Les infrastructures critiques dans le nouveau cadre juridique

Les installations critiques sont des installations d'une grande importance pour l'approvisionnement de la population, dont la défaillance ou la perturbation entraînerait des pénuries d'approvisionnement considérables ou des menaces pour la sécurité publique. Le KRITIS-Dachgesetz, auquel renvoie le § 2 numéro 22 BSIG pour la notion d'installation, les répartit en dix secteurs : énergie ; transports ; finance ; assurance sociale et revenu minimum pour les demandeurs d'emploi ; santé ; eau ; alimentation ; technologies de l'information et télécommunications ; espace ; et gestion des déchets municipaux. C'est la BSI-KritisV qui détermine, sur la base de catégories d'installations et de seuils, si une installation concrète est critique ; le seuil de référence est de 500 000 personnes approvisionnées. Le règlement actuel reste applicable pour l'instant – pour la nouvelle KritisV prévue par le KRITIS-Dachgesetz, un projet ministériel (Referentenentwurf) du BMI est disponible depuis le 26 mai 2026, sans force juridique à ce stade.

La loi de transposition de NIS2 a refondu la loi BSI au 6 décembre 2025 – sans périodes transitoires générales. En vertu du § 28 BSIG, les exploitants d'installations critiques sont systématiquement considérés comme des entités particulièrement importantes et assument donc toutes les obligations de base de NIS2 : mesures de gestion des risques selon le § 30 BSIG, enregistrement dans les trois mois suivant la classification (§ 33 BSIG) ainsi que notification des incidents de sécurité importants au BSI – avec une notification initiale sans retard injustifié, au plus tard dans les 24 heures après en avoir eu connaissance, une notification de suivi dans les 72 heures et un rapport final au plus tard un mois après la notification (§ 32 BSIG). S'y ajoutent, pour les installations critiques, des obligations supplémentaires allant au-delà des exigences générales de NIS2 : systèmes de détection d'attaques et justificatifs réguliers.

Les exploitants d'installations critiques doivent démontrer au BSI la mise en œuvre de leurs mesures selon les §§ 30 et 31 BSIG au moyen d'audits de sécurité, de contrôles ou de certifications – pour la première fois trois ans après la classification initiale ou renouvelée, puis tous les trois ans. Le cycle de justification a ainsi été allongé par rapport à la situation juridique antérieure (§ 8a al. 3 BSIG, ancienne version : tous les deux ans) ; la date précise du premier justificatif est fixée par le BSI. Les résultats des audits, contrôles ou certifications doivent être transmis au BSI, y compris les défauts de sécurité constatés à cette occasion ; en cas de défauts, le BSI peut exiger la présentation d'un plan de remédiation ainsi que la preuve de leur élimination.

Depuis mai 2023, les exploitants d'installations critiques doivent recourir à des systèmes de détection d'attaques (Systeme zur Angriffserkennung, SzA) ; cette obligation est aujourd'hui ancrée dans le § 31 BSIG. Ces systèmes doivent collecter et analyser de manière continue et automatique des paramètres et caractéristiques appropriés issus de l'exploitation courante, identifier et prévenir les menaces en permanence et prévoir des mesures de remédiation pour les perturbations survenues – conformément à l'état de la technique et sous réserve de proportionnalité : l'effort ne doit pas être disproportionné par rapport aux conséquences d'une défaillance. La référence pour la mise en œuvre et le contrôle est le guide d'orientation du BSI sur l'utilisation des systèmes de détection d'attaques (Orientierungshilfe, version 1.1 du 18.11.2024), avec des exigences MUSS (obligatoire), SOLLTE (recommandé) et KANN (facultatif) dans les domaines de la journalisation, de la détection et de la réaction, ainsi qu'un modèle de degré de mise en œuvre à six niveaux dont le résultat alimente le justificatif selon le § 39 BSIG.

Avec le KRITIS-Dachgesetz, en vigueur depuis le 17 mars 2026, l'Allemagne transpose la directive CER (UE) 2022/2557 et crée pour la première fois un cadre juridique fédéral uniforme pour la protection physique des installations critiques dans dix secteurs. Le point de contact central est l'Office fédéral de la protection civile et de l'aide en cas de catastrophe (BBK). Les exploitants doivent s'enregistrer dans les trois mois suivant la qualification de leur installation comme critique – au plus tôt à partir du 17 juillet 2026 – via un dispositif d'enregistrement commun du BBK et du BSI (§ 8 KRITIS-DachG), réaliser leurs propres analyses de risques en cas de besoin et au moins tous les quatre ans (§ 12), mettre en œuvre et documenter des mesures de résilience techniques, de sécurité et organisationnelles appropriées et proportionnées (§ 13), et signaler les perturbations importantes dans un délai de 24 heures (§ 18). Outre l'informatique, la sécurisation des bâtiments, le contrôle d'accès, les redondances et l'organisation de crise entrent ainsi dans le catalogue des obligations.

Le BSIG et le KRITIS-Dachgesetz s'imbriquent : le BSIG transpose la directive NIS2 (UE) 2022/2555 et traite de la cybersécurité, tandis que la loi-cadre couvre la résilience physique selon CER. Les deux textes s'appuient sur la même notion d'installation critique – l'enregistrement des installations critiques s'effectue de manière uniforme selon le § 8 KRITIS-DachG, auquel le § 33 alinéa 2 BSIG renvoie expressément. Les exploitants d'installations critiques constituent ainsi un sous-ensemble des entités régulées par NIS2, avec des obligations supplémentaires : détection d'attaques, justificatifs triennaux et mesures de résilience physique. En pratique, un système de management intégré pilotant conjointement le SMSI (ISMS), la continuité d'activité et la protection physique est préférable à un traitement séparé des deux réglementations.