Art. 21 NIS 2 · § 30 BSIG

Exigences NIS2 : ce que votre entreprise doit mettre en place

NIS2 demande des mesures de sécurité dans dix domaines, la notification des incidents importants et l'enregistrement auprès du BSI. La direction met en œuvre les mesures et les supervise. La portée de chaque mesure dépend de la taille et des risques de votre entreprise.

Commencer

Réserver un appel

Quelqu'un d'autre décide ? Une page pour votre direction

Cory Hisey·Laufend geprüft

Programmes et adhésions

Les exigences en un coup d'œil

NIS 2 est une directive de l'UE. En Allemagne, la loi BSI (BSIG) la transpose. Les entreprises concernées y sont appelées « entités ».

Des mesures de sécurité dans dix domaines

La liste minimale figure plus bas, chaque domaine avec un exemple.

Art. 21 NIS 2 · § 30 BSIG

Notifier les incidents importants

En trois étapes au BSI, la première sous 24 heures.

Art. 23 NIS 2 · § 32 BSIG

S'enregistrer auprès du BSI

Une fois, sur le portail du BSI. Si quelque chose change, vous le signalez sous deux semaines.

Art. 3(4) NIS 2 · § 33 BSIG

La direction

Elle met en œuvre les mesures, les supervise et suit une formation à intervalles réguliers. La directive demande aussi que la direction approuve les mesures.

Art. 20 NIS 2 · § 38 BSIG

Les dix mesures en mots simples

L'Art. 21(2) NIS 2 cite dix domaines, en Allemagne le § 30(2) BSIG. C'est la liste minimale. Pour chaque domaine, il vous faut des mesures adaptées à votre entreprise.

1

Analyse des risques et politique de sécurité

Vous notez de quelle informatique votre entreprise a besoin et ce qui peut mal tourner. Il en découle une politique de sécurité : la façon dont votre entreprise gère la sécurité de l'information.

Par exemple: Une liste de vos systèmes avec une évaluation par risque, et une politique de quelques pages.

Art. 21(2)(a) · § 30(2) n° 1

2

Gestion des incidents

Vous décidez comment vous détectez, contenez et résolvez un incident, et qui décide.

Par exemple: Un plan d'urgence avec des numéros de téléphone et des responsabilités claires.

Art. 21(2)(b) · § 30(2) n° 2

3

Maintenir l'activité

Sauvegardes, reprise après une urgence et gestion de crise.

Par exemple: Une sauvegarde dont vous avez testé la restauration.

Art. 21(2)(c) · § 30(2) n° 3

4

Sécurité de la chaîne d'approvisionnement

Vous tenez compte des vulnérabilités de chaque fournisseur direct et de la qualité de ses produits et de ses pratiques de sécurité (Art. 21(3) NIS 2). Les contrats sont l'outil habituel.

Par exemple: Le contrat avec votre prestataire informatique prévoit qu'il vous signale les incidents.

Art. 21(2)(d) · § 30(2) n° 4

5

Sécurité lors de l'achat, du développement et de la maintenance

La sécurité s'applique dès l'achat d'informatique, lors de votre propre développement et pendant la maintenance. Cela inclut de corriger les vulnérabilités et d'en parler ouvertement, par exemple avec une adresse où d'autres peuvent signaler les vulnérabilités qu'ils trouvent.

Par exemple: Les mises à jour de sécurité s'installent automatiquement.

Art. 21(2)(e) · § 30(2) n° 5

6

Évaluer l'efficacité

Vous décidez comment vous vérifiez que les mesures fonctionnent. La loi n'impose pas de tests ni d'audits à chaque entité.

Par exemple: Une fois par an, la direction passe en revue ce qui a fonctionné et ce qui n'a pas fonctionné.

Art. 21(2)(f) · § 30(2) n° 6

7

Formation de base et sensibilisation

Tous les salariés apprennent les bases : reconnaître les e-mails suspects, choisir de bons mots de passe, signaler les incidents.

Par exemple: Une courte formation à l'arrivée et un rappel une fois par an.

Art. 21(2)(g) · § 30(2) n° 7

8

Cryptographie

Vous décidez où et comment vous chiffrez.

Par exemple: Des ordinateurs portables au disque chiffré, et l'e-mail uniquement par des connexions chiffrées.

Art. 21(2)(h) · § 30(2) n° 8

9

Personnel, accès et gestion de l'informatique

Qui a le droit de faire quoi ? Comment les nouveaux reçoivent-ils leurs accès, et comment les perdent-ils en partant ? Cela inclut une vue d'ensemble de votre informatique.

Par exemple: Tous les accès sont bloqués le dernier jour de travail.

Art. 21(2)(i) · § 30(2) n° 9

10

Second facteur et communication sécurisée

Connexion avec un second facteur en plus du mot de passe, ou avec une vérification continue que c'est toujours la même personne qui travaille. Aussi la voix, la vidéo et le texte sécurisés et, si nécessaire, un canal sécurisé pour les urgences.

Par exemple: Un code venant d'une application lors de la connexion à l'e-mail et à l'accès à distance.

Art. 21(2)(j) · § 30(2) n° 10

Combien suffit ?

La loi demande des mesures appropriées, proportionnées et efficaces (§ 30(1) BSIG). Ce qui est proportionné dépend de votre exposition aux risques, de votre taille, des coûts, de la probabilité et de la gravité des incidents, et de leurs conséquences pour d'autres.

