6 min de lecture<\/p>\n
La loi de transposition NIS2 est en vigueur depuis le 6 d\u00e9cembre 2025 – sans p\u00e9riode de transition. Environ 29 500 entreprises dans 18 secteurs sont concern\u00e9es, dont pour la premi\u00e8re fois des milliers de PME dans la construction m\u00e9canique, les services informatiques et la logistique. Le d\u00e9lai d’inscription aupr\u00e8s du BSI a expir\u00e9 le 6 mars 2026. Ceux qui ne se sont pas encore inscrits risquent des amendes allant jusqu’\u00e0 10 millions d’euros et la responsabilit\u00e9 personnelle de la direction. Ce n’est pas un sc\u00e9nario futur – c’est le droit en vigueur.<\/strong><\/p>\n La directive europ\u00e9enne NIS2 aurait d\u00fb \u00eatre transpos\u00e9e en droit national avant octobre 2024. L’Allemagne a manqu\u00e9 ce d\u00e9lai – la loi de transposition NIS2 (NIS2UmsuCG) n’a \u00e9t\u00e9 adopt\u00e9e par le Bundestag que le 13 novembre 2025, confirm\u00e9e par le Bundesrat le 20 novembre et est entr\u00e9e en vigueur le 6 d\u00e9cembre 2025.<\/p>\n Ce que beaucoup de dirigeants sous-estiment : la loi ne pr\u00e9voit aucun d\u00e9lai de gr\u00e2ce. D\u00e8s le jour de son entr\u00e9e en vigueur, les mesures de s\u00e9curit\u00e9 selon le \u00a730 BSIG et les obligations renforc\u00e9es de signalement sont contraignantes pour toutes les entreprises concern\u00e9es. Quiconque n’est pas encore conforme enfreint d\u00e9j\u00e0 le droit en vigueur. Et le BSI contr\u00f4le activement depuis d\u00e9but 2026 – pas seulement en cas d’incident.<\/p>\n Facteur aggravant : selon les donn\u00e9es du BSI, seuls environ 38,5 pour cent des quelque 29 500 entreprises concern\u00e9es s’\u00e9taient inscrites en mars 2026. Plus de 18 000 entreprises se trouvent ainsi dans une zone grise juridique – concern\u00e9es mais ni inscrites ni conformes.<\/p>\n NIS2 concerne les entreprises de 50 employ\u00e9s ou plus, ou r\u00e9alisant un chiffre d’affaires de 10 millions d’euros dans 18 secteurs. La loi distingue deux cat\u00e9gories : les entit\u00e9s essentielles (obligations plus \u00e9lev\u00e9es, amendes plus s\u00e9v\u00e8res) et les entit\u00e9s importantes.<\/p>\n Les entit\u00e9s essentielles<\/strong> comprennent l’\u00e9nergie, les transports, le secteur bancaire, les infrastructures des march\u00e9s financiers, la sant\u00e9, l’eau potable, les eaux us\u00e9es, l’infrastructure num\u00e9rique, les services TIC en B2B, l’administration publique et l’espace. Les entit\u00e9s importantes<\/strong> comprennent les services postaux et de messagerie, la gestion des d\u00e9chets, la chimie, l’alimentation, l’industrie manufacturi\u00e8re (construction m\u00e9canique, automobile, \u00e9lectrotechnique), les fournisseurs de services num\u00e9riques et les \u00e9tablissements de recherche.<\/p>\n Pour les PME, la deuxi\u00e8me cat\u00e9gorie est d\u00e9terminante : un constructeur de machines avec 80 employ\u00e9s et 15 millions d’euros de chiffre d’affaires tombe sous NIS2 – m\u00eame s’il ne s’est jamais occup\u00e9 de r\u00e9glementation en mati\u00e8re de s\u00e9curit\u00e9 informatique. Il en va de m\u00eame pour les prestataires informatiques, les entreprises de logistique et les sous-traitants de l’industrie automobile. Le seuil d’application est volontairement bas.<\/p>\n \nNIS2 exige que la direction ne se contente pas de tol\u00e9rer mais pilote activement la mise en place et le maintien d’un niveau de s\u00e9curit\u00e9 ad\u00e9quat. Approuver les concepts de s\u00e9curit\u00e9, fournir les ressources et \u00e9valuer r\u00e9guli\u00e8rement les risques – c’est une obligation personnelle de la direction. Les sanctions sous NIS2 sont plus s\u00e9v\u00e8res que tout ce que les entreprises allemandes ont connu en mati\u00e8re de s\u00e9curit\u00e9 informatique. Les entit\u00e9s essentielles risquent des amendes allant jusqu’\u00e0 10 millions d’euros ou 2 pour cent du chiffre d’affaires mondial annuel – selon le montant le plus \u00e9lev\u00e9. Pour les entit\u00e9s importantes, les limites sont de 7 millions d’euros ou 1,4 pour cent du chiffre d’affaires.