Art. 3 Abs. 4 NIS 2 · § 33 BSIG

Enregistrement NIS2 : comment enregistrer votre entreprise auprès du BSI

Les entreprises concernées s'enregistrent sur le portail du BSI (§ 33 BSIG). Avant cela, il vous faut un certificat d'organisation ELSTER, activé par courrier. Pour les entreprises concernées depuis décembre 2025, le délai a pris fin le 6 mars 2026. Si vous l'avez manqué, enregistrez-vous maintenant : l'obligation reste en vigueur.

Commencer

Réserver un appel

Quelqu'un d'autre décide ? Une page pour votre direction

Simon Orzel·Laufend geprüft

Programmes et adhésions

Qui doit s'enregistrer

Chaque entité essentielle et chaque entité importante (§ 33(1) BSIG). C'est ainsi que la loi appelle les entreprises auxquelles NIS 2 s'applique.

Votre entreprise en fait partie ou non selon son secteur et sa taille (§ 28 BSIG). Les secteurs figurent aux annexes 1 et 2 du BSIG. Dans ces secteurs, une entreprise est une entité importante si elle a au moins 50 salariés, ou un chiffre d'affaires annuel et un total de bilan de plus de 10 millions EUR chacun.

Le BSI propose un test d'applicabilité qui vous guide à travers les questions. Selon le BSI, son résultat n'est pas juridiquement contraignant.

Le délai

Vous vous enregistrez au plus tard trois mois après que votre entreprise est considérée pour la première fois comme une entité (§ 33(1) BSIG).

Le BSIG s'applique depuis le 6 décembre 2025. Pour les entreprises concernées depuis cette date, le délai a pris fin le 6 mars 2026.

Si votre entreprise n'est concernée que plus tard, par exemple parce qu'elle grandit, les trois mois courent à partir de ce moment.

Comment vous enregistrer, étape par étape

L'enregistrement se fait en deux temps : d'abord un compte ELSTER, puis l'enregistrement sur le portail du BSI.

1

Vérifier si vous êtes concerné

Clarifiez votre secteur, votre effectif et votre chiffre d'affaires (§ 28 BSIG). Le test d'applicabilité du BSI vous y aide. Pour les cas limites, un examen juridique aide.

2

Demander un certificat d'organisation à ELSTER

La demande passe par « Mein Unternehmenskonto » (mein-unternehmenskonto.de). Il vous faut un numéro fiscal allemand. Les identifiants arrivent par e-mail, le code d'activation par courrier à l'adresse enregistrée avec le numéro fiscal. Selon le BSI, l'envoi prend en règle générale au moins cinq jours ouvrés.

3

Préparer les informations

Le portail reprend votre nom, votre adresse, votre forme juridique et vos données d'immatriculation depuis votre compte d'entreprise. Vous ajoutez, selon le § 33(1) BSIG : e-mail et numéros de téléphone, vos plages d'adresses IP publiques, votre secteur, les pays de l'UE où vous fournissez ces services et vos autorités de surveillance compétentes.

4

S'enregistrer sur le portail du BSI

Vous vous connectez au portail du BSI (portal.bsi.bund.de) avec le certificat et vous remplissez le formulaire. La personne qui enregistre l'entité en devient automatiquement l'administrateur et peut inviter des collègues.

5

Consigner et distribuer les accès

Notez quel jour et avec quel certificat vous vous êtes enregistré. Donnez l'accès aux personnes qui notifieront les incidents en cas d'urgence. Chaque personne a besoin de son propre certificat et doit être rattachée à votre entité dans le portail.

Comment cela se passe dans le parcours guidé

L'enregistrement est la première étape du parcours guidé sur nisd2.eu.

L'étape explique avec des mots simples à quoi sert l'enregistrement et comment accéder au portail du BSI via ELSTER.

Elle montre dans quel pays de l'UE vous vous enregistrez, avec l'autorité et son portail.

Vous notez deux informations : l'identifiant de votre compte utilisateur et le jour de l'enregistrement.

Si la lettre d'ELSTER n'est pas encore arrivée, vous choisissez « Not possible yet » et passez à l'étape suivante.

