La nouvelle obligation de sécurité informatique pour les entreprises allemandes
Si vous avez cherché « IT Sicherheitspflicht », vous cherchez NIS2. Depuis décembre 2025, le BSIG révisé fait de la cybersécurité une obligation légale pour environ 29 500 entreprises allemandes.
NIS2 est l'obligation de sécurité informatique dont vous avez entendu parler
Il n'existe pas de « loi sur l'obligation de sécurité informatique » autonome en Allemagne. Ce qui existe, c'est la directive NIS2 (UE 2022/2555), transposée en droit allemand par le NIS2UmsuCG, qui a refondu la loi fédérale sur la cybersécurité (BSIG). C'est cette loi qui crée des obligations contraignantes de sécurité informatique pour les entreprises des secteurs énumérés aux annexes 1 et 2 du BSIG.
Le BSIG est entré en vigueur le 6 décembre 2025. Il impose aux entreprises concernées de mettre en œuvre 10 mesures spécifiques de gestion des risques de cybersécurité (article 30 BSIG), de s'enregistrer auprès du BSI, de déclarer les incidents importants dans des délais stricts et de sécuriser leur chaîne d'approvisionnement. Au titre de l'article 38 BSIG, la direction doit mettre en œuvre et superviser les mesures, et elle répond envers l'entreprise des dommages qu'elle cause par sa faute.
Si votre entreprise compte 50 salariés ou plus, ou dépasse 10 millions d'euros à la fois de chiffre d'affaires annuel et de total du bilan, et opère dans l'un des secteurs énumérés aux annexes 1 et 2 du BSIG, ces obligations s'appliquent à vous dès à présent. Le délai d'enregistrement était fixé au 6 mars 2026.
Secteur
Votre entreprise offre des biens ou des services contre rémunération dans l'un des secteurs énumérés aux annexes 1 et 2 du BSIG : énergie, transport, finance, santé, eau, infrastructure numérique (y compris les services informatiques et de sécurité gérés), espace, services postaux et de courrier, déchets, produits chimiques, alimentation, fabrication, services numériques, recherche.
Effectif
Vous comptez 50 salariés ou plus. Cela suit la définition européenne des PME et inclut tous les salariés du groupe, pas seulement l'entité allemande. Exception : les entreprises partenaires ou liées ne sont pas additionnées si votre informatique fonctionne indépendamment de la leur (§ 28 Abs. 4 BSIG). Les salariés à temps partiel comptent au prorata.
Chiffre d'affaires annuel
Votre chiffre d'affaires annuel dépasse 10 millions d'euros ET votre total de bilan dépasse 10 millions d'euros. Si vous dépassez le seuil d'effectif OU le seuil financier, vous êtes dans le champ d'application.
Services critiques
Certaines sont dans le champ d'application quelle que soit leur taille : exploitants d'installations critiques (KRITIS), prestataires de services de confiance, registres de noms de domaine de premier niveau et fournisseurs de services DNS (§ 28 BSIG).
S'enregistrer auprès du BSI
Enregistrez-vous en deux étapes : créez d'abord un compte sur Mein Unternehmenskonto (mein-unternehmenskonto.de, avec un certificat d'organisation ELSTER), puis enregistrez-vous sur le portail du BSI (portal.bsi.bund.de). C'est une obligation légale au titre de l'article 33 BSIG, assortie de sa propre sanction pouvant atteindre 500 000 euros. Le portail est en ligne depuis janvier 2026, et le délai était fixé au 6 mars 2026. Si vous l'avez manqué, enregistrez-vous immédiatement.
Mener une analyse de risque
Identifiez vos actifs informatiques critiques, évaluez les risques pesant sur chacun et documentez les décisions de traitement. L'article 30 BSIG exige des mesures de gestion des risques proportionnées à l'exposition au risque. Vous avez besoin d'un inventaire des actifs et d'une analyse de risque structurée avant de pouvoir mettre en œuvre des mesures.
Mettre en œuvre 10 mesures de sécurité
L'article 30(2) BSIG nomme 10 domaines : 1 analyse des risques et politiques de sécurité ; 2 traitement des incidents ; 3 maintien de l'activité (sauvegardes, reprise, gestion de crise) ; 4 sécurité de la chaîne d'approvisionnement ; 5 sécurité lors de l'achat, du développement et de la maintenance des systèmes informatiques, y compris le traitement des vulnérabilités ; 6 vérification de l'efficacité des mesures ; 7 formation de base et sensibilisation ; 8 cryptographie ; 9 sécurité du personnel, contrôle d'accès et gestion des actifs ; 10 authentification multifacteur et communication sécurisée. Chaque domaine requiert des politiques documentées et des preuves de mise en œuvre.