Vous consignez ce que vous mettez en place (§ 30(1), troisième phrase, BSIG). La loi n'exige pas de certificat comme ISO 27001. Un tel certificat peut toutefois appuyer vos preuves.

Ce que « proportionné » veut dire exactement

Un exemple

Une entreprise fictive : un fabricant de produits de boulangerie de 120 salariés qui livre la grande distribution. La production industrielle de denrées alimentaires figure à l'annexe 2 du BSIG, donc l'entreprise est une entité importante. Voici sa réponse pour trois des dix domaines :

Chaîne d'approvisionnement : l'entreprise tient une liste de ses prestataires, par exemple pour la gestion des marchandises, la surveillance de la chaîne du froid et l'informatique. Le contrat informatique prévoit que le prestataire signale les incidents.

Second facteur : pour l'e-mail et l'accès à distance, chacun a besoin d'un code venant d'une application.

Maintenir l'activité : les recettes et les plans de production sont sauvegardés chaque jour. Une fois par an, l'informatique teste la restauration.

Comment cela se passe dans le parcours guidé

Dans le parcours guidé sur nisd2.eu, chacun des dix domaines devient au moins une étape que vous remplissez.

À côté de chaque étape figure le texte de loi, expliqué avec des mots simples.

Quand un document est nécessaire, il naît de vos réponses : politique de sécurité, plan de réponse aux incidents, plan de continuité d'activité, politique de cryptographie, politique pour le personnel, les accès et l'informatique, et règles pour l'achat, la maintenance et les vulnérabilités.

Quand une liste suffit, vous tenez une liste : votre informatique, vos fournisseurs, vos sauvegardes, vos formations.

Si vous décidez de ne pas mettre en œuvre un point, vous notez pourquoi. La direction signe aussi cette décision.

À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte. Le nom et la date figurent ensuite sur chaque document.

Commencer le premier domaine dans le parcours guidé

Notifier les incidents importants

Vous notifiez un incident de sécurité important au BSI en trois étapes (§ 32 BSIG, Art. 23 NIS 2). Les délais courent à partir du moment où vous en avez connaissance.

24 heures

Alerte précoce

Si l'incident semble venir d'une attaque ou d'un acte illicite, et s'il pourrait toucher d'autres pays.

72 heures

Notification d'incident

Une première évaluation de la gravité et de l'impact, avec des signes laissés par les attaquants (indicateurs de compromission) quand il y en a.

1 mois

Rapport final

Un mois après la notification : ce qui s'est passé, la cause probable et ce que vous avez fait pour y remédier.

L'obligation de notification en détail

Qui contrôle, et quand ?

Exploitants d'installations critiques

Ils prouvent leurs mesures au BSI par des audits, des contrôles ou des certifications. La première fois à une date fixée par le BSI, au plus tôt trois ans après qu'ils sont considérés comme exploitants, puis tous les trois ans (§ 39 BSIG). Ils doivent aussi utiliser des systèmes de détection des attaques (§ 31(2) BSIG).

Entités essentielles

Pas de cycle de contrôle fixe. Vous consignez ce que vous mettez en place (§ 30(1) BSIG). Le BSI peut contrôler et ordonner des audits par des organismes indépendants (§ 61(1) et (5) BSIG). Il peut demander des preuves au plus tôt à partir du 6 décembre 2028 (§ 61(3) et (4) BSIG).

Entités importantes

Vous consignez ce que vous mettez en place. Le BSI ne contrôle que si des faits laissent penser que vous ne respectez pas le § 30, le § 32 ou le § 38(3) BSIG (§ 62 BSIG).

Ce qui peut servir de preuve

Rapports d'audit internes ou externes
Certifications, par exemple ISO 27001 ou BSI IT-Grundschutz
Votre documentation : évaluation des risques, mesures mises en place et vérification de leur efficacité

Un certificat ISO 27001 ou IT-Grundschutz aide, mais ne couvre pas automatiquement le BSIG. La loi peut aller au-delà du périmètre d'une certification.

Fournisseurs

Pour la chaîne d'approvisionnement, cela signifie concrètement :

Vous tenez compte des vulnérabilités de chaque fournisseur direct et de la qualité de ses produits et de ses pratiques de sécurité, y compris de son développement (Art. 21(3) NIS 2).
Vous convenez d'exigences de sécurité avec les fournisseurs quand c'est pertinent, le plus souvent dans le contrat. L'exposé des motifs de la loi cite les contrats comme exemple.
Uniquement pour les fournisseurs numériques couverts par le règlement d'exécution (UE) 2024/2690 : ils suivent à intervalles planifiés les changements dans les pratiques de sécurité de leurs fournisseurs (point 5.1.6 de l'annexe).

Sources

Directive (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 et 23 (eur-lex.europa.eu)
Loi BSI (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 et 62 (gesetze-im-internet.de/bsig_2025)
BSIG, annexe 2, n° 4 production, transformation et distribution de denrées alimentaires
Règlement d'exécution (UE) 2024/2690, Art. 3 et point 5.1.6 de l'annexe
Projet de loi du gouvernement fédéral sur la NIS2UmsuCG, document du Bundestag 21/1501, exposé des motifs du § 30

En pratique

Où cela apparaît dans le parcours guidé

Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.

Le parcours lui-même est en allemand et en anglais.

Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.