Allemagne : BSIG

Au point de notification commun (gemeinsame Meldestelle) du BSI et de l'Office fédéral de la protection civile (BBK), accessible par le portail du BSI. L'article 32, paragraphe 1, du BSIG fixe les étapes : une première notification précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification dans les 72 heures, une notification intermédiaire à la demande du BSI et une notification finale au plus tard un mois après celle des 72 heures. Si l'incident est encore en cours à ce moment, un rapport d'avancement est dû à la place, et la notification finale suit une fois l'incident traité (article 32, paragraphe 2). L'obligation s'applique au plus tôt à partir de la mise en place du canal de notification. Selon l'article 36, le BSI accuse réception sans délai et si possible dans les 24 heures, et propose sur demande des orientations sur les mesures correctives.

Selon l'article 33, paragraphe 1, du BSIG, les entités particulièrement importantes et importantes s'enregistrent au plus tard trois mois après être considérées comme telles pour la première fois ou de nouveau, via le dispositif d'enregistrement mis en place par le BSI et le BBK. Elles indiquent leur nom et leur forme juridique, leur adresse et leurs coordonnées, y compris les plages d'adresses IP publiques, leur secteur, les États membres où elles fournissent des services et leurs autorités de surveillance. Les exploitants d'installations critiques s'enregistreront plutôt au titre de l'article 8 de la KRITIS-Dachgesetz (article 33, paragraphe 2), mais seulement une fois en vigueur le règlement qui identifie les installations critiques en vertu de cette loi ; d'ici là, l'article 66 maintient l'ancienne version de l'article 33, paragraphe 2, suivez donc les instructions actuelles du BSI. Les changements doivent être communiqués sans délai et au plus tard dans les deux semaines (article 33, paragraphe 5). Si une entité ne s'enregistre pas, le BSI peut le faire lui-même en accord avec les autorités de surveillance (article 33, paragraphe 3), et ne pas transmettre les informations correctement ou à temps est une infraction administrative passible d'une amende jusqu'à 500 000 euros selon l'article 65. Conservez la confirmation avec vos dossiers NIS2.

Principalement les entreprises des types d'entités listés aux annexes 1 et 2 du BSIG qui atteignent les seuils de taille de l'article 28, ainsi que certaines entités quelle que soit leur taille. Selon l'article 28, paragraphe 1, sont notamment des entités particulièrement importantes les exploitants d'installations critiques, les prestataires de services de confiance qualifiés, les registres de domaines de premier niveau et les fournisseurs de services DNS, ainsi que les entreprises d'un type d'entité de l'annexe 1 comptant au moins 250 salariés ou réalisant plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de total du bilan. Selon l'article 28, paragraphe 2, sont notamment des entités importantes les autres prestataires de services de confiance et les entreprises d'un type d'entité des annexes 1 ou 2 comptant au moins 50 salariés ou dépassant 10 millions d'euros à la fois de chiffre d'affaires et de total du bilan. Les activités accessoires négligeables peuvent être écartées (paragraphe 3), et les données des entreprises partenaires ou liées ne s'additionnent pas si l'entreprise est indépendante sur le plan informatique (paragraphe 4). Le BSI propose un autotest sur son site.

Surtout la taille, le secteur et la supervision, pas les obligations de fond. La loi allemande emploie, à l'article 28 du BSIG, les termes besonders wichtige Einrichtung (entité particulièrement importante) et wichtige Einrichtung (entité importante) ; ils correspondent aux entités essentielles et importantes de NIS2. Les deux doivent prendre les mesures de gestion des risques de l'article 30, notifier les incidents importants selon l'article 32, s'enregistrer selon l'article 33 et respecter les obligations de la direction de l'article 38. Les différences tiennent à la supervision et aux amendes : le BSI peut contrôler les entités particulièrement importantes de sa propre initiative, ordonner des audits et exiger des preuves (article 61), tandis qu'il agit envers les entités importantes quand des faits laissent penser à un manquement (article 62) ; les amendes maximales de l'article 65 sont plus élevées pour les entités particulièrement importantes. Les exploitants d'installations critiques, toujours particulièrement importants, ont des obligations supplémentaires, dont des systèmes de détection d'attaques (article 31) et des preuves régulières (article 39).

