Obligation de justification KRITIS en vertu de l'article 39 de la loi allemande sur la sécurité informatique (BSIG) : les principales modifications pour les opérateurs
Ce texte a été généré par l'intelligence artificielle (IA).La loi sur la sécurité informatique (BSIG) a redéfini les exigences en matière de preuve pour les exploitants d'infrastructures critiques (KRITIS). L'ancien article 8a de la BSIG (ancienne version) a été remplacé par § 39 de la loi allemande sur la sécurité intérieure (BSIG) remplacée. Le changement le plus notable est l'allongement de la période de validation, qui passe de deux à trois ans. Parallèlement, la nouvelle réglementation met davantage l'accent sur la correction continue des failles de sécurité grâce à une procédure de suivi formalisée mise en place par le BSI.
Aperçu des points clés :
- Règlement : Loi sur l'Office fédéral de la sécurité de l'information (BSIG), article 39
- Personnes concernées : Exploitants d'installations critiques au sens du règlement BSI-Kritis (BSI-KritisV)
- Nouveau cycle de vérification : Tous les 3 ans (auparavant tous les 2 ans)
- En vigueur depuis : 6 décembre 2025
Le nouveau cadre juridique : de deux à trois ans
La principale modification apportée à l'article 39 de la BSIG concerne l'allongement du cycle de contrôle. Les exploitants d'infrastructures critiques doivent désormais démontrer tous les trois ans, par le biais d'audits de sécurité, de contrôles ou de certifications, que leurs mesures de sécurité informatique sont conformes à l'état de la technique. Cette démonstration porte sur les mesures visées à l’article 30, paragraphe 1, première phrase, en liaison avec l’article 31, paragraphes 1 et 2, de la BSIG. Cette adaptation vise à réduire la charge liée aux contrôles périodiques et à mettre l’accent sur une culture de la sécurité durable. La base juridique a été modifiée pour la dernière fois le 17 mars 2026 par la loi transposant la directive (UE) 2022/2557 (directive CER).
L'Office fédéral allemand de la sécurité informatique (BSI) a déjà procédé en 2025 à une refonte complète de son „ Guide pour la fourniture de preuves “ afin de tenir compte des nouvelles exigences. Ce document fait autorité pour la mise en œuvre pratique des dispositions légales.
Délais, seuils et dispositions transitoires
Les obligations de justification s'appliquent à toutes les organisations dont les installations dépassent les seuils définis dans le règlement BSI-KritisV. Les exploitants sont tenus de s'en acquitter chaque année au plus tard le 31 mars à vérifier. En cas de dépassement, l'installation est considérée comme une infrastructure critique à compter du 1er avril et doit être enregistrée auprès du BSI.
Pour les exploitants qui étaient déjà soumis à une obligation de justification avant l'entrée en vigueur de la nouvelle loi, § 39, alinéa 3, de la loi sur la sécurité des paiements (BSIG) prévoit une disposition transitoire : la prochaine date de justification est fixée par le BSI au plus tôt trois ans après la dernière justification fournie.
Le processus de vérification et le suivi des dysfonctionnements par le BSI
Si des lacunes en matière de sécurité sont constatées lors du contrôle, un processus formel de correction des lacunes est lancé. Les exploitants doivent établir un plan de mise en œuvre contraignant décrivant en détail comment et dans quels délais les failles identifiées seront corrigées.
Un élément essentiel de la nouvelle procédure est le Suivi des lacunes en matière de sécurité de l'information (BSI). Dans ce cadre, les opérateurs doivent présenter au BSI, à intervalles réguliers – généralement tous les trimestres –, une liste actualisée des lacunes et documenter l'avancement des mesures. Ce processus fait passer l'accent d'un contrôle ponctuel à un processus d'amélioration continu et vérifiable. En cas de lacunes graves ou de retards importants, le BSI peut ordonner la mise en œuvre sous peine d’astreintes. Selon le BSI, une astreinte n’est généralement fixée que lorsque le délai de mise en conformité fixé n’est pas respecté.
