§ 30 BSIG · Art. 21 NIS 2

Documents NIS2 : quelle documentation il faut à votre entreprise

NIS2 vous oblige à documenter vos mesures de sécurité (§ 30(1), troisième phrase, BSIG). La loi demande expressément des « politiques » (Konzepte) pour l'analyse des risques et la sécurité informatique, le contrôle de l'efficacité, la cryptographie, ainsi que le personnel, l'accès et la gestion informatique. Pour le reste, une liste suffit souvent. La loi ne prescrit pas de format.

Commencer

Réserver un appel

Quelqu'un d'autre décide ? Une page pour votre direction

Cory Hisey·Zuletzt geprüft 5. Oktober 2026

Ce qu'exige la loi

Les entités essentielles et importantes prennent des mesures dans dix domaines (§ 30(2) BSIG). Elles mettent par écrit qu'elles le font (§ 30(1), troisième phrase, BSIG).

Pour quatre domaines, la loi parle expressément de politiques : analyse des risques et sécurité informatique (n° 1), évaluation de l'efficacité (n° 6), cryptographie (n° 8), ainsi que personnel, contrôle d'accès et gestion informatique (n° 9).

La loi ne fixe ni l'apparence des documents, ni leur longueur, ni le logiciel dans lequel vous les tenez. Ils suivent le risque, la taille et les coûts de votre entreprise (§ 30(1), deuxième phrase, BSIG).

§ 30(1) et (2) BSIG · Art. 21 NIS 2

Les documents en un coup d'œil

Ces six documents couvrent les domaines où un texte écrit a du sens. La direction approuve chacun d'eux.

Document	Ce qu'il dit	Disposition
Politique de sécurité de l'information§ 30(2) n° 1	Comment votre entreprise traite la sécurité de l'information : objectifs, responsabilités, manière d'évaluer les risques.	§ 30(2) n° 1
Plan de réponse aux incidents§ 30(2) n° 2	Qui décide en cas d'incident, qui vous appelez, comment vous vous joignez sans informatique et comment vous notifiez le BSI.	§ 30(2) n° 2
Plan de continuité d'activité§ 30(2) n° 3	Ce qui doit continuer à fonctionner quand l'informatique tombe en panne, et comment vous rétablissez l'activité.	§ 30(2) n° 3
Règles pour l'achat, la maintenance et les vulnérabilités§ 30(2) n° 5	Ce à quoi vous faites attention en achetant de l'informatique, comment les mises à jour sont installées et où d'autres peuvent signaler les vulnérabilités qu'ils trouvent.	§ 30(2) n° 5
Politique de cryptographie§ 30(2) n° 8	Où et comment vous chiffrez, par exemple les ordinateurs portables, l'e-mail et l'accès à distance.	§ 30(2) n° 8
Politique du personnel, des accès et de la gestion informatique§ 30(2) n° 9	Qui reçoit quels accès, comment les nouveaux arrivants les obtiennent et les partants les perdent, et comment vous gérez votre informatique.	§ 30(2) n° 9

Où une liste suffit

Pour d'autres domaines, vous n'avez pas besoin de texte suivi. Une liste que vous tenez à jour montre ce que vous faites.

Liste	Ce qu'elle dit	Disposition
Vos actifs§ 30(2) n°s 1 et 9	Ce avec quoi votre entreprise travaille : processus, logiciels, appareils, locaux, réseaux, et qui les fournit.	§ 30(2) n°s 1 et 9
Vos fournisseurs§ 30(2) n° 4	Qui travaille pour vous et ce que vous avez convenu avec eux en matière de sécurité.	§ 30(2) n° 4
Vos sauvegardes§ 30(2) n° 3	Ce qui est sauvegardé, avec quoi, et quand la restauration a été testée pour la dernière fois.	§ 30(2) n° 3
Vos formations§ 30(2) n° 7 · § 38(3)	Qui a suivi quelle formation et quand, salariés et direction.	§ 30(2) n° 7 · § 38(3)
Second facteur et communication sécurisée§ 30(2) n° 10	Où un second facteur protège la connexion et quels canaux vous utilisez pour la communication sécurisée.	§ 30(2) n° 10
Revue de direction§ 30(2) n° 6 · § 38(1)	Quand la direction a vérifié si les mesures fonctionnent, ce qu'elle a décidé et qui fait quoi et pour quand.	§ 30(2) n° 6 · § 38(1)

Davantage pour certains fournisseurs numériques

Les fournisseurs comme le cloud, les centres de données, les services gérés et certains autres services numériques relèvent aussi du règlement d'exécution (UE) 2024/2690. Son annexe décrit de nombreux enregistrements plus en détail.

