Outil 05 · NIS 2
Êtes-vous dans le champ ?
De quoi il s’agit. Un examen préalable au regard de la loi allemande sur le BSI (BSIG), qui transpose la directive NIS 2 en Allemagne depuis le 06.12.2025. Dix indications — établissement, secteur, activité, taille, cas particuliers —, d’où découle le classement comme entité particulièrement importante ou importante (§ 28 BSIG) et les obligations qui s’y rattachent. Pur calcul, sans modèle de langage. Le rattachement d’une activité à un type d’entité est souvent plus discuté au cas par cas qu’une liste déroulante ne le laisse paraître.
L’entreprise dispose d’un établissement en Allemagne.Pour le nuage, les centres de données, les plates-formes, le DNS et services numériques similaires, c’est l’établissement principal dans l’UE qui compte.
Cette activité est plus qu’une activité marginale pour l’entreprise.§ 28, al. 3 BSIG : les activités négligeables au regard de l’ensemble ne sont pas prises en compte pour le rattachement.
Nous exploitons une installation critique — par exemple une centrale, un réseau, un hôpital ou une usine d’eau au-dessus des seuils du règlement sur les infrastructures critiques.Les exploitants d’installations critiques sont des entités particulièrement importantes quelle que soit leur taille (§ 28, al. 1, n° 1 BSIG).
Nous sommes une entité financière au sens du règlement DORA (UE) 2022/2554.Pour ces entités, les règles DORA sur la gestion des risques et la notification priment largement sur le BSIG.
L’entreprise appartient à un groupe ou a des entreprises partenaires.Leurs chiffres comptent alors selon la recommandation PME 2003/361/CE — sauf si votre informatique est indépendante du groupe.
Où vous en êtes — facultatif, ne modifie pas le classement
Nous sommes enregistrés auprès du BSI.§ 33 BSIG. L’enregistrement est une obligation propre — pas une simple conséquence du classement.
Un canal de notification des incidents de sécurité est en place et testé.§ 32 BSIG — 24 heures, 72 heures, un mois. Un canal qu’on ne cherche qu’au moment de l’incident n’en est pas un.
La direction est formée et approuve formellement les mesures de gestion des risques.§ 38 BSIG — approbation, surveillance et formation sont des obligations personnelles de la direction, pas de l’informatique.
Il manque ensuite : L’entreprise dispose d’un établissement en Allemagne.
Relève de: Réglementation & conformité