NIS2 : vérifier si vous êtes concerné et mettre en œuvre les obligations de cybersécurité

Depuis le 6 décembre 2025, la nouvelle loi allemande sur le BSI transposant la directive NIS2 est en vigueur en Allemagne – et impose ainsi de nouvelles obligations de cybersécurité à des milliers d'entreprises dans 18 secteurs.

En bref : le BSIG (loi sur le BSI, l'Office fédéral allemand de la sécurité des technologies de l'information) oblige les entités « importantes » et « particulièrement importantes » de 18 secteurs – en règle générale à partir de 50 salariés ou de plus de 10 M€ de chiffre d'affaires – à s'enregistrer auprès du BSI, à mettre en œuvre des mesures de gestion des risques telles que l'authentification multifacteur, les sauvegardes et la sécurité de la chaîne d'approvisionnement, ainsi qu'à respecter des délais de notification échelonnés en cas d'incident de sécurité. La direction est personnellement responsable ; en cas d'infraction, les amendes peuvent atteindre 10 M€ ou 2 % du chiffre d'affaires annuel mondial.

Qui est concerné par NIS2 ?

Sont concernées les entités « importantes » et « particulièrement importantes » relevant de l'un des 18 secteurs définis par la loi – en règle générale les entreprises de 50 salariés ou plus, ou dont le chiffre d'affaires annuel dépasse 10 millions d'euros. Les secteurs couverts comprennent notamment l'énergie, les transports, la santé, les infrastructures numériques, la gestion des déchets et l'industrie manufacturière. Ce n'est pas la seule taille de l'entreprise qui est déterminante, mais l'appartenance à l'un de ces secteurs : une société de logiciels de 80 collaborateurs peut rester en dehors du champ, tandis qu'un distributeur d'eau de 55 salariés est clairement concerné. En cas de doute, il convient de vérifier le caractère concerné de manière ciblée – par exemple avec le test d'assujettissement du BSI ou avec un outil comme Company Audit, qui rapproche automatiquement les obligations propres à chaque secteur. Au sein des secteurs, la loi distingue en outre les entités « particulièrement importantes » – par exemple l'énergie, l'eau, la banque ou les infrastructures numériques – soumises à une supervision proactive, et les entités « importantes », que le BSI contrôle en fonction des événements.

Que doivent concrètement faire les entreprises concernées ?

Les entités concernées doivent s'enregistrer auprès du BSI et mettre en place une gestion des risques pour leurs systèmes informatiques et OT. La loi exige des mesures techniques et organisationnelles concrètes, notamment l'authentification multifacteur, un plan de sauvegarde et de continuité, le recours à la cryptographie ainsi que la sécurisation de la chaîne d'approvisionnement vis-à-vis des prestataires et des fournisseurs. En outre, la direction doit superviser la mise en œuvre de ces mesures et se former régulièrement aux enjeux de cybersécurité, car elle en répond personnellement. Les mesures prises doivent par ailleurs être documentées, afin que, lors d'un contrôle du BSI ou après un incident de sécurité, on puisse retracer quelles étapes ont été mises en œuvre et quand.

Dans quel délai les incidents de sécurité doivent-ils être notifiés ?

Pour les incidents de sécurité significatifs, une procédure de notification en trois étapes auprès du BSI s'applique : une première notification dans les 24 heures, une notification de suivi avec évaluation détaillée dans les 72 heures et un rapport final au plus tard un mois après l'incident. Pour que ce calendrier puisse être respecté en cas de crise, le processus de notification doit être défini à l'avance et connu dans l'entreprise – qui notifie, à qui, avec quelles informations.

Que risque-t-on en cas de violation des obligations NIS2 ?

Les violations des obligations d'enregistrement, de gestion des risques ou de notification peuvent être sanctionnées par des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial – selon le montant le plus élevé. Comme la direction est personnellement responsable de la supervision des mesures, les manquements peuvent en outre entraîner des conséquences de droit civil pour la gérance et le directoire. Même les entreprises qui ne relèvent pas directement de NIS2 ressentent la réglementation : par le biais des exigences de chaîne d'approvisionnement de leurs clients, elles sont de fait poussées vers des mesures de sécurité comparables.

Les principales étapes de la mise en œuvre de NIS2

1. Vérifier si l'entreprise appartient à l'un des 18 secteurs NIS2, par exemple avec le test d'assujettissement du BSI.
2. Si l'entreprise est concernée, s'enregistrer auprès du BSI dans les délais.
3. Mettre en œuvre les mesures de gestion des risques : authentification multifacteur, plan de sauvegarde et de continuité, cryptographie et sécurité de la chaîne d'approvisionnement.
4. Établir un processus de notification des incidents de sécurité avec les délais de 24 heures, 72 heures et un mois.
5. Former la direction et documenter la supervision des mesures, afin de satisfaire à la responsabilité personnelle de la direction.

Questions fréquentes

À partir de combien de salariés NIS2 s'applique-t-elle ?

Le seuil de principe est de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires annuel. Il faut toutefois en outre que l'entreprise appartienne à l'un des 18 secteurs désignés par la loi – la taille seule ne suffit pas pour être concerné.

Les petites entreprises sont-elles aussi concernées par NIS2 ?

Directement, en règle générale non, si les seuils ne sont pas atteints. Les petits fournisseurs et prestataires d'entités concernées sont toutefois souvent, de fait, poussés vers des mesures de sécurité comparables par les exigences de chaîne d'approvisionnement de leurs clients.

Que se passe-t-il en cas de notification tardive d'un incident de sécurité ?

Si le délai échelonné de 24 heures pour la première notification, de 72 heures pour la notification de suivi ou d'un mois pour le rapport final n'est pas respecté, il y a violation du § 32 BSIG, ce qui peut être sanctionné par une amende.

La direction est-elle personnellement responsable des violations de NIS2 ?

Oui. Le BSIG prévoit que la direction supervise la mise en œuvre des mesures de gestion des risques, se fait former et peut être personnellement tenue responsable des manquements.

Comment savoir si mon entreprise est concernée ?

Le plus fiable est le test d'assujettissement officiel du BSI, qui interroge de manière ciblée l'appartenance sectorielle, la taille et le chiffre d'affaires. Si vous avez encore un doute, effectuez ce test avant l'enregistrement afin d'éviter des efforts inutiles.

Source : §§ 28, 30, 32, 33 BSIG (loi de transposition de NIS2). Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. Date : juillet 2026.