L\u2019essentiel en bref<\/p>\n
- \n
- La loi-cadre KRITIS a \u00e9t\u00e9 adopt\u00e9e par le Bundesrat le 6 mars 2026 et entre en vigueur progressivement – avec une premi\u00e8re obligation d\u2019enregistrement d\u2019ici au 17 juillet 2026<\/li>\n
- Environ 2 000 exploitants d\u2019installations critiques dans 11 secteurs sont concern\u00e9s – de l\u2019\u00e9nergie \u00e0 la sant\u00e9 en passant par les transports<\/li>\n
- Pour la premi\u00e8re fois, des mesures de protection physique, la gestion de la continuit\u00e9 d\u2019activit\u00e9 et des obligations de notification sont impos\u00e9es par la loi \u00e0 l\u2019\u00e9chelle transsectorielle<\/li>\n
- La loi-cadre KRITIS compl\u00e8te NIS2 : tandis que NIS2 encadre la cybers\u00e9curit\u00e9 num\u00e9rique, la loi-cadre traite de la r\u00e9silience physique et organisationnelle<\/li>\n
- Les exploitants devraient d\u00e8s maintenant lancer une analyse des \u00e9carts et pr\u00e9parer l\u2019enregistrement obligatoire – ceux qui manqueront les \u00e9ch\u00e9ances s\u2019exposent \u00e0 des amendes pouvant atteindre 10 millions d\u2019euros<\/li>\n<\/ul>\n<\/div>\n\n~4.700<\/div>\nexploitants d\u2019installations critiques rel\u00e8vent de la loi-cadre KRITIS<\/div>\nSource : BSI, 2025<\/div>\n<\/div>\n
Ce que r\u00e9git la loi-cadre KRITIS – et pourquoi elle arrive maintenant<\/h2>\n
La directive de l\u2019UE sur la r\u00e9silience des entit\u00e9s critiques (directive CER, 2022\/2557) oblige tous les \u00c9tats membres \u00e0 cr\u00e9er des r\u00e9glementations nationales pour la protection physique des infrastructures critiques. L\u2019Allemagne met en \u0153uvre cette exigence avec la loi-cadre KRITIS – la premi\u00e8re loi f\u00e9d\u00e9rale \u00e0 rendre obligatoires, tous secteurs confondus, la s\u00e9curit\u00e9 physique et la r\u00e9silience organisationnelle.<\/p>\n
Jusqu\u2019\u00e0 pr\u00e9sent, en Allemagne, la protection des infrastructures critiques reposait surtout sur la r\u00e9glementation du BSI dans le domaine num\u00e9rique (loi sur la s\u00e9curit\u00e9 informatique, d\u00e9sormais NIS2). Les risques physiques tels que le sabotage, les catastrophes naturelles ou les p\u00e9nuries d\u2019approvisionnement \u00e9taient r\u00e9glement\u00e9s secteur par secteur, voire pas du tout. Les attaques contre les gazoducs Nord Stream en 2022, les actes de sabotage cibl\u00e9s contre les infrastructures ferroviaires et la menace hybride croissante ont fortement accru la pression politique.<\/p>\n
R\u00e9sultat : une loi qui regroupe la s\u00e9curit\u00e9 physique, la protection du personnel, la gestion de crise et les obligations de signalement dans un cadre r\u00e9glementaire unique – tout en allant d\u00e9lib\u00e9r\u00e9ment au-del\u00e0 du seul domaine de la s\u00e9curit\u00e9 informatique.<\/p>\n
\u00ab\u00a0Les infrastructures critiques sont l\u2019\u00e9pine dorsale de notre soci\u00e9t\u00e9. Leur protection est une mission qui incombe \u00e0 l\u2019ensemble de l\u2019\u00c9tat et qui doit penser ensemble la r\u00e9silience physique et num\u00e9rique.\u00a0\u00bbMinist\u00e8re f\u00e9d\u00e9ral de l\u2019Int\u00e9rieur, \u00e0 propos de l\u2019adoption de la loi-cadre KRITIS<\/cite><\/p><\/blockquote>\n
\n\nEXPLOITANTS CONCERN\u00c9S<\/div>\n~2.000<\/div>\ndans 11 secteurs \u00e0 l\u2019\u00e9chelle de l\u2019Allemagne<\/div>\n<\/div>\n\nD\u00c9LAI D\u2019ENREGISTREMENT<\/div>\n17.07.2026<\/div>\nPremier enregistrement aupr\u00e8s du BBK<\/div>\n<\/div>\n\nAMENDE EN CAS D\u2019INFRACTION<\/div>\n10 M\u20ac<\/div>\nSanction maximale pr\u00e9vue par la loi<\/div>\n<\/div>\n<\/div>\nLes 11 secteurs KRITIS en un coup d’\u0153il<\/h2>\n
