NIS2 en Allemagne : ce qu’exige la loi de transposition

Depuis quand elle s’applique

La loi allemande de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) a été promulguée au Journal officiel fédéral le 5 décembre 2025 (BGBl. 2025 I n° 301) et est entrée en vigueur le 6 décembre 2025. Elle réécrit la loi sur le BSI (BSIG). Il n’y a pas de période de transition générale : les obligations s’appliquent depuis ce jour.

Qui est concerné

Les entreprises des secteurs listés aux annexes 1 et 2 du BSIG sont concernées dès qu’elles atteignent certaines tailles. En règle générale : à partir de 50 salariés, ou plus de 10 millions d’euros de chiffre d’affaires et de total de bilan. La loi distingue :

• les entités particulièrement importantes : en règle générale à partir de 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires et 43 millions d’euros de total de bilan, dans les secteurs de l’annexe 1, ainsi que certaines entités quelle que soit leur taille ;
• les entités importantes : les autres entreprises moyennes et grandes concernées.

Qu’une entreprise soit concernée dépend de son activité exacte, pas du nom de son secteur. Le vérificateur de champ NIS2, gratuit, donne une première estimation ; seule la loi fait foi.

Les quatre obligations

1. L’enregistrement auprès du BSI. Les entités concernées à l’entrée en vigueur avaient trois mois pour s’enregistrer, soit jusqu’au 6 mars 2026. Une entité concernée plus tard dispose de trois mois à partir de ce moment.
2. La gestion des risques. Des mesures techniques et organisationnelles appropriées, dont des politiques d’analyse des risques, de gestion des incidents, de continuité d’activité, de sécurité de la chaîne d’approvisionnement, de gestion des vulnérabilités, de cryptographie, de contrôle d’accès et d’authentification multifacteur.
3. La notification. Les incidents de sécurité importants sont notifiés au BSI par étapes : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois.
4. La responsabilité de la direction. La direction doit approuver les mesures, surveiller leur mise en œuvre et suivre régulièrement une formation. Elle peut être tenue responsable en cas de manquement.

Les manquements peuvent être sanctionnés jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités particulièrement importantes, et jusqu’à 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.

Par où commencer

• Établir si l’entreprise est concernée et, si c’est le cas, s’enregistrer si ce n’est pas fait.
• Dresser la liste de ses domaines, services et prestataires : pas de gestion des risques sans inventaire.
• Fixer le circuit de notification : qui décide qu’un incident est important, et qui le notifie sous 24 heures.
• Inclure la chaîne d’approvisionnement : la loi demande de tenir compte de la sécurité des prestataires. Voir Évaluer la sécurité d’un fournisseur.

Ce qu’apporte un regard extérieur, et ce qu’il n’apporte pas

Un audit passif de l’extérieur, comme celui de Perimetry, montre une partie de ce que la loi range sous la gestion des vulnérabilités et la cryptographie : certificats périmés, ports ouverts, authentification des e-mails absente, sous-domaines oubliés. Il ne remplace ni l’analyse des risques, ni les mesures organisationnelles, ni le circuit de notification, ni la formation de la direction. Pour les petites entreprises qui ne sont pas concernées par la loi mais que leurs clients interrogent, voir NIS2 pour les petites entreprises.

Ce guide n’est pas un conseil juridique.