La cybersécurité devient une obligation légale incontournable pour des dizaines de milliers d’entreprises en Allemagne. La loi transposant la directive européenne NIS2 est entrée en vigueur le 6 décembre 2025, sans période de transition, imposant des exigences strictes en matière de signalement, d’enregistrement et de responsabilité des dirigeants.
Dès le 6 décembre 2025, les entreprises concernées doivent se conformer à de nouvelles obligations, notamment l’enregistrement auprès du Bundesamt für Sicherheit in der Informationstechnik (BSI) – l’Office fédéral de la sécurité des technologies de l’information – dans un délai de trois mois, soit jusqu’à début mars 2026. Elles devront également fournir des preuves de mesures de sécurité d’ici décembre 2027.
La directive NIS2 (sécurité des réseaux et de l’information), initialement adoptée au niveau européen le 16 décembre 2023, a été tardivement mise en œuvre en Allemagne après des mois de retards et une procédure d’infraction de la Commission européenne. Elle élargit considérablement le champ d’application des réglementations en matière de cybersécurité, touchant désormais environ 30 000 entreprises.
Au-delà des secteurs traditionnellement considérés comme critiques – énergie, santé, transports – NIS2 inclut désormais les services postaux et de messagerie, la gestion des déchets, la production alimentaire, ainsi que les services numériques tels que les fournisseurs de cloud et les centres de données. Les entreprises de plus de 250 salariés ou réalisant un chiffre d’affaires annuel supérieur à 50 millions d’euros sont considérées comme des entités « essentielles », tandis que celles de 50 à 250 salariés ou avec un chiffre d’affaires annuel de 10 millions d’euros sont classées comme « importantes ». Certains secteurs de l’infrastructure numérique sont concernés quelle que soit leur taille.
Un aspect majeur de la nouvelle loi concerne les obligations de signalement des incidents de sécurité, qui se déroulent en trois étapes : une alerte précoce dans les 24 heures suivant la détection, un rapport détaillé sous 72 heures précisant la nature de l’incident et les mesures prises, et un rapport final dans les 30 jours comprenant une analyse des causes profondes et des mesures correctives à long terme.
La responsabilité des dirigeants est également renforcée. L’article 20 de la directive NIS2 et l’article 38 de la loi BSI imposent à la direction une responsabilité globale en matière de sécurité informatique, l’obligeant à approuver et à contrôler les mesures de gestion des risques. Ils peuvent être tenus personnellement responsables en cas de violation et doivent suivre une formation en sécurité informatique au moins tous les trois ans. En cas de manquement, ils pourraient être tenus responsables sur leur patrimoine personnel, conformément au droit des sociétés.
Des amendes importantes sont prévues en cas de non-conformité : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel global pour les installations particulièrement importantes, et jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel global pour les grandes installations.
La directive exige la mise en place de mesures techniques et organisationnelles (TOM) complètes, incluant un cadre de gestion des risques, une gestion des incidents et des crises, la continuité des activités et la reprise après sinistre, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, l’authentification multifacteur et le chiffrement, ainsi qu’une formation régulière des employés.
NIS2 s’inscrit dans une tendance réglementaire plus large de l’Union européenne en matière de numérisation, avec des parallèles évidents avec la loi sur l’intelligence artificielle (IA Act), la loi DORA (Digital Operational Resilience Act) pour le secteur financier et la loi sur la cyber-résilience (ARC) pour les produits numériques. Pour les entreprises soumises à plusieurs réglementations, l’adoption d’un système de gestion de la sécurité de l’information (ISMS) structuré selon la norme ISO 27001 est fortement recommandée.
Les entreprises concernées doivent dès à présent vérifier si elles entrent dans le champ d’application de la loi, préparer leur inscription auprès du BSI via la plateforme « Mon compte entreprise » (MUK), réaliser une analyse des écarts, établir une gestion des risques, définir les processus de reporting, impliquer la haute direction et revoir leur chaîne d’approvisionnement en intégrant des clauses de sécurité dans les contrats.
Sur le même sujet
