Le 6 décembre 2025, l'Allemagne a transposé la directive NIS2 dans son droit national. La NIS2UmsuCG a modifié le BSIG (la loi fédérale sur l'Office fédéral de la sécurité des systèmes d'information) pour introduire des obligations d'enregistrement, de gestion des risques et de notification d'incidents pour environ 30 000 entités. Dix mois plus tard, l'écart entre les obligations légales et la réalité opérationnelle reste substantiel. Pour les organisations françaises actives en Allemagne, ce délai n'est pas un problème allemand : c'est un risque de conformité qui leur appartient.
Une échéance d'enregistrement déjà dépassée depuis sept mois
Le portail d'enregistrement du BSI (Bundesamt für Sicherheit in der Informationstechnik) a ouvert le 6 janvier 2026, un mois après l'entrée en vigueur du BSIG. L'échéance d'enregistrement fixée par l'article 33 BSIG était le 6 mars 2026, trois mois après la publication de la loi.
Au 30 juin 2026, le BSI avait recensé 17 729 entités enregistrées sur les quelque 30 000 assujetties au dispositif. Environ 12 000 organisations avaient donc manqué leur délai légal, selon les données publiées par le BSI (source : NIS2Certify, juillet 2026). Ce chiffre représente 40 % des entités concernées en situation irrégulière sept mois après la date limite.
Ce niveau de non-conformité est moins surprenant au regard d'une enquête G DATA conduite plus tôt dans l'année : 44 % des entreprises soumises à la NIS2UmsuCG déclaraient ignorer totalement leurs obligations (G DATA, mars 2026). La loi est entrée en vigueur sans période de grâce, mais l'information n'avait pas atteint une proportion significative des organisations concernées.
Ce que le BSIG impose concrètement
Le BSIG impose trois obligations fondamentales aux entités essentielles et importantes.
L'enregistrement auprès du BSI via le portail MUK (Mein Unternehmenskonto). Cette première étape conditionne tout le reste : une entité non enregistrée ne peut ni recevoir les alertes du BSI ni démontrer sa conformité lors d'un contrôle. L'amende prévue par l'article 65 BSIG pour défaut d'enregistrement peut atteindre 500 000 euros.
La mise en œuvre de dix mesures de gestion des risques définies à l'article 30 BSIG. Elles couvrent les politiques de sécurité, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, les tests et audits, la cryptographie, la sécurité des ressources humaines, l'authentification multifacteur et les communications sécurisées. Cette liste est directement issue de l'article 21 de la directive NIS2 et ne diffère pas substantiellement de ce que les autres transpositions nationales, y compris la transposition française, imposent.
La notification des incidents significatifs au BSI dans les 24 heures suivant leur détection, puis un rapport complet dans les 72 heures. Ce calendrier est identique à celui de la directive, et les organisations qui ont déjà aligné leurs processus sur NIS2 ne font face à aucun effort supplémentaire sur ce point.
La responsabilité personnelle des dirigeants : une spécificité du BSIG
L'article 38 BSIG introduit une responsabilité personnelle des membres de la direction. Ceux-ci sont tenus de s'assurer que les mesures de gestion des risques prévues à l'article 30 sont en place et suivies. Cette obligation de surveillance ne peut pas simplement être déléguée.
Ce mécanisme est plus explicite que ce que prévoient certaines autres transpositions nationales. En pratique, cela signifie que la direction d'une entité établie en Allemagne doit être en mesure de démontrer sa connaissance des mesures de sécurité déployées et de leur état de mise en œuvre. Un audit révélant que la direction ignorait les manquements existants constitue un facteur aggravant.
Exemple concret : une filiale française opérant en Allemagne dans le secteur de la distribution d'énergie (entité essentielle au sens du BSIG) dont le directeur général ne connaît pas le statut d'enregistrement de l'entreprise serait directement exposée en cas de contrôle du BSI.
Ce que cela implique pour vos entités transfrontalières
La transposition nationale allemande de NIS2 crée des obligations distinctes de celles qui s'appliqueront à vos entités françaises. Vous ne pouvez pas vous appuyer sur votre programme NIS2 français pour couvrir vos entités allemandes.
Plusieurs points méritent une vérification immédiate.
Périmètre d'application. Le BSIG reprend les seuils de la directive : 50 salariés et 10 millions d'euros de chiffre d'affaires pour les entités importantes, 250 salariés et 50 millions d'euros pour les entités essentielles. Une filiale allemande peut relever du BSIG indépendamment du statut de la maison mère en France. L'exemption pour les entités soumises au règlement DORA s'applique, mais uniquement pour les activités financières couvertes par ce règlement.
Statut d'enregistrement. Si votre entité allemande n'est pas enregistrée auprès du BSI via le portail MUK, elle est en infraction depuis le 6 mars 2026. Le BSI a annoncé un renforcement systématique des contrôles en 2026, et les entités non enregistrées figureront parmi les premières vérifiées.
Cohérence avec votre programme NIS2 global. Les dix mesures de l'article 30 BSIG correspondent à celles de la directive. Un programme de mise en conformité NIS2 bien structuré peut couvrir les exigences allemandes avec des adaptations limitées : cartographie des entités, enregistrement local et désignation d'un point de contact auprès du BSI.
Le contexte européen plus large montre que ce décalage n'est pas spécifique à l'Allemagne. Aux Pays-Bas, la Cyberbeveiligingswet est entrée en vigueur le 15 août 2026 sans période de grâce pour quelque 8 000 organisations. L'article sur les obligations transfrontalières de la Cyberbeveiligingswet détaille les points communs aux deux transpositions.
Trois actions à mener sans délai
Cartographiez vos entités allemandes dans le périmètre du BSIG. Appliquez les seuils de la directive à chaque entité juridique opérant en Allemagne. Vérifiez le secteur : la liste des secteurs essentiels et importants au sens du BSIG est annexée à l'article 28.
Enregistrez les entités concernées auprès du BSI. L'enregistrement implique la création d'un compte MUK (muk.bsi.bund.de) et le remplissage du formulaire d'enregistrement. La procédure prend moins d'une heure mais requiert des informations précises sur la structure juridique, le secteur et les contacts sécurité désignés.
Alignez les dix mesures de l'article 30 BSIG sur votre programme NIS2 existant. Si vous avez déjà engagé une démarche de conformité NIS2 pour vos entités françaises, le travail de fond est largement réutilisable. L'adaptation principale porte sur les points de contact locaux et la chaîne de notification vers le BSI plutôt que vers l'ANSSI.
La mise en conformité de vos entités allemandes avec le BSIG s'inscrit dans la même démarche que votre programme NIS2 global. Notre programme de conformité NIS2 couvre la cartographie des entités soumises aux transpositions nationales européennes et l'alignement des mesures de gestion des risques avec les exigences de chaque régulateur local.