Comment LocateRisk facilite la mise en conformité avec l'article 39 de la loi allemande sur la sécurité des paiements (BSIG)
Le respect des obligations de preuve prévues à l'article 39 de la loi allemande sur la sécurité de l'information (BSIG) exige une transparence totale sur la surface d'attaque informatique de l'entreprise. Une documentation complète et à jour de tous les systèmes accessibles depuis l’extérieur est la condition préalable indispensable à toute démonstration de sécurité auprès du BSI – et constitue en même temps l’une des lacunes les plus fréquentes dans la préparation à l’audit.
LocateRisk aide les exploitants d'infrastructures KRITIS à constituer en permanence cette base de données. La plateforme recense automatiquement tous les systèmes informatiques accessibles depuis l’extérieur – y compris les sous-domaines oubliés, les ressources cloud inutilisées et l’informatique fantôme – qui, sans cela, pourraient échapper à la vigilance d’un audit. Les dérives de configuration, telles que les ports ouverts inattendus ou les erreurs de configuration, sont détectées et documentées en continu, ce qui permet aux opérateurs de disposer à tout moment d’une vue d’ensemble actualisée et vérifiable de leur surface d’attaque.
Étant donné que la résilience des opérateurs KRITIS dépend également de leurs prestataires de services et de leurs fournisseurs, la mise en place d'une gestion systématique des risques liés aux fournisseurs (VRM) peut en outre s'avérer utile. LocateRisk évalue de manière automatisée et continue la situation en matière de sécurité des prestataires tiers et fournit des données permettant d’identifier et de maîtriser les risques au sein de la chaîne d’approvisionnement.
En tant que solution „ Made in Germany “ hébergée dans des centres de données allemands certifiés, LocateRisk est conforme aux exigences du RGPD et permet ainsi de garantir un traitement des données sécurisé et souverain.
Sources et informations complémentaires
—
Remarque à titre personnel : Cet article reflète la situation juridique au moment de sa publication. Le droit des technologies de l'information et les exigences en matière de conformité étant extrêmement complexes, ce texte ne constitue qu'un premier guide et ne saurait être considéré comme un avis juridique contraignant. En cas de doute, nous vous recommandons de solliciter un avis juridique pour la mise en œuvre au sein de votre entreprise. Toute responsabilité quant au contenu est exclue.
Questions fréquentes concernant l'article 39 de la loi BSIG
Le principal changement réside dans l'allongement de la durée du cycle de certification, qui passe de deux à trois ans. Parallèlement, le « BSI-Mängel-Monitoring » a été mis en place : il s'agit d'un processus formalisé de suivi des failles de sécurité qui impose la transmission régulière – généralement trimestrielle – de rapports au BSI.
Les exploitants doivent vérifier chaque année, avant la date butoir du 31 mars, si leurs installations dépassent les seuils fixés par le règlement BSI-KritisV. En cas de dépassement, l'obligation d'enregistrement et de justification prend effet à compter du 1er avril.
L'exploitant doit établir un plan de mise en œuvre détaillé visant à remédier aux lacunes et le soumettre au BSI. L'avancement des travaux est suivi dans le cadre du dispositif de suivi des lacunes du BSI, ce qui nécessite généralement la remise de rapports d'étape trimestriels. En cas de non-respect des délais, le BSI peut menacer d'imposer des astreintes ; selon le BSI, celles-ci ne deviennent généralement exigibles qu’une fois qu’un délai de mise en conformité fixé s’est écoulé sans résultat.
Mise à jour : 14 août 2026. Cet article est publié à titre d'information générale et ne constitue en aucun cas un conseil juridique, de sécurité ou d'action dans un cas particulier. La situation en matière de sécurité et la disponibilité des correctifs peuvent avoir évolué depuis la publication ; l'avis du fabricant accessible via le lien fait toujours autorité. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude ni l'exhaustivité des informations fournies.
Français 
Deutsch 
English