \u00e0 un groupe.<\/p>\n Le c\u0153ur op\u00e9rationnel de la loi de transposition du NIS2 figure \u00e0 l\u2019article 30, alin\u00e9a 2, du BSIG. Le l\u00e9gislateur y d\u00e9finit dix domaines que chaque entit\u00e9 concern\u00e9e doit couvrir. Aucune de ces mesures n\u2019est facultative.<\/p>\n 1. Analyse des risques et concepts de s\u00e9curit\u00e9.<\/strong> Les entreprises doivent disposer de concepts document\u00e9s relatifs \u00e0 l\u2019analyse des risques et \u00e0 la s\u00e9curit\u00e9 de l\u2019information. Pas de simple formalit\u00e9 : le BSI v\u00e9rifie si ces concepts sont \u00e0 jour, complets et adapt\u00e9s \u00e0 la r\u00e9alit\u00e9 de leur paysage informatique.<\/p>\n 2. Gestion des incidents.<\/strong> Les incidents de s\u00e9curit\u00e9 doivent pouvoir \u00eatre d\u00e9tect\u00e9s, class\u00e9s et trait\u00e9s efficacement. Le BSI attend des voies de signalement clairement d\u00e9finies, des processus d\u2019escalade et une analyse document\u00e9e post-incident. L\u2019exp\u00e9rience montre<\/a> que de nombreux plans de r\u00e9ponse aux incidents ne fonctionnent pas en situation r\u00e9elle.<\/p>\n 3. Continuit\u00e9 d\u2019activit\u00e9.<\/strong> Maintien de l\u2019exploitation, gestion des sauvegardes, restauration apr\u00e8s sinistre et gestion de crise. Ce n\u2019est pas uniquement technique : les proc\u00e9dures organisationnelles en cas d\u2019urgence doivent \u00e9galement \u00eatre d\u00e9finies et r\u00e9guli\u00e8rement test\u00e9es lors d\u2019exercices. Un plan de sauvegarde sur papier ne sert \u00e0 rien si la restauration n\u2019a jamais \u00e9t\u00e9 valid\u00e9e.<\/p>\n 4. S\u00e9curit\u00e9 de la cha\u00eene d\u2019approvisionnement.<\/strong> S\u00e9curit\u00e9 de la cha\u00eene logistique, y compris des prestataires directs et des fournisseurs de services. C\u2019est l\u2019un des points faibles les plus fr\u00e9quents : de nombreuses entreprises ignorent les pratiques de s\u00e9curit\u00e9 de leurs prestataires informatiques. Le NIS2 exige que ces risques soient syst\u00e9matiquement identifi\u00e9s et encadr\u00e9s contractuellement. Cela concerne aussi bien les fournisseurs de services cloud, les prestataires g\u00e9r\u00e9s (MSP) que les fournisseurs de logiciels.<\/p>\n 5. Approvisionnement et d\u00e9veloppement s\u00e9curis\u00e9s.<\/strong> Mesures de s\u00e9curit\u00e9 lors de l\u2019acquisition, du d\u00e9veloppement et de la maintenance des syst\u00e8mes informatiques. Pour les entreprises d\u00e9veloppant elles-m\u00eames des logiciels, cela signifie que la s\u00e9curit\u00e9 int\u00e9gr\u00e9e d\u00e8s la conception (\u00ab Security by Design \u00bb) devient obligatoire, et non plus optionnelle. Le v\u00e9rificateur pratique SBOM<\/a> montre comment la nomenclature logicielle peut y contribuer.<\/p>\n 6. \u00c9valuation de l\u2019efficacit\u00e9.<\/strong> Les entreprises doivent non seulement mettre en \u0153uvre des mesures, mais aussi \u00e9valuer r\u00e9guli\u00e8rement leur efficacit\u00e9. Tests d\u2019intrusion, audits et indicateurs de s\u00e9curit\u00e9 deviennent ainsi obligatoires. Cette \u00e9valuation doit \u00eatre document\u00e9e et pr\u00e9sent\u00e9e \u00e0 la direction g\u00e9n\u00e9rale.<\/p>\n 7. Formation et sensibilisation.