5 min de lecture<\/p>\n
Le d\u00e9lai l\u00e9gal d’enregistrement NIS-2 aupr\u00e8s du BSI a expir\u00e9 le 6 mars 2026 \u2013 et d\u00e9but avril, seulement environ la moiti\u00e9 des assujettis \u00e9taient inscrits au registre. Les personnes concern\u00e9es qui manquent encore \u00e0 l’appel, selon les rapports d’experts, n’ont qu’une tol\u00e9rance administrative jusqu’\u00e0 fin juillet pour les d\u00e9clarations tardives. La responsabilit\u00e9 incombe \u00e0 la direction.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Connexes :<\/span>La supervision de l’IA en Allemagne a d\u00e9sormais une adresse<\/a> \/<\/span> Interdiction administrative d’un mod\u00e8le d’IA : la le\u00e7on pour les PME<\/a><\/p>\n Le 6 d\u00e9cembre 2025, la loi de transposition NIS\u20112 est entr\u00e9e en vigueur. Depuis, l\u2019obligation d\u2019enregistrement pour les entit\u00e9s importantes et particuli\u00e8rement importantes s\u2019applique via la loi BSI modifi\u00e9e (BSIG). Pour les entit\u00e9s concern\u00e9es \u00e0 compter de cette date, le d\u00e9lai l\u00e9gal de trois mois a expir\u00e9 le 6 mars 2026.<\/p>\n Le BSI le formule clairement : le d\u00e9lai l\u00e9gal d\u2019enregistrement est \u00e9coul\u00e9. Toute entit\u00e9 assujettie non encore enregistr\u00e9e doit se mettre en r\u00e8gle sans tarder sur le portail du BSI. Aucune prorogation l\u00e9gale n\u2019est pr\u00e9vue. Des rapports sp\u00e9cialis\u00e9s et une lettre de f\u00e9d\u00e9rations analys\u00e9e par Heise Online \u00e9voquent une tol\u00e9rance administrative pour les d\u00e9clarations tardives jusqu\u2019au 31 juillet 2026 : le BSI s\u2019attend \u00e0 ce que les enregistrements en souffrance soient achev\u00e9s d\u2019ici l\u00e0. Juridiquement, l\u2019obligation reste inchang\u00e9e depuis le 6 mars \u2013 cette tol\u00e9rance ne modifie pas le caract\u00e8re passible d\u2019amende.<\/p>\n Pour les dirigeants de PME, c\u2019est le calendrier pratique qui compte : l\u2019enregistrement doit \u00eatre effectu\u00e9 avant fin juillet 2026. Pass\u00e9 cette date, le risque d\u2019un contr\u00f4le sensible augmente. Le dossier est d\u00e9j\u00e0 marqu\u00e9 \u00ab obligation non respect\u00e9e \u00bb d\u00e8s lors que l\u2019assujettissement s\u2019applique.<\/p>\n Le foss\u00e9 est tangible. Sur les quelque 29\u202f500 entit\u00e9s que le BSI d\u00e9signe comme cercle r\u00e9gul\u00e9, seules 15\u202f477 s\u2019\u00e9taient enregistr\u00e9es sur le portail au 2 avril 2026 \u2013 dont 9\u202f894 entit\u00e9s importantes et 5\u202f583 entit\u00e9s particuli\u00e8rement importantes. Heise a rapport\u00e9 plus tard, en citant le BSI, environ 18\u202f500 enregistrements fin mai. M\u00eame \u00e0 ce niveau, une part consid\u00e9rable fait toujours d\u00e9faut. Le BSI pr\u00e9voit la prochaine mise \u00e0 jour officielle des statistiques pour le 31 juillet 2026.<\/p>\n Qu\u2019est-ce que NIS-2\u202f?<\/strong> NIS-2 est une directive europ\u00e9enne sur la cybers\u00e9curit\u00e9, que l\u2019Allemagne a transpos\u00e9e en droit national avec la loi de mise en \u0153uvre NIS-2. Elle oblige les entreprises de certains secteurs, \u00e0 partir d\u2019une taille d\u00e9finie, \u00e0 s\u2019enregistrer aupr\u00e8s du BSI, \u00e0 mettre en \u0153uvre une gestion des risques et \u00e0 signaler les incidents de s\u00e9curit\u00e9 significatifs. La responsabilit\u00e9 en incombe express\u00e9ment \u00e0 la direction.