Repères dans la réglementation
Beaucoup d'entreprises entendent parler en même temps de NIS2, KRITIS, DORA ou GMP, et les cabinets médicaux en plus de la directive de sécurité informatique de la KBV. Souvent, on ne sait pas quelle règle s'applique ni ce qu'elle implique pour l'IT. Cette page situe les cinq référentiels et montre où ils se recoupent. Vous saurez ensuite quelles questions clarifier et sur quels points nous prenons en charge le travail technique.
NIS2, KRITIS, DORA et GMP ont des origines différentes. NIS2 et KRITIS encadrent la cybersécurité des entreprises et installations importantes en Allemagne, DORA s'applique spécifiquement au secteur financier, GMP garantit la qualité de la fabrication des médicaments, et la directive de sécurité informatique prévue au § 390 SGB V (Code de la sécurité sociale allemand, livre V) s'applique aux cabinets médicaux, dentaires et de psychothérapie. La supervision, les circuits de notification et les contrôles diffèrent donc d'un texte à l'autre.
Côté IT, ils exigent pourtant beaucoup de choses en commun. Partout, il s'agit de savoir qui peut accéder à quoi, si les données peuvent être restaurées après une panne, si les modifications sont traçables et si vous pouvez le prouver. En posant ces bases correctement une fois, vous couvrez une grande partie des exigences de plusieurs référentiels à la fois.
Ce tableau ne remplace pas une analyse juridique au cas par cas, mais il vous montre par où commencer.
| NIS2 (loi BSI, BSI-Gesetz) | Concerne les entreprises des secteurs cités par la loi, en général à partir de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires annuel et de total de bilan. Obligations clés pour l'IT : gestion des risques avec contrôle d'accès, MFA, sauvegarde, journalisation et traitement des incidents, enregistrement auprès de l'Office fédéral de la sécurité de l'information (BSI) et notification des incidents de sécurité importants. |
| KRITIS (loi BSI et loi-cadre KRITIS, KRITIS-Dachgesetz) | Concerne les exploitants d'installations dont le niveau de desserte atteint les seuils fixés par ordonnance, par exemple dans l'énergie, l'eau, la santé ou les transports. Obligations clés pour l'IT : mesures plus strictes que pour NIS2, systèmes de détection des attaques, justificatifs à fournir au BSI tous les trois ans. |
| DORA (règlement UE 2022/2554) | Concerne les entités financières telles que banques, assureurs, établissements de paiement et sociétés de gestion, depuis le 17 janvier 2025. Obligations clés pour l'IT : gestion du risque lié aux TIC, notification des incidents TIC majeurs à la BaFin (autorité fédérale de surveillance financière), tests réguliers et pilotage des prestataires informatiques. |
| GMP (guide BPF de l'UE, annexe 11) | Concerne les fabricants de médicaments et de substances actives. Pour les dispositifs médicaux, des exigences comparables découlent du management de la qualité. Obligations clés pour l'IT : systèmes validés, audit trail, droits d'accès contrôlés, sauvegarde vérifiée et intégrité des données. |
| Directive de sécurité informatique (§ 390 SGB V) | Concerne les cabinets médicaux, dentaires et de psychothérapie conventionnés ainsi que les centres de soins médicaux (MVZ), quelle que soit leur taille. Obligations clés pour l'IT : exigences minimales pour les appareils, les logiciels, le réseau et les composants de l'infrastructure télématique (TI), échelonnées selon le nombre de personnes chargées du traitement des données. |
Une entreprise peut relever de plusieurs référentiels. Pour les entités financières, les exigences de DORA priment sur la plupart des obligations NIS2 de la loi BSI.
Chaque réglementation demande qui peut accéder à quoi et qui l'a autorisé. La gestion des identités et des accès est donc notre cœur de métier : sans modèle de rôles ni attribution documentée, aucun contrôle d'accès ne peut être prouvé.
MFA pour tous les comptes, y compris ceux de la direction et des commerciaux itinérants, et des comptes séparés pour les tâches d'administration. Les exceptions sont les premières relevées lors d'un contrôle.
