Publié le 6 août 2026

Exigences NIS2 : les 10 mesures obligatoires prévues à l'article 30 de la loi BSIG

La loi allemande transposant la directive NIS 2 est en vigueur depuis le 6 décembre 2025. L'article 30 de la loi révisée sur le BSI (BSIG) impose aux entreprises concernées dix mesures concrètes de gestion des risques. Cet article explique chacune de ces mesures individuellement, présente leur mise en œuvre pratique et les met en correspondance avec les exigences de la norme ISO 27001. Mise à jour : août 2026.

Ces exigences sont souvent décrites comme Obligations au titre de la directive NIS 2, Mesures de gestion des risques liés à la cybersécurité ou Mesures prévues à l'article 30 de la loi BSIG désigné. L'article 30 de la BSIG précise les obligations applicables aux entités particulièrement importantes et importantes en Allemagne. Cet article fait partie de la transposition allemande et ne doit pas être assimilé à la directive européenne elle-même.

L'essentiel en bref

• La loi de transposition de la directive NIS 2 est entrée en vigueur le 6 décembre 2025. L'article 30 de la BSIG impose aux entités particulièrement importantes et importantes de mettre en œuvre dix mesures de gestion des risques, sans délai de transition.
• Selon les informations fournies par le BSI, environ 29 500 établissements en Allemagne sont concernés par ces nouvelles obligations.
• Ces dix mesures vont de l'analyse des risques à la sécurité de la chaîne d'approvisionnement, en passant par l'authentification multifactorielle. Elles s'appuient sur l'état actuel de la technique.
• Conformément à l'article 65 de la loi sur la sécurité informatique (BSIG), le BSI peut sanctionner les infractions par des amendes pouvant aller jusqu'à 10 millions d'euros pour les entités d'importance particulière et jusqu'à 7 millions d'euros pour les entités importantes. À partir d'un chiffre d'affaires total de 500 millions d'euros, le montant de l'amende peut atteindre respectivement 2 % et 1,4 % du chiffre d'affaires total.
• La direction doit mettre en œuvre les mesures, en contrôler l'application et participer régulièrement à des formations. En cas de manquement fautif à ses obligations, elle engage la responsabilité de son propre établissement (article 38 de la loi allemande sur la sécurité dans les établissements scolaires (BSIG)).

Cadre juridique : à qui s'appliquent les exigences de la directive NIS 2 ?

La directive européenne NIS 2 renforce les exigences en matière de cybersécurité au sein de l'UE. L'Allemagne l'a transposée dans son droit national par le biais de la loi de transposition de la directive NIS 2. Cette loi est entrée en vigueur le 6 décembre 2025 ; sa pièce maîtresse est la loi révisée relative au BSI. Elle distingue les entités d’importance particulière et les entités importantes. Selon les informations du BSI, environ 29 500 entités en Allemagne sont soumises à ces nouvelles obligations. L'appartenance de votre entreprise à cette catégorie dépend de son secteur d'activité et de sa taille. L'évaluation de l'impact réalisée par le BSI fournit une première orientation, qui n'est toutefois pas juridiquement contraignante.

Point important pour la planification : il n'y a pas de délai transitoire pour les mesures de gestion des risques prévues à l'article 30 de la BSIG. Les entités concernées doivent en outre s'enregistrer auprès du BSI, conformément à l'article 33 de la BSIG, au plus tard trois mois après avoir satisfait aux critères. Conformément à l'article 65 de la BSIG, le BSI peut sanctionner les infractions à l'obligation de mise en œuvre de ces mesures par des amendes pouvant aller jusqu'à 10 millions d'euros pour les entités particulièrement importantes et jusqu'à 7 millions d'euros pour les entités importantes. Pour les entités dont le chiffre d'affaires total dépasse 500 millions d'euros, le montant des amendes peut atteindre respectivement 2 % et 1,4 % du chiffre d'affaires total. L’article 38 de la BSIG engage en outre personnellement la direction : celle-ci doit mettre en œuvre les mesures de gestion des risques, en surveiller l’application et répond vis-à-vis de l’organisme des dommages causés par sa faute, conformément aux règles du droit des sociétés applicables à sa forme juridique. Notre article consacré à la directive NIS2.

Mesures 1 à 3 : analyse des risques, gestion des incidents, continuité des activités

L'article 30, paragraphe 2, de la loi allemande sur la sécurité des banques (BSIG) énumère dix domaines d'action que les mesures prises doivent au moins couvrir. Cette liste n'est donc pas exhaustive, mais constitue un minimum obligatoire. Les trois premiers domaines constituent le fondement de tout programme de sécurité.

