Enregistrement NIS2 : l'obligation que des milliers d'entités allemandes n'ont toujours pas remplie

Le BSI allemand estime qu'environ 29 500 entités relèvent de la loi de transposition NIS2. L'échéance légale d'enregistrement est passée le 6 mars 2026. Au 30 juin 2026, selon le BSI, 17 729 entreprises s'étaient enregistrées. Rapporté à la propre estimation du BSI, il reste donc près de 12 000 organisations probablement dans le champ d'application, légalement tenues de s'enregistrer, et qui ne l'ont pas fait.

Jusqu'ici, la réponse du BSI n'a pas été une amende. C'est une consigne claire sur sa page NIS-2 : l'échéance légale est passée, et toute entité concernée qui ne s'est pas encore enregistrée doit le faire immédiatement.

Si vous dirigez un MSP ou un cabinet de conseil avec des clients allemands, chaque client non enregistré est déjà en retard. Et l'enregistrement est la seule obligation que vous ne pouvez pas rattraper en sprint après coup, car le registre est horodaté.

L'enregistrement est une obligation distincte de l'article 21, et il arrive en premier

La plupart des discussions sur la conformité commencent par les mesures de sécurité. Analyse de risque, gestion des incidents, sauvegardes, MFA, chaîne d'approvisionnement. Du travail article 21.

L'enregistrement est ailleurs. Il découle de l'article 3(4) de NIS2, qui impose aux États membres d'établir une liste des entités essentielles et importantes, et de l'article 27, qui oblige certaines entités d'infrastructure numérique à transmettre des données d'identification. Les États membres le concrétisent par un registre national des entités.

La différence pratique compte : les obligations de l'article 21 s'apprécient dans la durée, lors d'un audit, avec la possibilité de démontrer des progrès. L'enregistrement est binaire. À une date donnée, vous figurez au registre ou non.

C'est pourquoi une autorité de contrôle regarde d'abord là. Comparer le registre à une liste sectorielle du registre du commerce ne coûte rien au régulateur. Les entités non enregistrées sont la cible de contrôle la moins coûteuse de toute la directive.

Chaque État membre gère son propre registre, à son propre rythme

Il n'existe pas de portail d'enregistrement NIS2 à l'échelle de l'UE. Chaque transposition crée son registre, son portail et son échéance — et ces échéances s'étalent désormais sur deux ans.

Allemagne : le NIS2UmsuCG est entré en vigueur le 6 décembre 2025, le portail du BSI a ouvert le 6 janvier 2026, l'échéance légale d'enregistrement était le 6 mars 2026, trois mois après l'entrée en vigueur (§ 33 BSIG). L'enregistrement est désormais en retard pour toute entité concernée qui ne l'a pas encore fait.

Belgique : l'enregistrement auprès du Centre for Cybersecurity Belgium via Safeonweb@work s'est clôturé le 18 mars 2025. La Belgique ayant transposé tôt, les entités belges qui n'ont commencé leurs travaux NIS2 qu'en 2026 ont déjà plus d'un an de retard.

Pays-Bas : la Première Chambre a adopté le Cyberbeveiligingswet le 7 juillet 2026. Il entre en vigueur le 15 août 2026, et l'enregistrement via le registre des entités du NCSC devient obligatoire à cette date. Environ 8 000 organisations néerlandaises devraient entrer dans le champ, sous la supervision de la RDI sur neuf secteurs.

Italie : l'enregistrement au titre du décret législatif 138/2024 passe par le portail de l'ACN selon un cycle annuel, avec une fenêtre définie chaque année plutôt qu'une échéance unique.

Pour un MSP avec des clients dans quatre pays, cela fait quatre portails, quatre bases juridiques, quatre jeux de champs obligatoires et quatre dates. Aucune version de ce problème ne se règle avec une seule colonne de tableur « NIS2 : oui/non ».

Le statut d'enregistrement de votre client est votre problème avant d'être le sien

Voici le schéma que nous voyons se répéter. Un MSP réalise un travail technique solide — segmentation, déploiement EDR, tests de sauvegarde, MFA partout où c'est possible. Douze mois d'amélioration réelle de la sécurité.

Puis l'autorité de contrôle contacte le client, et la première question ne porte pas sur le MFA. Elle est : pourquoi ne figurez-vous pas au registre ?

La réponse du client, presque toujours : « Je pensais que notre prestataire informatique s'en occupait. »

Juridiquement, il a tort. L'enregistrement est l'obligation propre de l'entité et n'est pas délégable — l'organe de direction en répond au titre de l'article 20. Mais avoir juridiquement raison n'aide pas quand le conseil d'administration d'un client demande pourquoi personne n'a signalé le point.

Le correctif est procédural, pas technique. Pour chaque client, il vous faut trois données consignées : s'il est dans le champ, dans quels États membres, et si l'enregistrement est confirmé avec un numéro de référence et une date. Si un client est hors champ, cette conclusion doit être écrite et motivée — effectifs, chiffre d'affaires, secteur au titre de l'annexe I ou II — car « nous avons estimé qu'il était hors champ » n'est pas une défense sans évaluation démontrable.

