§ 32 BSIG : l'obligation de notifier les incidents de sécurité importants
Le § 32 BSIG oblige les entités essentielles et importantes à notifier les incidents de sécurité importants : une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures et un rapport final un mois après la notification. Les délais courent à partir du moment où vous avez connaissance de l'incident. Vous notifiez sur le portail du BSI.
Les trois notifications
Les notifications vont au service de notification commun du BSI et de l'Office fédéral de la protection de la population et de l'aide en cas de catastrophe (BBK).
Alerte précoce
Si l'incident est soupçonné d'être causé par un acte illicite ou malveillant, et s'il pourrait avoir des effets dans d'autres pays. La loi allemande l'appelle « frühe Erstmeldung ».
§ 32(1) n° 1
Notification d'incident
Confirme ou met à jour l'alerte précoce. Y ajoute une première évaluation de la gravité et de l'impact et, si elles existent, des traces des attaquants (indicateurs de compromission).
§ 32(1) n° 2
Rapport final
Un mois après la notification : ce qui s'est passé, la gravité, la cause probable, ce que vous avez fait et faites, et si d'autres pays sont touchés.
§ 32(1) n° 4
Si le BSI le demande, vous envoyez entre-temps un rapport intermédiaire (n° 3). Si l'incident est toujours en cours après un mois, vous envoyez un rapport d'avancement au lieu du rapport final, puis le rapport final une fois l'incident traité (alinéa 2).
L'obligation de notification étape par étapeQuand un incident est important
Un incident de sécurité est important s'il a causé ou peut causer une perturbation grave de votre activité ou une perte financière pour votre entreprise. Ou s'il a causé ou peut causer un dommage matériel ou moral considérable à d'autres.
Pour certains fournisseurs numériques, comme le cloud, les centres de données et les services gérés, le règlement d'exécution (UE) 2024/2690 fixe des seuils plus précis. Pour tous les autres, il n'y a pas de chiffres fixes. Vous décidez selon ces deux critères et vous consignez pourquoi.
§ 2 n° 11 BSIG · Art. 23(3) NIS 2
Quand le délai commence, et où vous notifiez
Les délais courent à partir de la prise de connaissance, pas à partir du moment où tout est clair. Pour le BSI, la prise de connaissance est le moment où quelqu'un dans l'entreprise apprend l'incident pendant les heures de travail.
Vous notifiez sur le portail du BSI, avec le même accès que pour l'enregistrement. Si vous n'êtes pas encore enregistré, vous notifiez via un formulaire en ligne sur le portail de notification et d'information du BSI (MIP).
Si des données à caractère personnel sont touchées, vous notifiez en général aussi l'autorité de protection des données : dans les meilleurs délais et si possible dans les 72 heures, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes concernées (art. 33 RGPD). Une notification ne remplace pas l'autre.
§ 32(1) BSIG · Art. 33 RGPD
Ce que l'article règle encore
Alinéa 3 : les exploitants d'installations critiques indiquent aussi quelle installation est touchée et ce que l'incident signifie pour leur service critique.
Alinéa 4 : le BSI fixe les détails de la procédure et du contenu et les publie sur son site web.
Alinéa 5 : le BSI transmet les notifications aux autorités de surveillance fédérales compétentes.
Alinéa 6 : le BSI peut vous proposer un soutien pour traiter l'incident.
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Décidez à l'avance qui juge si un incident est important et qui notifie. En cas d'urgence, il reste peu de temps pour cela.
Vérifiez que cette personne peut se connecter aujourd'hui au portail du BSI, et qui la remplace. Si une seule personne détient l'accès, les 24 heures deviennent vite courtes.
Un exemple
Une entreprise fictive : un grossiste en produits alimentaires de 95 salariés. Vendredi, 16 h : le logiciel de l'entrepôt tombe en panne, les camions ne peuvent pas être chargés.
16 h 30 : l'informatique constate que les serveurs sont chiffrés. À partir de maintenant, le délai court.
17 h : selon le plan de réponse aux incidents, le gérant décide. Il classe l'incident comme important parce que l'activité est gravement perturbée.
20 h : l'alerte précoce sur le portail du BSI. Elle indique qu'une attaque est soupçonnée et que des clients en Autriche pourraient être touchés. Le délai aurait couru jusqu'au samedi, 16 h 30.
Au plus tard le lundi, 16 h 30 : la notification d'incident avec une première évaluation de la gravité et de l'impact.
Un mois après cette notification : le rapport final, ou un rapport d'avancement si l'incident est toujours en cours. En parallèle, l'entreprise vérifie si des données à caractère personnel sont touchées.
Comment cela se passe dans le parcours guidé
Deux étapes du parcours guidé sur nisd2.eu vous préparent à la notification.
« Plan what happens in an incident » : vos réponses produisent votre plan de réponse aux incidents. Il indique qui décide et comment vous notifiez.
« Know how to report an incident » : l'étape montre les trois délais et un exemple d'alerte précoce.
Vous notez si vous pouvez vous connecter au portail du BSI et notifier.
À la fin, la direction approuve le plan de réponse aux incidents dans l'application.
Questions fréquentes
Quand commence le délai de 24 heures ?
Au moment où votre entreprise a connaissance de l'incident important, pas au moment où il a commencé. Pour le BSI, c'est le moment où quelqu'un dans l'entreprise l'apprend pendant les heures de travail.
Que contient l'alerte précoce ?
La loi demande deux choses : si une attaque ou un autre acte illicite pourrait en être la cause, et si l'incident pourrait toucher d'autres pays (§ 32(1) n° 1 BSIG). Ce que vous ne savez pas encore, vous l'ajoutez dans la notification après 72 heures.
Existe-t-il des seuils fixes pour un incident important ?
Seulement pour les fournisseurs numériques nommés dans le règlement d'exécution (UE) 2024/2690. Pour tous les autres, les critères du § 2 n° 11 BSIG s'appliquent : perturbation grave de l'activité, perte financière ou dommage considérable à d'autres.
Dois-je aussi notifier au titre du RGPD ?
Si des données à caractère personnel sont touchées, en général oui : à l'autorité de protection des données, si possible dans les 72 heures (art. 33 RGPD). La notification au BSI ne la remplace pas.
Où dois-je notifier ?
Sur le portail du BSI, avec l'accès de l'enregistrement. Si vous n'êtes pas encore enregistré, utilisez le formulaire en ligne du portail de notification et d'information du BSI.
Sources
- Loi BSI (BSIG) § 2 n° 11 et § 32, gesetze-im-internet.de/bsig_2025
- Directive (UE) 2022/2555 (NIS 2), art. 23, EUR-Lex
- Règlement d'exécution (UE) 2024/2690, EUR-Lex
- BSI : dossier d'information sur l'obligation de notification NIS 2 et guide de notification sur le portail du BSI, bsi.bund.de
- Règlement (UE) 2016/679 (RGPD), art. 33
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