Mesure 1 : Stratégies d'analyse des risques et de sécurité informatique

Le point n° 1 exige la mise en place de concepts relatifs à l'analyse des risques et à la sécurité informatique. Il s'agit d'une politique de sécurité documentée et d'un processus reproductible permettant d'identifier, d'évaluer et de traiter les risques. Pour la mise en œuvre, vous devez tout d'abord disposer d'un inventaire fiable et à jour de vos systèmes. Dans la pratique, il arrive souvent que des actifs accessibles depuis l'extérieur ne soient pas répertoriés, comme des sous-domaines oubliés, des systèmes de test ou des services cloud utilisés par certains services fonctionnels. Gestion de la surface d'attaque externe fournit cette vision globale et, par là même, une base de données fiable pour l'analyse des risques. Définissez ensuite les critères d'évaluation, les responsables et un plan d'action, puis actualisez l'analyse au moins une fois par an.

Mesure n° 2 : gestion des incidents de sécurité

Le point n° 2 exige la mise en place de processus permettant de gérer les incidents de sécurité. Cela comprend un plan d'intervention en cas d'incident définissant clairement les rôles et les procédures d'escalade, ainsi que des guides d'intervention pour des scénarios types tels que les attaques par ransomware ou la compromission de comptes. Ce plan doit être coordonné avec les obligations de déclaration prévues à l’article 32 de la loi allemande sur la sécurité de l’information (BSIG) : les organismes doivent signaler sans délai au BSI les incidents de sécurité majeurs, au plus tard dans les 24 heures. Un rapport de suivi accompagné d’une première évaluation doit être transmis dans les 72 heures, et le rapport final au plus tard un mois après le rapport de suivi. Entraînez-vous régulièrement à suivre cette procédure afin que les responsabilités et les canaux de communication fonctionnent correctement en cas d’urgence.

Mesure n° 3 : Maintien de l'activité et gestion de crise

Le point n° 3 exige le maintien de l'activité. Le texte de loi mentionne expressément la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. Concrètement, cela signifie : un dispositif de sauvegarde avec des copies conservées séparément et protégées contre toute modification, des plans de reprise documentés avec des priorités pour les processus critiques, ainsi qu’une cellule de crise dotée de canaux de communication bien définis. Testez régulièrement la restauration dans des conditions réalistes. Une sauvegarde dont la restauration n’a jamais été testée reste un risque en cas d’urgence.

Mesures 4 et 5 : chaîne d'approvisionnement et approvisionnement sécurisé

Mesure n° 4 : Sécurité de la chaîne d'approvisionnement

Le point 4 impose de garantir la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité dans les relations avec les fournisseurs directs et les prestataires de services. Vous devez savoir quels prestataires ont accès à vos systèmes ou à vos données, et évaluer leur niveau de sécurité. Convenez d’exigences de sécurité contractuelles et contrôlez en permanence les fournisseurs critiques. Notre article consacré à la Sécurité de la chaîne d'approvisionnement NIS2. Un Gestion des risques liés aux fournisseurs associe des questionnaires à une analyse technique externe des fournisseurs et permet de comparer leur niveau de sécurité.

Mesure n° 5 : Sécurité lors de l'acquisition, du développement et de la maintenance

Le point 5 concerne les mesures de sécurité relatives à l'acquisition, au développement et à la maintenance des systèmes informatiques, des composants et des processus. Définissez les exigences de sécurité dès la phase d'achat, notamment en ce qui concerne la fourniture des mises à jour et les paramètres par défaut sécurisés. Pour l’exploitation, vous avez besoin d’une gestion des correctifs assortie de délais clairs et d’un processus de traitement des vulnérabilités signalées. Si vous développez vous-même des logiciels, ajoutez-y des directives de développement sécurisées, des revues de code et des tests. Les systèmes mis hors service doivent être systématiquement désactivés, sinon ils restent accessibles depuis Internet en tant qu’anciens systèmes non entretenus.

Un processus de gestion des vulnérabilités efficace ne devrait pas se contenter d'attendre les évaluations finales du NVD. Avec Intelligence préemptive LocateRisk compare en amont les informations provenant de plusieurs sources avec la surface d'attaque visible. Cela facilite la hiérarchisation des priorités dans la gestion des correctifs et des vulnérabilités ; il reste toutefois nécessaire de vérifier techniquement si un système spécifique est concerné.

