§ 65 BSIG · Art. 34 NIS 2

Amendes NIS2 : ce que prévoit le § 65 BSIG

Le § 65 BSIG fixe des montants maximaux. Un manquement aux mesures de sécurité ou à l'obligation de notification peut entraîner une amende allant jusqu'à 10 millions d'euros (entité essentielle) ou 7 millions d'euros (entité importante). Pour un enregistrement manqué, le plafond est de 500 000 euros. Ce sont des plafonds, pas des montants fixes. C'est le BSI qui décide.

Commencer

Réserver un appel

Quelqu'un d'autre décide ? Une page pour votre direction

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Quel manquement a quel plafond

Les principaux cas du § 65 BSIG. Le premier montant s'applique aux entités essentielles, le second aux entités importantes. Lorsqu'il n'y a qu'un montant, il s'applique aux deux.

Manquement	Maximum	Disposition
Mesures de sécurité non prises, mal prises ou prises trop tard§ 65(2) n° 2	10 M€ / 7 M€	§ 65(2) n° 2
Mise en œuvre des mesures non documentée§ 65(2) n° 3	10 M€ / 7 M€	§ 65(2) n° 3
Incident important non notifié, mal notifié ou notifié trop tard, rapport final manquant§ 65(2) n°s 4 et 5	10 M€ / 7 M€	§ 65(2) n°s 4 et 5
Injonction du BSI d'informer les clients d'un incident non suivie§ 65(2) n° 1(d)	10 M€ / 7 M€	§ 65(2) n° 1(d)
Pas d'enregistrement ou enregistrement tardif, données non transmises§ 65(2) n° 6	500 000 €	§ 65(2) n° 6
Certaines injonctions du BSI non suivies, comme présenter des preuves§ 65(2) n° 1(c)	500 000 €	§ 65(2) n° 1(c)
Accès, documents ou informations refusés lors d'un contrôle du BSI§ 65(2) n° 17	100 000 €	§ 65(2) n° 17

Les montants maximaux figurent au § 65(5) BSIG.

Quand un pourcentage du chiffre d'affaires s'applique

Pour les très grandes entreprises, l'amende peut être plus élevée : jusqu'à 2 pour cent (entité essentielle) ou 1,4 pour cent (entité importante) du chiffre d'affaires total mondial. Cela ne s'applique que si ce chiffre d'affaires dépasse 500 millions d'euros.

Ce qui compte, c'est le chiffre d'affaires de l'entreprise à laquelle appartient l'entité, pour l'exercice précédant la décision. Il peut être estimé.

La directive européenne prévoit le plus élevé des deux, montant fixe ou pourcentage (art. 34(4) et (5) NIS 2). La loi allemande lie le pourcentage au seuil de 500 millions d'euros de chiffre d'affaires.

§ 65(6) à (8) BSIG

Qui décide, et comment

Les amendes au titre du § 65 BSIG sont infligées par le BSI. Ce sont des infractions administratives (Ordnungswidrigkeiten) ; la procédure suit la loi allemande sur les infractions administratives.

Les montants sont des plafonds. Le montant d'une amende dans un cas donné dépend, selon la directive, de facteurs comme la gravité et la durée du manquement, les manquements antérieurs, le dommage, l'intention ou la négligence et la coopération avec l'autorité.

Si une autorité de protection des données a déjà infligé une amende au titre du RGPD pour le même comportement, le BSI ne peut pas en infliger une autre.

Lors de notre dernière vérification en août 2026, le BSI n'avait publié aucune amende au titre du nouveau BSIG.

§ 65(10) et (11) BSIG · Art. 32(7), Art. 34(3) NIS 2

Et la direction ?

Indépendamment des amendes, le § 38 BSIG fixe les obligations de la direction : mettre en œuvre les mesures, surveiller leur mise en œuvre, suivre régulièrement une formation. Si la direction y manque par sa faute, elle répond du dommage envers sa propre entreprise selon le droit des sociétés.

