Le BSI lance l'application de NIS2 : qui répond désormais des justificatifs ?

Le BSI a annoncé une initiative visant à faire respecter l'obligation d'enregistrement prévue par la directive NIS 2. Selon des articles publiés le 8 octobre 2026 par Tagesspiegel Background et diprotec, cette initiative devrait démarrer dès ce trimestre ; l'autorité prévoit de délivrer ses premières ordonnances d'audit à partir du premier trimestre 2027. En Autriche, la loi NISG 2026 est en vigueur depuis le 1er octobre 2026. Elle concerne les directions générales et les responsables informatiques dans les secteurs de la construction de machines et d’installations, chez les équipementiers automobiles, dans l’intralogistique et chez les prestataires de services informatiques. L’enregistrement n’est que la première étape. Dans de nombreuses entreprises, la question de savoir qui est responsable de la fourniture des justificatifs reste en suspens.

Ce qu'a annoncé le BSI

Au 30 septembre 2026, 20 141 entités s'étaient inscrites sur le portail du BSI, dont 13 252 entités importantes et 6 837 entités particulièrement importantes (BSI, la directive NIS-2 en chiffres). Le BSI s'attendait à environ 29 500 (BSI). Le délai de trois mois prévu à l'article 33, paragraphe 1, de la BSIG a expiré le 6 mars 2026 pour les établissements déjà recensés.

Cette initiative doit dans un premier temps déclencher une procédure formelle assortie d'une audition ; une amende peut s'ensuivre. En cas de non-enregistrement, l'article 65, paragraphe 2, point 6, en liaison avec le paragraphe 5, première phrase, point 5, de la BSIG prévoit une amende pouvant aller jusqu'à 500 000 euros. Le BSI peut également procéder lui-même à l'enregistrement et exiger la présentation de documents (article 33, alinéas 3 et 4 de la BSIG).

Conformément à l'article 61, paragraphe 1, de la loi sur la sécurité de l'information (BSIG), le BSI peut ordonner la réalisation d'audits par des organismes indépendants auprès de certaines entités particulièrement importantes. Il procède à des contrôles auprès des entités importantes en vertu de l'article 62 de la BSIG lorsque des faits justifient de supposer que les obligations ne sont pas correctement respectées. Une entreprise de fabrication dont l’activité relève d’un type d’établissement figurant à l’annexe 2, par exemple dans le domaine de la construction mécanique ou de la fabrication de pièces automobiles, est considérée comme un établissement important dès lors qu’elle compte 50 salariés ou que son chiffre d’affaires et le total de son bilan dépassent chacun 10 millions d’euros (article 28, paragraphe 2, point 3, de la BSIG). Un incident de sécurité signalé constitue dans ce cas un motif d’inspection évident. L’autorité demande alors la présentation de documents qui doivent déjà exister à ce moment-là.

En Autriche, selon le ministère de l'Intérieur, l'enregistrement via le portail des services aux entreprises doit être effectué avant le 1er janvier 2027 ; les obligations de déclaration s'appliquent d'ores et déjà (BMI).

Ce que cela signifie pour votre entreprise

Cette responsabilité incombe généralement à la direction informatique. Dans une enquête menée par Kertos, éditeur de logiciels de conformité, auprès de 51 entreprises, 63 % ont désigné la direction informatique comme responsable, tandis que 84 % ne disposaient ni d’un RSSI interne ni d’un RSSI externe (Kertos, 1er octobre 2026). L'échantillon est restreint. On observe la même tendance dans les projets.

Exemple de calcul avec des valeurs hypothétiques : un équipementier automobile comptant 420 salariés et trois usines exploite 120 serveurs virtuels sur 14 hôtes, environ 250 automates en réseau et 30 accès de maintenance à distance fournis par les fournisseurs de machines. L'équipe informatique compte cinq personnes. Le pare-feu et la sauvegarde fonctionnent, mais les justificatifs font défaut pour cinq des dix points prévus à l'article 30, paragraphe 2, de la BSIG : tests de restauration (n° 3), la maintenance à distance par les fournisseurs (n° 4), le micrologiciel des automates et des contrôleurs de gestion des serveurs (n° 5), l’évaluation de l’efficacité (n° 6) et l’authentification multifactorielle pour les accès à distance (n° 10).