<\/p>\n L’aspect v\u00e9ritablement explosif est le \u00a738 BSIG : la responsabilit\u00e9 personnelle de la direction. Les dirigeants doivent approuver la mise en oeuvre des mesures de s\u00e9curit\u00e9 et en surveiller l’ex\u00e9cution. Ils sont tenus de participer r\u00e9guli\u00e8rement \u00e0 des formations pour comprendre les risques informatiques, les fondamentaux techniques et les exigences l\u00e9gales. En cas de n\u00e9gligence grave ou d’intention, le dirigeant est personnellement responsable.<\/p>\n Dans les cas extr\u00eames, le BSI peut prononcer une interdiction temporaire d’exercer contre les dirigeants qui enfreignent NIS2 de mani\u00e8re r\u00e9p\u00e9t\u00e9e ou grave. C’est une nouvelle dimension : la s\u00e9curit\u00e9 informatique ne peut plus \u00eatre d\u00e9l\u00e9gu\u00e9e – c’est une responsabilit\u00e9 de la direction avec des cons\u00e9quences personnelles. Ceux qui s’int\u00e9ressent \u00e0 la cyber-assurance<\/a> constatent vite que de nombreuses polices exigent la conformit\u00e9 NIS2 comme condition pr\u00e9alable \u00e0 la couverture.<\/p>\n Un exemple concret : le directeur d’un prestataire informatique de taille moyenne avec 120 employ\u00e9s avait manqu\u00e9 l’inscription NIS2. En f\u00e9vrier 2026, une attaque par ran\u00e7ongiciel a frapp\u00e9 l’entreprise. Le d\u00e9lai de signalement de 24 heures n’a pas \u00e9t\u00e9 respect\u00e9 car aucun plan de r\u00e9ponse aux incidents n’existait. La cons\u00e9quence : outre les dommages \u00e9conomiques de l’attaque, des amendes sont en suspens pour inscription manquante, signalement tardif et mesures de s\u00e9curit\u00e9 insuffisantes. Le directeur est personnellement responsable car il ne peut prouver ni sa participation \u00e0 des formations ni son approbation des mesures. Ce cas n’est pas isol\u00e9 – le BSI contr\u00f4le activement depuis d\u00e9but 2026.<\/p>\n Le \u00a730 BSIG d\u00e9finit dix domaines dans lesquels les entreprises doivent prendre des mesures. L’\u00e9tendue d\u00e9pend de la taille de l’entreprise, de l’exposition aux risques et de l’importance soci\u00e9tale. Pour les PME, les points suivants sont particuli\u00e8rement pertinents :<\/p>\n Gestion des risques :<\/strong> analyses de risques r\u00e9guli\u00e8res pour tous les syst\u00e8mes informatiques et processus m\u00e9tier. Pas comme un exercice annuel de conformit\u00e9, mais comme un processus continu.<\/p>\n R\u00e9ponse aux incidents :<\/strong> un plan document\u00e9 pour la gestion des incidents de s\u00e9curit\u00e9. Un signalement initial doit \u00eatre d\u00e9pos\u00e9 aupr\u00e8s du BSI dans les 24 heures. Un rapport qualifi\u00e9 \u00e9valuant la gravit\u00e9 suit dans les 72 heures. Un rapport final est d\u00fb apr\u00e8s un mois.<\/p>\n Continuit\u00e9 d’activit\u00e9 :<\/strong> strat\u00e9gies de sauvegarde, plans de reprise et gestion de crise. L’entreprise doit d\u00e9montrer qu’elle peut survivre \u00e0 un incident informatique grave.<\/p>\n S\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement :<\/strong> \u00e9valuer et s\u00e9curiser l’ensemble de la cha\u00eene d’approvisionnement. Cela concerne particuli\u00e8rement les entreprises qui sont fournisseurs d’infrastructures critiques – et il y en a beaucoup parmi les PME. Ceux qui n’ont pas encore v\u00e9rifi\u00e9 leur strat\u00e9gie cloud<\/a> en termes de souverainet\u00e9 devraient le faire dans le cadre de la mise en oeuvre de NIS2.