Pourquoi cette loi va plus loin que vous ne le pensez

La loi de transposition de NIS2 s'applique en Allemagne depuis décembre 2025, et elle ne touche pas seulement les centrales électriques et les banques. Elle englobe environ 29 500 entreprises réparties sur 18 secteurs, de la logistique et de la production alimentaire à la construction de machines, à la gestion des déchets et aux services numériques. Le seuil est bas. Une entreprise de 50 salariés ou plus, ou réalisant 10 millions d'euros de chiffre d'affaires, dans l'un de ces secteurs, est concernée par défaut.

La plupart des dirigeants du Mittelstand n'ont jamais considéré leur activité comme une infrastructure critique. La loi ne demande pas cette perception de soi. Elle regarde le secteur et la taille, vous classe comme entité importante ou particulièrement importante, et y attache des obligations de sécurité contraignantes qui n'existaient pas il y a un an.

Le devoir qui retombe personnellement sur le dirigeant

Le changement le plus tranchant porte sur qui porte le devoir. En vertu de la nouvelle loi allemande, l'organe de direction doit approuver les mesures de gestion du risque cyber et veiller à ce qu'elles soient réellement en place. Ce n'est pas une tâche que vous pouvez confier à un prestataire informatique puis oublier. Lorsque la direction agit avec une négligence grave ou de manière intentionnelle, la loi autorise des amendes contre les personnes physiques et, dans les cas graves, une interdiction temporaire d'exercer une fonction de direction.

Pour une entreprise dirigée par son propriétaire, c'est la partie qui compte. La personne qui signe pour l'entreprise signe désormais pour sa posture cyber. Un contrat d'externalisation bien rédigé ne déplace pas la responsabilité hors de la direction. Il change seulement la personne que vous appelez quand quelque chose tourne mal, et à ce moment-là le devoir a déjà été mis à l'épreuve.

La liste d'enregistrement dont personne ne vous a parlé

Être bien défendu ne suffit pas à soi seul. Les entreprises concernées doivent s'enregistrer auprès de l'Office fédéral de la sécurité informatique, le BSI, et se faire identifier. Le délai légal était fixé à mars 2026, et à cette date seules environ 11 500 des quelque 29 500 entreprises l'avaient fait. Plus de la moitié manquaient à la liste.

Le BSI a accordé un report final au 31 juillet 2026 et a indiqué qu'il examinerait les premières sanctions après cet été. Le défaut d'enregistrement constitue en lui-même une infraction passible d'amende, jusqu'à 500 000 euros, distincte de toute violation. Le risque silencieux n'est pas une cyberattaque. C'est d'être une entreprise que le régulateur ne trouve pas sur une liste qu'il contrôle désormais activement.

Ce qu'il faut enclencher ce trimestre

Trois étapes portent l'essentiel du poids. Confirmez si votre entreprise entre dans le champ d'application, car le test du secteur et de la taille est mécanique et facile à mal interpréter. Enregistrez-vous auprès du BSI avant l'échéance de juillet si vous êtes concernés. Présentez ensuite à votre organe de direction un processus de gestion du risque documenté, afin que le devoir d'approbation et de supervision soit rempli et consigné, et non supposé.

Rien de tout cela n'exige un grand service de sécurité. Cela exige une lecture claire de votre situation, la preuve que la direction a examiné le risque, et un dossier que vous pouvez présenter si le régulateur le demande. Les entreprises en difficulté seront celles qui auront traité une loi nationale sur la cybersécurité comme une note de bas de page informatique.

À lire ensuite: Votre matériel est désormais un logiciel réglementé  ·  Votre cyberdéfense est-elle prête face aux attaques à la vitesse de la machine ?