Responsabilité de la direction NIS2 : ce que le § 38 BSIG exige de la direction
La direction doit mettre en œuvre les mesures de sécurité prévues au § 30 BSIG, surveiller leur mise en œuvre et suivre régulièrement une formation (§ 38 BSIG). Si elle manque à ces obligations par sa faute et que l'entreprise subit de ce fait un dommage, la direction en répond envers l'entreprise. Cela relève du droit des sociétés, comme pour les autres obligations de la direction.
À qui s'applique le § 38 BSIG
Le § 38 BSIG s'applique à la direction de chaque entité essentielle et de chaque entité importante. C'est ainsi que la loi appelle les entreprises auxquelles NIS2 s'applique.
La direction, c'est quiconque dirige les affaires et représente l'entreprise selon la loi, les statuts ou le contrat de société. Dans une GmbH, ce sont les gérants, dans une AG le directoire.
§ 2 n° 13 BSIG · § 38 BSIG
Les trois obligations
Le § 38 BSIG nomme trois obligations. Les deux premières figurent à l'alinéa 1, la troisième à l'alinéa 3.
Mettre en œuvre
La direction veille à ce que les mesures prévues au § 30 BSIG soient en place dans l'entreprise, par exemple un plan de réponse aux incidents, des sauvegardes testées ou un second facteur à la connexion. D'autres peuvent faire le travail lui-même, comme l'informatique ou un prestataire.
§ 38(1) BSIG
Surveiller
Elle vérifie si les mesures sont en place et si elles fonctionnent. La loi ne dit pas à quelle fréquence ni sous quelle forme. Une réunion consignée avec date, résultat et tâches est un moyen évident de le montrer.
§ 38(1) BSIG
Se former
Chaque membre de la direction suit régulièrement une formation. Le but est d'identifier et d'évaluer les risques et de juger leur effet sur les services de l'entreprise. La loi ne fixe pas de nombre d'heures. L'exposé des motifs de la loi lit « régulièrement » comme des formations proposées au moins tous les trois ans.
§ 38(3) BSIG
La directive européenne le formule un peu autrement : la direction approuve les mesures et supervise leur mise en œuvre (art. 20(1) NIS 2). La loi allemande exige que la direction les mette en œuvre.
Comment fonctionne la responsabilité
Si la direction manque à ces obligations et cause par sa faute un dommage à l'entreprise, elle en répond envers sa propre entreprise. On parle de responsabilité interne : la créance appartient à l'entreprise, pas à une autorité ni à un client.
La responsabilité suit le droit des sociétés de la forme juridique. Pour une GmbH, c'est le § 43 GmbHG, pour une AG le § 93 AktG. Ce n'est que lorsque le droit des sociétés ne prévoit pas de telle règle que la direction répond au titre du BSIG lui-même.
Par sa faute signifie intentionnellement ou par négligence. L'existence d'une créance, et son montant, dépendent du cas d'espèce.
§ 38(2) BSIG · § 43 GmbHG · § 93 AktG
Ce que l'autorité peut faire
Les amendes sont prévues au § 65 BSIG. Pour les manquements aux mesures ou à l'obligation de notification, le plafond est de 10 millions d'euros pour les entités essentielles et de 7 millions d'euros pour les entités importantes. Ce sont des montants maximaux.
Pour les entités essentielles, l'autorité de surveillance compétente peut, en dernier recours, interdire temporairement à une direction peu fiable d'exercer ses fonctions. Cela suppose que l'entreprise n'a pas suivi les injonctions du BSI malgré un délai. L'interdiction ne vaut que jusqu'à ce qu'elle s'y conforme. La loi ne le prévoit pas pour les entités importantes.
§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2
Les amendes en détailCe que la direction peut confier à d'autres
Elle peut confier le travail : à l'informatique, à une personne qui coordonne la sécurité de l'information ou à un prestataire. L'obligation de mettre en œuvre et de surveiller reste à la direction. Le § 38 BSIG s'adresse à la direction elle-même.
Personne ne peut suivre la formation à la place de la direction. Chaque membre de la direction y participe en personne.