Pour toutes les autres entreprises, cette annexe n'est pas contraignante. Elle peut servir de repère.

§ 30(3) BSIG · Règlement d'exécution (UE) 2024/2690

À qui s'applique le règlement d'exécution

Ce que cela signifie pour une entreprise de 50 à 150 salariés

Vous n'avez pas besoin d'une collection de modèles pour chaque détail. Un document par domaine où un texte est nécessaire, et des listes tenues à jour pour le reste.

Plus important que la longueur : que les documents correspondent à votre entreprise et que ce qu'ils disent se fasse réellement.

La loi n'exige pas de certificat comme ISO 27001. Il peut toutefois appuyer vos preuves.

§ 30(1), deuxième et troisième phrases, BSIG

Un exemple

Une entreprise fictive : un fabricant de machines d'emballage de 110 salariés. La construction de machines figure à l'annexe 2 du BSIG, l'entreprise est donc une entité importante.

Le responsable informatique note avec quoi l'entreprise travaille : ERP, logiciel de conception, pilotage de la production, e-mail, sauvegarde. À côté de chaque élément figure qui le fournit.

Ses réponses sur les dix domaines produisent les six documents. Le plan de réponse aux incidents indique que le gérant décide et que le responsable informatique notifie.

L'entreprise tient les fournisseurs, les sauvegardes et les formations sous forme de listes.

Le gérant lit les documents et les approuve. Quand un nouveau prestataire arrive, l'informatique l'ajoute à la liste des fournisseurs.

Comment cela se passe dans le parcours guidé

Dans le parcours guidé sur nisd2.eu, les documents découlent de vos réponses.

Vos réponses produisent six documents : politique de sécurité, plan de réponse aux incidents, plan de continuité d'activité, politique de cryptographie, politique du personnel, des accès et des actifs, et règles pour l'achat, la maintenance et les vulnérabilités.

Vous pouvez ajouter vos propres dispositions à chaque document.

Là où une liste suffit, vous tenez une liste : votre informatique, vos fournisseurs, vos sauvegardes, vos formations.

À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte. Le nom et la date figurent ensuite sur chaque document.

L'export réunit tout dans un seul document, que vous enregistrez en PDF dans le navigateur.

Rédiger le premier document dans le parcours guidé

Questions fréquentes

Quels documents NIS2 exige-t-elle ?

Le BSIG vous oblige à documenter la mise en œuvre de vos mesures (§ 30(1), troisième phrase). Il nomme expressément des politiques pour l'analyse des risques et la sécurité informatique, l'efficacité, la cryptographie, ainsi que le personnel, l'accès et la gestion informatique (§ 30(2) n°s 1, 6, 8 et 9).

Existe-t-il un format prescrit ?

Non. La loi ne fixe ni format ni longueur. Les documents suivent le risque, la taille et les coûts de votre entreprise.

Les documents doivent-ils être signés ?

Le BSIG ne prescrit pas de signature. Mais la direction doit mettre en œuvre et surveiller les mesures (§ 38(1) BSIG), et la directive européenne exige qu'elle les approuve (art. 20(1) NIS 2). Une approbation consignée par la direction est donc le choix évident.

Avons-nous besoin d'une certification ISO 27001 ?

La loi ne l'exige pas. Un certificat peut appuyer vos preuves, mais ne couvre pas automatiquement le BSIG.

Sources

Loi BSI (BSIG) §§ 30 et 38, gesetze-im-internet.de/bsig_2025
Directive (UE) 2022/2555 (NIS 2), art. 20 et 21, EUR-Lex
Règlement d'exécution (UE) 2024/2690, art. 1 et annexe, EUR-Lex

En pratique

Où cela apparaît dans le parcours guidé

Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.

Le parcours lui-même est en allemand et en anglais.

Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.