<\/p>\n Obligation de formation de la direction :<\/strong> le \u00a738 BSIG exige des formations document\u00e9es. Les dirigeants doivent conna\u00eetre les fondamentaux de la s\u00e9curit\u00e9 informatique, les menaces actuelles et les exigences l\u00e9gales. La formation doit \u00eatre document\u00e9e – c’est une preuve centrale de d\u00e9charge en cas d’audit.<\/p>\n Contr\u00f4le d’acc\u00e8s et cryptographie :<\/strong> l’authentification multifacteur, la communication chiffr\u00e9e et une gestion structur\u00e9e des autorisations ne sont plus des recommandations optionnelles mais des obligations l\u00e9gales. Surtout dans les PME o\u00f9 les mots de passe simples et les comptes administrateur partag\u00e9s sont encore la norme, cela repr\u00e9sente un effort consid\u00e9rable.<\/p>\n V\u00e9rifier si vous \u00eates concern\u00e9<\/p>\n Votre entreprise fait-elle partie de l’un des 18 secteurs ? Avez-vous plus de 50 employ\u00e9s ou plus de 10 millions d’euros de chiffre d’affaires annuel ? Alors vous \u00eates tr\u00e8s probablement concern\u00e9. Le BSI met \u00e0 disposition un outil de v\u00e9rification sur son site web.<\/p>\n<\/div>\n<\/div>\n Effectuer l’inscription BSI<\/p>\n La date limite officielle \u00e9tait le 6 mars 2026. Si vous l’avez manqu\u00e9e : effectuez-la imm\u00e9diatement. L’inscription se fait via le portail de signalement et d’information du BSI. Chaque jour de retard augmente le risque d’amende.<\/p>\n<\/div>\n<\/div>\n R\u00e9aliser une analyse des \u00e9carts<\/p>\n Comparez votre posture actuelle de s\u00e9curit\u00e9 informatique avec les exigences du \u00a730 BSIG. O\u00f9 avez-vous d\u00e9j\u00e0 des mesures en place, o\u00f9 sont les lacunes ? Un auditeur externe ou un consultant sp\u00e9cialis\u00e9 peut r\u00e9aliser cette analyse en deux \u00e0 quatre semaines.<\/p>\n<\/div>\n<\/div>\n Mettre en place un plan de r\u00e9ponse aux incidents<\/p>\n D\u00e9finissez des canaux de signalement clairs, des responsabilit\u00e9s et des niveaux d’escalade. Exercez le sc\u00e9nario d’urgence au moins une fois par an avec un exercice sur table. Le d\u00e9lai de signalement de 24 heures au BSI n\u00e9cessite des processus document\u00e9s qui s’activent imm\u00e9diatement en cas de crise.<\/p>\n<\/div>\n<\/div>\n Former la direction et documenter<\/p>\n Le \u00a738 BSIG exige des formations v\u00e9rifiables de la direction. Ce n’est pas optionnel. R\u00e9servez des formations NIS2 certifi\u00e9es et documentez la participation. Ces preuves sont d\u00e9cisives pour la d\u00e9charge en cas d’audit.<\/p>\n<\/div>\n<\/div>\n<\/div>\n En compl\u00e9ment de la conformit\u00e9 NIS2, les entreprises devraient surveiller le Cyber Resilience Act<\/a> qui impose des exigences suppl\u00e9mentaires aux fabricants de produits num\u00e9riques. Et ceux qui veulent garder une vue d’ensemble r\u00e9glementaire trouveront le deuxi\u00e8me grand bloc de conformit\u00e9 pour 2026 dans l’article sur l’EU AI Act<\/a>.<\/p>\n En principe non. Le seuil est de 50 employ\u00e9s ou 10 millions d’euros de chiffre d’affaires annuel. Des exceptions s’appliquent aux entreprises dans des domaines particuli\u00e8rement critiques comme les services DNS, les fournisseurs de services de confiance ou les op\u00e9rateurs de domaines de premier niveau – ceux-ci tombent sous NIS2 ind\u00e9pendamment de leur taille.<\/p>\n<\/details>\n Oui. La date limite du 6 mars 2026 est pass\u00e9e, mais l’inscription via le portail BSI reste possible. Les entreprises devraient effectuer l’inscription tardive imm\u00e9diatement. L’inscription tardive elle-m\u00eame est passible d’amende, mais le risque augmente chaque jour de retard.