NIS2 en Allemagne

Il n'existe aucune période de transition. Les mesures de gestion des risques, la notification des incidents et la responsabilité de la direction s'appliquent depuis le jour de l'entrée en vigueur de la loi.

La hiérarchie : KRITIS ⊂ entités essentielles ⊂ toutes les entités NIS2. Les exploitants KRITIS sont automatiquement classés comme entités essentielles.

Les dirigeants sont personnellement responsables envers leur propre entreprise lorsqu'ils manquent de manière fautive à ces obligations. La délégation des tâches opérationnelles est autorisée, mais la responsabilité stratégique et la surveillance demeurent à la charge de la direction. La direction ne peut invoquer un manque de connaissances techniques comme moyen de défense.

L'article 38 BSIG interdit expressément les renonciations contractuelles à responsabilité par les associés qui seraient disproportionnées au regard de l'incertitude existante concernant les droits.

L'enregistrement suit un processus en deux étapes : créer d'abord un compte via Mein Unternehmenskonto (MUK/ELSTER), puis s'enregistrer via le portail du BSI (en service depuis le 6 janvier 2026).

L'enregistrement est une obligation d'auto-identification, sans notification de la part du BSI. Les entreprises doivent déterminer elles-mêmes si elles relèvent du champ d'application. Le BSI peut également ordonner à une entreprise de s'enregistrer s'il établit qu'elle relève du champ d'application.