# Lacune d'enregistrement NIS2 : ce qu'elle révèle sur l'incertitude du périmètre > SwissGRC® analyse l'écart d'environ 10’000 enregistrements NIS2 en Allemagne. L'article explique pourquoi la détermination du périmètre est exigeante et comment les entreprises peuvent documenter leur évaluation d'applicabilité. - URL: https://swissgrc.com/fr/lacune-enregistrement-nis2-incertitude-perimetre/ - Éditeur: SwissGRC® - Publié: 2026-08-21 - Dernière mise à jour: 2026-08-21 ## Points clés - Le gouvernement allemand attendait environ 29’500 entités soumises à NIS2, sur la base d'un calcul de l'Office fédéral de la statistique. - Environ 10’000 enregistrements manquent par rapport à cette prévision, alors que seuls environ 11’500 opérateurs s'étaient enregistrés dans le délai initial. - L'applicabilité de NIS2 dépend de deux critères cumulatifs, l'appartenance sectorielle (18 secteurs selon les annexes du BSIG) et la taille de l'entreprise. - Aucune autorité ne notifie la classification, les entités concernées doivent s'identifier elles-mêmes. - Une évaluation ponctuelle ne suffit pas, car la classification sectorielle, les structures de groupe et les seuils évoluent dans le temps. - Les entreprises suisses avec des filiales, des succursales ou des relations clients significatives dans l'UE devraient vérifier leur propre applicabilité. Le gouvernement allemand avait initialement estimé que près de 30’000 entreprises devraient s’enregistrer comme infrastructures critiques au titre de NIS2. Dans les faits, environ 10’000 notifications manquent encore par rapport à cette attente, comme le rapporte Golem. Le gouvernement lui-même ne qualifie pas cela de lacune au sens strict. Cette appréciation mérite un examen plus approfondi, car elle en dit long sur la nature même de la détermination du périmètre. En bref L’écart d’environ 10’000 entreprises entre le nombre d’entités concernées par NIS2 attendu par le gouvernement allemand et le nombre effectivement enregistré auprès du BSI montre que déterminer sa propre applicabilité est un exercice exigeant, qui requiert une documentation. Les entreprises devraient rendre traçable, par écrit, leur évaluation sectorielle et des seuils, plutôt que de s’en remettre à une appréciation intuitive. 29’500entités Entités concernées par NIS2 attendues par le gouvernement allemand, sur la base d’un calcul de l’Office fédéral de la statistique it-daily.net, NIS2: Nach Nachfrist weiter zu wenig Registrierungen 10’000entreprises Écart entre les entités attendues et effectivement enregistrées it-daily.net, NIS2: Nach Nachfrist weiter zu wenig Registrierungen 18secteurs Secteurs pertinents pour la classification NIS2 selon les annexes du BSIG mars-solutions.de, NIS-2-Registrierung: Frist abgelaufen, Lücke bleibt ## Quelle est l’ampleur de l’écart entre les entités NIS2 attendues et enregistrées ? L’attente d’environ 29’500 entités soumises à enregistrement reposait sur un calcul de l’Office fédéral de la statistique. Le nombre effectif de notifications est resté nettement inférieur à ce chiffre. L’attente de 29’500 entités concernées reposait sur un calcul de l’Office fédéral de la statistique (Statistisches Bundesamt), sur lequel le gouvernement allemand s’est appuyé lors de l’adoption de la loi de transposition de NIS2. Même après l’octroi d’un délai supplémentaire, l’écart a persisté. Environ 10’000 enregistrements manquent actuellement par rapport à la prévision, après que seuls environ 11’500 opérateurs s’étaient dûment enregistrés dans le délai initialement fixé. La manière dont le gouvernement présente cet écart est remarquable : non pas comme la preuve d’un défaut d’enregistrement systématique, mais comme une question ouverte de savoir si l’estimation initiale elle-même avait été fixée trop haut. Cette incertitude du côté statistique fait écho à une incertitude qui existe également du côté des entreprises. ## Pourquoi les entreprises ne peuvent-elles pas simplement déduire si elles sont concernées ? L’applicabilité de NIS2 résulte d’une combinaison entre l’appartenance sectorielle et un seuil de taille, que chaque entreprise doit évaluer et documenter elle-même, sans notification préalable des autorités. L’applicabilité résulte de deux critères qui doivent être remplis simultanément : l’appartenance sectorielle et la taille de l’entreprise, les annexes pertinentes énumérant 18 secteurs, dont l’énergie, les transports, la santé, l’eau, les infrastructures numériques, les services