L'échéance NIS2 en Allemagne est passée — et des milliers d'entités ne sont toujours pas enregistrées

Une lettre arrive du BSI — l'autorité fédérale allemande de cybersécurité. Votre entreprise était tenue de s'enregistrer avant le 6 mars 2026. Ce n'est pas fait. Le BSI dispose désormais du pouvoir légal d'auditer votre organisation, d'émettre des ordres contraignants et d'imposer des amendes : jusqu'à 500 000 euros pour le seul défaut d'enregistrement, et jusqu'à 10 millions d'euros si vous n'avez pas pris les mesures de sécurité requises. Et en vertu du § 38 du nouveau BSIG, les dirigeants qui manquent à leurs obligations sont responsables envers l'entreprise du préjudice causé.

Ce n'est pas un scénario hypothétique. C'est ce qui se passe en ce moment en Allemagne — et c'est un avant-goût de ce qui arrive dans le reste de l'Union européenne.

Ce qui s'est passé le 6 mars 2026

La loi allemande de transposition de NIS2 — le NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) — est entrée en vigueur le 6 décembre 2025. Elle donnait aux organisations concernées exactement trois mois pour s'enregistrer auprès du BSI via son portail dédié.

Ce délai était fixé au 6 mars 2026.

Le BSI estime qu'environ 29 500 entreprises relèvent de la loi. Au 30 juin 2026, quatre mois après l'échéance, 17 729 s'étaient enregistrées sur le portail du BSI, selon les propres chiffres du BSI. Rapporté à cette estimation, il manque encore près de 12 000 organisations : elles sont en infraction avec une obligation légale avant même d'avoir commencé à travailler sur leurs mesures de cybersécurité.

Le message du BSI à ceux qui manquent encore à l'appel est sans détour : l'échéance est passée, il faut donc s'enregistrer immédiatement sur le portail du BSI. L'Allemagne est le premier grand État membre de l'UE à atteindre ce stade d'application — et les chiffres sont frappants.

Pourquoi autant d'entreprises ont-elles manqué l'échéance ?

Trois facteurs expliquent cet écart.

Beaucoup d'organisations ignorent encore qu'elles sont concernées. La directive NIS2 s'applique aux entreprises de 50 salariés ou plus, ou de moins de 50 avec un chiffre d'affaires et un total de bilan supérieurs à 10 M€, opérant dans 18 secteurs désignés. Le Mittelstand allemand — l'épine dorsale de son économie industrielle — comprend des milliers de fabricants de taille intermédiaire, de prestataires logistiques et d'entreprises de services informatiques qui n'avaient jamais eu affaire à la réglementation sur la cybersécurité.

Le calendrier était serré. Trois mois entre la loi et le délai d'enregistrement ont laissé peu de marge aux entreprises qui cherchaient encore à déterminer si NIS2 leur était applicable. Beaucoup attendaient une clarification définitive sur les classifications sectorielles et les seuils.

Les entreprises de la chaîne d'approvisionnement ont été prises de court. En vertu de l'article 21(2)(d), les entités NIS2 doivent gérer les risques de cybersécurité dans leur chaîne d'approvisionnement. Cela signifie que des fournisseurs non directement concernés reçoivent des demandes de conformité de leurs clients — mais l'obligation d'enregistrement incombe à l'entité NIS2, pas au fournisseur. La confusion entre obligations directes et pression indirecte de la chaîne d'approvisionnement a ralenti la prise de décision.

Ce que le BSI peut faire maintenant

Les pouvoirs coercitifs du BSI au titre du nouveau BSIG sont considérables :

Audits proactifs. Pour les entités essentielles — énergie, transport, santé, infrastructure numérique, banque — le BSI peut conduire des audits sans attendre un incident. Il peut demander des documents, inspecter les mesures de sécurité et exiger des preuves de conformité à l'article 21.

Ordres contraignants. Si le BSI identifie des défaillances, il peut émettre des instructions juridiquement contraignantes pour y remédier dans un délai imparti. Le non-respect d'un ordre contraignant aggrave la sévérité des sanctions.

Amendes. En Allemagne, les entités particulièrement importantes s'exposent à des amendes pouvant atteindre 10 millions d'euros, et les entités importantes jusqu'à 7 millions d'euros (§ 65 BSIG). Pour une entreprise dont le chiffre d'affaires total dépasse 500 millions d'euros, le plafond passe à 2 % ou 1,4 % du chiffre d'affaires mondial. Le seul défaut d'enregistrement peut coûter jusqu'à 500 000 euros. Ce ne sont pas des maximums théoriques — ce sont les paramètres que les autorités nationales de l'UE sont désormais habilitées à appliquer.

