Demande du BSI reçue : ce que le BSI peut demander et comment répondre
Une demande du BSI indique sa base juridique, ce que le BSI veut savoir et un délai. Le BSI peut demander des informations et des documents, par exemple sur l'enregistrement (§ 33(4) BSIG), aux entités essentielles pour un contrôle (§ 61 BSIG) et aux entités importantes lorsque des faits indiquent un manquement (§ 62 BSIG). Lisez la demande attentivement, décidez qui répond, et répondez par écrit dans le délai.
Sur quoi une demande peut se fonder
La base juridique figure dans le courrier. Elle détermine ce que le BSI peut demander.
Enregistrement
Si des faits laissent penser que votre entreprise ne s'est pas enregistrée, vous présentez des documents et fournissez des informations sur demande. Le BSI peut aussi procéder lui-même à l'enregistrement.
§ 33(3) et (4) BSIG
Contrôle d'une entité essentielle
Le BSI peut vérifier si la loi est respectée, y compris avec l'aide de tiers. Vous donnez accès pendant les heures d'ouverture habituelles, présentez des documents, fournissez des informations et apportez votre soutien.
§ 61(5) BSIG
Preuves d'une entité essentielle
Le BSI peut ordonner des preuves au plus tôt à partir du 6 décembre 2028, pour les hôpitaux agréés au plus tôt à partir du 6 décembre 2030.
§ 61(3) BSIG
Contrôle d'une entité importante
Seulement si des faits laissent penser que votre entreprise ne met pas en œuvre le § 30, le § 32 ou le § 38(3) BSIG, ou pas correctement.
§ 62 BSIG
Après une notification
Si vous avez notifié un incident, le BSI peut demander un rapport intermédiaire sur l'état.
§ 32(1) n° 3 BSIG
Comment procéder
Lisez le courrier attentivement : quelle disposition cite-t-il, que veut savoir exactement le BSI, et pour quand ?
Décidez qui répond. La direction devrait être informée de la demande.
Rassemblez ce qui est demandé. En général, cela existe déjà : vos documents, listes et registres, que vous tenez de toute façon selon le § 30(1), troisième phrase, BSIG.
Si le délai ne suffit pas, demandez tôt et par écrit plus de temps et dites pourquoi.
Répondez par écrit, avec une liste des pièces jointes et la date. Mettez par écrit ce qui a été discuté au téléphone.
Si le périmètre ou la base juridique ne sont pas clairs, ou si le courrier concerne une procédure d'amende, demandez un conseil juridique.
Jusqu'où va l'obligation
L'obligation va aussi loin que ce que le BSI demande et que la disposition citée le permet. Vous n'avez pas à envoyer des documents que personne n'a demandés.
Avant que le BSI prenne un acte administratif qui porte atteinte à vos droits, comme une injonction, il vous donne en général la possibilité de vous exprimer.
Refuser l'accès, des documents ou des informations lors d'un contrôle d'une entité essentielle est une infraction administrative. Le plafond est de 100 000 euros.
§ 28 VwVfG · § 65(2) n° 17 et (5) BSIG
Ce que cela signifie pour une entreprise de 50 à 150 salariés
Comme entité importante, votre entreprise n'est contrôlée qu'en présence d'indices d'un manquement. Le BSI peut tout de même poser des questions sur l'enregistrement ou après une notification.
Il est plus facile de répondre quand les documents existent déjà : quelles mesures vous avez prises, qui les a approuvées, comment vous notifiez les incidents, quand la direction a été formée.
Un exemple
Une entreprise fictive : un fabricant de produits alimentaires de 85 salariés. En septembre arrive un courrier du BSI avec un délai de trois semaines.
Le courrier cite le § 33(4) BSIG. Le BSI demande pourquoi l'entreprise n'est pas enregistrée.
Le gérant le lit le jour même et demande à la responsable informatique de préparer la réponse.
L'entreprise vérifie : la production alimentaire figure à l'annexe 2, et avec 85 salariés, elle est une entité importante. L'enregistrement manquait parce que la lettre d'activation d'ELSTER n'était pas encore arrivée.
La lettre arrive la deuxième semaine. L'entreprise s'enregistre et répond par écrit avec la date de l'enregistrement, dans le délai.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu ne rédige pas votre réponse au BSI. Il consigne ce sur quoi la réponse s'appuie.
L'export réunit tout le parcours guidé dans un seul document : état, points ouverts, documents, matrice des risques, tous les registres et toutes les données. Vous l'enregistrez en PDF dans le navigateur.
Chaque document approuvé indique le nom et la date de l'approbation par la direction.
Le journal d'activité montre qui a modifié quoi et quand, y compris chaque approbation.
Les administrateurs, les auditeurs et la direction de votre entreprise peuvent exporter.
Questions fréquentes
Dois-je répondre à une demande du BSI ?
Oui, dans la mesure où la disposition citée vous y oblige, par exemple le § 33(4) ou le § 61(5) BSIG. Vous n'avez rien à fournir au-delà.
De combien de temps est-ce que je dispose ?
Le délai figure dans le courrier. La loi ne fixe pas de délai précis pour de telles demandes.
Puis-je demander plus de temps ?
Oui. Demandez-le tôt et par écrit, et dites pourquoi le délai ne suffit pas. Le BSI décide s'il accepte.
Ai-je besoin d'un avocat ?
Pas pour chaque demande. Si l'on ne sait pas clairement ce que le BSI peut demander, ou si le courrier concerne une procédure d'amende, un conseil juridique est utile.
Sources
- Loi BSI (BSIG) §§ 30, 32, 33, 61, 62, 65, gesetze-im-internet.de/bsig_2025
- Loi allemande sur la procédure administrative (VwVfG) § 28, gesetze-im-internet.de
- Directive (UE) 2022/2555 (NIS 2), art. 32 et 33, EUR-Lex
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