Restaurer 10 % des serveurs chaque trimestre représente douze tests de deux heures chacun. La mise en place des 30 accès de maintenance à distance vers un point de transfert journalisé avec authentification multifactorielle (MFA) nécessite environ 30 heures de travail ponctuel, auxquelles s'ajoute la coordination avec chaque fournisseur. Entre l’inventaire des firmwares et la documentation, cela représente entre 40 et 60 jours-personnes au premier semestre, en plus de l’exploitation de trois usines.

En cas d'absence de documentation au sens de l'article 30, paragraphe 1, troisième phrase, de la BSIG, l'article 65, paragraphe 5, première phrase, point 1, de la BSIG prévoit une amende pouvant aller jusqu'à sept millions d'euros pour les établissements importants, sans réduction de moitié en cas de négligence (article 65, paragraphe 9, de la BSIG).

Vos options : efforts, coûts et risques

Quelle méthode pour quel cas ?

Pour la plupart des structures importantes du secteur de la fabrication, nous estimons qu’un projet ISO 27001 constitue une première étape trop ambitieuse. Ceux qui parviennent d’abord à satisfaire aux points 3, 4, 5 et 10 disposeront, en cas d’incident, des documents qui leur seront demandés et pourront construire leur système de gestion à partir de là. Les entités particulièrement importantes, telles que les fournisseurs de services gérés (Managed Service Providers) figurant à l’annexe 1 et comptant au moins 250 salariés (article 28, paragraphe 1, point 4 de la BSIG), doivent s’y conformer plus tôt. Pour elles, ainsi que pour les exploitants de centres de données, le règlement d’application (UE) 2024/2690 prévaut conformément à l’article 30, paragraphe 3, de la BSIG.

Une nomination à titre temporaire est appropriée lorsque la direction informatique ne peut pas déléguer la gestion des opérations et que le poste de RSSI ne sera pourvu qu'en 2027 au plus tôt. Elle prend fin avec la passation de pouvoirs à cette fonction.

Foire aux questions

Les dispositions relatives à l'audit s'appliqueront-elles également aux établissements importants à partir de 2027 ?

L'article 61, paragraphe 1, de la BSIG ne vise que les entités particulièrement importantes. Pour les entités importantes, le BSI peut, en vertu de l'article 62 de la BSIG, procéder à des contrôles et prendre des mesures au titre de l'article 61 si des faits laissent supposer une mise en œuvre défaillante. Le classement au cas par cas relève de votre service juridique.

Un certificat ISO 27001 suffit-il comme preuve ?

La BSIG ne mentionne aucun certificat pouvant se substituer à ces obligations. L'article 30, paragraphe 2, de la BSIG exige la prise en compte des normes applicables. Un certificat est utile si son champ d'application couvre les sites et les systèmes concernés. À cela s'ajoutent l'enregistrement, les procédures de signalement et la formation de la direction conformément à l'article 38, paragraphe 3, de la BSIG.

Quelles règles s'appliquent aux usines situées en Autriche ?

Dans ce pays, la loi NISG 2026 s'applique, avec une obligation d'enregistrement spécifique jusqu'au 1er janvier 2027 et l'Office fédéral de la cybersécurité désigné comme autorité compétente. La mise en place d'un registre commun pour tous les sites permet d'éviter les doublons, mais les voies de déclaration restent distinctes.

La prochaine étape

torck assure une direction par intérim lorsqu'un poste clé est vacant et met en œuvre la technologie avec ses propres équipes : Directeur technique par intérim et sauvetage de projet. Ce que la directive NIS2 implique pour les réseaux de production, c'est ce que montre NIS2 en production. Pour savoir comment sécuriser les accès à la gestion des serveurs, consultez Séparer le réseau de gestion, et pourquoi un savoir système concentré sur une seule personne constitue un risque en soi, dans Risque lié aux personnes clés. Prendre rendez-vous pour un premier entretien.