Publié le 6 août 2026

Directive NIS 2 : ce que les entreprises doivent savoir dès maintenant

La directive NIS2 impose à un nombre nettement plus important d'entreprises qu'auparavant de mettre en place des mesures de cybersécurité, des procédures de notification et de s'enregistrer auprès du BSI. La loi allemande de transposition NIS2UmsuCG s'applique depuis le 6 décembre 2025, et ce sans délai de transition général. Cet aperçu présente les entités concernées, les obligations applicables, les amendes encourues et les délais à respecter. Mise à jour : août 2026.

La directive NIS2 est également connue sous le nom de Directive NIS 2 ou deuxième directive européenne relative à la sécurité des réseaux et des systèmes d'information . En Allemagne, la loi de transposition de la directive NIS 2 met en œuvre les dispositions européennes, notamment dans la loi sur le BSI (BSIG).

L'essentiel en bref

• La directive NIS2 (UE) 2022/2555 est en vigueur depuis le 16 janvier 2023. L'Allemagne l'a transposée par la loi de transposition NIS2 (NIS2UmsuCG), qui s'applique depuis le 6 décembre 2025.
• Selon le BSI, le nombre d'établissements soumis à surveillance passe d'environ 4 500 à environ 29 500. Sont concernées les entreprises de 18 secteurs comptant au moins 50 salariés ou dont le chiffre d'affaires annuel et le total du bilan atteignent au moins 10 millions d'euros.
• Parmi ces obligations figurent la gestion des risques conformément à l'article 30 de la loi BSIG, l'enregistrement auprès du BSI et la notification des incidents de sécurité majeurs dans un délai de 24 heures.
• Les amendes peuvent atteindre 10 millions d'euros ; pour les entités dont le chiffre d'affaires annuel dépasse 500 millions d'euros, elles peuvent aller jusqu'à 2 % du chiffre d'affaires mondial. La direction doit superviser personnellement la mise en œuvre et engage sa responsabilité en cas de manquement fautif à ses obligations.
• La loi ne prévoit pas de délais de transition généraux. Les personnes concernées qui ne se sont pas encore inscrites devraient le faire dès maintenant.

Qu'est-ce que la directive NIS2 ?

NIS2 désigne la deuxième directive européenne relative à la sécurité des réseaux et de l'information. La directive (UE) 2022/2555 est entrée en vigueur le 16 janvier 2023 et remplace la première directive NIS de 2016. Son objectif est d'assurer un niveau élevé et uniforme de cybersécurité dans l'ensemble de l'Union européenne.

Par rapport à la directive précédente, la directive NIS 2 élargit considérablement son champ d'application. Elle couvre davantage de secteurs, abaisse les seuils de taille et harmonise les obligations de notification, la surveillance et les sanctions. Une autre nouveauté réside dans la responsabilité explicite des organes de direction : les directions générales et les conseils d'administration doivent approuver les mesures de cybersécurité, superviser leur mise en œuvre et suivre régulièrement des formations.

Les États membres devaient transposer la directive dans leur droit national avant le 17 octobre 2024. L'Allemagne n'a pas respecté ce délai et n'a achevé la transposition qu'à la fin de l'année 2025. Depuis lors, seule la loi allemande de transposition s'applique aux entreprises concernées, car la directive elle-même n'impose aucune obligation directe aux entreprises.

NIS2UmsuCG : la loi allemande de transposition est en vigueur depuis décembre 2025

Le Bundestag a adopté la loi relative à la transposition de la directive NIS 2 et au renforcement de la cybersécurité (NIS2UmsuCG) le 13 novembre 2025. Après sa publication au Journal officiel fédéral le 5 décembre 2025, elle est, selon le BSI, en vigueur depuis le 6 décembre 2025. Le cœur de cette loi est une refonte complète de la loi sur le BSI (BSIG), qui régit les exigences, les procédures de notification et la surveillance.

À noter dans la pratique : la loi ne prévoit pas de délais de transition généraux. Les obligations en matière de gestion des risques, d'enregistrement et de déclaration s'appliquent depuis l'entrée en vigueur de la loi. Le BSI est l'autorité de contrôle centrale et met à disposition à cet effet un portail dédié ainsi qu'un outil d'évaluation de l'impact.

Le BSIG distingue deux nouvelles catégories : les entités particulièrement importantes et les entités importantes. Les exploitants d'installations critiques (KRITIS) constituent toujours un groupe à part, soumis à des exigences supplémentaires, telles que des contrôles de conformité réguliers. Selon le BSI, le nombre d'installations soumises à surveillance passe ainsi d'environ 4 500 à environ 29 500.

Qui est concerné ? Secteurs et seuils de taille

Le fait qu'une entreprise relève ou non de la BSIG dépend de deux facteurs : son secteur d'activité et sa taille. Les annexes 1 et 2 de la BSIG répertorient au total 18 secteurs. Parmi ceux-ci figurent notamment l'énergie, les transports, la finance, la santé, l'eau potable et les eaux usées, les infrastructures numériques, l'administration publique, les services postaux et de messagerie, la gestion des déchets, la chimie, l'agroalimentaire, l'industrie manufacturière, ainsi que les prestataires de services numériques et les instituts de recherche.

