Le portail de notification du BSI
Une plateforme, deux obligations NIS 2 : l'enregistrement initial en tant qu'entité et la notification des incidents importants. Accès via le certificat d'organisation ELSTER.
Ce que c'est
Le portail du BSI est le lieu où convergent deux de vos obligations NIS 2 les plus importantes. L'enregistrement initial en tant qu'entité d'un côté, la notification des incidents importants de l'autre. Les deux parcours aboutissent derrière le même identifiant de connexion.
Les obligations découlent des §32 et §33 BSIG. Le §33 dispose : trois mois pour l'enregistrement à compter du moment où vous relevez du champ d'application de NIS 2. Le §32 dispose : en cas d'incident important, quatre étapes de notification assorties d'échéances strictes, 24 heures d'alerte précoce, 72 heures de suivi, rapport intermédiaire sur demande du CSIRT, rapport final dans un délai d'un mois. Les deux délais courent à compter de la prise de connaissance, et non de la survenance du dommage.
L'obstacle le plus fréquent n'est pas le portail lui-même mais l'accès à celui-ci. Vous avez besoin d'un certificat d'organisation ELSTER. Il arrive par voie postale en deux courriers, le courrier du certificat plus le PIN, traitement en pratique de deux à trois semaines. Si vous serrez de près le délai de trois mois du §33 BSIG et que vous lancez la demande ELSTER en parallèle, vous avez un problème de calendrier.
§32 BSIG (obligations de notification) + Art. 23 NIS 2
Les entités essentielles et importantes notifient à l'Office fédéral les incidents de sécurité importants sans retard injustifié, au plus tard dans les 24 heures suivant leur prise de connaissance, via le point de notification unique.
Le point de notification unique est le portail du BSI. L'obligation s'applique à toutes les entités essentielles et importantes, quel que soit le secteur ou la taille dans les limites des seuils NIS 2. Le délai court à compter de la prise de connaissance, et non de la survenance du dommage.
§33 BSIG (obligation d'enregistrement) + Art. 27 NIS 2
Les entités essentielles et importantes s'enregistrent auprès de l'Office fédéral dans un délai de trois mois à compter du moment où elles remplissent pour la première fois les conditions. Les modifications sont notifiées dans un délai de deux semaines.
Le délai de trois mois s'applique au premier enregistrement. Le délai de deux semaines au titre du §33(5) BSIG s'applique à toute modification ultérieure (personne de contact, secteur, activité). Les deux étapes passent par le portail.
Enregistrement initial
Au titre du §33 BSIG : données de base, secteur, personne de contact, périmètre d'activité, classe de taille. Trois mois à compter du moment où vous relevez pour la première fois du champ d'application de NIS 2.
Alerte précoce, 24 heures
Au titre du §32 BSIG et de l'art. 23, par. 4, point a) NIS 2 : notification initiale indiquant la cause illicite ou malveillante suspectée et l'impact transfrontalier. Ce sont les seuls éléments de contenu que la directive nomme explicitement pour l'alerte précoce de 24 h.
Notification, 72 heures
Au titre du §32 BSIG et de l'art. 23, par. 4, point b) NIS 2 : évaluation initiale de la gravité et de l'impact, indicateurs de compromission lorsqu'ils sont disponibles. Le délai de 72 h court à compter de la prise de connaissance, et non du repère des 24 h.
Rapport intermédiaire sur demande
Au titre du §32 BSIG et de l'art. 23, par. 4, point c) NIS 2 : uniquement sur demande du CSIRT ou de l'autorité compétente. Vous ne soumettez pas le rapport intermédiaire de votre propre initiative.
Rapport final, 1 mois
Au titre du §32 BSIG et de l'art. 23, par. 4, point d) NIS 2 : description détaillée, cause, mesures d'atténuation, impact transfrontalier. Délai d'un mois à compter de la notification de suivi de 72 h.
Mise à jour des données dans un délai de 2 semaines
Au titre du §33(5) BSIG et de l'art. 27, par. 2 NIS 2 : deux semaines pour mettre à jour les données d'enregistrement. Le déclencheur le plus fréquent est un changement de personnel pour la personne de contact.
Accès aux alertes et rapports de situation
Le portail regroupe également les publications du BSI, les alertes et les rapports de situation sectoriels. Utile lorsque vous êtes de toute façon connecté.
La demande se fait via Mein Unternehmenskonto sur mein-unternehmenskonto.de. Condition préalable : un numéro fiscal allemand pour votre organisation. Le certificat lui-même arrive par voie postale, le PIN d'activation arrive dans un courrier séparé. Ce n'est pas un hasard, cela fait partie de l'authentification.
Traitement en pratique : deux à trois semaines. La plupart des équipes de direction sous-estiment cette étape parce qu'elle ressemble à une affaire informatique mais dépend d'un envoi postal. Pour respecter le délai de trois mois du §33 BSIG, demandez d'abord ELSTER, enregistrez-vous ensuite auprès du BSI.
Sans ELSTER, l'accès n'est actuellement possible que dans des cas exceptionnels, par exemple via une délégation électronique. Le site web du BSI documente en détail les voies admissibles.
Demande ELSTER lancée trop tard
Deux à trois semaines de traitement ne se compressent pas si vous lancez la demande près de l'échéance. Résultat : délai du §33 BSIG manqué. Une amende au titre du §65 BSIG peut s'ensuivre.
Personne de contact non mise à jour
Les changements de personnel sont la violation silencieuse la plus fréquente de NIS 2. Au titre du §33(5) BSIG et de l'art. 27, par. 2 NIS 2, vous disposez de deux semaines pour mettre à jour les données d'enregistrement. Si cela est oublié, les demandes du BSI n'aboutissent nulle part et vous ne vous en apercevez qu'à la prochaine escalade.
Pas de répétition à blanc de la notification
24 heures, c'est serré. Ouvrir le portail pour la première fois en plein incident consume des heures dont vous ne disposez pas. Recommandation : connectez-vous une fois au calme, parcourez la structure, enregistrez les contacts, bien avant d'en avoir besoin.
- Loi sur l'Office fédéral de la sécurité des technologies de l'information (BSIG), §§32, 33, 65, www.gesetze-im-internet.de
- Directive (UE) 2022/2555 (NIS 2), art. 23, art. 27, www.eur-lex.europa.eu
- Mein Unternehmenskonto (certificat d'organisation ELSTER) : mein-unternehmenskonto.de
- Site web du BSI renvoyant au portail : www.bsi.bund.de
Cette page fournit une orientation structurée fondée sur des sources accessibles au public (directive NIS 2, BSIG, documentation ELSTER, publications du BSI). Elle ne constitue pas un conseil juridique au sens du §2 RDG. Les détails procéduraux du portail du BSI et de la demande ELSTER peuvent changer ; la documentation actuelle du BSI et d'ELSTER fait foi. État au 2026-06-04.