Mettre en œuvre NIS2.

La loi allemande de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) transpose la directive (UE) 2022/2555 en droit allemand. Elle est entrée en vigueur le 06.12.2025, sans période transitoire pour les mesures de gestion des risques. Les obligations figurent dans la nouvelle version de la loi sur le BSI. Le § 28 BSIG définit les entités particulièrement importantes et importantes selon leur secteur, la taille de l’entreprise et certains cas particuliers.

L’obligation centrale figure au § 30 Abs. 1 BSIG : prendre des mesures techniques et organisationnelles appropriées, proportionnées et efficaces pour éviter les atteintes à la disponibilité, à l’intégrité et à la confidentialité des systèmes utilisés pour les services et limiter les conséquences des incidents de sécurité. Le § 30 Abs. 2 BSIG énumère dix mesures minimales. Pour les fournisseurs de services numériques tels que le cloud, les centres de données et les services gérés, les prescriptions techniques du règlement d’exécution (UE) 2024/2690 prévalent. Les exploitants d’installations critiques ont des obligations supplémentaires selon les § 31 et § 39 BSIG.

Le § 38 Abs. 1 BSIG impose à la direction de mettre en œuvre les mesures et de superviser leur application. En cas de manquement fautif, le § 38 Abs. 2 BSIG prévoit sa responsabilité envers sa propre entité pour les dommages causés, selon les règles du droit des sociétés applicable (responsabilité interne). Le § 38 Abs. 3 BSIG exige aussi que ses membres suivent régulièrement des formations. S’y ajoutent l’obligation d’enregistrement du § 33 BSIG et les obligations de notification du § 32 BSIG.

Les manquements aux § 30 et § 32 BSIG, y compris l’absence de documentation prévue au § 30 Abs. 1 Satz 3 BSIG, sont passibles d’amendes selon le § 65 BSIG. Le plafond est de 10 millions d’euros pour les entités particulièrement importantes et de 7 millions pour les entités importantes. Si le chiffre d’affaires mondial total de l’entreprise dépasse 500 millions d’euros, le plafond dépend alors du chiffre d’affaires : jusqu’à 2 % pour les entités particulièrement importantes et 1,4 % pour les entités importantes. À partir de ce seuil de chiffre d’affaires, ce montant est toujours le plus élevé.

En Allemagne, les entreprises concernées par NIS2 sont classées selon le § 28 BSIG : le type précis d’entité, la taille de l’entreprise et les règles particulières d’inclusion sont déterminants. Les annexes 1 et 2 précisent les activités couvertes. Une simple désignation sectorielle ne suffit donc pas, pas plus qu’un effectif examiné sans tenir compte de l’activité.

L’évaluation de l’assujettissement porte sur chaque entité juridique et ses services. Selon le § 28 Abs. 4 BSIG, les entreprises partenaires et liées doivent aussi être prises en compte ; cette disposition prévoit une exception pour les entreprises dont les systèmes d’information sont indépendants. Les règles sectorielles particulières du § 28 Abs. 5 et 6 BSIG font partie de l’examen. Le BSI recommande de consigner la décision et ses fondements, même en cas de non-assujettissement.

Le BSIG associe l’obligation de documentation aux pouvoirs de contrôle de l’autorité. Le § 61 BSIG concerne les entités particulièrement importantes ; le § 62 BSIG permet de contrôler les entités importantes en présence d’indices pertinents. Un certificat volontaire peut étayer la documentation mais, selon le BSI, ne remplace pas la preuve du respect de toutes les obligations légales. L’essentiel reste de déterminer l’entité, les services et les mesures effectivement couverts par chaque justificatif.

ISO 27001 et IT-Grundschutz peuvent aider à organiser la sécurité de l’information ; le BSI décrit une certification ISO comme une base utile pour mettre en œuvre le BSIG. L’enregistrement, les voies légales de notification et les obligations de la direction doivent être examinés séparément. Pour les entités financières soumises à DORA, il faut vérifier les exceptions du § 28 Abs. 6 BSIG.

Une mesure mise en œuvre mais non documentée ne peut pas être démontrée au BSI. Le § 30 Abs. 1 Satz 3 BSIG fait donc de la documentation une obligation à part entière. Selon son dossier sur l’obligation de documentation, le BSI attend que les décisions d’appliquer ou d’écarter des mesures soient consignées et justifiées, qu’elles découlent de l’analyse des risques et que la supervision de leur mise en œuvre par la direction soit identifiable.

Pour les entités particulièrement importantes, le BSI peut ordonner des audits, des contrôles ou des certifications et demander des preuves selon le § 61 BSIG, au plus tôt trois ans après l’entrée en vigueur selon le § 61 Abs. 3 BSIG. Pour les entités importantes, il intervient selon le § 62 BSIG lorsque des faits laissent supposer un manquement. Les modalités précises d’examen des preuves par le BSI ne sont pas encore fixées. Une certitude : les éléments à présenter lors d’un contrôle doivent avoir été constitués auparavant.

La mise en œuvre devient démontrable lorsque trois éléments sont reliés : l’exigence légale, la mesure utilisée pour y répondre et la preuve de son application, chacun assorti de responsables et d’une date.

Une certification ISO/IEC 27001 constitue une bonne base, mais le BSI ne la considère pas comme une preuve de conformité à NIS2. Le périmètre, le traitement des risques, les obligations de notification et celles de la direction peuvent différer et doivent être examinés séparément.

Si vous n’avez pas encore déterminé si votre entité relève du § 28 BSIG, commencez par l’évaluation gratuite de l’assujettissement. Consignez le résultat et sa justification. Dans son dossier d’information sur l’obligation de documentation, le BSI recommande de documenter l’examen même en cas de résultat négatif et peut demander cette documentation au titre du § 33 Abs. 4 BSIG.

Si votre entité est concernée et enregistrée, commencez par la mesure 1. Les dix mesures constituent le contenu minimal ; l’analyse des risques détermine le degré de mise en œuvre de chacune. L’évaluation d’avancement vous montre en quelques minutes votre situation pour chacune des dix mesures et les lacunes restantes.