NIS2 entre en vigueur : trois décisions que les instances dirigeantes devront ex

14.04.2026

13 min de lecture

Here is the French translation of your HTML content:

« `html

7 Min. de lecture

La version révisée de la loi BSI est en vigueur depuis le 5 décembre 2025. Elle déploie ses premiers effets opérationnels en avril 2026. La transposition de la directive NIS2 fait de la cybersécurité en Allemagne un sujet dont la direction générale assume désormais la responsabilité personnelle. Plus question de la déléguer ou de l’externaliser au service informatique, sous peine d’amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial du groupe. L’analyse récente du National Law Review résume l’essentiel : le nouveau BSIG fait de la cybersécurité une question de niveau direction. État : 14 avril 2026.

L’essentiel en bref

Responsabilité personnelle de la direction : En cas de manquements graves, les dirigeants et membres du directoire peuvent être directement tenus responsables des dommages résultant de l’inobservation des obligations en matière de cybersécurité.
Amendes en deux niveaux : Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial du groupe pour les manquements graves, jusqu’à 7 millions d’euros ou 1,4 % pour les manquements légers.
Champ d’application élargi : Environ 29 000 entreprises en Allemagne sont désormais concernées par NIS2, contre environ 4 500 sous l’ancienne loi IT-SiG.

LiéReboot Germany : Trois décisions qui restent à l’ordre du jour de la direction/Cloud Repatriation 2026 du point de vue du DSI

Pour les dirigeants d’entreprises concernées par NIS2, cette évolution implique trois décisions concrètes à prendre dans les semaines à venir. Aucune n’est nouvelle. Mais toutes trois voient leur mécanisme modifié, car les conséquences légales en cas de non-décision pèsent désormais directement sur la personne des dirigeants.

La vague d’avis du BSI fin mars concernant F5 BIG-IP, Citrix NetScaler et une compromission de la chaîne d’approvisionnement Trivy a fourni le premier test de résistance réel. Trois alertes critiques en trois semaines, chacune avec un délai de déclaration de 24 heures en cas d’exploitation avérée. La question de la rapidité de réaction des dirigeants a trouvé sa première réponse concrète en avril 2026.

Ce qui est juridiquement nouveau depuis décembre 2025

Le cœur de la réforme réside dans deux changements majeurs. Le premier concerne la responsabilité : la direction doit non seulement approuver les mesures de gestion des risques en matière de cybersécurité, mais aussi superviser leur mise en œuvre et se former régulièrement à ce sujet. Le second changement porte sur les sanctions : en plus des amendes infligées à l’entreprise, les dirigeants peuvent être personnellement poursuivis si le manquement résulte d’une faute organisationnelle.

Pour les grandes entreprises dotées de structures de conformité établies, il s’agit d’un ajustement progressif. Pour les PME qui entrent pour la première fois dans le champ d’application élargi de NIS2, c’est une réévaluation complète. Le champ d’application élargi inclut désormais les services postaux et de messagerie, les établissements de recherche, la production alimentaire, la gestion des déchets et certains secteurs de l’industrie chimique.

Le travail pratique commence par le classement : votre entreprise relève-t-elle de la catégorie « essentielle » ou « importante » ? Les deux catégories impliquent des niveaux d’obligations différents. Les entités essentielles sont soumises à une supervision proactive, tandis que les entités importantes font l’objet de contrôles ponctuels. La différence se fait sentir au quotidien dès que le BSI annonce un contrôle.

Trois décisions à prendre dès maintenant

Après quatre mois d’application sur le terrain, trois décisions concrètes émergent pour les instances dirigeantes. Aucune ne surprend, mais leur formalisation et leur mode de validation sont inédits.

Première décision : l’architecture d’escalade. Qui décide, en cas d’incident de cybersécurité, si une notification doit être adressée au BSI ? Le délai d’alerte précoce de 24 heures imposé par NIS2 ne laisse aucune place aux réunions ad hoc. La réponse réside dans une chaîne de décision préétablie, avec des compétences clairement définies : qui peut décider seul, qui doit être informé, à partir de quel niveau de gravité la direction générale doit-elle être impliquée ? Le mécanisme sous-jacent repose sur une matrice RACI, et non sur un organigramme.

Deuxième décision : l’ordre des investissements. La gestion des risques au titre de NIS2 exige dix domaines d’action concrets, allant de la sécurité de la chaîne d’approvisionnement à la continuité d’activité. Par où commencer ? Le choix dépend de votre profil de risque. Pour les industriels, la priorité va à la gestion des risques liés à la supply chain. Pour les établissements financiers, la gestion des incidents est le chantier le plus urgent. Pour les entreprises du secteur des TIC, l’accent est mis sur la cryptographie et le contrôle d’accès. Cette décision ne relève pas d’une checklist standard, mais d’une hiérarchisation fondée sur votre propre exposition aux menaces.