<\/strong> Formations fondamentales en cybers\u00e9curit\u00e9 pour l\u2019ensemble des collaborateurs. Pas ponctuelles, mais continues. La direction g\u00e9n\u00e9rale est soumise \u00e0 une obligation sp\u00e9cifique de formation pr\u00e9vue \u00e0 l\u2019article 38 BSIG, qui ne peut \u00eatre d\u00e9l\u00e9gu\u00e9e \u00e0 personne.<\/p>\n \n\u00ab Les entreprises ont besoin de cadres r\u00e9glementaires fiables. \u00bb 8. Cryptographie.<\/strong> Concepts et processus relatifs \u00e0 l\u2019utilisation des m\u00e9thodes cryptographiques. Cela concerne le chiffrement en transit, au repos et dans les communications. Les entreprises doivent documenter quels algorithmes elles utilisent et pourquoi. Les m\u00e9thodes obsol\u00e8tes, telles que SHA-1 ou RSA avec moins de 2048 bits, ne sont plus acceptables.<\/p>\n 9. Contr\u00f4le des acc\u00e8s et gestion des ressources humaines.<\/strong> S\u00e9curit\u00e9 des ressources humaines, contr\u00f4le des acc\u00e8s aux syst\u00e8mes et gestion des syst\u00e8mes TIC. La gestion des identit\u00e9s et des acc\u00e8s (IAM) devient ainsi un sujet de conformit\u00e9, et non plus seulement de s\u00e9curit\u00e9. Le principe du moindre privil\u00e8ge doit \u00eatre appliqu\u00e9 rigoureusement et document\u00e9 de fa\u00e7on v\u00e9rifiable.<\/p>\n 10. Authentification multifacteur et communication s\u00e9curis\u00e9e.<\/strong> MFA ou authentification continue, ainsi que des communications vocales, vid\u00e9o et textuelles s\u00e9curis\u00e9es. Toute entreprise qui n\u2019a pas encore d\u00e9ploy\u00e9 l\u2019authentification multifacteur sur ses syst\u00e8mes critiques n\u2019est plus conforme d\u00e8s aujourd\u2019hui. Cela concerne particuli\u00e8rement les entreprises utilisant Microsoft Teams ou des plateformes similaires pour des \u00e9changes confidentiels.<\/p>\n L\u2019une des nouveaut\u00e9s les plus marquantes du NIS2 figure \u00e0 l\u2019article 38 BSIG. Les dirigeants et membres du conseil d\u2019administration sont personnellement responsables de la mise en \u0153uvre des mesures de gestion des risques. Trois obligations sont inscrites dans la loi.<\/p>\n Obligation d\u2019approbation :<\/strong> Les mesures de gestion des risques pr\u00e9vues \u00e0 l\u2019article 30 doivent \u00eatre formellement approuv\u00e9es par la direction. Une d\u00e9l\u00e9gation au CISO ou au responsable informatique ne suffit pas. La direction doit avoir pris une d\u00e9cision attestable.<\/p>\n Obligation de surveillance :<\/strong> Les dirigeants doivent surveiller activement la mise en \u0153uvre. Il ne s\u2019agit pas seulement d\u2019\u00eatre inform\u00e9s, mais de piloter. Le BSI peut exiger des preuves que cette surveillance est effective.<\/p>\n Obligation de formation :<\/strong> Les organes de direction doivent suivre r\u00e9guli\u00e8rement une formation en cybers\u00e9curit\u00e9. Cette obligation n\u2019est pas d\u00e9l\u00e9geable. Un recyclage est requis au moins tous les trois ans.<\/p>\n Particuli\u00e8rement important : toute renonciation \u00e0 la responsabilit\u00e9 par l\u2019entreprise est exclue par la loi. M\u00eame en d\u00e9signant un CISO, les dirigeants restent personnellement responsables de la conduite strat\u00e9gique. En cas d\u2019incident, l\u2019incapacit\u00e9 \u00e0 prouver l\u2019accomplissement de ces trois obligations expose leur patrimoine personnel.