NIS2 : le cadre juridique européen de la cybersécurité

NIS2 couvre 18 secteurs : onze secteurs hautement critiques à l'annexe I (notamment énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructure numérique, gestion des services TIC en B2B, administration publique, espace) et sept autres secteurs critiques à l'annexe II (notamment services postaux et d'expédition, gestion des déchets, chimie, denrées alimentaires, industrie manufacturière, fournisseurs numériques, recherche). Selon la règle du size-cap, les entreprises de ces secteurs entrent en principe dans le champ d'application à partir de la taille moyenne – à partir de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires annuel et de total de bilan annuel, calculés conformément à la recommandation 2003/361/CE. Les grandes entreprises des secteurs de l'annexe I (à partir de 250 salariés ou de plus de 50 millions d'euros de chiffre d'affaires et de plus de 43 millions d'euros de total de bilan) sont en règle générale considérées comme des entités essentielles, les autres comme des entités importantes. Certains prestataires, tels que les prestataires de services de confiance qualifiés, sont couverts indépendamment de leur taille.

L'art. 20 ancre la cybersécurité comme mission de la direction : les organes de direction doivent approuver les mesures de gestion des risques prévues à l'art. 21, superviser leur mise en œuvre et peuvent être tenus responsables des infractions. L'art. 20, paragraphe 2, oblige les membres des organes de direction à suivre des formations afin d'être en mesure d'identifier les risques et d'évaluer les pratiques de gestion des risques ainsi que leur impact sur les services fournis ; des formations comparables doivent être proposées régulièrement aux salariés. La transposition allemande au § 38 BSIG est plus stricte : les directions doivent mettre en œuvre elles-mêmes les mesures et surveiller leur mise en œuvre, elles répondent selon les règles du droit des sociétés des dommages causés par leur faute, et la participation aux formations est expressément conçue comme une obligation régulière (§ 38, al. 3 BSIG).

Toutes les entités doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, selon une approche « tous risques ». L'art. 21, paragraphe 2, énumère à cet effet dix domaines minimaux : politiques d'analyse des risques et de sécurité des systèmes d'information, gestion des incidents, continuité des activités avec sauvegarde, restauration et gestion de crise, sécurité de la chaîne d'approvisionnement y compris les relations avec les fournisseurs directs (point d), sécurité de l'acquisition, du développement et de la maintenance des systèmes informatiques y compris la gestion des vulnérabilités, politiques d'évaluation de l'efficacité des mesures, cyberhygiène et formations à la cybersécurité, cryptographie et chiffrement, sécurité des ressources humaines avec contrôle d'accès et gestion des actifs, ainsi qu'authentification multifacteur et communications (d'urgence) sécurisées. Le § 30, al. 2 BSIG reprend ce catalogue presque mot pour mot dans le droit allemand.

Les incidents importants doivent être notifiés de manière échelonnée : une alerte précoce sans retard injustifié, au plus tard 24 heures après en avoir eu connaissance ; une notification avec une première évaluation de la gravité, des impacts et des indicateurs de compromission au plus tard après 72 heures ; sur demande, un rapport intermédiaire sur l'évolution de la situation ; et au plus tard un mois après la notification, un rapport final présentant les causes, le type de menace et les mesures correctives. Si l'incident est toujours en cours, un rapport d'avancement remplace dans un premier temps le rapport final. En Allemagne, c'est le BSI qui reçoit les notifications (§ 32 BSIG) ; les opérateurs d'installations critiques doivent en outre fournir des informations sur l'installation concernée et sur les effets de sa défaillance.

Le Bundestag a adopté le NIS2UmsuCG le 13 novembre 2025 ; il est en vigueur depuis le 6 décembre 2025 – un bon an après l'expiration du délai de transposition de l'UE en octobre 2024. Sa pièce maîtresse est le BSIG révisé : il distingue les entités particulièrement importantes, les entités importantes et les opérateurs d'installations critiques (§ 28 BSIG) ; le législateur table sur environ 30 000 entités concernées. Les entités concernées doivent s'enregistrer elles-mêmes auprès du BSI dans un délai de trois mois (§ 33 BSIG) – pour les entités qui relevaient déjà du champ d'application à l'entrée en vigueur, le délai légal a expiré le 6 mars 2026, et un délai supplémentaire communiqué par le BSI prend fin le 31 juillet 2026. Pour l'auto-évaluation, le BSI met à disposition un test d'applicabilité en ligne, sans valeur contraignante ; aucune notification par les autorités n'est prévue, chaque organisation doit vérifier elle-même si elle est concernée.

Pour les entités essentielles, NIS2 prévoit des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, pour les entités importantes jusqu'à 7 millions d'euros ou 1,4 % – le montant le plus élevé étant à chaque fois retenu. Le BSIG allemand reprend ces plafonds d'amendes (§ 65 BSIG). Le BSI dispose en outre de pouvoirs de supervision allant des demandes d'informations aux audits, la supervision des entités particulièrement importantes étant plus étendue que celle des entités importantes. S'y ajoute la responsabilité personnelle des directions au titre du § 38 BSIG, qui ne peuvent se soustraire à leurs obligations de mise en œuvre et de surveillance par délégation.