Pour les entités essentielles, l'autorité de surveillance peut, en dernier recours, interdire temporairement à la direction d'exercer ses fonctions si les injonctions du BSI ne sont pas suivies malgré un délai (§ 61(9) BSIG).

La responsabilité de la direction selon le § 38 BSIG

Ce que cela signifie pour une entreprise de 50 à 150 salariés

Avec 50 à 249 salariés, une entreprise est en général une entité importante. À cette taille, elle n'est essentielle que si, dans un secteur de l'annexe 1, elle a plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total de bilan, ou si elle exploite une installation critique (§ 28 BSIG).

Pour une entité importante, le plafond pour les mesures et la notification est donc de 7 millions d'euros. Un pourcentage du chiffre d'affaires n'entre en jeu qu'à partir de 500 millions d'euros de chiffre d'affaires.

Les obligations aux plafonds les plus élevés sont celles qui s'imposent de toute façon : prendre les mesures, les documenter, notifier les incidents importants.

Un exemple

Une entreprise fictive : un fabricant de machines-outils de 140 salariés avec 28 millions d'euros de chiffre d'affaires.

La construction de machines figure à l'annexe 2 du BSIG. Avec 140 salariés, l'entreprise est une entité importante.

Les plafonds fixes s'appliquent : jusqu'à 7 millions d'euros pour les mesures et la notification, jusqu'à 500 000 euros pour l'enregistrement. Un pourcentage du chiffre d'affaires n'entre pas en jeu.

Comme entité importante, le BSI ne la contrôle que si des faits laissent penser qu'elle ne respecte pas le § 30, le § 32 ou le § 38(3) BSIG (§ 62 BSIG).

L'entreprise est enregistrée, a documenté ses mesures et sait qui notifie un incident. Cela couvre les obligations auxquelles la loi attache les montants les plus élevés.

Comment cela se passe dans le parcours guidé

Le parcours guidé sur nisd2.eu vous fait passer par les obligations auxquelles le § 65 BSIG attache les montants les plus élevés.

Chacun des dix domaines du § 30(2) BSIG devient au moins une étape que vous remplissez.

Ce que vous décidez est ensuite écrit : comme document issu de vos réponses, ou comme liste là où une liste suffit.

Une étape montre les trois délais de notification et demande si vous pouvez vous connecter au portail du BSI et notifier.

Une étape consigne votre enregistrement auprès du BSI.

À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte.

Commencer par la première étape

Questions fréquentes

Des amendes NIS2 ont-elles déjà été infligées en Allemagne ?

Lors de notre dernière vérification en août 2026, le BSI n'avait publié aucune amende au titre du nouveau BSIG. Les montants maximaux s'appliquent depuis le 6 décembre 2025.

L'amende est-elle toujours de 10 millions d'euros ?

Non. 10 millions d'euros est le plafond pour les entités essentielles en cas de manquement aux mesures et à l'obligation de notification. Le montant dans un cas donné dépend de facteurs comme la gravité, la durée et les conséquences du manquement.

Le pourcentage du chiffre d'affaires s'applique-t-il aux PME ?

Seulement si le chiffre d'affaires total de l'entreprise à laquelle appartient l'entité dépasse 500 millions d'euros (§ 65(6) et (7) BSIG). Sinon, les montants maximaux fixes s'appliquent.

Qui inflige les amendes NIS2 en Allemagne ?

Le BSI (§ 65(10) BSIG).

Peut-il y avoir aussi une amende au titre du RGPD ?

Pas pour le même comportement. Si une autorité de protection des données l'a déjà sanctionné par une amende, le BSI ne peut pas en infliger une autre (§ 65(11) BSIG).

Sources

Loi BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
Directive (UE) 2022/2555 (NIS 2), art. 32(7) et art. 34, EUR-Lex

En pratique

Où cela apparaît dans le parcours guidé

Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.

Le parcours lui-même est en allemand et en anglais.

Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.