Mettre en œuvre NIS2 : comment s'y prend une PME
Vous enregistrez votre entreprise auprès du BSI, vous mettez en place des mesures de sécurité dans dix domaines et vous notifiez les incidents importants. La direction supervise tout cela. Le niveau d'exigence de chaque mesure dépend de la taille et des risques de votre entreprise.
Programmes et adhésions
Les quatre obligations
NIS 2 est une directive de l'UE. En Allemagne, la loi BSI (BSIG) la transpose. Une entreprise concernée y est appelée « entité ». Chaque entité a quatre obligations.
S'enregistrer
Vous enregistrez votre entreprise une fois auprès du BSI, sur son portail.
- Texte
- Art. 3(4) NIS 2 · § 33 BSIG
- Qui
- La personne qui gère le compte d'entreprise ELSTER
Mettre en place les mesures et les consigner
Vous protégez votre informatique dans dix domaines, du plan d'urgence à la connexion avec un second facteur. Vous consignez par écrit ce que vous décidez.
- Texte
- Art. 21 NIS 2 · § 30 BSIG
- Qui
- Le responsable informatique, en interne ou un prestataire
Notifier les incidents importants
Vous notifiez un incident de sécurité important au BSI, la première notification sous 24 heures. Un incident est important, par exemple, quand il perturbe gravement votre activité.
- Texte
- Art. 23 NIS 2 · § 32 BSIG
- Qui
- La personne qui décide en cas d'urgence
La direction pilote
Elle met en œuvre les mesures et les supervise. Elle suit aussi une formation à intervalles réguliers. Ces obligations s'appliquent à la direction elle-même.
- Texte
- Art. 20 NIS 2 · § 38 BSIG
- Qui
- La direction, en personne
Ce que cela signifie pour 50 à 150 salariés
Vous n'avez pas besoin d'une équipe de sécurité dédiée. La loi n'en exige pas.
Vous n'avez pas besoin d'un certificat comme ISO 27001. La loi n'en impose pas, mais il peut aider à prouver vos mesures.
Les mesures doivent être adaptées à votre entreprise. Le critère : votre exposition aux risques, votre taille, les coûts, et la probabilité et la gravité des incidents (§ 30(1), deuxième phrase, BSIG).
Vous consignez ce que vous mettez en place (§ 30(1), troisième phrase, BSIG). Les mesures doivent aussi être efficaces.
Le travail est fait par des personnes que vous avez déjà : la direction, le responsable informatique et les services qui savent de quoi l'activité a besoin.
Dans quel ordre
Chaque étape s'appuie sur la précédente.
- 1Vérifier si NIS2 s'applique à vous. Cela dépend de votre secteur, de votre effectif et de votre chiffre d'affaires (§ 28 BSIG).
- 2S'enregistrer auprès du BSI.
- 3Faire former la direction.
- 4Noter quelle informatique votre entreprise utilise et qui travaille pour vous. Ensuite, évaluer les risques.
- 5Décider des mesures et les consigner dans des documents : une politique de sécurité, des plans d'urgence et des règles pour les accès, les mises à jour et le chiffrement.
- 6La direction lit les documents et les approuve.
- 7Ensuite, vérifier régulièrement que tout est toujours adapté.
Un exemple
Une entreprise fictive : un fabricant de convoyeurs de 90 salariés. Un salarié s'occupe de l'informatique, avec un prestataire externe.
La vérification montre : la construction de machines figure à l'annexe 2 du BSIG. Avec 90 salariés, l'entreprise est une entité importante.
Le dirigeant demande un certificat d'organisation à ELSTER. Dès que la lettre avec le code d'activation arrive, il enregistre l'entreprise sur le portail du BSI.
Il suit une formation pour la direction.
Le salarié chargé de l'informatique note ce dont l'activité dépend : ERP, e-mail, logiciel de conception, pilotage de la production, sauvegardes. Puis les fournisseurs, par exemple le prestataire informatique et l'éditeur de l'ERP.
Ensemble, ils évaluent pour chaque élément ce qui peut arriver. Une panne du pilotage de la production pèse le plus lourd.
Les documents en découlent : la politique de sécurité, un plan de réponse aux incidents, un plan de continuité d'activité et des règles pour les accès, les mises à jour et le chiffrement.
Le dirigeant les lit et les approuve. Le plan de réponse aux incidents indique qui décide lors d'un incident.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu vous fait suivre la mise en œuvre dans cet ordre, une étape après l'autre.
20 étapes. Les exploitants d'installations critiques ont une étape de plus.
À côté de chaque étape figure le texte de loi, expliqué avec des mots simples.
Vos réponses produisent six documents, dont la politique de sécurité et les deux plans d'urgence.
Ce que vous ne pouvez pas encore faire, vous le mettez de côté et vous continuez.
Si vous décidez de ne pas mettre en œuvre un point, vous notez pourquoi. La direction signe aussi cette décision.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte. Le nom et la date figurent ensuite sur chaque document.
Erreurs fréquentes
Attendre un guide définitif
Le BSIG s'applique depuis le 6 décembre 2025. L'obligation de prendre des mesures selon le § 30 BSIG s'applique aussi depuis cette date.
Voir trop grand
La loi demande des mesures proportionnées, pas les plus grandes possibles. Les systèmes de détection des attaques, par exemple, ne sont obligatoires que pour les exploitants d'installations critiques (§ 31(2) BSIG).
Laisser NIS2 à la seule informatique
La direction doit mettre en œuvre les mesures et les superviser (§ 38(1) BSIG). Impliquez-la dès le début.
Oublier les fournisseurs
La sécurité de la chaîne d'approvisionnement est l'un des dix domaines (§ 30(2) n° 4 BSIG). Elle couvre tous les fournisseurs et prestataires directs, pas seulement l'informatique.
Seulement du papier
La loi demande des mesures efficaces (§ 30(1) BSIG). Un document que personne ne connaît ne protège rien.
Sources
- Directive (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 et 23 (eur-lex.europa.eu)
- Loi BSI (BSIG) du 2 décembre 2025, §§ 28, 30, 31, 32, 33 et 38, en vigueur depuis le 6 décembre 2025 (gesetze-im-internet.de/bsig_2025)
- BSIG, annexe 2, n° 5.4 construction de machines (gesetze-im-internet.de/bsig_2025/anlage_2.html)
- BSI, Mein Unternehmenskonto et enregistrement sur le portail du BSI (bsi.bund.de/dok/muk)
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.