Mettre en place la déclaration d'incidents
Les incidents de cybersécurité importants doivent être déclarés au BSI dans les 24 heures (alerte précoce initiale), 72 heures (notification complète) et 1 mois (rapport final). Définissez ce qu'un incident important signifie pour votre entreprise et établissez une chaîne de déclaration claire avant qu'un événement ne survienne.
Maintenir une conformité continue
NIS2 n'est pas un projet ponctuel. Tenez l'analyse de risque à jour quand les choses changent, formez régulièrement la direction (l'article 38 BSIG exige une participation personnelle ; l'exposé des motifs de la loi entend « régulièrement » comme au moins tous les trois ans), réévaluez les fournisseurs et continuez à surveiller les incidents.
Les entités essentielles encourent des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Les entités importantes encourent jusqu'à 7 millions d'euros ou 1,4 %. Les violations de l'obligation d'enregistrement à elles seules sont passibles d'amendes pouvant atteindre 500 000 euros. Le BSI peut ordonner la mise en conformité (§§ 61, 62 BSIG). Pour les entités particulièrement importantes qui ignorent ses ordres, l'autorité sectorielle compétente peut, en dernier recours, suspendre temporairement une autorisation et interdire temporairement d'exercer des dirigeants jugés non fiables (§ 61 Abs. 9 BSIG).
Au-delà des amendes, l'article 38 BSIG crée une responsabilité personnelle pour la direction. Les dirigeants doivent mettre en œuvre les mesures de cybersécurité, superviser leur mise en œuvre et suivre régulièrement une formation. Ils répondent envers leur propre entreprise des dommages causés par leur faute, selon les règles du droit des sociétés applicables à sa forme juridique.
Questions fréquentes
NIS2 est-il la même chose que l'obligation de sécurité informatique dont j'entends parler ?
Oui. Il n'existe pas de loi distincte sur l'« IT Sicherheitspflicht ». NIS2 est la directive de l'UE qui a été transposée en droit allemand sous la forme du BSIG révisé via le NIS2UmsuCG. Lorsqu'on parle de nouvelles obligations de sécurité informatique pour les entreprises allemandes, on désigne cette loi. Elle est en vigueur depuis le 6 décembre 2025.
Nous sommes une entreprise de fabrication de 60 personnes. Cela s'applique-t-il vraiment à nous ?
Très probablement oui. La fabrication figure à l'annexe II de NIS2 (couvrant la fabrication de dispositifs médicaux, d'électronique, d'équipements électriques, de machines, de véhicules à moteur et d'autres équipements de transport). Avec 60 salariés, vous dépassez le seuil de 50 salariés. Vous seriez classé comme « entité importante » au titre de l'article 28(2) BSIG, et toutes les obligations NIS2 s'appliquent.
Le délai d'enregistrement est passé. Que devons-nous faire ?
Enregistrez-vous immédiatement. Créez d'abord un compte sur Mein Unternehmenskonto (mein-unternehmenskonto.de), puis enregistrez-vous sur le portail du BSI (portal.bsi.bund.de), qui accepte toujours les enregistrements. Un enregistrement tardif vaut mieux qu'aucun enregistrement. L'amende pour défaut d'enregistrement peut atteindre 500 000 euros (§ 65 BSIG).
Notre prestataire informatique externe peut-il gérer la conformité NIS2 pour nous ?
Il peut aider à mettre en œuvre les mesures techniques, mais l'obligation légale reste sur votre entreprise, même si votre informatique est entièrement externalisée. Le BSI le dit dans sa FAQ NIS-2 : vous devez vous assurer que vos prestataires mettent en œuvre les mesures, les contrôler régulièrement et veiller à ce que les incidents soient signalés. Votre direction reste responsable au titre de l'article 38 BSIG de la mise en œuvre et de la supervision des mesures. Vous devez documenter ce que fait votre prestataire informatique, vérifier ses mesures de sécurité et l'inclure dans votre processus de gestion des fournisseurs.
Combien coûte la conformité NIS2 pour une entreprise de taille intermédiaire ?
Cela dépend de ce que vous avez déjà. La loi demande des mesures adaptées à votre taille et à votre risque, et le coût de leur mise en œuvre fait partie des éléments pris en compte (§ 30 Abs. 1 BSIG).
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
