9 minutes de lecture<\/p>\n
Environ 11 000 entreprises concern\u00e9es en Allemagne n’ont toujours pas de registre BSI fin mai 2026 \u2013 et le d\u00e9lai l\u00e9gal a expir\u00e9 le 6 mars. Ce qui circule comme \u00ab d\u00e9lai suppl\u00e9mentaire \u00bb est, selon l’interpr\u00e9tation des cabinets d’avocats, une tol\u00e9rance administrative jusqu’au 31 juillet 2026 : le BSI s’attend \u00e0 des d\u00e9clarations tardives, mais ne modifie pas le d\u00e9lai l\u00e9gal. Pour la direction, c’est la preuve qui compte en vertu du \u00a7 38 BSIG : approbation de la gestion des risques, contr\u00f4le de la mise en \u0153uvre, formation personnelle attest\u00e9e. Le simple clic sur le portail ne suffit pas.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Connexe<\/span>IA souveraine : la responsabilit\u00e9 reste en interne<\/a> \/<\/span> L’IA \u00e9crit le code. Qui en est responsable ?<\/p>\n Le d\u00e9bat public tourne autour des voies de d\u00e9claration et des connexions aux portails. La question la plus difficile se situe ailleurs : qu’est-ce qui peut \u00eatre prouv\u00e9 lorsqu’un incident, une autorit\u00e9 de contr\u00f4le ou un recours interne vise la direction ? Celui qui ne fait que rattraper l’enregistrement et laisse la structure de preuve ouverte \u00e9change une lacune visible contre une lacune invisible.<\/p>\n La situation juridique est plus claire que ne le sugg\u00e8rent de nombreux titres. Le d\u00e9lai l\u00e9gal d\u2019enregistrement pr\u00e9vu par la loi BSI expirait le 6 mars 2026. Le BSI lui-m\u00eame indique sur sa page d\u2019information : le d\u00e9lai l\u00e9gal est \u00e9coul\u00e9. Toute personne concern\u00e9e et non encore enregistr\u00e9e doit proc\u00e9der sans tarder.<\/p>\n Ce qui court jusqu\u2019au 31 juillet 2026, selon l\u2019interpr\u00e9tation r\u00e9pandue dans les cabinets d\u2019avocats, est une tol\u00e9rance administrative \u2013 autrement dit une cl\u00e9mence d\u2019ex\u00e9cution. Il ne s\u2019agit pas d\u2019une prolongation l\u00e9gale du d\u00e9lai. Dans la lettre adress\u00e9e aux associations \u00e9conomiques, dont heise online a notamment rendu compte, le BSI part du principe que tous les enregistrements encore en attente seront achev\u00e9s au plus tard le 31 juillet 2026. Il s\u2019agit d\u2019une formulation d\u2019attente et de priorisation ; le mot \u00ab tol\u00e9rance \u00bb ne figure pas dans la lettre du BSI. La page d\u2019information du BSI pr\u00e9cise parall\u00e8lement : le d\u00e9lai l\u00e9gal est \u00e9coul\u00e9. Quiconque s\u2019enregistre maintenant reste formellement en retard \u2013 la cl\u00e9mence d\u2019ex\u00e9cution n\u2019efface pas r\u00e9troactivement la violation de l\u2019obligation. C\u2019est pr\u00e9cis\u00e9ment cette distinction qui s\u00e9pare l\u2019all\u00e8gement op\u00e9rationnel de la gu\u00e9rison juridique.<\/p>\n Les chiffres expliquent pourquoi l\u2019autorit\u00e9 proc\u00e8de ainsi. Sur environ 29 500 entreprises concern\u00e9es en Allemagne, seules 11 500 environ s\u2019\u00e9taient enregistr\u00e9es \u00e0 la date limite l\u00e9gale. Fin mai, ce chiffre atteignait environ 18 500. Fin mai 2026, il subsiste donc un \u00e9cart d\u2019environ 11 000 assujettis. La cl\u00e9mence d\u2019ex\u00e9cution est donc aussi un aveu : l\u2019ex\u00e9cution se heurte \u00e0 une \u00e9conomie qui a sous-estim\u00e9 le calendrier.<\/p>\n Une infraction \u00e0 l\u2019obligation d\u2019enregistrement reste passible d\u2019une amende. Selon \u00a7 65 BSIG<\/a>, l\u2019\u00e9tablissement encourt jusqu\u2019\u00e0 500 000 euros. L\u2019amende concerne l\u2019\u00e9tablissement. La personne physique dirigeante n\u2019est pas ici destinataire de l\u2019\u00e9l\u00e9ment constitutif de l\u2019amende. Plus lourd pour les organes est la responsabilit\u00e9 interne selon \u00a7 38 al. 2 BSIG<\/a> : quiconque viole les obligations de l\u2019alin\u00e9a 1 est responsable envers son propre \u00e9tablissement pour tout dommage caus\u00e9 par sa faute \u2013 selon les r\u00e8gles de droit des soci\u00e9t\u00e9s propres \u00e0 chaque forme juridique. Le dossier de preuve prot\u00e8ge pr\u00e9cis\u00e9ment en cas de recours. L\u2019amende reste un facteur marginal. La capacit\u00e9 de recours d\u00e9termine le risque personnel de la direction.<\/p>\n Le \u00a7 38 BSIG fait peser la responsabilit\u00e9 sur le niveau dirigeant lui-m\u00eame. La direction doit approuver les mesures de gestion des risques, superviser leur mise en \u0153uvre et se former aux risques cyber. La pr\u00e9sidente du BSI, Claudia Plattner, le formule textuellement : les directions seraient \u00ab tenues de mettre en \u0153uvre les mesures de gestion des risques, de superviser leur mise en \u0153uvre et de se former aux questions d\u2019\u00e9valuation et de gestion des risques cyber \u00bb. Le travail op\u00e9rationnel peut \u00eatre confi\u00e9 au CISO, \u00e0 la direction informatique ou \u00e0 des prestataires externes. La responsabilit\u00e9 finale demeure.