La loi-cadre KRITIS d\u00e9finit onze secteurs consid\u00e9r\u00e9s comme des infrastructures critiques. Pour chaque secteur, le BBK fixe des seuils sp\u00e9cifiques \u00e0 partir desquels un exploitant entre dans le champ de la r\u00e9glementation :<\/p>\n
\u25cf \u00c9nergie :<\/strong> \u00e9lectricit\u00e9, gaz, p\u00e9trole, chauffage urbain – production, transport et distribution. Outre les grands fournisseurs, les r\u00e9gies municipales et les gestionnaires de r\u00e9seaux d\u00e9passant les seuils sont \u00e9galement concern\u00e9s.<\/p>\n
\u25cf Transport et circulation :<\/strong> a\u00e9roports, ports, infrastructure ferroviaire et transport routier. Les actes de sabotage visant la Deutsche Bahn ont montr\u00e9 \u00e0 quel point ce secteur est vuln\u00e9rable.<\/p>\n
\u25cf Banque et infrastructure des march\u00e9s financiers :<\/strong> banques d’importance syst\u00e9mique et infrastructures boursi\u00e8res. Il existe ici d’importants chevauchements avec DORA.<\/p>\n
\u25cf Sant\u00e9 :<\/strong> h\u00f4pitaux, laboratoires, entreprises pharmaceutiques et fabricants de dispositifs m\u00e9dicaux d\u00e9passant les seuils.<\/p>\n
\u25cf Eau potable et eaux us\u00e9es :<\/strong> approvisionnement en eau et assainissement des eaux us\u00e9es – un secteur qui d\u00e9pend particuli\u00e8rement de la s\u00e9curit\u00e9 physique.<\/p>\n
\u25cf Infrastructure num\u00e9rique :<\/strong> centres de donn\u00e9es, services DNS, IXP – avec de forts chevauchements avec NIS2 ; la loi-cadre KRITIS intervient ici en compl\u00e9ment au niveau physique.<\/p>\n
\u25cf Administration publique :<\/strong> autorit\u00e9s f\u00e9d\u00e9rales et r\u00e9gionales, d\u00e8s lors qu’elles fournissent des services critiques.<\/p>\n
\u25cf Espace :<\/strong> infrastructure satellitaire et installations au sol – un secteur qui n’a \u00e9t\u00e9 explicitement int\u00e9gr\u00e9 qu’avec la directive CER.<\/p>\n
\u25cf Alimentation :<\/strong> production, transformation et distribution de denr\u00e9es alimentaires \u00e0 grande \u00e9chelle.<\/p>\n
\u25cf Production :<\/strong> fabrication de biens critiques – par exemple dispositifs m\u00e9dicaux, \u00e9lectronique ou produits chimiques.<\/p>\n
\u25cf Recherche :<\/strong> \u00e9tablissements de recherche pertinents pour la s\u00e9curit\u00e9 publique ou l’approvisionnement.<\/p>\n
Loi-cadre KRITIS vs NIS2 : qui r\u00e9glemente quoi ?<\/h2>\n
La distinction entre la loi-cadre KRITIS et NIS2 est la question centrale que les exploitants doivent comprendre. Les deux lois concernent en partie les m\u00eames entreprises – mais elles r\u00e9glementent des domaines de risque diff\u00e9rents.<\/p>\n
NIS2 (mise en \u0153uvre en Allemagne par la loi de transposition de NIS2 et de renforcement de la cybers\u00e9curit\u00e9) r\u00e9glemente la cybers\u00e9curit\u00e9 num\u00e9rique : s\u00e9curit\u00e9 des r\u00e9seaux, r\u00e9ponse aux incidents, gestion des vuln\u00e9rabilit\u00e9s, cha\u00eenes d’approvisionnement s\u00fbres dans le domaine informatique. La loi-cadre KRITIS, elle, vise la r\u00e9silience physique et organisationnelle : protection p\u00e9rim\u00e9trique, contr\u00f4les d’acc\u00e8s, v\u00e9rifications du personnel, gestion de la continuit\u00e9 d’activit\u00e9 et communication de crise.<\/p>\n
\n„Consid\u00e9rer NIS2 comme un simple projet informatique et la loi-cadre KRITIS comme une simple question de gestion des b\u00e2timents, c’est passer \u00e0 c\u00f4t\u00e9 des deux objectifs de conformit\u00e9. Les lois s’articulent l’une avec l’autre – et exigent une strat\u00e9gie de r\u00e9silience int\u00e9gr\u00e9e.“<\/p>\n<\/div>\n