Troisième décision : la structure de gouvernance. Qui, au sein de la direction, porte la responsabilité de la cybersécurité en tant que domaine stratégique ? Dans de nombreuses PME, il n’existe pas de poste formel de RSSI (responsable de la sécurité des systèmes d’information), et cette responsabilité incombe au responsable informatique ou à un prestataire externe. La refonte de NIS2 rend ce montage risqué : l’obligation de diligence incombe à la direction générale, et non à un prestataire. Les options sont claires : créer un poste de RSSI interne, ancrer explicitement cette responsabilité dans un domaine de la direction générale, ou mettre en place une co-gouvernance documentée avec un partenaire certifié. Ce qui ne fonctionne plus, c’est la délégation tacite jusqu’ici en vigueur.

Le test grandeur nature : les avis du BSI en mars et avril

Les trois avis du BSI publiés fin mars et début avril ont constitué le premier test de résistance pour les nouvelles structures. Vulnérabilité F5 BIG-IP permettant l’exécution de code à distance, Citrix NetScaler avec exploitation active documentée, compromission de la chaîne d’approvisionnement des conteneurs Trivy. Chacun de ces avis a soulevé, pour les entreprises utilisant les produits concernés, une question cruciale : sommes-nous soumis à une obligation de déclaration dans le cadre du système d’alerte précoce ?

Les retours des deux premières semaines révèlent trois schémas. Les entreprises dotées de processus de réponse aux incidents clairement documentés ont obtenu des clarifications en quelques heures et, en cas de doute, ont procédé à la déclaration. Celles dont les processus étaient partiellement formalisés ont mis plusieurs jours à trancher en interne – parfois au-delà du délai de 24 heures. Quant aux entreprises découvrant pour la première fois les obligations de déclaration NIS2, elles ont pris ces avis comme un signal d’alarme et ont mis en place les structures manquantes en parallèle de la gestion de l’incident en cours.

Aucun de ces schémas ne sera acceptable au second semestre 2026. À partir de juillet, le BSI lancera ses premières inspections approfondies auprès des entités essentielles. La qualité de l’architecture décisionnelle sera alors au cœur des débats. Une direction générale incapable d’expliquer précisément, lors d’un entretien de contrôle, comment fonctionne l’escalade, qui décide de quoi et comment l’efficacité est mesurée, s’expose à bien plus qu’une simple amende finale.

Au-delà de NIS2 : une vision élargie

Les exigences en matière de cybersécurité ne sont pas isolées. Elles se superposent à DORA pour le secteur financier (pleinement applicable depuis janvier 2025), au Cyber Resilience Act à partir de septembre 2026, aux lois sectorielles NIS2 pour l’énergie et la santé, ainsi qu’au AI Act, dont les premières interdictions entreront en vigueur le 6 avril 2026. Pour les entreprises concernées par plusieurs de ces régimes, la consolidation est la seule stratégie réaliste. Un cadre unifié de gestion des risques, couvrant l’ensemble des réglementations pertinentes, permet d’économiser à long terme 40 à 60 % d’efforts par rapport à des silos de conformité isolés.

La même logique s’applique à la gouvernance. Si vous créez un poste de Chief AI Officer, vous devez définir dès le départ les interfaces avec le RSSI et le délégué à la protection des données. Ces trois rôles présentent des chevauchements dans leurs responsabilités. Une délimitation claire déterminera si la conformité sera gérée de manière efficace ou fragmentée.

Le choix des technologies à adopter doit également être réévalué à la lumière de NIS2. Le mouvement souvent cité vers la réinternalisation du cloud, en réponse à la souveraineté des données, gagne en arguments lorsque les chaînes de signalement, la réponse aux incidents et les droits d’audit s’ajoutent aux critères de décision. Une architecture hybride bien structurée est souvent une meilleure solution qu’un simple *lift-and-shift* vers le cloud public.

Ce qui est réalisable dans les 90 jours à venir

D’ici fin juin 2026, les entreprises qui démarrent maintenant peuvent prendre et documenter les trois décisions mentionnées. L’architecture d’escalade peut être élaborée en deux ateliers réunissant la direction générale, la direction informatique, le service juridique et la communication, à condition d’utiliser un modèle structuré. L’ordre des investissements découle d’une analyse des menaces, qu’une équipe de sécurité expérimentée peut fournir en quatre à six semaines. La structure de gouvernance relève d’une décision RH, réalisable en un trimestre.

La feuille de route parallèle de consolidation des fournisseurs, suivie par de nombreux DSI, est un allié naturel : en réduisant leur portefeuille SaaS, ils peuvent intégrer directement les questions de gouvernance cybersécurité. Deux champs de décision se fondent ainsi en un seul, avec un gain d’efficacité évident.

Les retardataires perdront le contrôle du calendrier. Les audits de l’ANSSI, attendus aux troisième et quatrième trimestres 2026, se dérouleront sans tenir compte des contraintes internes en matière de ressources. La décision de commencer dès aujourd’hui par trois étapes claires est la seule qui laisse une marge de manœuvre pour vos propres priorités. Attendre, c’est choisir par défaut – sous pression et avec moins de latitude pour ajuster les pondérations.