<\/p>\n Le BSI a indiqu\u00e9, apr\u00e8s l\u2019expiration du d\u00e9lai d\u2019inscription, qu\u2019il privil\u00e9gie actuellement la mise en conformit\u00e9 plut\u00f4t que les sanctions imm\u00e9diates. Aucune amende n\u2019a \u00e9t\u00e9 rendue publique \u00e0 ce jour. Cela ne signifie toutefois pas qu\u2019aucune mesure n\u2019est prise.<\/p>\n Depuis janvier 2026, le BSI effectue d\u00e9j\u00e0 des contr\u00f4les sur site dans les \u00e9tablissements particuli\u00e8rement importants. Les premiers r\u00e9sultats r\u00e9v\u00e8lent trois faiblesses r\u00e9currentes : des processus de d\u00e9claration qui ne fonctionnent pas en situation r\u00e9elle, des d\u00e9pendances inconnues dans la cha\u00eene d\u2019approvisionnement, et des syst\u00e8mes de journalisation insuffisants pour les audits du BSI.<\/p>\n Pour les entreprises encore non inscrites, cela signifie que la p\u00e9riode de gr\u00e2ce n\u2019est pas une immunit\u00e9. L\u2019inscription elle-m\u00eame prend quelques heures. Mais la mise en \u0153uvre des mesures pr\u00e9vues \u00e0 l\u2019article 30 n\u00e9cessite des semaines, voire des mois. Toute entreprise qui commence maintenant doit prioriser : inscription imm\u00e9diate, puis gestion des incidents et contr\u00f4le d\u2019acc\u00e8s comme gains rapides, tout en \u00e9laborant parall\u00e8lement le plan de conformit\u00e9 complet<\/a>.<\/p>\n \u00c9tape 1 : V\u00e9rification de l\u2019assujettissement.<\/strong> V\u00e9rifiez : plus de 50 employ\u00e9s ou plus de 10 millions d\u2019euros de chiffre d\u2019affaires ? Actif dans l\u2019un des 18 secteurs ? Si oui : vous \u00eates concern\u00e9.<\/p>\n \u00c9tape 2 : Inscription aupr\u00e8s du BSI.<\/strong> Si ce n\u2019est pas encore fait : inscrivez-vous imm\u00e9diatement via le portail du BSI. L\u2019inscription est simple. Chaque jour de retard augmente le risque d\u2019amende.<\/p>\n \u00c9tape 3 : Analyse des \u00e9carts par rapport \u00e0 l\u2019article 30.<\/strong> Parcourez une \u00e0 une les dix mesures minimales. O\u00f9 des processus existent-ils d\u00e9j\u00e0 ? O\u00f9 manque-t-il de la documentation ? O\u00f9 la mesure fait-elle compl\u00e8tement d\u00e9faut ? R\u00e9sultat : une liste prioris\u00e9e des actions \u00e0 mener.<\/p>\n \u00c9tape 4 : Impliquer la direction.<\/strong> Obtenir une d\u00e9cision du conseil d\u2019administration approuvant les mesures de gestion des risques. Planifier une session de formation pour la direction. D\u00e9finir la fr\u00e9quence de surveillance. Documenter le tout.<\/p>\n \u00c9tape 5 : Cartographier la cha\u00eene d\u2019approvisionnement.<\/strong> Quels prestataires informatiques utilisez-vous ? Quelles normes de s\u00e9curit\u00e9 s\u2019appliquent chez eux ? Existe-t-il des dispositions contractuelles ? La s\u00e9curit\u00e9 de la cha\u00eene d\u2019approvisionnement est le domaine que la plupart des entreprises sous-estiment.<\/p>\n \u00c9tape 6 : Tester les processus de d\u00e9claration.<\/strong> Simuler un incident de s\u00e9curit\u00e9. Les voies d\u2019escalade fonctionnent-elles ? Chacun sait-il qui informer et quand ? La d\u00e9claration parvient-elle au BSI dans le d\u00e9lai prescrit ?<\/p>\n L\u2019inscription aupr\u00e8s du BSI peut \u00eatre effectu\u00e9e en quelques heures. Le v\u00e9ritable travail r\u00e9side dans l\u2019article 30 BSIG : dix domaines de mesures qui doivent \u00eatre document\u00e9s, mis en \u0153uvre et r\u00e9guli\u00e8rement v\u00e9rifi\u00e9s. Avec l\u2019article 38 BSIG, s\u2019ajoute la responsabilit\u00e9 personnelle des dirigeants.