NIS2 en Allemagne : ce qu'exige la loi BSI et depuis quand
L'Allemagne a transposé NIS2 par le NIS2UmsuCG. Les obligations figurent dans la nouvelle loi BSI (BSIG) et s'appliquent depuis le 6 décembre 2025. Les entreprises concernées s'enregistrent auprès du BSI, prennent des mesures de sécurité et notifient les incidents importants. Leur direction met en œuvre les mesures et les surveille.
La loi
La loi de transposition de NIS 2 et de renforcement de la cybersécurité (NIS2UmsuCG) a réécrit la loi BSI. Elle est entrée en vigueur le 6 décembre 2025.
Les obligations s'appliquent depuis ce jour. Seules les preuves à fournir au BSI ont des dates plus tardives.
L'autorité compétente est l'Office fédéral de la sécurité des technologies de l'information (BSI).
BGBl. 2025 I n° 301
Les dates clés
27 décembre 2022
La directive (UE) 2022/2555 est publiée au Journal officiel de l'UE.
16 janvier 2023
La directive entre en vigueur.
17 octobre 2024
Date limite de l'UE pour la transposition. L'Allemagne ne l'a pas respectée.
6 décembre 2025
Le nouveau BSIG entre en vigueur. Les obligations s'appliquent immédiatement.
Janvier 2026
Le BSI ouvre son portail pour l'enregistrement.
6 mars 2026
Date limite d'enregistrement pour les entreprises concernées depuis décembre 2025.
6 décembre 2028
Au plus tôt à partir de cette date, le BSI peut demander des preuves aux entités essentielles.
Qui est concerné
Une entreprise est concernée si elle exerce dans un secteur figurant à l'annexe 1 ou 2 du BSIG et si elle est assez grande.
Une telle entreprise est une entité importante si elle a au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun.
Une entreprise d'un secteur de l'annexe 1 est une entité essentielle si elle a au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan. Les exploitants d'installations critiques et certains fournisseurs, quelle que soit leur taille, comme les prestataires de services de confiance qualifiés, sont aussi des entités essentielles.
La directive européenne dit « entité essentielle », le BSIG « besonders wichtige Einrichtung » (entité particulièrement importante). Les deux désignent le même groupe.
Le BSI propose un test d'applicabilité. Selon le BSI, son résultat n'est pas juridiquement contraignant.
§ 28 BSIG · annexes 1 et 2
Les quatre obligations
S'enregistrer auprès du BSI
Au plus tard trois mois après que votre entreprise est devenue concernée, via le portail du BSI. Si quelque chose change, vous le mettez à jour dans les deux semaines.
§ 33 BSIG
En savoir plusPrendre des mesures de sécurité
Des mesures dans dix domaines, du plan de réponse aux incidents au second facteur, aussi approfondies que l'exigent la taille et le risque de votre entreprise. Vous mettez par écrit ce que vous mettez en œuvre.
§ 30 BSIG
En savoir plusNotifier les incidents importants
En trois étapes au service de notification commun du BSI et de l'Office fédéral de la protection de la population et de l'aide en cas de catastrophe, la première dans les 24 heures.
§ 32 BSIG
En savoir plusLa direction
Elle met en œuvre les mesures, surveille leur mise en œuvre et suit régulièrement une formation.
§ 38 BSIG
En savoir plusComment le BSI contrôle
Le BSI peut contrôler les entités essentielles, y compris avec l'aide de tiers, et ordonner des audits. Il peut demander des preuves au plus tôt à partir du 6 décembre 2028.
Il ne contrôle les entités importantes que si des faits laissent penser qu'elles ne respectent pas le § 30, le § 32 ou le § 38(3) BSIG.
Les amendes sont prévues au § 65 BSIG. Pour les manquements aux mesures et à l'obligation de notification, le plafond est de 10 millions d'euros pour les entités essentielles et de 7 millions d'euros pour les entités importantes.
§§ 61, 62, 65 BSIG
Les amendes en détailCe que cela signifie pour une entreprise de 50 à 150 salariés
Dans un secteur de l'annexe 1 ou 2, une telle entreprise est en général une entité importante.
Les quatre obligations sont les mêmes pour les entités importantes et essentielles. La supervision diffère : le BSI ne contrôle les entités importantes qu'en présence d'indices d'un manquement.
Le degré d'approfondissement de chaque mesure dépend du risque, de la taille et du coût. Une entreprise de 80 salariés n'a pas à construire ce dont un grand groupe a besoin.
§ 30(1), deuxième phrase, BSIG
Un exemple
Une entreprise fictive : une entreprise de gestion des déchets de 75 salariés.
La gestion des déchets figure à l'annexe 2 du BSIG. Avec 75 salariés, l'entreprise est une entité importante.
Elle possède déjà un certificat d'organisation ELSTER pour les impôts. Elle l'utilise pour se connecter au portail du BSI et s'enregistrer.
Elle note avec quoi elle travaille : planification des tournées, ponts-bascules, facturation, localisation des véhicules. Les mesures en découlent.
Le plan de réponse aux incidents indique qui notifie un incident. Le gérant suit une formation et approuve les documents.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu vous fait passer étape par étape par les obligations du BSIG.
20 étapes. Les exploitants d'installations critiques ont une étape de plus.
À côté de chaque étape figure le texte de loi, expliqué avec des mots simples.
L'enregistrement, les mesures, la notification et la formation de la direction sont des étapes à part entière.
Vos réponses produisent six documents, dont la politique de sécurité et les deux plans d'urgence.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte. Le nom et la date figurent ensuite sur chaque document.
Questions fréquentes
Depuis quand NIS2 s'applique-t-elle en Allemagne ?
Depuis le 6 décembre 2025. La nouvelle loi BSI est entrée en vigueur ce jour-là.
Comment s'appelle la loi allemande NIS2 ?
La loi de transposition de NIS 2 et de renforcement de la cybersécurité, NIS2UmsuCG en abrégé. Elle a surtout réécrit la loi BSI (BSIG). Les obligations des entreprises s'y trouvent, par exemple aux §§ 30, 32, 33 et 38.
Chaque entreprise concernée doit-elle s'enregistrer auprès du BSI ?
Oui, chaque entité essentielle et chaque entité importante, au plus tard trois mois après être devenue concernée (§ 33(1) BSIG). L'obligation s'applique sans que le BSI vous le demande.
Qui contrôle la mise en œuvre ?
Le BSI. Il peut contrôler les entités essentielles ; les entités importantes seulement en présence d'indices d'un manquement (§§ 61 et 62 BSIG).
Sources
- Loi BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 et annexes 1 et 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I n° 301
- Directive (UE) 2022/2555 (NIS 2), art. 41 et 45, EUR-Lex
- BSI : test d'applicabilité NIS 2, betroffenheitspruefung-nis-2.bsi.de
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