Mesures 6 et 7 : mesurer l'efficacité, ancrer la cyberhygiène

Mesure n° 6 : Évaluation de l'efficacité des mesures

Le point 6 exige la mise en place de concepts et de procédures permettant d'évaluer l'efficacité des mesures de gestion des risques. Il ne suffit pas de mettre en place ces mesures une seule fois ; il faut en mesurer régulièrement l'impact. Des indicateurs tels que les délais d'application des correctifs, les résultats des audits internes et des contrôles techniques sont appropriés. Un système basé sur les KPI Note de sécurité évalue en permanence le niveau de sécurité visible de l'extérieur et permet de suivre son évolution dans le temps. La direction, qui est tenue de contrôler la mise en œuvre conformément à l'article 38 de la loi allemande sur la sécurité des bâtiments (BSIG), dispose ainsi d'une base décisionnelle claire.

Mesure n° 7 : Formations et cyberhygiène

Le point n° 7 préconise la mise en place de formations de base et de mesures de sensibilisation dans le domaine de la sécurité informatique. Mettez en place un programme de sensibilisation récurrent destiné à l'ensemble du personnel, avec des contenus concrets sur le phishing, les mots de passe et la gestion des cas suspects. Par ailleurs, la cyberhygiène doit faire partie du quotidien : mises à jour régulières, droits d'accès minimaux et règles claires concernant les appareils mobiles. Veuillez noter l’obligation spécifique prévue à l’article 38 de la loi allemande sur la sécurité des systèmes d’information (BSIG) : la direction doit participer régulièrement à des formations afin de pouvoir évaluer les risques et les pratiques de gestion des risques. Cette obligation de formation s’applique personnellement à la direction.

Mesures 8 à 10 : cryptographie, personnel et authentification

Mesure n° 8 : Cryptographie et chiffrement

Le point 8 exige la mise en place de concepts et de processus pour l'utilisation de méthodes cryptographiques. Documentez les données que vous cryptez au repos et lors de leur transmission, les méthodes autorisées, ainsi que la manière dont vous générez, conservez et renouvelez les clés. Vérifiez que vos services accessibles depuis l'extérieur ne présentent pas de protocoles obsolètes, de certificats arrivant à expiration ou de configurations TLS peu sécurisées. La directive technique TR-02102 du BSI fournit des indications sur les pratiques recommandées et les longueurs de clé.

Mesure n° 9 : Sécurité du personnel, contrôle d'accès et gestion des actifs

Le point 9 couvre les concepts relatifs à la sécurité du personnel, au contrôle d'accès et à la gestion des systèmes, produits et processus TIC. Réglementez l'entrée, les changements de fonction et le départ des employés à l'aide de processus clairs en matière d'autorisations. Accordez les droits d'accès selon le principe du « besoin d'en connaître » et renouvelez régulièrement les autorisations. Cela repose sur un inventaire des actifs bien tenu : seul celui qui sait quels systèmes existent et qui en est responsable peut contrôler correctement les accès.

Mesure n° 10 : Authentification multifactorielle et communications sécurisées

Le point 10 impose l'utilisation de solutions d'authentification multifactorielle ou d'authentification continue, ainsi que des moyens de communication sécurisés (voix, vidéo et texte) et, le cas échéant, des systèmes de communication d'urgence sécurisés. Donnez la priorité à l’authentification multifactorielle (MFA) pour les comptes administrateurs, les accès à distance et les pages de connexion accessibles depuis l’extérieur. Vérifiez que vos outils de communication disposent d’un chiffrement de transport et d’une protection des accès. Prévoyez en outre un canal de communication en cas de crise, fonctionnant indépendamment de l’infrastructure principale qui pourrait être compromise.

Mise en correspondance avec la norme ISO 27001 : tirer parti des structures existantes

Le contenu de ces dix mesures recoupe largement les exigences de la norme ISO/IEC 27001:2022. Les organisations qui exploitent déjà un système de gestion de la sécurité de l’information peuvent réutiliser de nombreux éléments de preuve. Le tableau de correspondance suivant sert de guide pour une analyse des écarts. Il ne remplace pas un examen au cas par cas, car l’article 30 de la BSIG est en partie formulé de manière plus concrète que la norme.

Une certification existante ne satisfait pas automatiquement aux obligations légales. L'enregistrement, les obligations de déclaration et les obligations de la direction continuent de s'appliquer indépendamment du système de gestion.

Feuille de route pour la hiérarchisation : mise en œuvre en trois phases

D'un point de vue juridique, les dix mesures s'appliquent immédiatement. Dans la pratique, les entreprises ont toutefois besoin d'un ordre de priorité. La feuille de route suivante établit un ordre de priorité en fonction du risque et de l'effort requis. Il s'agit d'une recommandation et non d'un ordre d'application légal.

