La responsabilité organisationnelle selon la NIS2 s’applique malgré l’enregistrement

9 minutes de lecture

Environ 11 000 entreprises concernées en Allemagne n’ont toujours pas de registre BSI fin mai 2026 – et le délai légal a expiré le 6 mars. Ce qui circule comme « délai supplémentaire » est, selon l’interprétation des cabinets d’avocats, une tolérance administrative jusqu’au 31 juillet 2026 : le BSI s’attend à des déclarations tardives, mais ne modifie pas le délai légal. Pour la direction, c’est la preuve qui compte en vertu du § 38 BSIG : approbation de la gestion des risques, contrôle de la mise en œuvre, formation personnelle attestée. Le simple clic sur le portail ne suffit pas.

ConnexeIA souveraine : la responsabilité reste en interne  /  L’IA écrit le code. Qui en est responsable ?

Le débat public tourne autour des voies de déclaration et des connexions aux portails. La question la plus difficile se situe ailleurs : qu’est-ce qui peut être prouvé lorsqu’un incident, une autorité de contrôle ou un recours interne vise la direction ? Celui qui ne fait que rattraper l’enregistrement et laisse la structure de preuve ouverte échange une lacune visible contre une lacune invisible.

La tolérance ne guérit pas le retard

La situation juridique est plus claire que ne le suggèrent de nombreux titres. Le délai légal d’enregistrement prévu par la loi BSI expirait le 6 mars 2026. Le BSI lui-même indique sur sa page d’information : le délai légal est écoulé. Toute personne concernée et non encore enregistrée doit procéder sans tarder.

Ce qui court jusqu’au 31 juillet 2026, selon l’interprétation répandue dans les cabinets d’avocats, est une tolérance administrative – autrement dit une clémence d’exécution. Il ne s’agit pas d’une prolongation légale du délai. Dans la lettre adressée aux associations économiques, dont heise online a notamment rendu compte, le BSI part du principe que tous les enregistrements encore en attente seront achevés au plus tard le 31 juillet 2026. Il s’agit d’une formulation d’attente et de priorisation ; le mot « tolérance » ne figure pas dans la lettre du BSI. La page d’information du BSI précise parallèlement : le délai légal est écoulé. Quiconque s’enregistre maintenant reste formellement en retard – la clémence d’exécution n’efface pas rétroactivement la violation de l’obligation. C’est précisément cette distinction qui sépare l’allègement opérationnel de la guérison juridique.

Les chiffres expliquent pourquoi l’autorité procède ainsi. Sur environ 29 500 entreprises concernées en Allemagne, seules 11 500 environ s’étaient enregistrées à la date limite légale. Fin mai, ce chiffre atteignait environ 18 500. Fin mai 2026, il subsiste donc un écart d’environ 11 000 assujettis. La clémence d’exécution est donc aussi un aveu : l’exécution se heurte à une économie qui a sous-estimé le calendrier.

Une infraction à l’obligation d’enregistrement reste passible d’une amende. Selon § 65 BSIG, l’établissement encourt jusqu’à 500 000 euros. L’amende concerne l’établissement. La personne physique dirigeante n’est pas ici destinataire de l’élément constitutif de l’amende. Plus lourd pour les organes est la responsabilité interne selon § 38 al. 2 BSIG : quiconque viole les obligations de l’alinéa 1 est responsable envers son propre établissement pour tout dommage causé par sa faute – selon les règles de droit des sociétés propres à chaque forme juridique. Le dossier de preuve protège précisément en cas de recours. L’amende reste un facteur marginal. La capacité de recours détermine le risque personnel de la direction.

Ce que § 38 BSIG exige de la direction

Le § 38 BSIG fait peser la responsabilité sur le niveau dirigeant lui-même. La direction doit approuver les mesures de gestion des risques, superviser leur mise en œuvre et se former aux risques cyber. La présidente du BSI, Claudia Plattner, le formule textuellement : les directions seraient « tenues de mettre en œuvre les mesures de gestion des risques, de superviser leur mise en œuvre et de se former aux questions d’évaluation et de gestion des risques cyber ». Le travail opérationnel peut être confié au CISO, à la direction informatique ou à des prestataires externes. La responsabilité finale demeure.

La délégation ne décharge pas. Celui qui nomme un CISO et retire le sujet de l’ordre du jour n’a pas rempli son obligation. Il reste tenu d’approuver et de superviser. Si l’acte d’approbation écrit fait défaut, si les rapports trimestriels à la direction manquent ou si les justificatifs de formation des dirigeants sont absents, une lacune apparaît lors d’un contrôle – même si la technique fonctionne dans le centre de données.

Le § 30, alinéa 1, phrase 3 BSIG exige que l’entité documente le respect de ses obligations en matière de gestion des risques. Il s’agit de prouver les mesures prises dans le cadre de cette obligation. Quiconque ne peut présenter de documents en cas d’urgence s’expose à des sanctions, indépendamment du fait que beaucoup de choses aient été « plus ou moins » faites sur le plan opérationnel. Les retours d’expérience des cabinets de conseil montrent le même schéma : les contrôles techniques sont souvent en place. Les procès-verbaux des décisions de la direction, l’approbation des concepts de sécurité et les formations des dirigeants font défaut.

