L’Allemagne renforce l’application de la directive NIS2 et prépare la mise en œuvre du Cyber Resilience Act. Dès 2027, l’autorité allemande de cybersécurité (BSI) prévoit de premiers contrôles. Les entreprises concernées doivent vérifier leur enregistrement, leurs mesures de cybersécurité et leur documentation afin de démontrer leur conformité..
NIS2 et Cyber Resilience Act : la mise en œuvre en Allemagne prend forme
Le Bundesamt für Sicherheit in der Informationstechnik (BSI), l’autorité nationale allemande de cybersécurité, à peu près l’équivalent de l’ANSSI, entend contacter dès le quatrième trimestre 2026 les entreprises qui, bien qu’assujetties à NIS2, ne se sont pas encore enregistrées. À partir du début de 2027, des contrôles devraient être ordonnés auprès de certaines entités. Parallèlement, le cadre national de mise en œuvre du Cyber Resilience Act se met en place. Pour les entreprises concernées, la question de savoir comment démontrer à l’autorité de contrôle qu’elles respectent leurs obligations devient donc de plus en plus concrète.
Deux textes, deux perspectives
La directive (UE) 2022/2555 (NIS2) encadre la cybersécurité des entreprises opérant dans des secteurs essentiels pour l’économie et la société. Les entités concernées doivent mettre en place des mesures de gestion des risques et notifier les incidents de sécurité importants. En tant que directive, NIS2 devait être transposée séparément dans chaque État membre. En Allemagne, la loi allemande de transposition de NIS2 est entrée en vigueur le 6 décembre 2025. Elle inscrit les obligations dans le BSI-Gesetz (BSIG) révisé, sans période transitoire générale. Le droit allemand s’applique donc aux sociétés allemandes de groupes français.
Le Cyber Resilience Act (CRA), le règlement (UE) 2024/2847, part en revanche du produit. Il fixe des exigences de cybersécurité applicables aux produits matériels et logiciels dont l’utilisation prévue ou raisonnablement prévisible implique une connexion directe ou indirecte à un appareil ou à un réseau. En tant que règlement, il s’applique directement dans tous les États membres. Les deux textes se complètent : le respect de l’un ne dispense pas du respect de l’autre.
Le BSI annonce les contrôles et les audits
Selon des informations de presse, le BSI souhaite d’abord contacter les entreprises pour lesquelles l’obligation d’enregistrement lui paraît manifeste. La procédure devrait commencer par une audition et peut aboutir à une amende administrative. À partir du premier trimestre 2027, des contrôles et la production de justificatifs devraient être ordonnés auprès de certaines entités. Les premières visées seraient les entités particulièrement importantes dans les secteurs où le BSI estime les besoins les plus élevés. Chaque audit devrait avoir un thème prioritaire. À ce jour, aucune publication officielle du BSI détaillant ces modalités ne semble avoir été diffusée.
Pour les entités qui relevaient déjà de la loi lors de son entrée en vigueur, le 6 décembre 2025, le délai d’enregistrement de trois mois a expiré le 6 mars 2026. Pour les entreprises qui ne relèvent de la loi que plus tard, ce délai de trois mois court à compter de la date à laquelle elles entrent pour la première fois dans son champ d’application. Au 30 septembre 2026, environ 20 000 entités étaient enregistrées, contre près de 30 000 attendues. Les indications documentaires du BSI expliquent les obligations existantes et formulent des recommandations. Elles recommandent notamment de documenter l’analyse de l’assujettissement, même lorsque son résultat est négatif. Elles ne contiennent pas de référentiel de contrôle contraignant pour les audits.
Qui est concerné ?
Ce n’est pas le secteur d’activité en tant que tel qui est déterminant. Il faut examiner l’appartenance à une catégorie d’entité figurant aux annexes 1 ou 2 du BSIG ainsi que la taille de l’entreprise. Une entreprise relevant de l’annexe 1 est en principe une entité particulièrement importante lorsqu’elle compte au moins 250 salariés ou réalise un chiffre d’affaires supérieur à 50 millions € tout en présentant un total de bilan supérieur à 43 millions €. Les entreprises relevant des annexes 1 et 2 peuvent déjà être qualifiées d’entités importantes lorsqu’elles comptent au moins 50 salariés ou que leur chiffre d’affaires et leur total de bilan dépassent chacun 10 millions €. Il existe en outre des cas d’assujettissement indépendants de la taille, notamment pour les opérateurs d’infrastructures critiques. Certaines entreprises des secteurs alimentaire et chimique, ainsi que les fabricants de machines, de véhicules et de produits électroniques, peuvent également être concernées.