Certaines entités sont soumises à cette loi, quelle que soit leur taille, notamment les prestataires de services de confiance qualifiés, les registres de domaines de premier niveau et les prestataires de services DNS. Des seuils différents s'appliquent aux fournisseurs de services de télécommunications publics. Le BSI propose sur son site web un outil gratuit d'évaluation de la situation, qui vous permet de déterminer votre classification à l'aide d'un questionnaire.

Aperçu des obligations : gestion des risques, enregistrement, déclaration

Le cœur de la loi est l'article 30 de la BSIG. Il oblige les établissements concernés à mettre en place des mesures techniques et organisationnelles appropriées, proportionnées et efficaces. La loi énumère à cet effet un ensemble minimal de mesures :

• Analyse des risques et concepts de sécurité pour les systèmes d'information
• Gestion des incidents de sécurité
• Gestion des sauvegardes, restauration et gestion des crises
• Sécurité de la chaîne d'approvisionnement, y compris les fournisseurs et prestataires directs
• Sécurité lors de l'acquisition, du développement et de la maintenance des systèmes
• Approches visant à évaluer l'efficacité des mesures
• Cybersécurité et formations
• Cryptographie et chiffrement
• Sécurité du personnel, contrôle d'accès et gestion des installations
• Authentification multifactorielle et communication sécurisée

Vous trouverez une ventilation détaillée de toutes les mesures dans notre article consacré aux Exigences NIS2 et mesures obligatoires. L'article consacré à la Sécurité de la chaîne d'approvisionnement NIS2. À cela s'ajoutent l'obligation d'enregistrement auprès du BSI et l'obligation de signalement à plusieurs niveaux des incidents de sécurité majeurs, conformément à l'article 32 de la loi BSIG :

Amendes et responsabilité des dirigeants

Le barème des amendes prévu à l'article 65 de la BSIG échelonne les sanctions en fonction de la catégorie et de la gravité de l'infraction. Pour les établissements d'importance particulière, le montant maximal peut atteindre 10 millions d'euros, et pour les établissements importants, 7 millions d'euros. Si le chiffre d'affaires annuel mondial dépasse 500 millions d'euros, les amendes peuvent atteindre respectivement 2 % et 1,4 % de ce chiffre d'affaires. Les infractions aux obligations d'enregistrement et de déclaration sont également passibles d'amendes.

L'article 38 de la BSIG impose une responsabilité personnelle à la direction. Les directions doivent mettre en œuvre les mesures de gestion des risques prévues à l'article 30 de la BSIG et en contrôler l'application. Les services spécialisés et les prestataires de services peuvent se charger des tâches opérationnelles, mais la surveillance reste de la responsabilité de la direction. Si ses membres manquent à ces obligations de manière fautive, ils sont tenus de verser des dommages-intérêts à l'établissement conformément aux règles applicables du droit des sociétés.

À cela s'ajoute une obligation de formation individuelle : les membres de la direction doivent suivre régulièrement des formations en cybersécurité afin de pouvoir évaluer les risques et analyser les mesures à prendre. La cybersécurité constitue donc une mission de direction ancrée dans la loi. Concrètement, cela signifie que la direction a besoin d’une base de données fiable et traçable sur sa propre situation en matière de risques afin de s’acquitter de son obligation de surveillance.

Calendrier et délais : ne pas reporter l'enregistrement auprès du BSI

Les entités concernées doivent s'enregistrer auprès du BSI dans un délai de trois mois à compter de la date à laquelle elles remplissent les critères. Pour les entreprises qui relevaient déjà du champ d'application de la loi au moment de son entrée en vigueur, ce délai a expiré le 6 mars 2026. L'enregistrement s'effectue via le portail du BSI en lien avec le compte d'organisation „ Mein Unternehmenskonto “, qui nécessite un certificat ELSTER.

La réponse a été inférieure aux attentes. Le BSI avait accordé un délai de grâce généreux allant jusqu'au 31 juillet 2026. Selon heise online, 18 845 établissements s'étaient enregistrés à cette date, dont 6 490 « particulièrement importants » et 12 355 « importants » ; on s'attendait à environ 29 500. Les personnes concernées qui ne se sont pas encore enregistrées devraient le faire sans tarder, car l'obligation reste en vigueur et tout manquement peut être sanctionné comme une infraction administrative.

Que l'enregistrement ait été effectué ou non, les obligations de fond s'appliquent d'ores et déjà. Le BSI peut à tout moment procéder à des contrôles de mise en œuvre auprès des entités particulièrement importantes, et ponctuellement auprès des entités importantes. Il est donc judicieux de disposer d'un état d'avancement documenté, même en l'absence d'annonce concrète d'un contrôle.

Comment les entreprises procèdent-elles actuellement ?