La question de savoir si la Business Judgement Rule protège dans le contexte NIS-2 n’est pas encore tranchée sur le plan juridique – la jurisprudence fait défaut. Une lecture répandue dans les cabinets d’avocats établit une distinction nette : la BJR protège la marge de manœuvre entrepreneuriale. Selon cette lecture, les obligations contraignantes du § 38 BSIG n’en relèvent pas. Là où le § 38 BSIG impose impérativement l’approbation, la supervision et la formation, il n’y a pas de place pour une marge d’appréciation ; la BJR ne s’y applique tout simplement pas. Les lacunes en matière de formation et de documentation constituent donc des manquements autonomes. Cela vaut aussi bien pour le gérant unique d’une GmbH que pour un organe de direction collégial.

La logique de conseil vend souvent des séminaires pour dirigeants et des feuilles de route d’outils. Le point faible, c’est la prouvabilité : quiconque quitte l’atelier sans procès-verbal de décision a eu un événement – mais pas un fil de preuve. La réalité dans l’espace DACH aggrave la situation : le comité d’entreprise et la protection des données interfèrent avec le suivi et les formats de formation. La cogestion et le traitement des données ne bloquent pas la conformité. Mais les deux exigent une implication précoce – sinon la construction des preuves patine dès que les procès-verbaux et les listes de présence doivent être formellement irréprochables.

Ce qui peut être prouvé en cas de crise

Le changement de perspective est simple à formuler, mais difficile à mettre en œuvre. La question cruciale devient : quel document porte quelle affirmation ? Qui l’a signé et quand ? Deux colonnes séparent l’affirmation de la preuve.

Trois risques marqueront les prochains mois. Premièrement : l’inscription est effectuée, mais le dossier de preuves reste lacunaire – la visibilité augmente, la capacité de défense non. Deuxièmement : plusieurs directeurs généraux se partageant la responsabilité de sorte que personne ne signe l’acte d’approbation. Troisièmement : après le 31 juillet 2026, l’autorité de surveillance tombera sur les défaillants sans inscription au portail et sans chaîne de documentation. L’ownership est la ressource rare : qui gère le dossier de preuves, qui approuve la formation de la direction et la documentation, qui déclenche l’escalade lorsque le CISO fait un rapport et que l’agenda reste silencieux ?

Les sources ne sont pas toujours alignées sur ce point. Les contributions des cabinets d’avocats et des associations parlent souvent de « délai supplémentaire » – cela sonne comme un retard régularisé. En premier lieu, la formulation du BSI est plus stricte : le délai légal est dépassé ; dans la lettre aux associations, l’autorité s’attend à des déclarations tardives jusqu’au 31 juillet 2026 (heise online, 17.06.2026). La « tolérance » est l’interprétation des cabinets pour cette indulgence d’exécution. Le terme n’apparaît pas dans la lettre du BSI. Digital Chiefs maintient cette lecture, car elle rend la décision de la direction plus urgente : se conformer et construire parallèlement les preuves. Une régularisation du manquement n’est pas à attendre.

Les 90 premiers jours : la preuve plutôt que la checkliste

La première étape n’est pas l’achat d’un outil. C’est un dossier composé de cinq éléments qui doit être constitué en quatre-vingt-dix jours – piloté par la direction, soutenu opérationnellement par le CISO et le service juridique.

Jours 1–30 : état des lieux et cartographie des lacunes. Clarifier ou confirmer le périmètre d’application. Vérifier le statut d’enregistrement dans le portail BSI et finaliser les conditions d’accès ouvertes (ELSTER/MUK). En parallèle : inventaire des documents existants – analyse des risques, périmètre du SMSI, plans de gestion des incidents et de continuité, décisions de direction antérieures. Ce qui manque reçoit un responsable et une date butoir.

Jours 31–60 : approbation et formation. La direction approuve formellement la gestion des risques et le catalogue de mesures. Le procès-verbal consigne le périmètre, les exceptions et les responsables. La formation obligatoire de la direction est planifiée et attestée – avec liste de participants et contenu documenté. Le CISO remet le premier rapport de surveillance écrit à la direction.

Jours 61–90 : rythme opérationnel. Calendrier trimestriel pour les rapports à la direction, les circuits de signalement et l’escalade. Rôles dans le portail BSI pour l’enregistrement et le signalement des incidents. Lacunes issues de l’inventaire avec échéances et responsable budgétaire. Celui qui n’a coché que l’enregistrement jusqu’ici n’a rempli que la moitié de l’obligation. Celui qui tient le dossier de preuve pourra répondre en cas de crise.

Les compromis sont réels. Un enregistrement rapide sans qualité documentaire crée une fausse sécurité. Un perfectionnisme poussé sur le dossier sans inscription au portail laisse l’obligation la plus visible en suspens. La décision judicieuse : utiliser la fenêtre de déclaration tardive pour l’enregistrement et, dans les mêmes quatre-vingt-dix jours, établir la traçabilité. C’est sans éclat. C’est la partie que l’autorité de contrôle et le recours examineront plus tard.

Celui qui est personnellement responsable en tant que dirigeant connaît la différence entre « nous nous en occupons » et « nous pouvons le prouver ». NIS-2 ne fait pas de cette différence une question de style. Il en fait une obligation de direction assortie d’un risque personnel – surtout en cas de recours contre son propre établissement.

Foire aux questions

Source de l’image : Généré par IA (juillet 2026)