En pratique, cela signifie qu’un fournisseur d’\u00e9nergie doit pouvoir d\u00e9montrer \u00e0 la fois une s\u00e9curit\u00e9 informatique conforme \u00e0 NIS2 et le respect des exigences de protection physique de la loi-cadre KRITIS. La bonne nouvelle : les entreprises qui disposent d\u00e9j\u00e0 d’un SMSI fonctionnel conforme \u00e0 ISO 27001 ont une base solide. La mauvaise nouvelle : dans de nombreuses entreprises, la s\u00e9curit\u00e9 physique, la continuit\u00e9 d’activit\u00e9 et les v\u00e9rifications du personnel ne sont pas au niveau d\u00e9sormais exig\u00e9 par la loi.<\/p>\n
Notre article NIS2 en Allemagne : ce que les entreprises doivent d\u00e9sormais savoir et mettre en \u0153uvre offre un aper\u00e7u complet des exigences NIS2.<\/p>\n
Les cinq obligations cl\u00e9s de la loi-cadre KRITIS<\/h2>\n
La loi d\u00e9finit cinq grands domaines d’obligations que tout exploitant concern\u00e9 doit respecter :<\/p>\n
1. Enregistrement obligatoire aupr\u00e8s du BBK<\/h3>\n
D\u2019ici au 17 juillet 2026, tous les exploitants d\u2019installations critiques devront s\u2019enregistrer aupr\u00e8s de l\u2019Office f\u00e9d\u00e9ral de la protection de la population et de l\u2019aide en cas de catastrophe. L\u2019enregistrement comprend des informations sur les installations exploit\u00e9es, les services critiques fournis et les mesures de protection existantes. Sur la base de cet enregistrement, le BBK \u00e9tablira une vue d\u2019ensemble nationale de tous les exploitants KRITIS – pour la premi\u00e8re fois avec un tel niveau d\u2019exhaustivit\u00e9.<\/p>\n
2. \u00c9valuation des risques et planification de la r\u00e9silience<\/h3>\n
Les exploitants doivent r\u00e9aliser une \u00e9valuation compl\u00e8te des risques, couvrant non seulement les cyberrisques, mais aussi les menaces physiques : catastrophes naturelles, sabotage, terrorisme, pand\u00e9mies et p\u00e9nuries d\u2019approvisionnement. Sur la base de cette \u00e9valuation, un plan de r\u00e9silience doit \u00eatre \u00e9labor\u00e9 afin de d\u00e9finir des mesures de protection concr\u00e8tes.<\/p>\n
3. Mesures de protection physique<\/h3>\n
La loi exige des mesures techniques, organisationnelles et li\u00e9es au personnel pour assurer la protection physique : s\u00e9curisation p\u00e9rim\u00e9trique, syst\u00e8mes de contr\u00f4le d\u2019acc\u00e8s, vid\u00e9osurveillance, syst\u00e8mes de d\u00e9tection et mesures de protection structurelle. Leur ampleur d\u00e9pend de la criticit\u00e9 de l\u2019installation et du r\u00e9sultat de l\u2019\u00e9valuation des risques.<\/p>\n
4. Business Continuity Management (BCM)<\/h3>\n
Les exploitants doivent mettre en place un syst\u00e8me de BCM qui garantit le maintien des services critiques m\u00eame en cas de perturbations et de d\u00e9faillances. Cela inclut des analyses d\u2019impact sur l\u2019activit\u00e9, des plans d\u2019urgence, des proc\u00e9dures de red\u00e9marrage et des exercices r\u00e9guliers. La norme BCM ISO 22301 sert ici de r\u00e9f\u00e9rence.<\/p>\n
5. Obligations de notification<\/h3>\n
Les incidents de s\u00e9curit\u00e9 qui affectent ou pourraient affecter la fourniture de services critiques doivent \u00eatre signal\u00e9s au BBK. La notification initiale doit intervenir dans un d\u00e9lai de 24 heures, et un rapport d\u00e9taill\u00e9 dans un d\u00e9lai de 72 heures. Il existe ici des parall\u00e8les avec les obligations de notification NIS2 aupr\u00e8s du BSI – mais avec des syst\u00e8mes de notification et des interlocuteurs diff\u00e9rents.<\/p>\n
V\u00e9rification du personnel : l\u2019effort sous-estim\u00e9<\/h2>\n