Une approche pragmatique s'articule autour de quatre étapes. Premièrement : déterminer l'impact, par exemple à l'aide de l'évaluation d'impact du BSI, et finaliser l'enregistrement. Deuxièmement : dresser un état des lieux. Cela inclut une analyse des risques de son propre système informatique, car l'article 30 de la loi allemande sur la sécurité de l'information (BSIG) place l'analyse des risques au début de toutes les mesures. Troisièmement : hiérarchiser et combler les failles, qu’il s’agisse des stratégies de sauvegarde, du chiffrement ou de l’authentification multifactorielle. Quatrièmement : définir les procédures de signalement et les responsabilités afin de respecter le délai de 24 heures en cas d’incident.

Pour la deuxième étape, on dispose de Gestion de la surface d'attaque externe (EASM) une base factuelle issue d'une perspective externe : sans installation d'agent, cet outil identifie les systèmes, services et composants logiciels de votre entreprise accessibles depuis Internet et met en évidence les points vulnérables. Un Évaluation de la sécurité basée sur des indicateurs clés de performance (KPI) permet de rendre la situation mesurable et compréhensible pour la direction, et constitue également une preuve périodique au titre de l'obligation de surveillance prévue à l'article 38 de la loi allemande sur la sécurité des paiements (BSIG).

Pour établir l'ordre de priorité des nouvelles vulnérabilités, l'actualité des données utilisées est également un critère important. Avec Intelligence préemptive LocateRisk recoupe les informations provenant de plusieurs sources avec la surface d'attaque visible avant même une évaluation finale par le NVD. Ces informations complètent l'analyse des risques, mais ne remplacent pas la vérification technique effectuée sur le système concerné.

À titre de précisation : une analyse externe ne remplace pas un système de gestion de la sécurité de l'information et ne permet pas de déterminer dans tous les cas si une version logicielle concrètement utilisée est vulnérable. Elle met toutefois en évidence les systèmes exposés et les points sur lesquels un examen plus approfondi devrait porter. Pour les obligations relatives à la chaîne d'approvisionnement découlant de l'article 30 de la BSIG, il convient en complément de recourir à un Gestion des risques liés aux fournisseurs, qui évalue systématiquement les prestataires de services et les fournisseurs.

Questions fréquentes

---

La norme NIS2 s'applique-t-elle également aux petites entreprises de moins de 50 salariés ?

En règle générale, pas directement. Des exceptions s'appliquent notamment aux prestataires de services de confiance qualifiés, aux registres de TLD et aux prestataires de services DNS, qui sont concernés quelle que soit leur taille. Indirectement, la directive NIS2 concerne toutefois de nombreuses petites entreprises : les clients soumis à la réglementation doivent évaluer la sécurité de leur chaîne d'approvisionnement et transmettre leurs exigences à leurs prestataires de services.

---

Que se passe-t-il si une entreprise concernée ne s'enregistre pas ?

L'obligation d'enregistrement prévue à l'article 33 de la BSIG reste en vigueur, même si les délais sont dépassés. Tout manquement peut être sanctionné par une amende pour infraction administrative. De plus, l'entreprise passe à côté des informations transmises par le BSI, telles que les alertes et les bulletins de situation, qui sont diffusées via les coordonnées enregistrées.

---

Une certification ISO 27001 suffit-elle pour être conforme à la directive NIS 2 ?

Une certification ISO 27001 couvre structurellement de nombreuses exigences de l'article 30 de la BSIG et constitue une bonne base. Elle ne remplace toutefois ni l'enregistrement ni les obligations de déclaration, avec leurs délais précis. Vérifiez le champ d'application du certificat : il doit effectivement englober les systèmes et processus concernés.

---

Comment savoir si mon entreprise est concernée ?

Le BSI met à disposition en ligne un outil d'évaluation de l'impact comprenant un questionnaire qui s'appuie sur l'article 28 de la loi allemande sur la sécurité de l'information (BSIG) et sur les annexes 1 et 2. Les critères déterminants sont le secteur d'activité, l'effectif, le chiffre d'affaires annuel et le total du bilan. Dans le cas de structures de groupes ou de cas limites, il est recommandé de recourir à une expertise juridique complémentaire.

---

Quels sont les délais applicables en cas d'incident de sécurité ?

Vous devez signaler sans délai au BSI tout incident de sécurité majeur, au plus tard dans les 24 heures suivant sa découverte. Un rapport contenant une première évaluation doit être transmis dans les 72 heures, et le rapport final au plus tard un mois plus tard. Si l'incident se prolonge, il est remplacé dans un premier temps par un rapport d'étape.

Conclusion : il est temps de faire le point sur sa propre situation en matière de risques

La directive NIS2 fait désormais partie du droit en vigueur en Allemagne, sans délai de transition général et avec une responsabilité personnelle incombant à la direction. La première mesure concrète consiste à dresser un état des lieux honnête de sa propre surface d'attaque. LocateRisk analyse votre infrastructure informatique visible de l'extérieur sans installation d'agent et fournit, dans un délai de 48 heures, une évaluation basée sur des indicateurs clés de performance (KPI), conforme au RGPD et hébergée dans des centres de données allemands certifiés. Commencez par une Analyse des risques informatiques pour votre entreprise et constituez la base de données nécessaire à la mise en œuvre de la directive NIS2.