Parce que l'article 33, paragraphe 1, du BSIG les range parmi les coordonnées que les entités doivent transmettre, afin que le BSI puisse adresser ses alertes à la bonne organisation. Quand le BSI ou un partenaire apprend qu'une adresse de votre plage appartient à un botnet, expose un service vulnérable ou subit une attaque, il doit savoir à qui elle appartient pour vous prévenir vite. En pratique, beaucoup d'entreprises ne connaissent pas leurs plages de mémoire : elles peuvent être attribuées par le fournisseur d'accès, réparties entre sites ou dispersées dans des services cloud. Rassemblez-les à partir des contrats fournisseurs et de la configuration des routeurs, notez quelle plage appartient à quel site et tenez la liste à jour, car les changements doivent être communiqués dans les deux semaines selon l'article 33, paragraphe 5. L'enregistrement n'autorise personne à balayer ou attaquer ces adresses. NetSenX ne fait pas l'enregistrement, mais sa vue réseau montre quels appareils internes communiquent vers l'extérieur par quelles adresses.

Le BSI peut vous enregistrer lui-même, demander des documents, et une amende est possible. Selon l'article 33, paragraphe 3, du BSIG, le BSI peut procéder à l'enregistrement en accord avec les autorités de surveillance compétentes si une entité ne le fait pas. Selon le paragraphe 4, si des faits laissent penser qu'une entité n'a pas rempli son obligation d'enregistrement, elle doit, sur demande, fournir les documents et informations dont le BSI a besoin pour l'apprécier. Ne pas transmettre les informations requises, ou les transmettre de façon inexacte, incomplète ou tardive, est une infraction administrative au sens de l'article 65, paragraphe 2, point 6, passible d'une amende jusqu'à 500 000 euros selon l'article 65, paragraphe 5. L'absence d'enregistrement ne suspend pas non plus les autres obligations : gestion des risques et notification s'appliquent parce que vous remplissez les critères, pas parce que vous êtes enregistré. En cas de doute sur le champ, utilisez l'autotest du BSI et documentez le résultat.

Ce sont des processus, soutenus par des outils techniques et une intégration organisationnelle, qui détectent les attaques contre les systèmes informatiques en comparant les données traitées dans ces systèmes à des informations et à des motifs techniques révélateurs d'attaques. C'est la définition de l'article 2, point 41, du BSIG. L'article 31, paragraphe 2, impose aux exploitants d'installations critiques d'utiliser de tels systèmes pour les systèmes, composants et processus informatiques déterminants pour le fonctionnement de leurs installations critiques ; ces systèmes doivent collecter et évaluer en continu et automatiquement des paramètres adaptés issus de l'exploitation, devraient pouvoir identifier et éviter les menaces et prévoir des mesures correctives, et suivre l'état de l'art pour un coût proportionné aux conséquences d'une défaillance. La définition insiste sur l'intégration organisationnelle : un outil que personne ne regarde n'y répond pas. Une détection réseau comme NetSenX peut en être un composant technique ; les processus, rôles et réponses autour vous reviennent.