Un domaine que de nombreux exploitants n\u2019ont pas encore vraiment anticip\u00e9 est la v\u00e9rification du personnel. La loi-cadre KRITIS pr\u00e9voit que les collaborateurs travaillant dans des domaines relevant de la s\u00e9curit\u00e9 soient soumis \u00e0 une v\u00e9rification de fiabilit\u00e9. Cela concerne non seulement le personnel interne, mais aussi les prestataires de services et les sous-traitants qui ont acc\u00e8s aux installations critiques.<\/p>\n
Les d\u00e9tails de cette v\u00e9rification seront r\u00e9glement\u00e9s par un d\u00e9cret distinct. Une chose est toutefois d\u00e9j\u00e0 claire : les exploitants doivent mettre en place des processus garantissant que seules les personnes v\u00e9rifi\u00e9es obtiennent l\u2019acc\u00e8s aux zones relevant de la s\u00e9curit\u00e9. Dans les secteurs \u00e0 forte rotation du personnel ou comptant de nombreux prestataires externes – par exemple dans la logistique ou la sant\u00e9 – cela repr\u00e9sente un effort organisationnel consid\u00e9rable.<\/p>\n
La feuille de route : ce qui doit \u00eatre fait, et pour quand<\/h2>\n
La mise en \u0153uvre de la loi-cadre KRITIS suit un calendrier \u00e9chelonn\u00e9. Voici les \u00e9tapes d\u00e9cisives :<\/p>\n
\u25cf Mars 2026 – imm\u00e9diatement :<\/strong> V\u00e9rifier si sa propre entreprise rel\u00e8ve de la d\u00e9finition KRITIS. Les seuils seront d\u00e9finis dans le d\u00e9cret d\u2019application de la loi – des projets existent d\u00e9j\u00e0.<\/p>\n
\u25cf Avril-mai 2026 :<\/strong> R\u00e9aliser une analyse des \u00e9carts. Lesquelles des cinq obligations cl\u00e9s sont d\u00e9j\u00e0 couvertes (p. ex. par ISO 27001, ISO 22301 ou une r\u00e9glementation sectorielle) ? O\u00f9 subsistent des lacunes ?<\/p>\n
\u25cf Juin 2026 :<\/strong> Pr\u00e9parer les documents d\u2019enregistrement. L\u2019enregistrement aupr\u00e8s du BBK exige des informations d\u00e9taill\u00e9es sur les installations, les services et les mesures de protection – ce n\u2019est pas un formulaire que l\u2019on remplit en une heure.<\/p>\n
\u25cf 17 juillet 2026 :<\/strong> Date limite pour l\u2019enregistrement obligatoire. \u00c0 partir de cette date, tous les op\u00e9rateurs concern\u00e9s devront \u00eatre enregistr\u00e9s aupr\u00e8s du BBK.<\/p>\n
\u25cf T3-T4 2026 :<\/strong> \u00c9tablir l\u2019\u00e9valuation des risques et le plan de r\u00e9silience. Le BBK mettra \u00e0 disposition des guides et des mod\u00e8les – mais la mise en \u0153uvre op\u00e9rationnelle incombe \u00e0 l\u2019op\u00e9rateur.<\/p>\n
\u25cf 2027 :<\/strong> Premiers contr\u00f4les par le BBK. L\u2019office f\u00e9d\u00e9ral pourra r\u00e9aliser des audits et exiger des am\u00e9liorations en cas de lacunes.<\/p>\n
Exploiter les synergies avec les normes existantes<\/h2>\n
Bonne nouvelle pour les entreprises qui sont d\u00e9j\u00e0 r\u00e9glement\u00e9es ou qui travaillent volontairement selon des normes reconnues : de nombreuses exigences de la loi-cadre KRITIS peuvent \u00eatre couvertes par les syst\u00e8mes de management existants.<\/p>\n
\u25cf ISO 27001 (ISMS) :<\/strong> Couvre l\u2019\u00e9valuation des risques, les contr\u00f4les d\u2019acc\u00e8s et la gestion des incidents – mais principalement pour la s\u00e9curit\u00e9 de l\u2019information. La s\u00e9curit\u00e9 physique n\u2019est couverte qu\u2019en partie (Annex A.7 et A.11).<\/p>\n
\u25cf ISO 22301 (BCM) :<\/strong> Directement applicable aux exigences BCM de la loi-cadre KRITIS. L\u2019analyse d\u2019impact m\u00e9tier, les strat\u00e9gies de reprise et les exercices y sont d\u00e9j\u00e0 d\u00e9finis.<\/p>\n
\u25cf BSI-Grundschutz :<\/strong> Le compendium du BSI contient des modules pour la s\u00e9curit\u00e9 physique (modules INF) et la gestion d\u2019urgence, qui peuvent \u00eatre directement mis en correspondance avec les exigences KRITIS.<\/p>\n
