La directive NIS2 en Allemagne : explications sur la loi NIS2UmsuCG (2026)

En bref : l’Allemagne a transposé la directive NIS2 tardivement, mais de manière rigoureuse. La loi de transposition de la directive NIS2 (NIS2UmsuCG) et la nouvelle loi sur le BSI (BSIG) sont entrées en vigueur le 6 décembre 2025, sans période de transition. Environ 29 500 organisations relèvent de son champ d’application, réparties entre les entités « particulièrement importantes » (besonders wichtige) et « importantes » (wichtige). Elles devaient s’enregistrer auprès du BSI dans un délai de trois mois, soit avant le 6 mars 2026; à la mi-2026, on estimait que 10 500 d’entre elles ne l’avaient toujours pas fait. L’enregistrement reste obligatoire, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, et les dirigeants sont personnellement responsables. Ce guide explique qui est concerné, ce que le BSI attend et ce qu’il faut faire en cas de retard.

Chronologie : comment l'Allemagne en est arrivée là

Qui est concerné : le champ d'application allemand

Sources officielles : la page d'information du BSI consacrée à la directive NIS 2 destinée aux entreprises soumises à la réglementation (en allemand) et son outil gratuit d'auto-évaluation NIS 2 (Betroffenheitsprüfung) vous permettent de savoir en dix minutes si vous relevez du champ d'application de la directive. Le texte de loi est la nouvelle loi BSIG 2025, disponible sur gesetze-im-internet.de.

Le BSIG suit la logique de la directive NIS2, mais utilise sa propre terminologie :

• Entités particulièrement importantes (besonders wichtige Einrichtungen): les grandes entreprises (plus de 250 salariés ou 50 millions d’euros de chiffre d’affaires et 43 millions d’euros de bilan) dans les secteurs à haute criticité (énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau, eaux usées, infrastructures numériques, gestion des services TIC, administration publique, secteur spatial), ainsi que les opérateurs d’infrastructures critiques (KRITIS) quelle que soit leur taille, les prestataires de services de confiance qualifiés, les registres de domaines de premier niveau (TLD) et les fournisseurs de services DNS.
• Entités importantes (wichtige Einrichtungen): les entreprises de taille moyenne (50 salariés ou plus, ou dont le chiffre d'affaires et le total du bilan s'élèvent à 10 millions d'euros) dans les secteurs à haute criticité, ainsi que les moyennes et grandes entreprises dans les autres secteurs critiques (services postaux et de messagerie, gestion des déchets, industrie chimique, agroalimentaire, fabrication de dispositifs médicaux, de machines, de véhicules et de produits électroniques, fournisseurs de services numériques, recherche).
• Administration fédérale: régie par des dispositions distinctes de la loi BSIG, avec ses propres obligations.

Le BSI estime le nombre total à environ 29 500 organisations, dont la plupart sont des entités « importantes » du secteur industriel. Le BSI propose un outil d'auto-évaluation en ligne (Betroffenheitsprüfung) ; la loi prévoit que vous évaluiez vous-même votre situation, sans attendre de recevoir un courrier.

Les obligations prévues par la BSIG

1. Inscription auprès du BSI

Dans les trois mois suivant votre entrée dans le champ d’application, via le portail du BSI et le compte d’entreprise « Mein Unternehmenskonto » : données de l’entreprise, secteur d’activité, coordonnées, plages d’adresses IP et États membres dans lesquels vous exercez vos activités. Les modifications doivent être signalées dans un délai de deux semaines. La date limite pour les entités entrant dans le champ d’application dès le premier jour était le 6 mars 2026. Si vous ne vous êtes pas encore enregistré, faites-le dès maintenant ; cette obligation ne s’éteint pas et un enregistrement volontaire tardif est considéré plus favorablement qu’une constatation a posteriori.

2. Mesures de gestion des risques (article 30 de la BSIG)

Les dix mesures minimales prévues par la norme NIS2, proportionnées au risque : analyse des risques et politiques de sécurité, gestion des incidents, continuité des activités et sauvegarde, sécurité de la chaîne d'approvisionnement, sécurité des achats et du développement, évaluation de l'efficacité, cyberhygiène et formation à la cybersécurité, cryptographie, contrôle d'accès et gestion des actifs, ainsi qu'authentification multifactorielle et communications sécurisées. Les entités revêtant une importance particulière doivent également utiliser des systèmes de détection des attaques lorsqu'elles sont des opérateurs KRITIS.