La qualification du périmètre est plus difficile qu'il n'y paraît, et penche vers « dans le champ »

Deux éléments font entrer plus d'entités dans le champ que la plupart des consultants ne l'anticipent.

D'abord, le seuil de taille n'est pas la seule porte d'entrée. Une entité est normalement hors champ, sauf si elle compte 50 salariés ou plus, ou moins de 50 avec un chiffre d'affaires et un total de bilan supérieurs à 10 M€ — mais l'article 2(2) y intègre certaines entités quelle que soit leur taille, dont les fournisseurs uniques d'un service critique dans un État membre, certaines entités DNS et TLD, les prestataires de services de confiance et les entités de l'administration publique. La transposition allemande a retenu une lecture large, ce qui explique en partie que l'estimation du BSI avoisine 29 500.

Ensuite, les structures de groupe. Les seuils d'effectifs et de chiffre d'affaires s'apprécient en incluant les entreprises liées et partenaires, selon la définition PME de l'UE. Une filiale néerlandaise de 30 personnes dans un groupe de 900 n'est pas une petite entité au sens de NIS2. Cette lecture erronée est constante, et c'est de loin la raison la plus fréquente pour laquelle une entité qui se croyait hors champ reçoit un courrier.

Si vous menez cette qualification sur un portefeuille de clients, faites-le une fois, correctement, et documentez-le. Une analyse d'écarts structurée rend la qualification défendable au lieu d'une simple opinion. Vous pouvez la démarrer en une dizaine de minutes avec notre quick scan gratuit, puis en reprendre les résultats dans une évaluation complète.

Ce qui suit l'échéance ne se limite pas à une amende

Le cadre allemand autorise des amendes jusqu'à 10 millions d'euros pour les entités particulièrement importantes qui ne prennent pas les mesures de sécurité requises, ou jusqu'à 2 % du chiffre d'affaires mondial pour une entreprise dont le chiffre d'affaires total dépasse 500 millions d'euros (§ 65 BSIG). Le seul défaut d'enregistrement peut coûter jusqu'à 500 000 euros. Ce sont ces gros montants qui font les titres. Ce n'est presque jamais ce qui fait vraiment mal.

Le défaut d'enregistrement est une infraction administrative qui inscrit l'entité sur la liste des acteurs connus comme non conformes. Cela change la posture : l'autorité a désormais une raison de regarder, et quand elle regarde, elle regarde aussi l'article 21. Un défaut d'enregistrement n'est pas une sanction isolée — c'est une invitation à une inspection complète de mesures de sécurité que l'entité n'a probablement pas achevées.

Ensuite, cela descend la chaîne. Le statut d'enregistrement apparaît de plus en plus dans les questionnaires de due diligence fournisseurs au titre de l'article 21(2)(d). Un fournisseur non enregistré est un risque de chaîne d'approvisionnement documenté pour chaque entité essentielle qu'il sert, ce qui signifie que la conséquence commerciale arrive avant la conséquence réglementaire. Les renouvellements de contrat deviennent plus difficiles. Les appels d'offres se perdent.

Ce qu'il faut faire maintenant

Pour les clients allemands précisément, dans cet ordre.

Confirmez le périmètre. Secteur au titre de l'annexe I ou II, taille incluant les entités du groupe, et toute exception au titre de l'article 2(2). Consignez la réponse dans tous les cas.

Vérifiez le registre. Si un client pense s'être enregistré, vérifiez la confirmation et conservez la référence. Des enregistrements soumis avec des données incomplètes ont été rejetés, et certains clients ne l'ont jamais remarqué.

Enregistrez maintenant. Le portail du BSI fonctionne depuis le 6 janvier 2026. La soumission elle-même prend moins d'une heure une fois les données d'entité, points de contact et classification sectorielle réunis. Il n'y a aucune raison de rester parmi les retardataires.

Pour les clients néerlandais : le 15 août est votre date. Le registre ouvre avec la loi. Rassemblez les données d'entité dès maintenant, car s'enregistrer en semaine un est trivial, et s'enregistrer au quatrième mois est une conversation avec la RDI.

Pour tous les autres : intégrez durablement le statut d'enregistrement dans votre suivi client. L'enregistrement n'est pas une tâche ponctuelle. Les données d'entité changent, les points de contact changent, et la plupart des États membres exigent de tenir le registre à jour — l'obligation renaît donc à chaque restructuration, déménagement de siège ou changement de contact sécurité.

Les organisations prises dans la première vague de contrôle ne seront pas celles dont les mesures de l'article 21 sont imparfaites. Presque personne n'a encore des mesures parfaites. Ce seront celles qu'un régulateur peut identifier avec une seule requête en base de données.

À lire aussi : l'application de NIS2 en Allemagne, le Cyberbeveiligingswet néerlandais expliqué, et NIS2 s'applique-t-il à moi.