Une sauvegarde ne compte que si la restauration a été essayée et le résultat documenté. NIS2, DORA et GMP l'exigent tous les trois.
Qui a modifié quoi, quand et avec l'accord de qui ? Les journaux et un processus de gestion des changements répondent à cette question avant qu'un auditeur ne la pose.
En cas d'incident de sécurité, les délais de notification se comptent en heures. Il faut donc avoir décidé à l'avance qui tranche, qui notifie et quelles informations techniques sont nécessaires.
Être sécurisé ne suffit pas, vous devez aussi pouvoir le montrer. Nous documentons dès la mise en œuvre, pour que vous disposiez à la fin de pièces à présenter à un auditeur ou à un client.
En quelques questions, vous voyez si votre entreprise relève probablement de NIS2. Le test est gratuit et ne prend que quelques minutes.
En 20 minutes, par Teams ou par téléphone, nous faisons le point sur votre situation. Fabian Schmid vous conseille lui-même sur NIS2, KRITIS, DORA et GMP.
Lors de l'audit de sécurité, nous comparons votre IT aux exigences qui vous concernent. Vous recevez un rapport écrit avec des mesures classées par risque et par effort.
Nous mettons les mesures en place sans interrompre votre activité et vous remettons une documentation qui vous appartient.
Nous prenons en charge la mise en œuvre technique et les preuves. C'est votre conseil juridique qui détermine de façon contraignante si vous êtes concerné, et c'est votre entreprise qui adresse elle-même les notifications aux autorités. Nous travaillons avec des avocats, des auditeurs et des prestataires de validation et leur fournissons les informations techniques dont ils ont besoin.
Déploiement d'une solution IAM chez un équipementier industriel familial actif à l'international, avec la réorganisation des espaces de stockage de fichiers et une réinitialisation de mot de passe que les utilisateurs effectuent eux-mêmes.
Résultat : Le support est soulagé : les utilisateurs réinitialisent eux-mêmes leur mot de passe, et les tickets liés aux mots de passe sont passés de près de 300 à 10 par semaine.
Mise à jour :
FAQ
Cela dépend de votre secteur, de votre taille et de vos installations. Les banques et assureurs relèvent de DORA, les fabricants de médicaments des GMP, les cabinets médicaux de la directive de sécurité informatique prévue au § 390 SGB V, et de nombreuses autres entreprises de 50 salariés ou plus de NIS2. Pour savoir si vous exploitez en plus une installation critique, ce sont les seuils fixés par ordonnance qui décident.
Oui, c'est fréquent. Un fabricant pharmaceutique peut par exemple devoir respecter à la fois les GMP et NIS2. Comme les exigences techniques se recoupent largement, nous planifions les mesures de sorte qu'une même preuve serve pour plusieurs référentiels.
Selon la loi BSI, les exploitants d'installations critiques forment un sous-ensemble des entités particulièrement importantes au sens de NIS2. Des obligations supplémentaires s'appliquent à eux, par exemple des systèmes de détection des attaques et des justificatifs réguliers à fournir au BSI.
Les entités financières qui appliquent DORA sont exemptées de la plupart des obligations NIS2 de la loi BSI, car DORA prime en tant que règle plus spécifique. Ce sont alors les exigences de DORA et de la BaFin qui font foi.
Souvent oui, car les clients concernés répercutent leurs exigences sur leurs fournisseurs et prestataires. Avec DORA, les entités financières doivent même imposer contractuellement certaines obligations à leurs prestataires informatiques.
Non, l'avis qui fait foi revient à votre conseil juridique. Nous situons les exigences techniques, les mettons en œuvre et fournissons les documents dont les avocats et les auditeurs ont besoin.
Par une analyse des écarts qui montre où en est votre IT aujourd'hui. Elle fait partie de l'audit de sécurité à partir de 6 900 €, dont le coût est déduit d'un projet ultérieur.
Conformité et réglementation
Exposez-nous votre situation en 20 minutes. Vous saurez ensuite quelles réglementations surveiller et ce qu'elles impliquent pour votre IT.
