La mise en œuvre de la directive européenne NIS 2 en Allemagne suscite de vives critiques de la part du TVAM, l’association allemande des fournisseurs de technologies de l’information et de communication. L’organisation alerte sur un projet de loi actuel jugé trop complexe et potentiellement contre-productif, risquant de freiner les efforts de cybersécurité des entreprises au lieu de les renforcer.
Lors d’une audition publique au Bundestag le 13 octobre 2025, le TVAM a souligné que le texte actuel, concernant la loi de transposition de NIS 2 et le renforcement de la cybersécurité (NIS2UmsuCG), introduit des doubles structures et des normes inégales qui pourraient pénaliser les 29 000 entreprises concernées, dont un grand nombre de fournisseurs de TIC, de télécommunications et de services informatiques.
Le principal reproche adressé au projet de loi concerne l’absence d’un point de contact centralisé pour le signalement des incidents de sécurité. Au lieu de cela, les entreprises devraient être contraintes de communiquer avec différentes autorités, en fonction de leur localisation et de leur domaine d’activité. « Nous atteignons la sécurité avant tout grâce à des processus clairs, simples et numériques », a déclaré le directeur général du TVAM, le Dr Frédéric Ufer. « Par conséquent, un système central inter-agences doit être mis en place rapidement et, à l’avenir, fonctionner dans toute l’Europe. »
Selon le TVAM, cette complexité administrative risque de ralentir la réaction en cas d’attaque, notamment contre des infrastructures critiques, où chaque minute compte. L’association plaide pour un système de reporting unifié et efficace, soulignant l’importance de normes internationales harmonisées pour les entreprises opérant à l’échelle mondiale.
Une autre critique majeure porte sur la disparité de traitement entre les entreprises privées et les institutions publiques. Le projet de loi prévoit des obligations et des sanctions plus strictes pour les fournisseurs de services TIC que pour les administrations, une situation jugée inacceptable par le TVAM. « Les garanties de sécurité doivent s’appliquer de manière uniforme », a insisté le Dr Ufer. « Le législateur ne doit pas faire de distinction entre les entreprises et les institutions étatiques. Nous avons plutôt besoin d’un niveau de protection solide, évolutif et uniforme pour tous. »
L’association regrette également le manque de coordination entre la loi NIS 2, axée sur la cybersécurité, et la loi-cadre KRITIS, qui concerne la protection physique des infrastructures critiques. Ces deux réglementations, qui s’appliquent aux mêmes entreprises, devraient être harmonisées pour éviter les doublons et les incohérences.
La Commission européenne a d’ores et déjà engagé une procédure d’infraction contre l’Allemagne en raison du retard pris dans la transposition de la directive NIS 2. Le TVAM appelle donc à une adoption rapide des textes législatifs, tout en mettant en garde contre toute déviation par rapport au droit européen. Des normes uniformes à l’échelle européenne constitueraient un avantage concurrentiel pour les entreprises TIC, tout en réduisant les coûts de conformité.
Pour les fournisseurs de télécommunications, les sociétés de systèmes et les prestataires de services TIC, la loi NIS 2 représente un défi majeur, impliquant des investissements importants dans la gestion des risques, la documentation et la surveillance de la sécurité, ainsi que dans l’évaluation des risques liés à leurs chaînes d’approvisionnement. Le TVAM insiste sur la nécessité d’une législation claire, pragmatique et numérique pour faciliter la mise en conformité et garantir une sécurité accrue pour tous.