Pas directement : l'article 31, paragraphe 2, du BSIG ne vise que les exploitants d'installations critiques. Les autres entités particulièrement importantes et importantes, dont beaucoup d'entreprises de taille moyenne, relèvent des mesures générales de gestion des risques de l'article 30, qui exigent des mesures appropriées, proportionnées et efficaces pour éviter les perturbations et limiter l'impact des incidents, y compris la gestion des incidents de sécurité (article 30, paragraphe 2, point 2). L'article 30 ne cite pas la détection d'attaques, mais gérer les incidents et tenir l'étape des 24 heures de l'article 32 est difficile sans un moyen de les remarquer ; beaucoup d'entités utilisent donc une détection proportionnée à leur risque. Des clients exploitants d'installations critiques peuvent aussi l'exiger contractuellement de leurs fournisseurs. Documentez pourquoi la détection choisie convient à votre taille et à votre exposition. NetSenX propose une détection réseau dans toutes les offres, Free comprise, et dit ce qu'il ne voit pas.

Des mesures techniques et organisationnelles appropriées, proportionnées et efficaces, documentées et couvrant au moins dix domaines. Selon l'article 30, paragraphe 1, les entités particulièrement importantes et importantes doivent prendre des mesures pour éviter les atteintes à la disponibilité, à l'intégrité et à la confidentialité des systèmes, composants et processus informatiques qu'elles utilisent pour fournir leurs services, et limiter autant que possible l'impact des incidents de sécurité. La proportionnalité tient compte de l'exposition au risque, de la taille de l'entité, des coûts de mise en œuvre, de la probabilité et de la gravité des incidents et de leurs effets sociaux et économiques. Le respect de l'obligation doit être documenté. Selon l'article 30, paragraphe 2, les mesures doivent en principe suivre l'état de l'art et tenir compte des normes européennes et internationales pertinentes, et reposer obligatoirement sur une approche tous risques ; il liste les domaines minimaux, calqués sur l'article 21, paragraphe 2, de NIS2, de l'analyse des risques à l'authentification multifacteur. Pour certains fournisseurs numériques, l'acte d'exécution européen prime (paragraphe 3).

Jusqu'à 10 millions d'euros pour les entités particulièrement importantes et 7 millions pour les entités importantes pour les principaux manquements, avec des plafonds liés au chiffre d'affaires pour les grandes entreprises. L'article 65, paragraphe 5, du BSIG fixe ces plafonds pour des manquements comme l'absence des mesures de gestion des risques de l'article 30, l'absence de documentation, des notifications inexactes ou tardives selon l'article 32 et certaines obligations d'information de l'article 35. Pour les entités dont le chiffre d'affaires mondial total dépasse 500 millions d'euros, le plafond monte à 2 % du chiffre d'affaires pour les entités particulièrement importantes et à 1,4 % pour les importantes (paragraphes 6 et 7). D'autres manquements ont des plafonds plus bas, par exemple jusqu'à 500 000 euros pour un enregistrement inexact ou tardif et jusqu'à 100 000 euros pour certains autres. Ce sont des maximums : le montant réel dépend du cas. S'y ajoute, via l'article 38, la responsabilité de la direction selon le droit des sociétés.

Oui, envers la société, selon les règles du droit des sociétés. L'article 38, paragraphe 1, du BSIG oblige la direction des entités particulièrement importantes et importantes à mettre en œuvre les mesures de gestion des risques de l'article 30 et à en surveiller la mise en œuvre. Selon le paragraphe 2, les dirigeants qui manquent à ces obligations répondent envers leur entité du dommage causé par leur faute, selon les règles du droit des sociétés applicables à sa forme juridique ; ce n'est qu'en l'absence de telles règles que le BSIG prévoit lui-même la responsabilité. Pour une GmbH ou une AG, cela renvoie aux standards connus du dirigeant diligent. En outre, pour les entités particulièrement importantes, l'autorité de surveillance peut, en dernier recours, interdire temporairement l'exercice de leurs fonctions aux dirigeants peu fiables si les injonctions du BSI ne sont pas suivies (article 61, paragraphe 9). Documentez approbations, revues et formations, et vérifiez si votre assurance responsabilité des dirigeants couvre ces demandes.