C’est un piège pour les groupes français. Chaque société allemande doit certes faire l’objet d’un examen distinct. Pour déterminer sa taille, il faut toutefois appliquer la recommandation de la Commission relative aux PME : les effectifs et les données financières des entreprises partenaires et liées sont en principe additionnés. Une petite filiale allemande d’un grand groupe peut ainsi être concernée. Cette addition n’est écartée que si la filiale est indépendante, compte tenu des circonstances juridiques, économiques et factuelles, dans la conception et l’exploitation de ses systèmes informatiques, de ses composants et de ses processus. Une informatique opérée de manière centralisée depuis la France plaide plutôt contre une telle indépendance.
La direction porte la responsabilité
La direction doit mettre en œuvre les mesures de gestion des risques, en contrôler l’application et participer elle-même régulièrement à des formations. Si elle manque à son obligation de mise en œuvre ou de contrôle et cause ainsi fautivement un dommage, elle en répond envers la société conformément au droit des sociétés applicable, soit, pour une GmbH, en vertu du § 43 GmbHG. Cela vaut également pour les Geschäftsführer qui exercent leur mandat depuis la France. Une organisation centrale de la sécurité informatique peut les assister, mais elle ne remplace pas leur propre obligation de contrôle. Pour les manquements centraux, notamment aux obligations de gestion des risques et de notification, les entités particulièrement importantes encourent des amendes administratives pouvant aller jusqu’à 10 millions €, et les entités importantes jusqu’à 7 millions €. Lorsque le chiffre d’affaires total dépasse 500 millions €, le plafond peut atteindre respectivement 2 % ou 1,4 %. Le chiffre déterminant est le chiffre d’affaires mondial réalisé au cours de l’exercice précédent par l’entreprise à laquelle l’entité appartient.
CRA : obligations de notification depuis septembre 2026, exigences applicables aux produits à partir de décembre 2027
Le CRA est en vigueur depuis décembre 2024, mais son application est échelonnée. Le 15 octobre 2026, le Bundestag a adopté la loi allemande d’exécution. Le BSI devrait ainsi devenir l’autorité centrale chargée de sa mise en œuvre. Il devrait surveiller le marché, notifier les organismes d’évaluation de la conformité, traiter les notifications des fabricants et conduire les procédures d’amende. Cette organisation n’implique pas une autorisation de chaque produit individuellement. Le CRA s’applique par ailleurs indépendamment des seuils de NIS2. Il n’existe pas d’exception générale pour les petites entreprises : la question déterminante est celle de l’entrée du produit dans le champ d’application. Les importateurs et les distributeurs sont soumis aux obligations des fabricants lorsqu’ils commercialisent des produits sous leur propre nom ou leur propre marque.
Depuis le 11 septembre 2026, les fabricants doivent notifier les vulnérabilités activement exploitées et les incidents de sécurité graves qui affectent la sécurité de leurs produits. La notification s’effectue au moyen de la plateforme européenne de notification. Une alerte précoce doit être transmise sans délai, au plus tard 24 heures après la prise de connaissance, puis une notification plus détaillée en principe dans les 72 heures. Lorsqu’une entreprise est à la fois une entité NIS2 et un fabricant, une même attaque peut déclencher les deux voies de notification : auprès du service commun de notification du BSI et du Bundesamt für Bevölkerungsschutz und Katastrophenhilfe conformément au § 32 BSIG, et par l’intermédiaire de la plateforme européenne au titre de l’art. 14 CRA. Les deux fondements doivent être examinés séparément. L’attaque ayant touché en octobre les systèmes de réfrigération connectés de centaines de supermarchés français a montré à quel point la sécurité des opérateurs et celle des produits sont liées. Selon l’ANSSI, des défaillances élémentaires de sécurisation ont toutefois joué un rôle déterminant, notamment des installations directement accessibles depuis Internet et des mots de passe faibles.
Les exigences applicables aux produits s’appliqueront en principe à partir du 11 décembre 2027. Pour les produits déjà mis sur le marché auparavant, elles ne s’appliqueront en principe que si ces produits font l’objet d’une modification substantielle à partir de cette date. Les obligations de notification concernent déjà ces produits. À la même date, le régime de sanctions du CRA deviendra applicable. Pour les manquements les plus graves, il prévoit jusqu’à 15 millions € ou 2,5 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Un service de réclamation destiné aux consommateurs devrait également être créé auprès du BSI. Les signalements concernant l’absence de mises à jour ne devraient donc pas être traités par l’entreprise comme de simples demandes d’assistance.
Les prochaines étapes
Les sociétés allemandes susceptibles d’être concernées devraient documenter de manière traçable leur classification, y compris la prise en compte du groupe, vérifier leur enregistrement et tenir leurs justificatifs à disposition de façon ordonnée. Il faut également déterminer qui évaluera une demande du BSI, coordonnera la réponse et surveillera le délai. Les fabricants doivent garder simultanément à l’esprit deux horizons temporels : les obligations de notification déjà applicables et les exigences applicables aux produits à partir de décembre 2027.
L’enregistrement ne remplace pas les mesures de cybersécurité. Avec les contrôles annoncés, il devient de plus en plus important de pouvoir démontrer de manière solide leur mise en œuvre.