La KRITIS-Dachgesetz (la loi-cadre allemande sur la résilience des infrastructures critiques) est en vigueur depuis mars 2026 (Bundestag le 29 janvier 2026, Bundesrat le 6 mars 2026, Journal officiel fédéral — BGBl. 2026 I n° 66) et transpose la directive européenne CER (UE) 2022/2557. Pour la première fois, elle oblige environ 1 300 opérateurs d’installations critiques dans dix secteurs, de manière uniforme sur tout le territoire allemand, à assurer la résilience physique — de l’enregistrement à l’analyse des risques jusqu’au plan de résilience. Le premier délai est déjà passé : l’enregistrement auprès du BBK (Office fédéral de la protection civile) et du BSI (Office fédéral de la sécurité des informations) devait être effectué au plus tard le 17 juillet 2026. Quiconque l’a manqué devrait maintenant s’enregistrer sans délai et commencer l’analyse des risques en parallèle.
Qui est concerné
La loi s’adresse aux opérateurs d’installations critiques dans dix secteurs — notamment l’énergie, l’eau, la santé et les transports. Selon les estimations issues du processus législatif, environ 1 300 opérateurs tombent sous le coup des nouvelles obligations. Contrairement au droit de la sécurité informatique, la KRITIS-Dachgesetz vise la résilience physique et organisationnelle : il s’agit des installations, des processus et — expressément — du personnel, et non pas seulement des systèmes informatiques. Le volet cyber est régulé en parallèle par la BSIG (loi sur l’Office fédéral de la sécurité des informations) ; sur la distinction, voir l’article sur la sécurité du personnel au titre de l’art. 30 BSIG.
La cascade de délais : enregistrement, analyse des risques, plan de résilience
Le programme d’obligations est échelonné dans le temps :
- Enregistrement auprès du BBK/BSI au plus tard le 17 juillet 2026 — ce délai est passé.
- Analyse des risques : dans les neuf mois suivant l’enregistrement, les opérateurs doivent analyser systématiquement les risques pertinents pour leur installation.
- Plan de résilience : dans les dix mois, les opérateurs doivent exposer les mesures techniques, organisationnelles et liées au personnel par lesquelles les risques identifiés seront traités.
La cascade signifie : l’enregistrement n’était pas le but, mais le coup d’envoi. À partir de maintenant, les délais de fond courent — et la tâche la plus exigeante, le plan de résilience, suit immédiatement l’analyse des risques. Quiconque épuise les neuf mois entiers pour l’analyse des risques n’a pratiquement plus de marge pour le plan de résilience. Il est donc conseillé de penser les deux volets en parallèle dès le départ : la structure du plan de résilience — quelles catégories de mesures il doit couvrir, qui est responsable en interne, quelles preuves l’autorité de surveillance attendra — peut déjà être mise en place pendant l’analyse des risques.
Délai manqué — et maintenant ?
Les opérateurs qui ne se sont pas enregistrés avant le 17 juillet 2026 ne devraient pas reporter l’enregistrement, mais l’effectuer sans délai. Trois raisons plaident en faveur d’une action rapide :
- L’obligation d’enregistrement subsiste — elle ne s’éteint pas avec le délai, et l’omission s’aggrave chaque jour qui passe.
- Les délais subséquents pour l’analyse des risques et le plan de résilience dépendent de l’enregistrement ; les retardataires repoussent tout leur programme d’obligations et finissent par devoir s’expliquer devant l’autorité de surveillance.
- Un enregistrement tardif proactif, avec une analyse des risques déjà en cours, documente une intention de se conformer — attendre documente l’inverse.
En cas de doute, examinez d’abord proprement si votre installation remplit les critères d’opérateur, et documentez cet examen même si le résultat est négatif. Précisément les opérateurs qui ne relevaient pas auparavant du droit de la sécurité informatique sous-estiment souvent que la loi-cadre fixe ses propres critères indépendants — l’évaluation d’applicabilité doit donc être consignée même lorsqu’elle reçoit une réponse négative.
La sécurité du personnel : un ensemble d’obligations distinct, pas une note de bas de page
Un aspect est sous-estimé dans de nombreux projets de mise en œuvre : la KRITIS-Dachgesetz — notamment l’art. 13 KRITIS-DachG — et la directive CER sous-jacente traitent la sécurité du personnel comme un ensemble d’obligations distinct, aux côtés des mesures structurelles et techniques. Les background checks des collaborateurs occupant des fonctions critiques sont expressément prévus par le droit de l’UE. Quiconque réduit le plan de résilience à des clôtures, des capteurs et des plans d’urgence laisse de côté un pilier porteur. Comment l’obligation de contrôle du personnel peut être mise en œuvre concrètement est montré dans le guide de mise en œuvre des background checks ; la distinction avec l’habilitation de sécurité d’État est expliquée dans l’article Habilitation de sécurité d’État vs. contrôle de l’employeur.
Conduite recommandée
Clarifiez maintenant trois choses, dans cet ordre : premièrement, votre statut d’enregistrement — s’il a été manqué, enregistrez-vous sans délai. Deuxièmement, la feuille de route de l’analyse des risques, avec une responsabilité claire et une marge de temps réaliste avant le délai de neuf mois. Troisièmement, la sécurité du personnel comme volet de travail dédié du plan de résilience : quels rôles sont critiques, quelle profondeur de contrôle est appropriée, comment est-elle documentée ? Pour ce dernier point, Indicium livre des rapports logiciels vérifiables avec sources datées et examen final humain (art. 22 RGPD) — dès 79 € par rapport. Nous nous ferons un plaisir de vous montrer à quoi cela ressemble dans votre secteur lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.