<\/p>\n<\/details>\n Les entreprises concern\u00e9es doivent d\u00e9poser un signalement initial aupr\u00e8s du BSI dans les 24 heures. Un rapport qualifi\u00e9 \u00e9valuant la gravit\u00e9, l’\u00e9tendue et les impacts transfrontaliers potentiels suit dans les 72 heures. Un rapport final est d\u00fb dans un d\u00e9lai d’un mois au plus tard.<\/p>\n<\/details>\n Oui. Le \u00a738 BSIG pr\u00e9voit une responsabilit\u00e9 personnelle de la direction. Les dirigeants doivent approuver les mesures de s\u00e9curit\u00e9, en surveiller la mise en oeuvre et participer r\u00e9guli\u00e8rement \u00e0 des formations. En cas de n\u00e9gligence grave ou d’intention, la responsabilit\u00e9 personnelle s’applique. Dans les cas graves, le BSI peut prononcer une interdiction temporaire d’exercer.<\/p>\n<\/details>\n Cela d\u00e9pend du niveau de s\u00e9curit\u00e9 actuel. Les entreprises disposant d’un SMSI existant selon ISO 27001 ont le moins d’efforts – elles doivent principalement ajouter les obligations de signalement et la formation de la direction. Les entreprises sans gestion structur\u00e9e de la s\u00e9curit\u00e9 informatique doivent compter avec un investissement initial de 50 000 \u00e0 200 000 euros r\u00e9partis sur six \u00e0 douze mois.<\/p>\n<\/details>\n Une certification ISO 27001 couvre de nombreuses exigences NIS2 mais ne suffit pas \u00e0 elle seule. NIS2 exige en plus l’inscription BSI, des obligations de signalement sp\u00e9cifiques dans les 24 heures, des formations v\u00e9rifiables de la direction et la s\u00e9curisation de la cha\u00eene d’approvisionnement. ISO 27001 est une excellente base mais doit \u00eatre compl\u00e9t\u00e9e par les obligations sp\u00e9cifiques NIS2.<\/p>\n<\/details>\n Source image titre : Pexels \/ Tima Miroshnichenko (px:5380596)<\/p>\n","protected":false},"excerpt":{"rendered":" NIS2 est en vigueur depuis d\u00e9cembre 2025 sans transition. 29 500 entreprises concern\u00e9es, dirigeants personnellement responsables. 5 \u00e9tapes.<\/p>\n","protected":false},"author":160,"featured_media":94441,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"niveau de s\u00e9curit\u00e9","_yoast_wpseo_title":"NIS2 : Guide PME pour la conformit\u00e9 et la s\u00e9curit\u00e9 r\u00e9seau","_yoast_wpseo_metadesc":"NIS2 en vigueur depuis d\u00e9cembre 2025 : 29 500 entreprises concern\u00e9es, amendes jusqu'\u00e0 10 M EUR, responsabilit\u00e9 personnelle. 5 \u00e9tapes vers la conformit\u00e9.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_translation_lang":"","_wp_old_slug":["nis2-umsetzung-mittelstand-pflichten-bussgeld-haftung-2026-fr"],"footnotes":""},"categories":[2224],"tags":[],"class_list":["post-94701","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-tech","entry"],"evm_reading_time_minutes":11,"wpml_language":"fr","wpml_translation_of":94442,"acf":[],"yoast_head":"\nL’essentiel en bref<\/h2>\n
\n
NIS2 en Allemagne : ce qui est en vigueur depuis d\u00e9cembre 2025<\/h2>\n
Qui est concern\u00e9 ? Les 18 secteurs en un coup d’oeil<\/h2>\n
\nR\u00e9sum\u00e9 des obligations selon le \u00a738 BSIG<\/cite>\n<\/p><\/blockquote>\nAmendes et responsabilit\u00e9 personnelle selon le \u00a738 BSIG<\/h2>\n
Que doivent concr\u00e8tement mettre en oeuvre les entreprises concern\u00e9es ?<\/h2>\n
5 \u00e9tapes vers la conformit\u00e9 NIS2<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
NIS2 s’applique-t-il aux entreprises de moins de 50 employ\u00e9s ?<\/strong><\/summary>\n
Puis-je encore effectuer l’inscription BSI ?<\/strong><\/summary>\n
Que se passe-t-il lors d’un incident de s\u00e9curit\u00e9 sous NIS2 ?<\/strong><\/summary>\n
Le dirigeant est-il personnellement responsable en cas de violation NIS2 ?<\/strong><\/summary>\n
Combien co\u00fbte la mise en conformit\u00e9 NIS2 pour une PME ?<\/strong><\/summary>\n
Une certification ISO 27001 suffit-elle pour la conformit\u00e9 NIS2 ?<\/strong><\/summary>\n
\u00c0 lire aussi<\/h2>\n
\n