NIS2

Avec NIS2, l'UE a étendu les obligations de cybersécurité à plusieurs milliers d'entreprises. En Allemagne, les exigences s'appliquent depuis décembre 2025. La directive ne concerne pas seulement les pare-feu et les plans d'urgence, mais aussi la gestion du matériel sur l'ensemble de son cycle de vie. Situation : 10/2026.

Que régit NIS2 ?

NIS2 remplace la première directive NIS de 2016 et s'applique depuis janvier 2023. Les États membres devaient la transposer en droit national avant octobre 2024. L'Allemagne l'a fait avec la loi de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG). Elle a été promulguée le 5 décembre 2025 et est entrée en vigueur le 6 décembre 2025. Les obligations essentielles figurent dans la loi sur le BSI (BSIG) remaniée.

Domaine	Ce que NIS2 exige (simplifié)
Champ d'application	Entités de secteurs déterminés, en règle générale à partir de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires et de total de bilan ; « particulièrement importantes » en règle générale à partir de 250 salariés ou de plus de 50 millions d'euros de chiffre d'affaires et de 43 millions d'euros de total de bilan
Enregistrement	Enregistrement auprès du BSI ; le délai pour l'enregistrement initial a pris fin le 6 mars 2026
Gestion des risques	Mesures techniques, opérationnelles et organisationnelles, notamment sur le contrôle d'accès, la gestion des actifs, la chaîne d'approvisionnement et la cryptographie
Obligations de déclaration	Incidents de sécurité importants : déclaration initiale sous 24 heures, déclaration sous 72 heures, rapport final après un mois
Direction	Approuve et supervise les mesures, doit participer à des formations et est responsable en cas de manquement à ses obligations
Sanctions	Amendes jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires (particulièrement importantes), ou jusqu'à 7 millions d'euros ou 1,4 % (importantes)

Le fait que votre entreprise soit concernée dépend du secteur, de la taille et de l'activité. Le BSI propose pour cela un test d'applicabilité. Les exploitants d'installations critiques (KRITIS) sont soumis à des obligations supplémentaires. Cette fiche ne remplace pas un conseil juridique.

Ce que NIS2 signifie pour l'informatique mise au rebut

Parmi les mesures de gestion des risques figure expressément la gestion des actifs, c'est-à-dire des parcs informatiques. Celui qui sait quels appareils et supports de données existent et où ils se trouvent peut aussi les piloter en toute sécurité jusqu'à la fin. Un IT Asset Management structuré en est la base.

En fin de vie d'un appareil, trois points comptent surtout :

• Données et accès : Les anciens appareils contiennent souvent des identifiants d'accès, des certificats, des profils VPN ou des configurations. Ils doivent être effacés en toute sécurité, faute de quoi une porte d'entrée apparaît.
• Chaîne d'approvisionnement : Les prestataires de transport, d'effacement et de destruction font partie de la chaîne d'approvisionnement. Vous devriez vérifier leurs mesures de sécurité et les consigner contractuellement.
• Documents : Les auditeurs attendent des processus documentés. Les certificats d'effacement et de destruction par appareil prouvent que le processus fonctionne.

Les points auxquels veiller lors du choix d'un prestataire sont présentés dans le guide Choisir un prestataire ITAD.

NIS2, SMSI et ISO/IEC 27001

NIS2 ne prescrit aucun système de management particulier. De nombreuses entreprises mettent toutefois en œuvre les obligations avec un SMSI , souvent selon la norme ISO/IEC 27001. Son catalogue de mesures contient déjà des exigences relatives à l'élimination sécurisée ou à la réutilisation des appareils et à l'effacement des informations. Une certification ne remplace pas les obligations légales, mais facilite la preuve.

NIS2 et Second IT

Second IT est certifié selon ISO/IEC 27001 et travaille avec des processus documentés : logistique sécurisée propre avec mise sous scellés et suivi GPS, enregistrement des numéros de série à la réception des marchandises, contrôle d'accès et vidéosurveillance, effacement avec Blancco et certificat par appareil, et destruction dans nos propres locaux selon la norme DIN 66399 (jusqu'à H-5 et E-5). En savoir plus sur la Sécurité des données chez Second IT.

Questions fréquentes sur NIS2

Depuis quand NIS2 s'applique-t-elle en Allemagne ?

La loi de transposition de NIS2 est entrée en vigueur le 6 décembre 2025. Il n'existe pas de période transitoire générale pour les obligations. L'enregistrement initial auprès du BSI était prévu jusqu'au 6 mars 2026 (situation : 10/2026).

NIS2 exige-t-elle expressément un effacement certifié des données ?

Non, NIS2 ne cite aucune méthode d'effacement particulière. L'obligation de prendre des mesures de gestion des risques appropriées comprend toutefois aussi la gestion sécurisée des supports de données jusqu'à leur élimination. L'effacement documenté par appareil est une preuve praticable.

NIS2 s'applique-t-elle aussi aux prestataires de petites entreprises ?

Un prestataire ne relève pas automatiquement de NIS2 du seul fait qu'il travaille pour des entreprises concernées. Les entités concernées doivent toutefois prendre en compte la sécurité de leur chaîne d'approvisionnement et transmettent donc souvent des exigences par voie contractuelle.

Quelles entreprises sont concernées par NIS2 ?

Sont concernées les entités de secteurs déterminés, en règle générale à partir de 50 salariés. Il existe des entités « importantes » et « particulièrement importantes ». L'appartenance de votre entreprise à l'une de ces catégories dépend du secteur, de la taille et de l'activité. Le BSI propose pour cela un test d'applicabilité.

Quels délais de déclaration s'appliquent en cas d'incident de sécurité selon NIS2 ?

En cas d'incident de sécurité important, une déclaration initiale sous 24 heures est nécessaire. Une autre déclaration suit sous 72 heures, puis le rapport final après un mois. Les déclarations sont adressées au BSI. La direction doit approuver et superviser les mesures.