informatiques, la chimie, l’alimentation et l’industrie manufacturière. Il n’existe aucune attribution externe par une autorité. Les entités concernées doivent s’identifier elles-mêmes ; il n’y a ni avis officiel ni demande d’une autorité. L’association des services publics municipaux formule la cause avec clarté : la principale raison de la lacune d’enregistrement actuelle réside dans la complexité de l’évaluation de l’applicabilité. Lorsque l’auto-évaluation sans boucle de rétroaction constitue la base, la qualité de la méthodologie d’évaluation interne devient le facteur décisif. ## Qu’est-ce que cela signifie pour la qualité de l’évaluation de périmètre propre à une entreprise ? Une évaluation ponctuelle et informelle ne suffit pas, car la classification sectorielle, les structures de groupe et les seuils peuvent évoluer dans le temps et doivent être documentés de manière traçable. L’expérience allemande montre que même des entreprises disposant de ressources de conformité peuvent mal évaluer leur classification, ou simplement négliger qu’une partie de leur propre activité relève d’un secteur réglementé. Cela concerne non seulement les entreprises ayant un lien évident avec les infrastructures critiques, mais aussi les fournisseurs et prestataires de services dont la classification ne résulte que de relations en chaîne. Une entreprise qui ne réalise son évaluation d’applicabilité qu’une seule fois, sans la renouveler à chaque changement pertinent, risque de sortir discrètement du périmètre ou d’y entrer discrètement. Pour la fonction GRC, cela signifie que la détermination du périmètre elle-même devrait être traitée comme un objet de contrôle, avec des responsabilités claires et un examen récurrent. L’article « Repenser la cyber-résilience dans le contexte de NIS2 » décrit comment cette exigence peut être intégrée dans un concept de résilience existant. ## Qu’est-ce que cela signifie pour les entreprises hors d’Allemagne ? Les entreprises suisses disposant de filiales, de succursales ou de relations clients significatives dans l’UE devraient elles aussi vérifier si l’applicabilité de NIS2 découle de ce lien. La lacune d’enregistrement est un phénomène allemand, mais le problème sous-jacent de la détermination du périmètre ne l’est pas. Chaque État membre de l’UE transpose NIS2 avec ses propres délais et procédures, ce qui implique des étapes d’évaluation supplémentaires pour les entreprises opérant au-delà des frontières. L’analyse « Résolution NIS2 au Bundestag : pression à agir pour les entreprises » expose les conséquences de la transposition allemande pour les relations d’affaires transfrontalières. Pour la Suisse elle-même, la discussion autour d’une loi distincte sur la cyber-résilience se déroule en parallèle, avec sa propre systématique. L’article « Le Conseil fédéral annonce une nouvelle loi sur la cyber-résilience » décrit l’état actuel de cette initiative. ## Comment les entreprises peuvent-elles concrètement améliorer leur propre évaluation de périmètre ? La première étape consiste en une analyse sectorielle et des seuils écrite et documentée, approuvée par la direction générale et mise à jour à chaque changement structurel pertinent. L’analyse doit indiquer quelle activité est rattachée à quel secteur, quels indicateurs de taille ont été utilisés, et qui est responsable de l’évaluation. Cette documentation ne sert pas seulement à la clarté interne, mais aussi de preuve envers les autorités de surveillance et les partenaires commerciaux, qui exigent eux-mêmes de plus en plus de justificatifs. L’article « ISMS : les personnes, les processus et la technologie sont déterminants » montre comment une telle évaluation peut être intégrée à un système de management existant. Le responsable conformité ou risques devrait finaliser l’analyse de périmètre avant la prochaine revue de direction du système de management de la sécurité de l’information et la soumettre pour approbation au responsable de la gouvernance. Il s’agit d’une première étape gérable et vérifiable, réalisable indépendamment de la taille de l’entreprise. En pratique ## Points clés - L’écart entre les entités NIS2 attendues et enregistrées révèle avant tout une incertitude méthodologique dans la détermination du périmètre, et pas nécessairement un refus généralisé. - L’appartenance sectorielle et le seuil de taille doivent être évalués conjointement, sans qu’aucune autorité ne notifie la classification à l’avance. - Une évaluation ponctuelle