Qu'exige l'article 30 du BSIG des entreprises allemandes concernées ?

Des mesures techniques et organisationnelles appropriées, proportionnées et efficaces, documentées et couvrant au moins dix domaines. Selon l'article 30, paragraphe 1, les entités particulièrement importantes et importantes doivent prendre des mesures pour éviter les atteintes à la disponibilité, à l'intégrité et à la confidentialité des systèmes, composants et processus informatiques qu'elles utilisent pour fournir leurs services, et limiter autant que possible l'impact des incidents de sécurité. La proportionnalité tient compte de l'exposition au risque, de la taille de l'entité, des coûts de mise en œuvre, de la probabilité et de la gravité des incidents et de leurs effets sociaux et économiques. Le respect de l'obligation doit être documenté. Selon l'article 30, paragraphe 2, les mesures doivent en principe suivre l'état de l'art et tenir compte des normes européennes et internationales pertinentes, et reposer obligatoirement sur une approche tous risques ; il liste les domaines minimaux, calqués sur l'article 21, paragraphe 2, de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises., de l'analyse des risques à l'authentification multifacteur. Pour certains fournisseurs numériques, l'acte d'exécution européen prime (paragraphe 3).

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 15 questions sur Allemagne : BSIGTous les thèmes