Enregistrement NIS2 : pourquoi le 31 juillet 2026 est la vraie échéance

Le délai d’enregistrement de trois mois prévu par la loi allemande de transposition de NIS2 a expiré le 6 mars 2026. Pourtant, pour de nombreuses entités, la date la plus importante est une autre : le 31 juillet 2026. Le BSI attend d’ici là les enregistrements en suspens et traite les déclarations tardives avec une certaine indulgence pratique jusqu’à cette date. Sur environ 29 500 entreprises concernées, seules quelque 11 500 s’étaient enregistrées à l’échéance légale, pour atteindre environ 18 500 fin mai. Une part importante manque donc toujours.

La bonne lecture de ce report est essentielle. Il s’agit d’une tolérance sur l’enregistrement, non d’un report de la loi. Les obligations de fond s’appliquent depuis le 6 décembre 2025, que l’entité se soit déjà manifestée ou non.

L’enregistrement n’est pas un acte administratif, mais une auto-évaluation

Contrairement à l’ancien système KRITIS, le BSI n’émet pas de décision constatant qui est concerné. Chaque entité doit déterminer elle-même si elle relève de la loi et, le cas échéant, s’enregistrer activement. Cette auto-évaluation au titre de l’article 28 BSIG est le véritable premier pas, et non le remplissage du formulaire en ligne.

En gros : entités importantes à partir de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires annuel, entités particulièrement importantes à partir de 250 salariés ou de plus de 50 millions d’euros de chiffre d’affaires. L’appartenance à l’un des 18 secteurs doit également s’appliquer. Certaines entités comptent indépendamment de leur taille, comme les prestataires de services de confiance qualifiés, les opérateurs DNS et TLD ou les fournisseurs de services de communications électroniques publiques. Quiconque évalue trop étroitement et se classe à tort hors du champ en supporte seul le risque.

Qui doit agir avant la fin juillet

Est concerné quiconque remplit les critères et ne s’est pas encore enregistré. Aujourd’hui, il s’agit surtout des entités qui n’ont pas évalué leur situation et de celles qui l’ont évaluée mais ont différé l’enregistrement. Les deux peuvent être rattrapés dans les jours qui restent ; l’enregistrement en soi représente l’effort le plus faible.

L’effort le plus important est l’état des lieux honnête qui se cache derrière : mon entreprise relève-t-elle de la loi, et est-ce que je remplis déjà les obligations en vigueur depuis décembre ? Qui procède à l’enregistrement sans répondre à cette question a déposé un formulaire, mais gagné peu sur le fond.

Les obligations s’appliquent indépendamment de l’enregistrement

L’enregistrement est le ticket d’entrée, non l’obligation elle-même. L’article 30 exige des mesures de gestion des risques, parmi lesquelles la surveillance, la journalisation, la gestion des incidents, la continuité d’activité et la sécurité de la chaîne d’approvisionnement. L’article 32 régit les obligations de notification échelonnées, avec une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d’un mois. L’article 38 engage la responsabilité de la direction, et l’article 65 fixe le cadre avec des amendes pouvant atteindre 10 millions d’euros.

Ces obligations courent depuis le 6 décembre 2025. L’indulgence du BSI n’y change rien. Une entité qui s’enregistre le 31 juillet mais n’a pas signalé un incident significatif en juin était déjà en défaut à ce moment-là.

Ce qui est utile maintenant

Trois étapes aident immédiatement : documenter proprement l’évaluation de votre situation au titre de l’article 28, afin que la classification soit défendable en cas de contestation ; procéder à l’enregistrement tant que dure l’indulgence du BSI ; et organiser la détection de sorte que l’alerte précoce de 24 heures soit réellement atteignable. Un seul exercice de notification révèle vite où la chronologie d’un incident se rompt.

Dans notre module Perstat, la surveillance, la posture de sécurité et une piste d’audit en ajout seul sont reliées de sorte que la chronologie d’incident exigée par l’article 32 puisse être produite de manière traçable. Le point essentiel reste toutefois indépendant de l’outil, à savoir clarifier sa propre situation et ne pas confondre l’enregistrement ponctuel avec les obligations permanentes.

L’enregistrement est le début de l’obligation, non sa fin.