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Ici, la direction se compose souvent d'une ou deux personnes. Elles n'ont pas à mettre en place les mesures elles-mêmes. Elles doivent savoir ce qui a été décidé et vérifier que cela se fait.
Consignez trois choses : quels documents la direction a approuvés et quand, quand elle a examiné l'état pour la dernière fois et ce qu'elle a décidé, et la dernière formation de chaque membre.
L'entreprise doit de toute façon documenter qu'elle met en œuvre les mesures. Les mêmes documents montrent que la direction a rempli ses obligations.
§ 30(1), troisième phrase, BSIG
Un exemple
Une entreprise fictive : un fabricant de systèmes de convoyage de 90 salariés avec deux gérants. La construction de machines figure à l'annexe 2 du BSIG, l'entreprise est donc une entité importante.
Janvier : les deux gérants suivent une formation pour la direction. Ils consignent la date, l'organisme et le contenu.
Février à avril : le responsable informatique et le prestataire informatique décident des mesures. Les documents en découlent, comme la politique de sécurité et le plan de réponse aux incidents.
Mai : les gérants lisent les documents et les approuvent. Ils décident de ne pas mettre en œuvre un point et notent la raison.
Ensuite : une fois par an, ils se réunissent avec le responsable informatique. Ils examinent les incidents, les points ouverts et les principaux risques et consignent qui fait quoi et pour quand. L'entreprise a choisi elle-même cet intervalle ; la loi n'en fixe aucun.
Comment cela se passe dans le parcours guidé
Dans le parcours guidé sur nisd2.eu, vous obtenez ce que la direction devrait consigner pour le § 38 BSIG.
Une étape consigne la dernière formation de chaque membre de la direction, avec la date et, s'il y en a une, l'attestation.
Les documents découlent de vos réponses, comme la politique de sécurité et le plan de réponse aux incidents.
La direction lit chaque document et l'approuve dans l'application, connectée avec son propre compte. Le nom et la date figurent ensuite sur chaque document.
Si vous décidez de ne pas mettre en œuvre un point, vous notez pourquoi. La direction signe aussi cette décision.
La revue de direction consigne quand la direction a examiné l'état, ce qu'elle a décidé et qui fait quoi et pour quand.
Questions fréquentes
La direction est-elle personnellement responsable au titre de NIS2 ?
Elle répond envers sa propre entreprise du dommage qu'elle cause en manquant par sa faute à ses obligations au titre du § 38(1) BSIG. Cela relève du droit des sociétés, pour une GmbH le § 43 GmbHG. L'existence d'une créance dépend du cas d'espèce.
Qu'exige le § 38(3) BSIG ?
Chaque membre de la direction suit régulièrement une formation, pour identifier et évaluer les risques et juger leur effet sur les services de l'entreprise. La loi ne prescrit ni la durée, ni le format, ni l'organisme. L'exposé des motifs lit « régulièrement » comme au moins tous les trois ans.
La direction peut-elle confier la responsabilité à l'informatique ?
Le travail, oui ; l'obligation, non. Le § 38 BSIG oblige la direction à mettre en œuvre et à surveiller les mesures. Elle peut demander à d'autres de le faire, mais doit vérifier que cela se fait.
Cela s'applique-t-il aussi aux petites entreprises ?
Cela s'applique à chaque entité essentielle et à chaque entité importante. Que votre entreprise en soit une dépend de son secteur et de sa taille (§ 28 BSIG). Le nombre de personnes à la direction ne change rien.
Une assurance D&O couvre-t-elle cela ?
Cela dépend de chaque police. Le BSIG ne traite pas cette question. Faites vérifier les conditions de votre police.
Sources
- Loi BSI (BSIG) §§ 2 n° 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Directive (UE) 2022/2555 (NIS 2), art. 20 et 32, EUR-Lex
- Exposé des motifs du NIS2UmsuCG, document du Bundestag 21/1501, p. 154 (sur le § 38(3))
- § 43 GmbHG et § 93 AktG, gesetze-im-internet.de
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
