La loi allemande de transposition de NIS2 (NIS2UmsuCG) est en vigueur depuis le 6 décembre 2025 — sans période de transition. Environ 29 500 entreprises relèvent du BSIG remanié (loi allemande sur l’Office fédéral de la sécurité des informations) en tant qu’« entités particulièrement importantes » ou « entités importantes », et le § 30 al. 2 BSIG exige expressément d’elles des concepts de sécurité du personnel, de contrôle d’accès et de sécurité de la chaîne d’approvisionnement. Le § 38 BSIG rend la direction personnellement responsable de la mise en œuvre. Quiconque a jusqu’ici traité la « sécurité du personnel » comme une politique de mots de passe n’a pas rempli l’obligation — ce qui est exigé, c’est un concept qui vérifie les personnes, pas seulement les comptes.
Qui est concerné — et quel délai est déjà passé
Le champ d’application découle du § 28 BSIG : sont concernées les entités particulièrement importantes et importantes d’un large éventail de secteurs — considérablement plus d’entreprises que sous l’ancien régime KRITIS. De nombreuses entreprises de taille moyenne sont concernées sans le savoir. L’obligation d’enregistrement du § 33 BSIG devait être remplie au plus tard le 6 mars 2026 ; quiconque n’a pas encore évalué s’il relève du champ d’application devrait le faire maintenant et le documenter. Pour les exploitants d’installations critiques, la KRITIS-Dachgesetz (loi-cadre allemande sur la résilience des infrastructures critiques) s’applique en parallèle avec ses propres délais — voir KRITIS-Dachgesetz 2026 : obligations et délais.
Ce que le § 30 BSIG exige concrètement
Le § 30 al. 2 BSIG transcrit l’art. 21 al. 2 lit. i de la directive NIS2 (UE) 2022/2555 en droit allemand et nomme les catégories de mesures que toute entité doit couvrir — en incluant expressément :
- Sécurité du personnel : des concepts traitant le risque lié au facteur humain — de l’embauche aux changements de fonction jusqu’au départ.
- Contrôle d’accès : qui reçoit quelles autorisations, qui en décide, comment sont-elles révoquées ?
- Sécurité de la chaîne d’approvisionnement : l’intégration des prestataires de services et des fournisseurs dans votre propre concept de sécurité.
La séquence est frappante : le législateur place la dimension humaine à côté de la dimension technique. Une entité qui peut présenter des pare-feu et une gestion des correctifs, mais qui ne peut pas expliquer comment elle garantit l’intégrité des personnes détenant des accès privilégiés, a simplement laissé une catégorie obligatoire sans traitement.
De l’obligation abstraite au concept de screening
« Concepts de sécurité du personnel » reste abstrait dans la loi — en pratique, une structure autour de trois déclencheurs a fait ses preuves :
- Embauche : screening fondé sur le risque avant le début du travail, gradué selon la criticité du poste (administrateurs, personnel des centres de contrôle et fonctions clés plus intensément que les postes sans accès privilégié).
- Changement de fonction : quiconque passe en interne à une fonction critique n’a jamais été vérifié pour cette fonction — le changement constitue en soi un déclencheur de screening.
- Prestataires de services : les externes ayant accès aux systèmes ne passent pas par l’onboarding RH et échapperaient sinon à tous les filets ; l’obligation de chaîne d’approvisionnement du § 30 BSIG les intègre expressément dans le concept.
La pratique de mise en œuvre dans le domaine KRITIS fournit un modèle méthodologique — le guide de mise en œuvre des background checks peut être transposé aux entités NIS2. Important pour les postes soumis à une vérification de sécurité de l’État : l’habilitation de sécurité ne remplit pas l’obligation de l’exploitant — sur la distinction, voir Habilitation de sécurité de l’État vs. screening employeur.
La dimension de responsabilité : le § 38 BSIG
Le § 38 BSIG oblige la direction à approuver les mesures de gestion des risques du § 30 BSIG et à surveiller leur mise en œuvre — une obligation personnelle du niveau dirigeant qui ne peut pas être entièrement déléguée. Pour les directeurs généraux et les membres de conseil d’administration, cela signifie : la question « comment garantissons-nous la sécurité du personnel ? » doit trouver une réponse au niveau dirigeant, et cette réponse doit être documentée. Une lacune dans une catégorie de mesures nommée par la loi est difficile à expliquer quand les choses tournent mal — surtout lorsque l’incident est venu de l’intérieur et qu’un contrôle n’a jamais eu lieu.
Conduite recommandée
Procédez en trois étapes : premièrement, clarifiez et documentez votre statut au titre des §§ 28, 33 BSIG — champ d’application et enregistrement. Deuxièmement, confrontez vos concepts de sécurité existants aux catégories de mesures du § 30 al. 2 BSIG — avec une réponse honnête à la question de savoir si la « sécurité du personnel » dans votre organisation est plus qu’une politique sur l’intranet. Troisièmement, mettez en place un concept de screening gradué pour l’embauche, les changements de fonction et les prestataires de services, et soumettez-le à l’approbation de la direction. Indicium accompagne cela avec des rapports logiciels vérifiables, avec sources datées et examen final humain (art. 22 RGPD) — dès 79 € par rapport ; des exemples sectoriels sont disponibles sous Secteurs.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.