<\/p>\n Quiconque attend que le BSI l\u2019appelle de lui-m\u00eame m\u00e9conna\u00eet le syst\u00e8me\u202f: c\u2019est l\u2019entreprise elle-m\u00eame qui v\u00e9rifie si elle est concern\u00e9e. Le BSIG recense les installations importantes et particuli\u00e8rement importantes dans les secteurs des annexes\u202f1 et\u202f2 \u2013 de l\u2019\u00e9nergie et des transports \u00e0 la sant\u00e9, en passant par les services num\u00e9riques et l\u2019industrie manufacturi\u00e8re. La taille et le secteur sont souvent d\u00e9terminants. Les installations particuli\u00e8rement importantes comprennent notamment les exploitants d\u2019installations critiques ainsi que les grandes entreprises des secteurs \u00e0 haut risque. Les services de domaine et de DNS peuvent \u00eatre concern\u00e9s ind\u00e9pendamment de la taille de l\u2019entreprise.<\/p>\n Source\u202f: seuils de taille selon \u00a7\u202f28 al.\u202f1 n\u00b0\u202f4 et al.\u202f2 n\u00b0\u202f3 BSIG\u202f; obligation d\u2019enregistrement selon \u00a7\u202f33 BSIG. Pour les exploitants KRITIS, les services de confiance, les registres TLD et les fournisseurs DNS, les seuils ne s\u2019appliquent pas \u2013 ils sont concern\u00e9s ind\u00e9pendamment de leur taille (\u00a7\u202f28 al.\u202f1 n\u00b0\u202f1 et\u202f2). La v\u00e9rification de conformit\u00e9 en ligne du BSI est non contraignante \u2013 l\u2019\u00e9valuation juridique incombe \u00e0 l\u2019entreprise.<\/p>\n<\/div>\n En pratique, la v\u00e9rification de conformit\u00e9 en ligne gratuite du BSI suffit souvent pour commencer. Elle est non contraignante, mais donne en quelques minutes une orientation fiable. Ceux qui obtiennent un \u00ab\u202foui\u202f\u00bb ou un \u00ab\u202fincertain\u202f\u00bb devraient pr\u00e9parer l\u2019enregistrement et, en cas de doute, faire appel \u00e0 un expert-comptable ou \u00e0 un conseil juridique sp\u00e9cialis\u00e9 \u2013 avant la fin du d\u00e9lai de tol\u00e9rance.<\/p>\n La proc\u00e9dure se d\u00e9roule en deux \u00e9tapes et est num\u00e9rique. Premi\u00e8re \u00e9tape : acc\u00e8s via \u00ab Mein Unternehmenskonto \u00bb (MUK) avec certificat d’organisation ELSTER. De nombreuses PME disposent d\u00e9j\u00e0 de ce certificat pour l’administration fiscale. S’il est absent, sa demande constitue le goulot d’\u00e9tranglement – et la raison pour laquelle les enregistrements restent souvent bloqu\u00e9s.<\/p>\n Deuxi\u00e8me \u00e9tape : enregistrement sur le portail du BSI \u00e0 l’adresse portal.bsi.bund.de. Il convient d’indiquer, entre autres, le nom et la forme juridique, les coordonn\u00e9es incluant les plages IP publiques, le secteur ou la branche, les \u00c9tats membres de l’UE o\u00f9 les services sont fournis et les autorit\u00e9s de supervision comp\u00e9tentes. Le portail sert ensuite \u00e9galement de point de notification pour les incidents de s\u00e9curit\u00e9 significatifs.<\/p>\n L’enregistrement en soi est gratuit. Les co\u00fbts surviennent en interne : temps de l’IT et de la direction g\u00e9n\u00e9rale, clarification du secteur et des seuils, le cas \u00e9ch\u00e9ant v\u00e9rification externe. Si le MUK est en place et l’assujettissement clarifi\u00e9, la simple d\u00e9claration sur le portail ne prend souvent que quelques heures. Les mesures de protection techniques font partie de l’ensemble global – pour l’enregistrement, des donn\u00e9es de base correctes et l’acc\u00e8s suffisent.