KRITIS

État : 10/2026

Quelles règles s'appliquent à KRITIS ?

La sécurité informatique des infrastructures critiques est régie par la loi sur le BSI (BSIG). Elle a été remaniée par la loi de transposition de NIS2 ; la nouvelle version s'applique depuis le 6 décembre 2025. Les exploitants d'installations critiques sont dès lors considérés comme des entités particulièrement importantes, quelle que soit leur taille. Ils doivent s'enregistrer auprès du BSI, signaler les incidents de sécurité et mettre en œuvre des mesures appropriées conformes à l'état de l'art. Plus de détails dans la fiche NIS2.

Depuis le 17 mars 2026, la loi-cadre KRITIS régit en outre la résilience physique, c'est-à-dire la protection contre des dangers tels que le sabotage, les événements naturels ou les pannes de courant. Les exploitants s'enregistrent à cet effet auprès de l'Office fédéral de la protection de la population et de l'aide en cas de catastrophe (BBK), établissent des analyses de risques et des plans de résilience. Les installations considérées comme critiques sont déterminées par des seuils fixés dans des règlements. Cette fiche ne remplace pas un conseil juridique.

Ce que KRITIS signifie pour la mise au rebut informatique

Chez les exploitants KRITIS, les serveurs, ordinateurs de commande ou ordinateurs portables mis au rebut contiennent souvent des plans de réseau, des identifiants d'accès et des configurations. S'ils tombent entre de mauvaises mains, cela peut mettre en danger l'installation elle-même. La mise au rebut fait donc partie du concept de sécurité : avec un Besoin de protection, une chaîne de traçabilité sans faille et des preuves pour chaque support de données. Second IT enlève le matériel sous scellés lors de trajets directs, efface avec Blancco et détruit dans ses propres locaux, selon la norme DIN 66399 (jusqu'à H-5 et E-5), les supports de données qui ne peuvent pas être effacés. En savoir plus sur la Sécurité des données chez Second IT.

Questions fréquentes sur KRITIS

Quels secteurs relèvent de KRITIS ?

Entre autres l'énergie, l'eau, l'alimentation, la santé, les technologies de l'information et les télécommunications, les finances et les assurances, les transports et la circulation, ainsi que l'élimination des déchets urbains. Les seuils du règlement concerné sont déterminants.

Quelle est la différence entre KRITIS et NIS2 ?

NIS2 étend les obligations de cybersécurité à de nombreuses autres entreprises. Les exploitants KRITIS y forment le groupe le plus strictement réglementé et ont en plus des obligations découlant de la loi-cadre KRITIS.

Des exigences particulières s'appliquent-elles au matériel mis au rebut ?

Il n'existe pas de loi spécifique à ce sujet. Les mesures de sécurité exigées comprennent toutefois aussi l'élimination sécurisée des supports de données. L'effacement ou la destruction documenté par numéro de série est ici la preuve habituelle.

Mon entreprise est-elle un exploitant KRITIS ?

Cela dépend du secteur et du niveau d'approvisionnement de votre installation. Des règlements fixent des seuils à partir desquels une installation est considérée comme critique. L'appartenance à un secteur ne suffit pas à elle seule. En cas de doute, faites-le vérifier juridiquement.

Où les exploitants KRITIS doivent-ils s'enregistrer ?

Pour la sécurité informatique, auprès de l'Office fédéral de la sécurité des technologies de l'information (BSI). Pour la résilience physique au titre de la loi-cadre KRITIS, auprès de l'Office fédéral de la protection de la population et de l'aide en cas de catastrophe (BBK). Il s'agit donc de deux canaux de déclaration distincts.