<\/p>\n Celui qui n\u2019a pas encore commenc\u00e9 ne doit pas compter sur la p\u00e9riode de gr\u00e2ce du BSI. Les contr\u00f4les sur site sont d\u00e9j\u00e0 en cours. Et la question n\u2019est pas de savoir si<\/em>, mais quand<\/em> la premi\u00e8re amende sera prononc\u00e9e.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Les entreprises comptant au moins 50 employ\u00e9s ou r\u00e9alisant un chiffre d’affaires annuel d’au moins 10 millions d’euros, et actives dans l’un des 18 secteurs NIS2. L’obligation d’inscription est en vigueur depuis le 6 mars 2026.<\/p>\n<\/details>\n Le BSI privil\u00e9gie actuellement la mise en conformit\u00e9 plut\u00f4t que les sanctions imm\u00e9diates. Toutefois, des amendes peuvent \u00eatre prononc\u00e9es \u00e0 tout moment : jusqu’\u00e0 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les \u00e9tablissements particuli\u00e8rement importants. Inscrivez-vous imm\u00e9diatement.<\/p>\n<\/details>\n Oui. L’article 38 BSIG oblige les dirigeants \u00e0 approuver, surveiller et se former personnellement en cybers\u00e9curit\u00e9. Toute renonciation \u00e0 la responsabilit\u00e9 par l’entreprise est interdite par la loi. Cette obligation ne peut pas \u00eatre d\u00e9l\u00e9gu\u00e9e au CISO.<\/p>\n<\/details>\n Analyse des risques, gestion des incidents, continuit\u00e9 d’activit\u00e9, s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement, approvisionnement et d\u00e9veloppement s\u00e9curis\u00e9s, \u00e9valuation de l’efficacit\u00e9, formation, cryptographie, contr\u00f4le d’acc\u00e8s et authentification multifacteur. Ces dix domaines doivent \u00eatre document\u00e9s et mis en \u0153uvre.<\/p>\n<\/details>\n Oui. Le seuil est fix\u00e9 \u00e0 50 employ\u00e9s ou 10 millions d’euros de chiffre d’affaires. De nombreuses PME qui ne se consid\u00e9raient jamais comme relevant du KRITIS (infrastructures critiques) sont d\u00e9sormais concern\u00e9es par le NIS2. Particuli\u00e8rement touch\u00e9s : les entreprises industrielles, l’agroalimentaire et les fournisseurs de services num\u00e9riques.<\/p>\n<\/details>\nL’essentiel<\/h2>\n
\n
Le d\u00e9lai d’inscription est expir\u00e9<\/h2>\n
Qui est concern\u00e9 ? Le test d\u2019assujettissement<\/h2>\n
Article 30 BSIG : les dix mesures minimales en d\u00e9tail<\/h2>\n
\nRalf Wintergerst, pr\u00e9sident de Bitkom (communiqu\u00e9 de presse Bitkom, 2025)<\/cite>\n<\/p><\/blockquote>\nArticle 38 BSIG : pourquoi les dirigeants sont personnellement responsables<\/h2>\n
Ce que fait le BSI apr\u00e8s le 6 mars<\/h2>\n
Check-list imm\u00e9diate : ce que doivent faire les \u00e9quipes de s\u00e9curit\u00e9 informatique maintenant<\/h2>\n
Conclusion : s\u2019inscrire est la partie facile<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qui doit s’inscrire aupr\u00e8s du BSI ?<\/strong><\/summary>\n
Que se passe-t-il si j’ai manqu\u00e9 le d\u00e9lai d’inscription ?<\/strong><\/summary>\n
Le dirigeant est-il personnellement responsable ?<\/strong><\/summary>\n
Quelles sont les dix mesures minimales pr\u00e9vues \u00e0 l’article 30 BSIG ?<\/strong><\/summary>\n
Le NIS2 s’applique-t-il aussi aux PME ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n