3. Déclaration des incidents (article 32 de la BSIG)

Alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d'un mois, via le portail de signalement du BSI. Les incidents « significatifs » sont ceux qui entraînent une perturbation opérationnelle grave ou une perte financière, ou qui ont des répercussions sur des tiers.

4. Obligations de la direction (article 38 de la BSIG)

La direction doit approuver et superviser les mesures de gestion des risques et doit suivre régulièrement des formations en matière de cybersécurité. En vertu du droit des sociétés allemand, les dirigeants sont personnellement responsables en cas de manquement à cette obligation ; la loi BSIG exclut expressément toute possibilité pour l'entreprise de se dégager de cette responsabilité.

5. Preuves et contrôle

Le BSI peut demander des informations et des pièces justificatives, ordonner des audits et, pour les entités particulièrement importantes, exercer une surveillance proactive. Les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités particulièrement importantes, et 7 millions d'euros ou 1,4 % pour les entités importantes.

Vous avez manqué la date limite d'inscription ? Voici ce qu'il faut faire

1. Effectuez dès aujourd'hui l'auto-évaluation BSI et consignez le résultat, même si vous concluez que vous n'êtes pas concerné.
2. Inscrivez-vous sans tarder si vous êtes concerné. Mieux vaut s'inscrire tard que pas du tout, et l'inscription elle-même prend moins d'une heure une fois que vous disposez d'un compte professionnel.
3. Évaluation des lacunes au regard de l'article 30. La plupart des PME allemandes identifient trois lacunes : la sécurité de la chaîne d'approvisionnement, la gestion documentée des incidents et la formation sans justificatifs.
4. Consignez la participation du conseil d'administration dans un dossier de formation. L'article 38 l'exige, et c'est la première chose que demande un auditeur. Les défis hebdomadaires de Guardey comprennent un suivi de gestion et la production de rapports d'avancement par personne.
5. Testez la procédure de signalement dans les 24 heures. Qui s'en rend compte, qui prend la décision, qui effectue la déclaration ? Faites une répétition.

La formation comme preuve : ce que le BSI accepte

Ni la directive ni le BSIG n’imposent de format particulier, mais la « formation à l’hygiène numérique et à la cybersécurité » doit pouvoir être justifiée. Une présentation PowerPoint annuelle accompagnée d’une feuille de présence constitue une preuve peu convaincante ; un programme continu comprenant les données de suivi par employé, les résultats des simulations de hameçonnage et un relevé des formations suivies par la direction constitue une preuve solide. La formation de sensibilisation à la sécurité de Guardey est disponible en allemand, dure trois minutes par semaine, inclut des simulations de hameçonnage et génère les rapports requis pour la directive NIS2, la norme ISO 27001 et d’autres référentiels.

Questions fréquentes

La directive NIS2 est-elle déjà en vigueur en Allemagne ?

Oui. Le NIS2UmsuCG et le nouveau BSIG s'appliquent depuis le 6 décembre 2025. Il n'y a pas de période de transition.

Qui doit s'enregistrer auprès du BSI ?

Toute entité particulièrement importante ou importante doit s'enregistrer dans un délai de trois mois à compter de son entrée dans le champ d'application. Pour les organisations relevant du champ d'application au 6 décembre 2025, la date limite était fixée au 6 mars 2026. L'enregistrement reste obligatoire si vous ne l'avez pas encore effectué.

Quelle est la différence entre « besonders wichtig » et « wichtig » ?

Taille et secteur. Les grandes entreprises des secteurs à haute criticité et les opérateurs KRITIS sont considérés comme « particulièrement importants » (surveillance proactive, amendes plus élevées) ; les entreprises de taille moyenne de ces secteurs, ainsi que les entreprises de taille moyenne et grande des autres secteurs, sont considérées comme « importantes » (surveillance réactive).

La norme NIS2 en Allemagne impose-t-elle une formation des employés ?

Oui. L'article 30 de la BSIG mentionne la formation à l'hygiène informatique et à la cybersécurité parmi les mesures obligatoires, et l'article 38 oblige les dirigeants à suivre eux-mêmes cette formation.

Où puis-je trouver le texte officiel ?

Le règlement NIS2UmsuCG a été publié au Journal officiel fédéral (BGBl. 2025 I n° 301). Les pages consacrées à la directive NIS 2 du BSI contiennent l'auto-évaluation, le portail d'enregistrement et une foire aux questions. Pour une vue d'ensemble au niveau européen, consultez notre guide NIS 2 2026 et notre comparatif NIS 1 vs NIS 2.