\u25cf Normes sectorielles :<\/strong> L\u2019EnWG (\u00e9nergie), l\u2019IT-SRRL (t\u00e9l\u00e9communications) ou le KHG (h\u00f4pitaux) contiennent d\u00e9j\u00e0 des exigences de protection propres \u00e0 chaque secteur, qui servent de base.<\/p>\n
Les entreprises qui utilisent ces normes de mani\u00e8re coh\u00e9rente peuvent r\u00e9duire consid\u00e9rablement l\u2019effort de mise en \u0153uvre de la loi-cadre KRITIS. La cl\u00e9 r\u00e9side dans l\u2019int\u00e9gration : un syst\u00e8me de management unifi\u00e9 qui r\u00e9unit sous un m\u00eame toit s\u00e9curit\u00e9 physique, s\u00e9curit\u00e9 informatique et BCM, au lieu de mener trois projets de conformit\u00e9 parall\u00e8les.<\/p>\n
\n„Les entreprises qui consid\u00e8rent la loi-cadre KRITIS comme une occasion de consolider l\u2019ensemble de leur strat\u00e9gie de r\u00e9silience auront au final moins d\u2019efforts \u00e0 fournir que celles qui se contentent de cocher le minimum.“<\/p>\n<\/div>\n
Amendes et responsabilit\u00e9 : ce que l\u2019on risque en cas de non-respect<\/h2>\n
La loi-cadre KRITIS pr\u00e9voit des sanctions lourdes. Les exploitants qui ne s\u2019enregistrent pas, ne r\u00e9alisent pas d\u2019\u00e9valuation des risques ou ne respectent pas leurs obligations de notification s\u2019exposent \u00e0 des amendes pouvant atteindre 10 millions d\u2019euros. C\u2019est le m\u00eame ordre de grandeur que pour NIS2 – et cela vise \u00e0 souligner le s\u00e9rieux de la r\u00e9glementation.<\/p>\n
En outre, la direction est personnellement responsable du respect des dispositions. Les g\u00e9rants et les membres du directoire peuvent \u00eatre tenus de r\u00e9parer les manquements \u00e0 leurs obligations. Cette responsabilit\u00e9 personnelle constitue une forte incitation \u00e0 ne pas d\u00e9l\u00e9guer le sujet au service sp\u00e9cialis\u00e9 pour ensuite l\u2019oublier.<\/p>\n
Notre article Cyberassurance 2026 : ce que les entreprises doivent savoir<\/a> explique comment les entreprises peuvent se prot\u00e9ger contre les cons\u00e9quences financi\u00e8res des incidents de s\u00e9curit\u00e9.<\/p>\n
Recommandations concr\u00e8tes pour les exploitants<\/h2>\n
Que doivent faire concr\u00e8tement les entreprises concern\u00e9es d\u00e8s maintenant ? Voici un plan d\u2019action pragmatique :<\/p>\n
\u25cf Lancer imm\u00e9diatement l\u2019analyse d\u2019impact :<\/strong> V\u00e9rifiez, \u00e0 partir des d\u00e9finitions sectorielles et des seuils, si votre entreprise rel\u00e8ve de la loi. En cas de doute, consultez le BBK – mieux vaut poser une question de trop que manquer le d\u00e9lai d\u2019enregistrement.<\/p>\n
\u25cf D\u00e9finir les responsabilit\u00e9s :<\/strong> La loi-cadre KRITIS exige la d\u00e9signation d\u2019un responsable de la r\u00e9silience. Clarifiez d\u00e8s maintenant qui assumera ce r\u00f4le, ainsi que les pouvoirs et les ressources dont cette personne disposera.<\/p>\n
\u25cf R\u00e9aliser une analyse des \u00e9carts par rapport aux cinq obligations cl\u00e9s :<\/strong> Utilisez les cinq domaines d\u2019obligation comme liste de contr\u00f4le et \u00e9valuez honn\u00eatement o\u00f9 se situe votre entreprise. La s\u00e9curit\u00e9 physique et la v\u00e9rification du personnel sont particuli\u00e8rement sous-d\u00e9velopp\u00e9es dans de nombreuses entreprises.<\/p>\n
\u25cf Exploiter les synergies avec NIS2 :<\/strong> Si vous travaillez d\u00e9j\u00e0 \u00e0 la mise en \u0153uvre de NIS2, int\u00e9grez les exigences KRITIS dans le m\u00eame cadre de projet. Les doublons peuvent \u00eatre \u00e9vit\u00e9s si la structure de gouvernance est adapt\u00e9e.<\/p>\n