Ce que les instances dirigeantes peuvent désormais apprendre d’autres secteurs

Certains secteurs ont entamé plus tôt leur transition vers la responsabilité des instances dirigeantes. Le secteur financier connaît depuis plus de dix ans des structures comparables à MaRisk et DORA. L’expérience y révèle trois enseignements directement transposables. Le premier : des décisions documentées priment sur des décisions particulièrement élaborées. Une justification traçable expliquant pourquoi un investissement a été reporté résiste à tout contrôle. Une décision non consignée, même bien réfléchie, ne suffit pas.

Le deuxième enseignement : l’évaluation de l’efficacité représente la partie la plus exigeante. Décider des mesures se fait en quelques réunions. Mesurer régulièrement leur efficacité et les ajuster si nécessaire est un processus continu qui mobilise des ressources. Les établissements financiers ont mis en place des équipes dédiées à la conformité. Pour les PME, une version simplifiée avec un bilan annuel et un tableau de bord trimestriel d’indicateurs clés suffit souvent.

Le troisième enseignement : la communication entre la direction et les services spécialisés doit être structurée. Les échanges informels ne suffisent pas lorsque, en cas de contrôle, il faut reconstituer les canaux de communication et les résultats des décisions. Un entretien structuré mensuel, avec un ordre du jour fixe et des décisions consignées, constitue le minimum requis. En y ajoutant un audit indépendant annuel réalisé par un partenaire externe, on atteint le niveau attendu par les auditeurs du BSI pour les infrastructures critiques.

Une quatrième expérience du secteur financier mérite d’être soulignée : les membres des instances dirigeantes qui ont saisi l’enjeu allègent considérablement la charge de la direction générale. Investir dans la formation des instances dirigeantes se révèle doublement payant : en réduisant les risques de responsabilité personnelle et en accélérant les prises de décision mieux fondées. Un stage intensif de deux jours dans les trois prochains mois représente un petit investissement aux effets tangibles. Des offres similaires existent auprès des académies TÜV, de la formation continue Fraunhofer et des fédérations sectorielles. Lors du renouvellement des mandats au sein des conseils de surveillance, les connaissances en matière de NIS2 et DORA sont désormais prises en compte dans le choix des candidats – un levier subtil, mais pertinent pour les 24 prochains mois. Les entreprises qui se dotent dès maintenant de compétences solides ne subiront pas en 2027 la troisième vague de régulation, mais l’accepteront comme une condition préalable.

Questions fréquentes

À partir de quelle taille d’entreprise la directive NIS2 s’applique-t-elle en Allemagne ?

La directive NIS2 s’applique de manière transsectorielle aux entreprises comptant au moins 50 salariés ou réalisant un chiffre d’affaires annuel de 10 millions d’euros. Dans les secteurs particulièrement sensibles comme l’énergie, la santé ou les infrastructures numériques, cette obligation peut également concerner des entreprises de plus petite taille si leur défaillance aurait des conséquences majeures. La classification exacte résulte de l’annexe de la loi BSI révisée.

Quand les dirigeants risquent-ils réellement des amendes personnelles ?

Les amendes personnelles ne sont pas automatiques. Elles supposent un manquement organisationnel fautif. Le seuil est plus bas que dans le droit civil général, car la NIS2 définit des exigences minimales claires. Celui qui ignore son devoir de direction, néglige la formation ou n’implémente pas les mesures de gestion des risques remplit les conditions requises.

Quelle est la différence entre le devoir de direction et la loi sur la sécurité informatique 2.0 ?

La loi sur la sécurité informatique 2.0 prévoyait déjà des obligations de déclaration pour les opérateurs d’infrastructures critiques (KRITIS). La novelle de la loi BSI élargit considérablement ces obligations : plus d’entreprises concernées, des catalogues de mesures plus concrets, des sanctions plus sévères et, pour la première fois, une responsabilité personnelle de la direction pour la mise en œuvre. La pratique antérieure consistant à déléguer entièrement la cybersécurité à l’IT n’est plus conforme au droit.

Quel est l’impact de DORA sur les prestataires de services financiers également soumis à la NIS2 ?

DORA est *lex specialis* pour les prestataires de services financiers – elle prime donc dans ses domaines d’exigence. En pratique, cela signifie que les entreprises financières doivent avant tout se conformer à DORA, les exigences de la NIS2 ne s’appliquant qu’aux domaines non couverts par DORA. La structure organisationnelle peut toutefois être conçue de manière unifiée si l’entreprise prend les exigences plus strictes de DORA comme base.

Quels documents faut-il pouvoir présenter concrètement lors d’un contrôle du BSI ?

Le BSI vérifie généralement l’analyse des risques, le catalogue des mesures, la documentation de réponse aux incidents, les attestations de formation pour la direction, les descriptions des processus de signalement et la mesure de l’efficacité des mesures mises en œuvre. Tous les documents doivent être structurés, à jour et horodatés. Une versionisation continue facilite la preuve que les améliorations ont été apportées de manière systématique.

Lectures recommandées par la rédaction

Plus d’articles du réseau MBF Media