NIS2 après le délai de grâce : de l'enregistrement à la notification

Le délai légal d’enregistrement prévu par la loi allemande de transposition de NIS2 a expiré le 6 mars 2026, et la tolérance accordée par le BSI a pris fin le 31 juillet. Le BSI indique aujourd’hui sans ambiguïté que le délai est écoulé et invite les entreprises concernées à s’enregistrer sans attendre. Celles qui ne l’ont pas fait ne se trouvent plus dans une phase de transition.

Pour les entités enregistrées, une autre question se pose. L’enregistrement est une démarche ponctuelle ; l’obligation de notification prévue à l’article 32 de la loi allemande sur le BSI est un état permanent. La capacité d’une entreprise à la remplir ne se révèle qu’au moment de l’incident.

Ce que disent les chiffres

Le BSI publie régulièrement ses chiffres. Au 30 juin 2026, 17 945 entités étaient enregistrées, dont 11 501 entités importantes et 6 215 entités essentielles. À la même date, le BSI recensait 692 notifications initiales au titre de NIS2 et 1 659 notifications NIS2 au total transmises via le portail. La prochaine mise à jour est annoncée pour le 31 octobre 2026.

Ces chiffres ne permettent de juger aucune entreprise en particulier, mais ils autorisent une observation : le rapport entre entités enregistrées et notifications initiales est faible. Cela peut signifier que peu d’incidents importants surviennent. Cela peut aussi signifier que des incidents ne sont pas reconnus en interne comme devant être notifiés. Chaque direction devrait savoir quelle lecture s’applique à sa propre organisation, car l’article 38 de la loi sur le BSI la rend responsable de la mise en œuvre.

Quand un incident est-il important ?

Tout incident de sécurité ne doit pas être notifié, seulement les incidents importants. L’article 2, point 11, de la loi sur le BSI pose deux critères : une perturbation opérationnelle grave ou des pertes financières pour l’entité elle-même, ou un dommage matériel ou moral considérable causé à des tiers. Les deux valent expressément aussi lorsque le dommage n’est que possible. Pour les fournisseurs d’infrastructures et de services numériques, comme les services d’informatique en nuage, de centres de données et de DNS ou les services gérés, le règlement d’exécution (UE) 2024/2690 précise les seuils.

Le critère est donc volontairement large, et il vise l’impact plutôt que la technique d’attaque. Une indisponibilité de plusieurs heures d’un service utilisé par les clients peut être importante, même si c’est finalement une erreur de configuration, et non un attaquant, qui en est la cause.

Le délai court dès la prise de connaissance

L’article 32 de la loi sur le BSI échelonne la notification : une première notification précoce dans les 24 heures suivant la prise de connaissance, indiquant si une action illicite ou malveillante est soupçonnée ou si des effets transfrontaliers sont possibles ; une notification dans les 72 heures avec une première évaluation de la gravité et de l’impact et, le cas échéant, des indicateurs de compromission ; un rapport intermédiaire à la demande du BSI ; et un rapport final au plus tard un mois après la notification.

Le point critique est le point de départ. Le délai court à compter de la prise de connaissance, et non du moment où quelqu’un qualifie l’incident de notifiable. Si une alerte arrive le vendredi soir et que l’évaluation n’a lieu que le lundi, le délai de 24 heures est écoulé avant même que la notification ait été discutée.

Devenir capable de notifier

La capacité de notification se construit avant l’incident. Quatre éléments la portent :

Fixer les seuils à l’avance : quelles pannes, fuites de données ou dégradations sont importantes pour ses propres services ? Une qualification documentée évite un débat de principe en pleine crise.
Désigner les responsabilités : qui décide de la notification, qui assure la suppléance, et comment joindre cette personne en dehors des heures ouvrées ?
Garantir l’accès : la notification passe par le portail du BSI. L’accès et les droits doivent exister avant d’en avoir besoin.
Tenir une chronologie : détection, évaluation et mesures horodatées, afin que les notifications initiale, de suivi et finale reposent sur les mêmes faits.

Un exercice fondé sur un scénario réaliste montre vite où la chaîne se rompt. C’est rarement la technique ; bien plus souvent, c’est le passage de relais entre l’équipe qui remarque l’incident et la fonction qui décide de la notification.

Perstat, notre produit de supervision et de posture de sécurité, intervient au début de cette chaîne : les pannes et les changements pertinents pour la sécurité sont détectés, escaladés et consignés avec leur horodatage. Qualifier un incident d’important et le notifier restent de la responsabilité de l’entreprise.

Être enregistré décrit un statut. Être capable de notifier décrit une aptitude, et seule l’aptitude est mise à l’épreuve le moment venu.