Responsabilité des dirigeants. Le § 38 du BSIG impose aux dirigeants de mettre en œuvre les mesures de gestion des risques de cybersécurité et d'en superviser l'application. Les dirigeants qui manquent à ces obligations sont responsables envers leur entreprise du préjudice causé. Cela reflète l'article 20 de la directive NIS2, qui établit la responsabilité des organes de direction dans tous les États membres.

Interdictions temporaires d'exercer. Dans les cas graves de non-conformité persistante, le BSI peut demander la suspension temporaire des dirigeants de leurs fonctions. Il s'agit de l'outil coercitif le plus sévère de la boîte à outils NIS2, et l'Allemagne l'a explicitement mis en œuvre.

Ce que cela signifie pour le reste de l'Europe

L'Allemagne n'est pas un cas isolé. C'est l'indicateur avancé.

La Belgique — y compris la Wallonie — applique sa transposition NIS2 depuis fin 2024, premier pays de l'UE à le faire. L'Italie (ACN) et la Croatie ont leurs cadres en place. La France (ANSSI) a lancé son cadre de référence ReCyF en mars 2026 et construit son infrastructure d'application via le portail MesServicesCyber, qui remplace MonEspaceNIS2. Les Pays-Bas attendent leur Cyberbeveiligingswet (Cbw) au deuxième trimestre 2026, avec le RDI comme superviseur.

La tendance est claire : chaque État membre de l'UE passe de la législation à l'application. Le calendrier de mise en œuvre varie selon les pays, mais la direction est uniforme.

Si l'expérience allemande enseigne quelque chose, c'est ceci : l'écart entre « la loi existe » et « les entreprises sont prêtes » est considérable. Et les régulateurs n'attendent pas que cet écart se comble avant de commencer à agir.

Ce que vous devez faire cette semaine

Que votre organisation soit en Allemagne ou dans un autre État membre de l'UE, l'échéance du BSI est un signal pour agir.

1. Déterminez si NIS2 vous est applicable. Vérifiez votre effectif, votre chiffre d'affaires et votre classification sectorielle. Les critères sont cohérents dans l'ensemble de l'UE — si vous avez 50 salariés ou plus (ou moins de 50 avec un chiffre d'affaires et un total de bilan supérieurs à 10 M€) et que vous opérez dans un secteur couvert, vous êtes presque certainement concerné.

2. Enregistrez-vous auprès de votre autorité nationale. Le délai allemand est passé, mais d'autres pays ouvrent encore leurs portails d'enregistrement. Les Pays-Bas (via mijn.ncsc.nl), la France (via MesServicesCyber) et l'Italie (via ACN) ont tous des processus d'enregistrement en place ou à venir.

3. Commencez par l'article 21. L'enregistrement n'est que le point d'entrée. La véritable obligation consiste à mettre en œuvre les dix mesures de cybersécurité prescrites par l'article 21 : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité des réseaux, gestion des vulnérabilités, et plus encore.

4. Informez votre conseil d'administration. NIS2 est une obligation de gouvernance, pas un projet informatique. L'article 20 exige que les organes de direction approuvent les mesures de cybersécurité et suivent des formations. Si votre conseil n'a pas encore abordé NIS2, cette conversation est en retard.

5. Évaluez votre situation actuelle. Vous n'avez pas besoin d'un consultant pour commencer. Un scan de maturité structuré peut vous indiquer en quelques minutes où vous en êtes par rapport aux exigences NIS2 — et vous montrer exactement où se trouvent les lacunes. Démarrez le scan gratuit de maturité NIS2 pour savoir où se situe votre organisation aujourd'hui.

La fenêtre se referme

Les entreprises allemandes non enregistrées découvrent maintenant à quoi ressemble l'application de la loi en pratique. Chaque autre État membre de l'UE suit le même chemin — la seule variable est le calendrier.

Les organisations qui agissent maintenant, avant l'arrivée de leur échéance nationale, bénéficieront de l'avantage de la préparation plutôt que de la pression de l'application. Celles qui attendent se retrouveront dans la même situation que le Mittelstand allemand aujourd'hui : face à un régulateur ayant le pouvoir d'auditer, de sanctionner et de tenir les dirigeants personnellement responsables — et un programme de conformité qui aurait dû démarrer il y a des mois.