Phase 1 (mois 1 à 3) : Transparence et obligations

• Vérifier l'impact à l'aide de l'évaluation d'impact de la BSI et finaliser l'enregistrement conformément à l'article 33 de la loi BSIG
• Définir les responsabilités, le budget et la chaîne hiérarchique vers la direction
• Recenser systématiquement les actifs et la surface d'exposition aux attaques, réaliser une première analyse des risques (mesure 1)
• Mettre en place la procédure de signalement prévue à l'article 32 de la BSIG, avec les modèles et la répartition des compétences (mesure 2)
• Mettre en œuvre des mesures d'urgence : MFA pour les accès administrateur et à distance, tester la restauration des sauvegardes (mesures 3 et 10)

Phase 2 (du 4e au 9e mois) : concepts et processus

• Documenter les concepts relatifs à la cryptographie, au contrôle d'accès et à la sécurité du personnel (mesures 8 et 9)
• Recenser les fournisseurs, les évaluer et vérifier le respect des exigences contractuelles (mesure 4)
• Définir les processus d'approvisionnement, de correction et de gestion des vulnérabilités (mesure 5)
• Lancer le programme de formation destiné aux salariés et à la direction (mesure 7)
• Renforcer la gestion des urgences et des crises et organiser un exercice (mesure 3)

Phase 3 (à partir du 10e mois) : efficacité et amélioration

• Définir des indicateurs clés et en rendre compte régulièrement à la direction (mesure 6)
• Réaliser une analyse des écarts par rapport à la norme ISO 27001 ou un audit interne
• Mettre en place une surveillance continue de sa propre surface d'attaque
• Mettre à jour l'analyse des risques et les plans d'action au moins une fois par an

Questions fréquentes

---

Y a-t-il une période transitoire pour ces dix mesures ?

Non. Les obligations découlant de l'article 30 de la loi BSIG s'appliquent depuis l'entrée en vigueur de la loi de transposition de la directive NIS 2, le 6 décembre 2025. Il n'existe pas de délai de grâce légal pour la mise en œuvre des mesures techniques et organisationnelles. L'article 33 de la BSIG n'accorde un délai de trois mois que pour l'enregistrement auprès du BSI, une fois qu'un organisme remplit les critères requis.

---

Une certification ISO 27001 suffit-elle comme preuve de conformité à la directive NIS2 ?

Une certification couvre de nombreuses exigences sur le fond et constitue une bonne base. Elle ne remplace toutefois pas automatiquement les obligations légales. L'enregistrement, les obligations de déclaration et les obligations de la direction s'appliquent indépendamment du système de gestion. Une analyse des écarts permet de déterminer dans quelle mesure votre SMSI existant répond déjà aux exigences de l'article 30, paragraphe 2, de la BSIG et où des lacunes subsistent.

---

Quelles sont les amendes encourues en cas d'infraction à l'article 30 de la loi BSIG ?

L'article 65 de la BSIG prévoit des amendes pouvant aller jusqu'à 10 millions d'euros pour les établissements particulièrement importants, et jusqu'à 7 millions d'euros pour les établissements importants. Si le chiffre d'affaires total d'un établissement dépasse 500 millions d'euros, le montant de l'amende peut atteindre respectivement 2 % et 1,4 % du chiffre d'affaires total. Le montant concret dépend des circonstances propres à chaque cas, notamment de la nature, de la gravité et de la durée de l'infraction. En outre, conformément à l'article 38 de la BSIG, la direction est responsable vis-à-vis de sa propre entité si elle manque de manière fautive à son obligation de mise en œuvre et de surveillance.

---

Que signifie « l'état de la technique » dans le cadre de la mise en œuvre ?

Conformément à l'article 30, paragraphe 2, de la loi allemande sur la sécurité informatique (BSIG), les mesures doivent respecter l'état de la technique et tenir compte des normes européennes et internationales applicables. Ce concept est délibérément évolutif : ce qui est approprié aujourd’hui peut être obsolète dans quelques années. La protection de base des systèmes d’information (IT-Grundschutz) du BSI, les directives techniques du BSI et la famille de normes ISO 27001 constituent des références utiles. Par ailleurs, l'article 30, paragraphe 1, de la BSIG exige que les mesures soient proportionnées : l'évaluation tient compte, entre autres, de la taille de l'établissement, de son exposition aux risques et des coûts de mise en œuvre.

Conclusion : commencer par faire le point sur la surface d'attaque

Les dix mesures obligatoires prévues à l'article 30 de la BSIG ne constituent pas un projet ponctuel, mais un processus continu comprenant l'analyse, la mise en œuvre et le contrôle. La première étape la plus efficace consiste à assurer la transparence quant à sa propre surface d'attaque, car sans un regard extérieur fiable, l'analyse des risques manque de bases essentielles. Une Analyse des risques informatiques par LocateRisk vous indique, en moins de 48 heures, quels systèmes et quels logiciels utilisés par votre entreprise sont visibles depuis Internet et où des mesures doivent être prises, sans aucune installation d'agents.