Oui, régulièrement. L'article 38, paragraphe 3, du BSIG impose à la direction des entités particulièrement importantes et importantes de suivre régulièrement des formations pour acquérir des connaissances et compétences suffisantes afin de reconnaître et d'évaluer les risques et les pratiques de gestion des risques en sécurité de l'information, et d'en apprécier l'impact sur les services de l'entité. La loi ne fixe ni nombre d'heures, ni format, ni certificat : choisissez une formation adaptée à votre secteur et à votre taille et répétez-la à intervalle raisonnable, par exemple chaque année et après des changements importants de la menace ou du droit. L'obligation est personnelle aux membres de la direction : la déléguer au responsable informatique ne suffit pas. Conservez attestations de présence et programme : le BSI peut inclure le respect de l'article 38, paragraphe 3, dans les audits qu'il ordonne aux entités particulièrement importantes selon l'article 61, paragraphe 1, et agir envers les importantes selon l'article 62.

Il accuse réception et peut aider, et dans certains cas il peut vous obliger à informer le public ou le faire lui-même. Selon l'article 36, paragraphe 1, du BSIG, le BSI adresse à l'entité déclarante un accusé de réception sans délai et si possible dans les 24 heures, et fournit sur demande des orientations ou des conseils opérationnels sur les mesures correctives ; il peut aussi offrir sur demande un soutien technique supplémentaire. Selon le paragraphe 2, si la sensibilisation du public est nécessaire pour prévenir ou gérer un incident important, ou si la divulgation est par ailleurs d'intérêt public, le BSI peut, après avoir entendu l'entité, l'obliger à informer le public, ou l'informer lui-même. Le BSI se sert aussi des notifications pour prévenir d'autres organisations et établir la situation nationale. Les notifications volontaires et l'échange d'informations ne créent pas d'obligations supplémentaires qui ne s'appliqueraient pas autrement (article 30, paragraphe 7). Gardez une copie de tout ce que vous avez transmis.

Pour l'essentiel des obligations NIS2, non : elles appliquent DORA. L'article 28, paragraphe 6, du BSIG prévoit que les articles 30, 31, 32, 35, 36, 38 et 39, qui couvrent gestion des risques, détection d'attaques, notification des incidents, obligations d'information, obligations de la direction et preuves, ne s'appliquent pas aux entités financières visées à l'article 2, paragraphe 2, du règlement (UE) 2022/2554 (DORA) ni aux entreprises auxquelles les exigences de DORA s'appliquent via la loi bancaire ou la loi sur la surveillance des assurances. Leur gestion des risques TIC et leurs notifications d'incidents relèvent de DORA et du superviseur financier. D'autres dispositions du BSIG, comme l'enregistrement de l'article 33, ne figurent pas dans cette liste : vérifiez-les séparément. Les prestataires TIC de ces entités financières ne sont pas exemptés par cette règle : s'ils relèvent eux-mêmes du BSIG, ils l'appliquent, et DORA les atteint par leurs contrats.

Oui, si vous êtes concerné, selon des modalités qui dépendent de votre catégorie. Pour les entités particulièrement importantes, le BSI peut ordonner des audits, contrôles ou certifications par des organismes indépendants afin de vérifier les mesures de gestion des risques, les obligations de notification et la formation de la direction (article 61, paragraphe 1, du BSIG) ; au plus tôt trois ans après l'entrée en vigueur, il peut exiger des preuves de conformité des autres entités particulièrement importantes (paragraphe 3) ; et il peut contrôler lui-même, avec le droit d'entrer dans les locaux pendant les heures habituelles et de consulter les documents (paragraphe 5). Pour les entités importantes, le BSI contrôle et peut prendre les mêmes mesures quand des faits laissent penser que les obligations ne sont pas remplies (article 62). Les exploitants d'installations critiques doivent fournir des preuves par audits, contrôles ou certifications tous les trois ans (article 39). Gardez prête votre documentation des mesures de l'article 30, que le paragraphe 1 exige de toute façon.