Une étape ultérieure montre lesquelles de vos informations peuvent changer.

Commencer par l'enregistrement dans le parcours guidé

Ce qui vient après l'enregistrement

Le § 33 BSIG ne prévoit ni décision ni autre étape du BSI après l'enregistrement. Ne vous attendez donc pas à recevoir une demande de commencer.

Les autres obligations s'appliquent quand même. Elles s'appliquent parce que votre entreprise est une entité. L'enregistrement n'y change rien.

Mettre en place des mesures de sécurité dans dix domaines et les consigner (§ 30 BSIG).
Notifier les incidents de sécurité importants, la première notification sous 24 heures (§ 32 BSIG).
La direction met en œuvre les mesures, les supervise et suit une formation à intervalles réguliers (§ 38 BSIG).
Si vos informations changent, vous le signalez au BSI sous deux semaines (§ 33(5) BSIG).

Comment vous y prendre : mettre en œuvre NIS2

Délai manqué ? Voici quoi faire maintenant

1Enregistrez-vous maintenant. L'obligation ne prend pas fin avec le délai.
2Notez quand vous avez appris l'existence de l'obligation et quand vous vous êtes enregistré.
3Votre entreprise a-t-elle eu un incident de sécurité important avant l'enregistrement ? Notifiez-le quand même, par un formulaire sur le portail de notification et d'information (MIP) du BSI.
4Commencez les mesures. Elles s'appliquent indépendamment de l'enregistrement.

Questions fréquentes

Puis-je encore m'enregistrer après le 6 mars 2026 ?

Oui. Le délai indique la date à laquelle vous deviez vous être enregistré. L'obligation elle-même ne prend pas fin. Vous vous enregistrez sur le même portail du BSI.

Est-ce que je reçois une décision ou un numéro d'enregistrement ?

Le § 33 BSIG ne prévoit pas de décision. Notez vous-même quand et avec quel certificat vous vous êtes enregistré. Pour les notifications d'incident, c'est différent : le BSI accuse réception, si possible sous 24 heures (§ 36(1) BSIG).

Les autres obligations ne s'appliquent-elles qu'après l'enregistrement ?

Non. Les mesures (§ 30 BSIG), l'obligation de notification (§ 32 BSIG) et les obligations de la direction (§ 38 BSIG) s'appliquent dès que votre entreprise est une entité. L'enregistrement est une obligation parmi les autres.

Nous ne savons pas si nous sommes concernés. Que faire ?

Utilisez le test d'applicabilité du BSI et faites examiner les cas limites par un juriste. Les cas limites sont par exemple une taille proche du seuil, une activité qui pourrait relever de plusieurs secteurs, ou un groupe avec des entreprises liées (§ 28(3) et (4) BSIG).

Nous avons des sites dans d'autres pays de l'UE. Où nous enregistrer ?

En principe, c'est le pays où votre entreprise est établie qui est compétent (Art. 26(1) NIS 2). Pour certains fournisseurs numériques, c'est l'établissement principal qui compte. Les autorités de tous les pays de l'UE figurent dans notre vue d'ensemble des organismes d'enregistrement.

Sources

Loi BSI (BSIG), §§ 28, 30, 32, 33, 36 et 38, annexes 1 et 2, en vigueur depuis le 6 décembre 2025 (gesetze-im-internet.de/bsig_2025)
Directive (UE) 2022/2555 (NIS 2), Art. 3(4) et Art. 26 (eur-lex.europa.eu)
BSI, modalités de la procédure d'enregistrement selon le § 33(6) BSIG, version 1.0 du 26 juin 2026 (bsi.bund.de/dok/registrierungspflicht)
BSI, Mein Unternehmenskonto (bsi.bund.de/dok/muk)
BSI, obligation de notification NIS 2 : notification avant l'enregistrement (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, test d'applicabilité (betroffenheitspruefung-nis-2.bsi.de)

En pratique

Où cela apparaît dans le parcours guidé

Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.

Le parcours lui-même est en allemand et en anglais.

Registration & Reporting
Register with your authority
Your company registers once with your authority.
Registration & Reporting
Keep the registration up to date
When something changes, update it with your authority.