Exploitants d'installations critiques
KRITIS : les obligations pour votre ITet ce qui les distingue de NIS2
Si vous assurez l'approvisionnement en électricité, en eau, les soins de santé ou les transports pour un grand nombre de personnes, vous exploitez peut-être une installation critique. Ces exploitants sont soumis à des obligations plus strictes que les autres entreprises relevant de NIS2, et la loi-cadre KRITIS (KRITIS-Dachgesetz) y ajoute des exigences de protection physique. Nous vous aidons à mettre en œuvre les obligations IT et à les justifier auprès de l'Office fédéral de la sécurité de l'information (BSI).
KRITIS ou NIS2 ?
Depuis le 6 décembre 2025, la nouvelle loi BSI (BSI-Gesetz), qui transpose la directive NIS2 en Allemagne, est en vigueur. Elle distingue les entités particulièrement importantes et les entités importantes. L'appartenance à l'une de ces catégories dépend du secteur, de l'effectif, du chiffre d'affaires et du total de bilan. Les exploitants d'installations critiques forment un sous-ensemble des entités particulièrement importantes, quelle que soit la taille de l'entreprise.
Le caractère critique d'une installation dépend du nombre de personnes qu'elle dessert. Les seuils sont fixés par une ordonnance, jusqu'ici l'ordonnance BSI-Kritisverordnung, qui retient le plus souvent une valeur de référence de 500 000 personnes desservies. Une régie municipale peut donc être exploitant KRITIS, alors qu'une entreprise industrielle plus grande ne relève de NIS2 qu'en tant qu'entité importante. Nous identifions avec vous les installations potentiellement concernées, et c'est votre conseil juridique qui arrête la qualification définitive.
KRITIS et NIS2 comparés
| Qui est concerné | NIS2 : les entreprises de certains secteurs à partir de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires et de total de bilan. KRITIS : les exploitants d'installations qui atteignent les seuils fixés par l'ordonnance. |
| Mesures | NIS2 : mesures de gestion des risques appropriées, proportionnées et efficaces (§ 30 BSIG). KRITIS : en plus, des mesures plus strictes pour les systèmes de l'installation (§ 31 BSIG). |
| Détection des attaques | Expressément obligatoire pour les exploitants d'installations critiques, en tenant compte de l'état de la technique (§ 31, al. 2 BSIG). |
| Justificatifs | KRITIS : vérification par audits, contrôles ou certifications et transmission au BSI tous les trois ans (§ 39 BSIG). Pour les autres entités, le BSI peut exiger des justificatifs. |
| Obligations de notification | Identiques pour les deux : alerte initiale en cas d'incident de sécurité important au plus tard après 24 heures, notification après 72 heures, rapport final après un mois (§ 32 BSIG). |
| Direction | Identique pour les deux : elle doit mettre en œuvre les mesures, en surveiller le respect et suivre régulièrement des formations (§ 38 BSIG). |
Ces indications se réfèrent à la loi BSI dans sa version issue de la loi de transposition de NIS2. Les règles particulières, par exemple pour l'énergie, les télécommunications et les entités financières, sont examinées au cas par cas.
La loi-cadre KRITIS s'y ajoute
Depuis mars 2026, la loi-cadre KRITIS est également en vigueur. Elle encadre la protection physique et la résilience des installations critiques, par exemple face au sabotage, aux catastrophes naturelles ou aux coupures de courant. L'autorité compétente est ici l'Office fédéral de la protection de la population et de l'aide en cas de catastrophe (BBK), tandis que la sécurité informatique reste du ressort du BSI et de la loi BSI.
Selon la loi, les exploitants doivent réaliser des analyses de risques, consigner leurs mesures de résilience dans un plan et notifier les perturbations importantes. Le périmètre exact des installations concernées et le point de départ de chaque délai dépendent d'une nouvelle ordonnance KRITIS, présentée sous forme de projet en mai 2026, qui doit abaisser certains seuils. Nous suivons son évolution et vous indiquons lors de l'entretien ce qui s'applique actuellement.