<\/p>\n L’omission ou l’enregistrement incorrect constitue une infraction. Selon le \u00a7 65 al. 2 n\u00b0 6 conjointement avec l’al. 5 n\u00b0 5 BSIG, l’amende peut s’\u00e9lever jusqu’\u00e0 500.000 Euro. Les plafonds sup\u00e9rieurs allant jusqu’\u00e0 10 Millions Euro (installations particuli\u00e8rement importantes) ou 7 Millions Euro (installations importantes) s’appliquent principalement en cas de violations du management des risques et des obligations de notification. \u00c0 partir d’un chiffre d’affaires total sup\u00e9rieur \u00e0 500 Millions Euro, une limite sup\u00e9rieure index\u00e9e sur le chiffre d’affaires s’ajoute.<\/p>\n La responsabilit\u00e9 personnelle d\u00e9signe dans le BSIG principalement la responsabilit\u00e9 interne de la direction g\u00e9n\u00e9rale : selon le \u00a7 38, les directions g\u00e9n\u00e9rales doivent mettre en \u0153uvre et surveiller les mesures de management des risques selon le \u00a7 30. Si elles manquent \u00e0 ces obligations de mani\u00e8re fautive, elles sont responsables vis-\u00e0-vis de leur propre installation selon les r\u00e8gles soci\u00e9taires de la forme juridique respective. De plus, le \u00a7 38 al. 3 BSIG prescrit des formations r\u00e9guli\u00e8res de la direction g\u00e9n\u00e9rale aux cyberrisiques. La cha\u00eene des obligations s’arr\u00eate ainsi au bureau du dirigeant et doit y \u00eatre document\u00e9e.<\/p>\n Pour le directeur g\u00e9n\u00e9ral sans d\u00e9partement juridique, cela signifie : l’enregistrement et la d\u00e9cision d’assujettissement appartiennent aux dossiers de la direction. Sans v\u00e9rification tra\u00e7able, la preuve de d\u00e9charge est manquante. Si l’enregistrement est absent, le BSI peut, selon le \u00a7 33 al. 3, enregistrer l’installation lui-m\u00eame en accord avec d’autres autorit\u00e9s de supervision – la supervision d\u00e9marre alors de l’ext\u00e9rieur.<\/p>\n Le contexte de cette information est urgent : jusqu’au 31 juillet 2026, la phase de tol\u00e9rance d\u00e9crite dans les cercles sp\u00e9cialis\u00e9s s’ach\u00e8ve. Un plan hebdomadaire r\u00e9aliste pour les PME se pr\u00e9sente ainsi :<\/p>\n Celui qui laisse passer la tol\u00e9rance reste dans l’obligation et sous le risque d’amende. Celui qui s’enregistre maintenant offre \u00e0 l’organisation la base pour les processus de notification et de supervision. Pour les PME sans CISO, c’est l’approche pragmatique : d’abord figurer au registre, puis consolider le contenu – document\u00e9 et soutenu par la direction g\u00e9n\u00e9rale.<\/p>\n Le d\u00e9lai l\u00e9gal d\u2019enregistrement expirait le 6 mars 2026 et n\u2019a pas \u00e9t\u00e9 prolong\u00e9 dans le texte de loi. Des rapports sp\u00e9cialis\u00e9s d\u00e9crivent une tol\u00e9rance administrative pour les d\u00e9clarations tardives jusqu\u2019au 31 juillet 2026. Le BSI exige sur ses pages un enregistrement imm\u00e9diat. L\u2019obligation de l\u2019article 33 BSIG reste inchang\u00e9e.<\/p>\n<\/details>\n Pour les infractions \u00e0 l\u2019obligation d\u2019enregistrement, l\u2019article 65 BSIG pr\u00e9voit notamment des amendes pouvant atteindre 500 000 euros. Les plafonds plus \u00e9lev\u00e9s (jusqu\u2019\u00e0 10 millions d\u2019euros ou 7 millions d\u2019euros) concernent surtout d\u2019autres obligations comme la gestion des risques et les notifications. Savoir si et quand le BSI inflige une amende rel\u00e8ve de l\u2019ex\u00e9cution \u2013 la base juridique existe.