\u25cf Impliquer les fournisseurs et prestataires :<\/strong> La s\u00e9curit\u00e9 physique ne s\u2019arr\u00eate pas \u00e0 la porte de l\u2019usine. V\u00e9rifiez quels prestataires externes ont acc\u00e8s aux installations critiques et commencez les v\u00e9rifications du personnel.<\/p>\n
\u25cf S\u00e9curiser le budget suffisamment t\u00f4t :<\/strong> La mise en place du BCM, les mesures de protection physique et les v\u00e9rifications du personnel co\u00fbtent de l\u2019argent. Ceux qui n\u2019entament le processus budg\u00e9taire qu\u2019en juin 2026 ne respecteront pas l\u2019\u00e9ch\u00e9ance de juillet.<\/p>\n
Perspectives : la protection KRITIS comme facteur de comp\u00e9titivit\u00e9<\/h2>\n
La loi-cadre KRITIS est bien plus qu\u2019une obligation de conformit\u00e9 suppl\u00e9mentaire. Elle oblige les entreprises \u00e0 aborder leur r\u00e9silience de mani\u00e8re syst\u00e9matique – \u00e0 une \u00e9poque o\u00f9 les menaces hybrides, les tensions g\u00e9opolitiques et les \u00e9v\u00e9nements climatiques d\u00e9montrent chaque jour la vuln\u00e9rabilit\u00e9 des infrastructures critiques.<\/p>\n
Les entreprises qui profitent de cette loi pour porter leur s\u00e9curit\u00e9 physique et organisationnelle \u00e0 un niveau professionnel ne seront pas seulement conformes. Elles seront \u00e9galement mieux plac\u00e9es que les concurrents qui se contentent du minimum lors des appels d\u2019offres, pour les primes d\u2019assurance et en mati\u00e8re de confiance des clients.<\/p>\n
L\u2019\u00e9ch\u00e9ance est fix\u00e9e : 17 juillet 2026. Cela laisse quatre mois. Ceux qui ne commencent pas maintenant ne seront pas pr\u00eats \u00e0 temps. Vous trouverez les autres tendances qui marqueront la cybers\u00e9curit\u00e9 en 2026 dans notre aper\u00e7u Tendances cybers\u00e9curit\u00e9 2026 : sept \u00e9volutions<\/a>.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQui est concern\u00e9 par la loi-cadre KRITIS ?<\/strong><\/summary>\n
Les exploitants d\u2019installations critiques dans onze secteurs qui d\u00e9passent certains seuils : \u00e9nergie, transport, secteur bancaire, infrastructures des march\u00e9s financiers, sant\u00e9, eau potable, eaux us\u00e9es, infrastructure num\u00e9rique, administration publique, espace, alimentation, production et recherche. Au total, environ 2 000 exploitants sont concern\u00e9s en Allemagne.<\/p>\n<\/details>\n
\nQuelle est la diff\u00e9rence entre la loi-cadre KRITIS et NIS2 ?<\/strong><\/summary>\n
NIS2 encadre la cybers\u00e9curit\u00e9 num\u00e9rique (r\u00e9seaux, syst\u00e8mes informatiques, r\u00e9ponse aux incidents). La loi-cadre KRITIS vise la r\u00e9silience physique et organisationnelle (protection p\u00e9rim\u00e9trique, BCM, v\u00e9rification du personnel, communication de crise). Les deux lois peuvent concerner la m\u00eame entreprise et se compl\u00e8tent.<\/p>\n<\/details>\n
\nQuels d\u00e9lais s\u2019appliquent concr\u00e8tement ?<\/strong><\/summary>\n
L\u2019enregistrement obligatoire aupr\u00e8s du BBK doit \u00eatre effectu\u00e9 au plus tard le 17 juillet 2026. Les \u00e9valuations des risques et les plans de r\u00e9silience doivent ensuite \u00eatre \u00e9labor\u00e9s ; les premiers contr\u00f4les par le BBK sont pr\u00e9vus \u00e0 partir de 2027. Les d\u00e9lais exacts pour les diff\u00e9rentes mesures seront fix\u00e9s dans le r\u00e8glement d\u2019application de la loi.<\/p>\n<\/details>\n
\nQue se passe-t-il en cas d\u2019infraction \u00e0 la loi-cadre KRITIS ?<\/strong><\/summary>\n
