NIS2 pour les centres de données : quand un centre de données relève du BSIG
Quiconque propose des services de centre de données à d'autres, comme la colocation, est une entité importante à partir de 50 salariés ou avec plus de 10 millions d'euros chacun de chiffre d'affaires et de total de bilan, et une entité essentielle à partir de 250 salariés (§ 28 BSIG). Une salle serveur uniquement pour votre propre entreprise n'est pas un service proposé. Qu'un centre de données soit aussi une installation critique dépend d'un seuil distinct.
Ce qu'est un service de centre de données
Cela désigne l'exploitation entière : locaux, baies et réseau, plus la distribution d'énergie et le refroidissement. Les équipements techniques du bâtiment font partie du service.
Que vous louiez de l'espace, de l'énergie et du refroidissement pour les serveurs d'autres personnes (colocation) ou que vous exploitiez vous-même les serveurs, cela ne change pas le fait qu'il s'agit d'un service de centre de données.
§ 2 n° 35 BSIG · Art. 6(31) NIS 2
‘data centre service’ means a service that encompasses structures, or groups of structures, dedicated to the centralised accommodation, interconnection and operation of IT and network equipment providing data storage, processing and transport services together with all the facilities and infrastructures for power distribution and environmental control;
À partir de quelle taille un fournisseur est concerné
Entité importante : au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun.
Entité essentielle : au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan. C'est possible parce que les centres de données figurent à l'annexe 1.
Contrairement par exemple aux services DNS ou aux services de confiance qualifiés, les centres de données ne sont pas couverts quelle que soit leur taille.
Le décompte suit la recommandation 2003/361/CE. Les entreprises partenaires et liées peuvent aussi compter.
§ 28(1), (2) et (4) BSIG
Votre propre salle serveur
Si votre entreprise exploite des serveurs uniquement pour elle-même, vous ne proposez pas de service de centre de données. Vous n'êtes alors pas concerné par cette ligne de l'annexe 1.
Votre entreprise peut tout de même être concernée pour une autre raison, par exemple comme fabricant, entreprise alimentaire ou entreprise de gestion des déchets. La salle serveur fait alors partie des systèmes que vous protégez.
Si une société exploite un centre de données contre rémunération pour d'autres sociétés du même groupe, faites vérifier cela au cas par cas.
Quand un centre de données est une installation critique
Quelle que soit la taille de l'entreprise, un centre de données peut être une installation critique. Son exploitant est alors une entité essentielle.
Qu'une installation soit critique dépend de seuils fixés dans un règlement. Dans le règlement BSI sur les infrastructures critiques (BSI-KritisV), la valeur pour un centre de données (housing) est de 3,5 mégawatts de puissance convenue par contrat.
Les exploitants d'installations critiques ont deux obligations de plus : ils utilisent des systèmes de détection des attaques, et ils prouvent leurs mesures au BSI tous les trois ans.
§ 2 n° 22, § 28(1) n° 1, §§ 31 et 39 BSIG
Des règles plus détaillées pour les fournisseurs numériques
Les fournisseurs de services de centre de données relèvent aussi du règlement d'exécution (UE) 2024/2690. Il décrit plus en détail les exigences techniques pour les dix domaines et prime sur le BSIG dans cette mesure.
Il fixe aussi quand un incident chez ces fournisseurs est important et doit être notifié.
§ 30(3) BSIG · Règlement d'exécution (UE) 2024/2690
Un exemple
Une entreprise fictive : un fournisseur régional de colocation de 60 salariés, avec deux sites et des PME comme clients. 2 mégawatts de puissance sont convenus par contrat.
La colocation est un service de centre de données. Avec 60 salariés, l'entreprise est une entité importante.
Avec 2 mégawatts, elle est en dessous de la valeur du BSI-KritisV. Sur cette base, le centre de données n'est pas une installation critique.
Elle s'enregistre auprès du BSI et met en œuvre les mesures du § 30 BSIG, au niveau de détail qu'exige le règlement d'exécution (UE) 2024/2690.
La liste de ses actifs commence par les équipements techniques du bâtiment : raccordement au réseau électrique, onduleurs, alimentation de secours, refroidissement, protection incendie et contrôle d'accès. Suivent le réseau, les baies et la supervision.
Comment cela se passe dans le parcours guidé
Dans le parcours guidé sur nisd2.eu, le travail commence par la liste de ce avec quoi votre entreprise travaille.
Une étape vous interroge sur les processus, les logiciels, les appareils, les locaux et les réseaux, et sur qui les fournit. Cela produit la liste de vos actifs.
Dans le profil de l'entreprise, vous indiquez si vous exploitez une installation critique. Ce n'est qu'alors que l'étape sur la détection des attaques et les preuves à fournir au BSI apparaît.
À côté de chaque étape figure le texte de loi, expliqué avec des mots simples.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte.
Questions fréquentes
La colocation est-elle un service de centre de données au sens de NIS2 ?
Oui. La colocation fournit des locaux, de l'énergie et du refroidissement pour l'informatique d'autres personnes. Cela relève de la définition du § 2 n° 35 BSIG.
NIS2 s'applique-t-elle à notre propre salle serveur ?
Pas comme service de centre de données, tant que vous l'exploitez uniquement pour votre propre entreprise. Si votre entreprise est concernée pour une autre raison, vous protégez la salle serveur dans le cadre de vos mesures.
À partir de quelle taille un centre de données est-il concerné ?
À partir de 50 salariés ou avec un chiffre d'affaires annuel et un total de bilan de plus de 10 millions d'euros chacun (§ 28(2) BSIG). Si le centre de données est une installation critique, quelle que soit sa taille.
Chaque centre de données est-il KRITIS ?
Non. Un centre de données n'est une installation critique qu'au-dessus d'un seuil. Dans le BSI-KritisV, c'est 3,5 mégawatts de puissance convenue par contrat pour le housing.
Sources
- Loi BSI (BSIG) § 2 n°s 22 et 35, §§ 28, 30, 31, 39, annexe 1, gesetze-im-internet.de/bsig_2025
- Directive (UE) 2022/2555 (NIS 2), art. 6(31) et annexe I, EUR-Lex
- Règlement d'exécution (UE) 2024/2690, EUR-Lex
- BSI-KritisV, annexe 4, gesetze-im-internet.de/bsi-kritisv
- Recommandation 2003/361/CE de la Commission, EUR-Lex
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