ne suffit pas, car les structures de groupe, les domaines d’activité et les indicateurs évoluent dans le temps. - Les entreprises suisses exposées à l’UE devraient évaluer leur propre applicabilité indépendamment du débat allemand. - Une analyse de périmètre écrite et documentée, approuvée par la direction générale, constitue la première étape vérifiable. FAQ ## Questions fréquentes Qu’est-ce que la lacune d’enregistrement NIS2 ? Le gouvernement allemand attendait environ 29’500 entreprises soumises à l’enregistrement NIS2, sur la base d’un calcul de l’Office fédéral de la statistique. Or, à l’échéance initiale, seuls environ 11’500 opérateurs s’étaient enregistrés, et environ 10’000 notifications manquent encore aujourd’hui par rapport à la prévision. Le gouvernement n’y voit pas seulement la preuve d’un défaut d’enregistrement, mais aussi une possible surestimation du chiffre initial. Quels critères déterminent si une entreprise est concernée par NIS2 ? L’applicabilité résulte de deux critères qui doivent être remplis simultanément : l’appartenance à l’un des 18 secteurs listés, tels que l’énergie, les transports, la santé ou les services informatiques, et le franchissement de certains seuils de taille d’entreprise. Il n’existe aucune classification externe par une autorité ; les entreprises doivent s’identifier elles-mêmes. Les entreprises suisses doivent-elles se préoccuper de NIS2 ? NIS2 est un droit de l’UE qui ne s’applique directement qu’aux entreprises situées dans les États membres. Les entreprises suisses disposant de filiales, de succursales ou de relations clients significatives dans l’UE devraient néanmoins vérifier si une applicabilité découle de ce lien. Pour la Suisse elle-même, une loi distincte sur la cyber-résilience est discutée en parallèle. Pourquoi une évaluation ponctuelle de l’applicabilité de NIS2 n’est-elle pas suffisante ? La classification sectorielle, les structures de groupe et les seuils peuvent évoluer dans le temps, par exemple sous l’effet de la croissance, d’une restructuration ou de nouvelles lignes d’activité. Une entreprise qui ne réalise l’évaluation d’applicabilité qu’une seule fois risque de sortir ou d’entrer dans le périmètre sans s’en rendre compte. L’évaluation devrait donc être renouvelée et documentée à chaque changement pertinent. Comment une analyse de périmètre NIS2 doit-elle être documentée ? La documentation doit indiquer quelle activité est rattachée à quel secteur, quels indicateurs de taille ont été utilisés, et qui est responsable de l’évaluation. Elle doit être approuvée par la direction générale et mise à jour lors des changements structurels pertinents. Cette documentation sert également de preuve envers les autorités et les partenaires commerciaux. Sources 1. [NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html)Bundesamt für Sicherheit in der Informationstechnik (BSI) ## Questions fréquentes ### Qu'est-ce que la lacune d'enregistrement NIS2 ? Le gouvernement allemand attendait environ 29’500 entités soumises à l'enregistrement NIS2. Environ 10’000 notifications manquent encore par rapport à cette prévision. Le gouvernement ne parle pas de lacune au sens strict et se demande si l'estimation initiale était trop élevée. ### Quels critères déterminent si une entreprise est concernée par NIS2 ? Deux critères doivent être remplis simultanément, l'appartenance à l'un des 18 secteurs des annexes et la taille de l'entreprise. Aucune autorité ne procède à une attribution externe, les entreprises doivent s'identifier elles-mêmes. ### Les entreprises suisses doivent-elles se préoccuper de NIS2 ? Les entreprises suisses disposant de filiales, de succursales ou de relations clients significatives dans l'UE devraient vérifier si NIS2 s'applique à elles du fait de ce lien. En Suisse, une loi distincte sur la cyber-résilience est discutée en parallèle. ### Pourquoi une évaluation ponctuelle de l'applicabilité de NIS2 ne suffit-elle pas ? La classification sectorielle, les structures de groupe et les seuils peuvent changer avec le temps. Une entreprise qui n'évalue son applicabilité qu'une fois risque de sortir du périmètre ou d'y entrer sans s'en apercevoir. ### Comment documenter une analyse de périmètre NIS2 ? L'analyse indique quelle activité relève de quel secteur, quels indicateurs de taille ont été utilisés et qui est responsable de l'évaluation. Elle est approuvée par la direction générale et mise à jour à chaque changement structurel pertinent.