Ce que cela implique pour votre IT
- Un concept de rôles et de droits d'accès qui prouve qui peut accéder aux systèmes de l'installation
- Des comptes séparés pour les tâches d'administration et la MFA pour chaque accès, y compris l'assistance à distance par des prestataires
- Des systèmes de détection des attaques qui analysent les événements en continu, et des responsabilités claires pour les alertes
- Un durcissement et une gestion ordonnée des correctifs, adaptés aux horaires d'exploitation et aux validations des fabricants
- Une sauvegarde avec test de restauration documenté et un plan d'urgence en cas de panne des systèmes centraux
- Un circuit de notification rodé, pour que l'alerte initiale soit possible dans les 24 heures
- Un point de contact joignable par le BSI
- Une documentation complète pour le contrôle prévu au § 39 BSIG
Comment nous vous accompagnons
- 01
Qualification
Nous passons en revue avec vous les installations et systèmes susceptibles d'être concernés et préparons les questions pour votre conseil juridique.
- 02
Analyse des écarts
Nous comparons votre IT aux exigences des §§ 30 et 31 BSIG et classons les écarts par risque et par effort.
- 03
Mise en œuvre
Nous mettons en place, par étapes et sans interrompre l'exploitation, les droits d'accès, la détection des attaques, le durcissement, la sauvegarde et le processus de gestion des incidents.
- 04
Préparation du contrôle
Nous rassemblons les justificatifs de manière à ce que votre organisme de contrôle puisse les exploiter, et nous vous assistons sur le plan technique pour répondre à ses questions.
Cadre juridique sous réserve
Le droit des infrastructures critiques est en pleine refonte. La nouvelle ordonnance KRITIS et d'autres exigences du BSI et du BBK sont en partie encore attendues. Nous restons donc prudents et vérifions l'état actuel du droit avant de vous indiquer un délai ou une obligation.
Mise à jour :
FAQ
Questions fréquentes
KRITIS ou NIS2 : lequel me concerne ?
Cela dépend de vos installations et pas seulement de la taille de votre entreprise. Si une installation atteint les seuils fixés par l'ordonnance, vous êtes exploitant d'une installation critique. Sinon, selon votre secteur et votre taille, vous relevez peut-être de NIS2 en tant qu'entité importante ou particulièrement importante.
Quelle est la différence entre KRITIS et NIS2 ?
Les exploitants KRITIS forment un sous-ensemble des entités NIS2, avec des obligations supplémentaires : des mesures plus strictes pour les systèmes de l'installation, des systèmes de détection des attaques et des justificatifs à fournir au BSI tous les trois ans.
Que régit la loi-cadre KRITIS ?
Elle encadre la protection physique et la résilience des installations critiques. L'autorité compétente est le BBK, la sécurité informatique restant régie par la loi BSI. De nombreux détails dépendent encore d'une ordonnance.
Quels délais de notification s'appliquent en cas d'incident de sécurité ?
Une alerte initiale doit être adressée au BSI au plus tard 24 heures après la prise de connaissance, la notification proprement dite après 72 heures et un rapport final après un mois. C'est votre entreprise qui notifie, et nous fournissons les informations techniques nécessaires.
À quelle fréquence les exploitants KRITIS doivent-ils fournir des justificatifs ?
Selon la nouvelle loi BSI, tous les trois ans au lieu de tous les deux ans auparavant. Le BSI fixe la première échéance, et des règles transitoires s'appliquent aux exploitants existants.
La direction engage-t-elle sa responsabilité ?
Oui, en cas de manquement fautif à ses obligations, elle est responsable selon les règles du droit des sociétés. Elle doit mettre en œuvre les mesures, en surveiller le respect et suivre régulièrement des formations.
Réalisez-vous le contrôle prévu au § 39 BSIG ?
Non, le contrôle est confié à un organisme indépendant. Nous y préparons votre IT et votre documentation et répondons aux questions techniques.
KRITIS
Où en est votre installation ?
Lors d'un court entretien, nous déterminons quelles obligations peuvent vous concerner et par quoi commencer.