<\/p>\n<\/details>\n L\u2019article 38 BSIG lie la responsabilit\u00e9 interne personnelle principalement \u00e0 l\u2019obligation de mettre en \u0153uvre et de surveiller les mesures de gestion des risques. L\u2019enregistrement est une obligation de l\u2019\u00e9tablissement et est passible d\u2019une amende. Son absence documente souvent une d\u00e9faillance organisationnelle \u2013 et la direction doit pouvoir piloter et d\u00e9montrer la mise en \u0153uvre globale.<\/p>\n<\/details>\n Le portail du BSI ne facture aucuns frais pour l\u2019enregistrement NIS-2. Des co\u00fbts internes surviennent (MUK\/ELSTER, clarification des donn\u00e9es, \u00e9ventuellement audit externe). Celui qui laisse la question de son assujettissement en suspens risque des reprises co\u00fbteuses et un risque d\u2019amende \u2013 les frais de portail sont le moindre des probl\u00e8mes.<\/p>\n<\/details>\n Il s\u2019agit d\u2019un outil non contraignant et d\u2019un bon point de d\u00e9part. La qualification juridique et la d\u00e9cision d\u2019enregistrement restent de la responsabilit\u00e9 de l\u2019entreprise. Conservez le r\u00e9sultat, la date et les donn\u00e9es d\u2019entreprise utilis\u00e9es \u2013 cela facilite la documentation interne et les \u00e9changes avec les conseils.<\/p>\n<\/details>\n Plus du r\u00e9seau MBF Media<\/p>\n\n
Le d\u00e9lai est expir\u00e9, l\u2019obligation demeure<\/h2>\n
Cela vous concerne\u202f? L\u2019\u00e9valuation dure quelques minutes<\/h2>\n
\n\n
\n \nQuestion<\/th>\n Ce que vous v\u00e9rifiez<\/th>\n Prochaine \u00e9tape<\/th>\n<\/tr>\n<\/thead>\n \n Secteur<\/strong><\/td>\n Activit\u00e9 dans l\u2019annexe\u202f1 ou\u202f2 du BSIG\u202f?<\/td>\n Lancer la v\u00e9rification de conformit\u00e9 du BSI<\/td>\n<\/tr>\n \n Taille<\/strong><\/td>\n Particuli\u00e8rement important\u202f:<\/strong> \u00e0 partir de 250\u202femploy\u00e9s ou plus de 50\u202fmillions d\u2019euros de chiffre d\u2019affaires et plus de 43\u202fmillions d\u2019euros de total de bilan (annexe\u202f1 uniquement).
Important\u202f:<\/strong> \u00e0 partir de 50\u202femploy\u00e9s ou chiffre d\u2019affaires et total de bilan sup\u00e9rieurs chacun \u00e0 10\u202fmillions d\u2019euros (annexes\u202f1 et\u202f2).<\/td>\nUtiliser les chiffres du dernier exercice<\/td>\n<\/tr>\n \n Cas particuliers<\/strong><\/td>\n KRITIS, DNS, registre de domaines, services num\u00e9riques<\/td>\n Expertise ou conseil juridique<\/td>\n<\/tr>\n \n R\u00e9sultat \u00ab\u202foui\u202f\u00bb<\/strong><\/td>\n Obligation d\u2019enregistrement selon \u00a7\u202f33 BSIG<\/td>\n MUK + portail BSI cette semaine<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Enregistrement en deux \u00e9tapes – et ce qu’il co\u00fbte<\/h2>\n
Amende, responsabilit\u00e9, obligation du dirigeant : ce qui s’applique r\u00e9ellement<\/h2>\n
Ce que la direction g\u00e9n\u00e9rale doit accomplir cette semaine<\/h2>\n
\n
Foire aux questions<\/h2>\n
Le d\u00e9lai jusqu\u2019au 31 juillet 2026 a-t-il \u00e9t\u00e9 prolong\u00e9 par la loi ?<\/strong><\/summary>\n
Quel est le montant de l\u2019amende pour le seul d\u00e9faut d\u2019enregistrement ?<\/strong><\/summary>\n
Le dirigeant est-il personnellement responsable en l\u2019absence d\u2019enregistrement ?<\/strong><\/summary>\n
Combien co\u00fbte l\u2019enregistrement aupr\u00e8s du BSI ?<\/strong><\/summary>\n
Le test d\u2019assujettissement du BSI suffit-il comme justificatif ?<\/strong><\/summary>\n
Recommandations de la r\u00e9daction<\/h2>\n
\n