<\/p>\n La d\u00e9l\u00e9gation ne d\u00e9charge pas. Celui qui nomme un CISO et retire le sujet de l\u2019ordre du jour n\u2019a pas rempli son obligation. Il reste tenu d\u2019approuver et de superviser. Si l\u2019acte d\u2019approbation \u00e9crit fait d\u00e9faut, si les rapports trimestriels \u00e0 la direction manquent ou si les justificatifs de formation des dirigeants sont absents, une lacune appara\u00eet lors d\u2019un contr\u00f4le \u2013 m\u00eame si la technique fonctionne dans le centre de donn\u00e9es.<\/p>\n Le \u00a7 30, alin\u00e9a 1, phrase 3 BSIG exige que l\u2019entit\u00e9 documente le respect de ses obligations en mati\u00e8re de gestion des risques. Il s\u2019agit de prouver les mesures prises dans le cadre de cette obligation. Quiconque ne peut pr\u00e9senter de documents en cas d\u2019urgence s\u2019expose \u00e0 des sanctions, ind\u00e9pendamment du fait que beaucoup de choses aient \u00e9t\u00e9 \u00ab plus ou moins \u00bb faites sur le plan op\u00e9rationnel. Les retours d\u2019exp\u00e9rience des cabinets de conseil montrent le m\u00eame sch\u00e9ma : les contr\u00f4les techniques sont souvent en place. Les proc\u00e8s-verbaux des d\u00e9cisions de la direction, l\u2019approbation des concepts de s\u00e9curit\u00e9 et les formations des dirigeants font d\u00e9faut.<\/p>\n La question de savoir si la Business Judgement Rule prot\u00e8ge dans le contexte NIS-2 n\u2019est pas encore tranch\u00e9e sur le plan juridique \u2013 la jurisprudence fait d\u00e9faut. Une lecture r\u00e9pandue dans les cabinets d\u2019avocats \u00e9tablit une distinction nette : la BJR prot\u00e8ge la marge de man\u0153uvre entrepreneuriale. Selon cette lecture, les obligations contraignantes du \u00a7 38 BSIG n\u2019en rel\u00e8vent pas. L\u00e0 o\u00f9 le \u00a7 38 BSIG impose imp\u00e9rativement l\u2019approbation, la supervision et la formation, il n\u2019y a pas de place pour une marge d\u2019appr\u00e9ciation ; la BJR ne s\u2019y applique tout simplement pas. Les lacunes en mati\u00e8re de formation et de documentation constituent donc des manquements autonomes. Cela vaut aussi bien pour le g\u00e9rant unique d\u2019une GmbH que pour un organe de direction coll\u00e9gial.<\/p>\n La logique de conseil vend souvent des s\u00e9minaires pour dirigeants et des feuilles de route d\u2019outils. Le point faible, c\u2019est la prouvabilit\u00e9 : quiconque quitte l\u2019atelier sans proc\u00e8s-verbal de d\u00e9cision a eu un \u00e9v\u00e9nement \u2013 mais pas un fil de preuve. La r\u00e9alit\u00e9 dans l\u2019espace DACH aggrave la situation : le comit\u00e9 d\u2019entreprise et la protection des donn\u00e9es interf\u00e8rent avec le suivi et les formats de formation. La cogestion et le traitement des donn\u00e9es ne bloquent pas la conformit\u00e9. Mais les deux exigent une implication pr\u00e9coce \u2013 sinon la construction des preuves patine d\u00e8s que les proc\u00e8s-verbaux et les listes de pr\u00e9sence doivent \u00eatre formellement irr\u00e9prochables.<\/p>\n Le changement de perspective est simple \u00e0 formuler, mais difficile \u00e0 mettre en \u0153uvre. La question cruciale devient : quel document porte quelle affirmation ? Qui l’a sign\u00e9 et quand ? Deux colonnes s\u00e9parent l’affirmation de la preuve.<\/p>\n Seulement affirm\u00e9<\/p>\n Prouvable en cas de crise<\/p>\n Trois risques marqueront les prochains mois. Premi\u00e8rement : l’inscription est effectu\u00e9e, mais le dossier de preuves reste lacunaire \u2013 la visibilit\u00e9 augmente, la capacit\u00e9 de d\u00e9fense non. Deuxi\u00e8mement : plusieurs directeurs g\u00e9n\u00e9raux se partageant la responsabilit\u00e9 de sorte que personne ne signe l’acte d’approbation. Troisi\u00e8mement : apr\u00e8s le 31 juillet 2026, l’autorit\u00e9 de surveillance tombera sur les d\u00e9faillants sans inscription au portail et sans cha\u00eene de documentation. L’ownership est la ressource rare : qui g\u00e8re le dossier de preuves, qui approuve la formation de la direction et la documentation, qui d\u00e9clenche l’escalade lorsque le CISO fait un rapport et que l’agenda reste silencieux ?<\/p>\n\n
La tol\u00e9rance ne gu\u00e9rit pas le retard<\/h2>\n
Ce que \u00a7 38 BSIG exige de la direction<\/h2>\n
Ce qui peut \u00eatre prouv\u00e9 en cas de crise<\/h2>\n
\n
\n