Des amendes pouvant atteindre 10 millions d\u2019euros sont possibles. En outre, la direction est personnellement responsable du respect des dispositions. Le BBK peut mener des audits et ordonner des mesures correctives en cas de lacunes.<\/p>\n<\/details>\n
\nQuel est le lien entre la loi-cadre KRITIS et DORA ?<\/strong><\/summary>\n
DORA (Digital Operational Resilience Act) fait office de lex specialis pour le secteur financier et traite de la r\u00e9silience op\u00e9rationnelle num\u00e9rique. La loi-cadre KRITIS peut \u00e9galement s\u2019appliquer lorsqu\u2019un \u00e9tablissement financier est class\u00e9 comme op\u00e9rateur KRITIS – par exemple pour des banques d\u2019importance syst\u00e9mique ou des infrastructures boursi\u00e8res. Dans ce cas, les deux cadres r\u00e9glementaires doivent \u00eatre respect\u00e9s en parall\u00e8le.<\/p>\n<\/details>\n
\n<\/p>\nLes choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/supply-chain-security-2026-250x167.jpg\")
<\/span>\u00c0 lire<\/span>S\u00e9curit\u00e9 de la Cha\u00eene d\u2019Approvisionnement 2026 : Comment les Entreprises Prot\u00e8gent leur Cha\u00eene Logistique Logicielle<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-dora-bafin-prueft-finanzinstitute-nachbe-12544427-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>Un an de DORA : ce que la BaFin contr\u00f4le maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-finops-wie-unternehmen-cloud-kosten-endl-55421848.jpg\")
<\/span>cloudmagazin<\/span>FinOps : ma\u00eetriser enfin les co\u00fbts cloud<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-ai-governance-2026-system-level-vorstand-12449460-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Gouvernance IA 2026 : du syst\u00e8me plut\u00f4t que de la conformit\u00e9 Excel<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-psd3-mittelstand-finanzchefs-banking-api-78939015-250x131.jpg\")
<\/span>MyBusinessFuture<\/span>PSD3 : les directeurs financiers des PME doivent se pr\u00e9parer<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"\u23f1 12 min de lecture Avec l\u2019adoption du texte par le Bundesrat le 6 mars 2026, la loi-cadre KRITIS est d\u00e9finitivement entr\u00e9e en vigueur. Pour quelque 2 000 exploitants d\u2019infrastructures critiques en Allemagne, le compte \u00e0 rebours commence maintenant : d\u2019ici au 17 juillet 2026, ils devront s\u2019enregistrer aupr\u00e8s de l\u2019Office f\u00e9d\u00e9ral de la protection […]","protected":false},"author":55,"featured_media":5327,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"loi-cadre kritis","_yoast_wpseo_title":"Loi-cadre KRITIS en vigueur : ce que les exploitants d'installations critiques d","_yoast_wpseo_metadesc":"KRITIS 2026 : s\u00e9curisez vos infrastructures critiques avant juillet. D\u00e9couvrez les obligations et agissez maintenant pour \u00eatre conforme.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5307"],"footnotes":""},"categories":[260],"tags":[],"class_list":["post-8375","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr"],"evm_reading_time_minutes":16,"wpml_language":"fr","wpml_translation_of":5307,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/8375","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=8375"}],"version-history":[{"count":7,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/8375\/revisions"}],"predecessor-version":[{"id":21715,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/8375\/revisions\/21715"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/5327"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=8375"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=8375"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=8375"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}