Le délai supplémentaire accordé par le BSI pour l'enregistrement NIS2 a expiré le 31 juillet 2026. La date légale d'enregistrement était déjà dépassée depuis le 6 mars 2026. Toute entreprise qui n'est toujours pas enregistrée se trouve donc en infraction depuis mars, et la période de tolérance administrative est terminée. Le seul retard d'enregistrement peut déjà entraîner des amendes allant jusqu'à 500 000 euros, et les manquements aux autres obligations NIS2 sont assortis de plafonds nettement plus élevés.
S'enregistrer tardivement reste néanmoins la bonne décision, et cela doit se faire sans délai. Cet article explique ce qui s'applique depuis l'expiration du délai, qui est réellement tenu de s'enregistrer, quelles conséquences sont désormais encourues et comment passer d'un enregistrement manqué à la conformité continue que NIS2 exige véritablement.
Ce qui s'applique depuis l'expiration du délai
Le 31 juillet 2026 n'a jamais été une date légale. C'était un délai supplémentaire. La distinction compte : l'obligation juridique d'enregistrement existait avant cette date et demeure inchangée. Ce qui s'est achevé le 31 juillet, c'est la disposition du BSI à différer l'application des sanctions.
L'Allemagne a transposé la directive européenne par une loi BSI révisée, entrée en vigueur le 6 décembre 2025. Le texte ne prévoit aucune période transitoire, les obligations s'appliquaient donc dès le premier jour. Le délai d'enregistrement de trois mois s'est refermé le 6 mars 2026. Vous pouvez consulter le texte intégral de la directive pour mesurer la marge de manœuvre qu'il laisse en matière de report.
Les chiffres expliquent pourquoi le BSI a accordé un délai supplémentaire. Fin mai 2026, seules 18 500 organisations environ sur les 29 000 à 40 000 estimées concernées s'étaient enregistrées. Plus de la moitié des entreprises dans le champ d'application n'étaient pas conformes. Face à cet écart, l'autorité a choisi un dernier avertissement plutôt que des sanctions immédiates. Cet avertissement a désormais expiré.
Ne comptez pas sur une nouvelle prolongation. L'autorité fédérale allemande expose sa position en matière d'application sans ambiguïté, et la surveillance se renforce à mesure que le régime mûrit.
Enregistrement manqué : que faire concrètement maintenant
Enregistrez-vous immédiatement, même tardivement. Un enregistrement tardif volontaire n'est pas traité de la même manière qu'une absence d'enregistrement prolongée, et le moment où vous remplissez votre obligation entre dans l'appréciation de votre comportement.
Documentez à quel moment vous avez établi que vous étiez concerné et pourquoi l'enregistrement n'a pas eu lieu plus tôt. Cette documentation vous coûte une demi-heure et fait la différence entre un déroulement traçable et un manquement inexpliqué.
Lancez l'analyse d'écart en parallèle, et non ensuite. C'est le changement le plus important par rapport à la situation d'avant le 31 juillet. Tant que le délai courait, l'enregistrement lui-même était l'étape la plus urgente. Désormais, le BSI peut exiger des preuves concernant vos mesures de sécurité et pas seulement vérifier votre enregistrement. Une entreprise qui s'enregistre aujourd'hui et n'entame les mesures que dans six mois a rempli la petite obligation et laissé la grande ouverte.
Qui est tenu de s'enregistrer
Vous êtes tenu de vous enregistrer si votre activité principale relève de l'un des 18 secteurs de l'annexe 1 ou de l'annexe 2 de la loi BSI et si votre entreprise atteint les seuils de taille. Ce qui compte est votre activité réelle, et non votre inscription au registre du commerce.
Les seuils se lisent comme un « ou » : vous entrez dans le champ d'application dès que le nombre de salariés est atteint ou que les deux indicateurs financiers sont dépassés conjointement. Le calcul suit la définition européenne des PME, selon laquelle les entreprises liées et partenaires sont prises en compte. Une filiale de 30 salariés peut franchir le seuil de 50 par sa structure de groupe, ce qui surprend régulièrement des filiales de taille moyenne qui se considèrent comme des petites entreprises autonomes.
Un détail met beaucoup d'équipes en difficulté : aucun courrier officiel ne vous informe que vous êtes concerné. L'obligation d'auto-identification vous incombe entièrement, et une erreur d'appréciation coûte cher dans les deux sens. Si votre entreprise vend des logiciels cloud, exploite une plateforme managée ou fournit une clientèle réglementée, partez du principe que vous êtes concerné jusqu'à ce qu'une évaluation rigoureuse démontre le contraire.
Indépendamment de la taille, les obligations s'appliquent de toute façon à certains types d'entités, notamment les prestataires de services de confiance qualifiés, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau et les exploitants d'installations critiques.
Quelles conséquences sont désormais encourues
Une entreprise non enregistrée s'expose à des amendes et à des injonctions administratives, et expose sa direction à une responsabilité personnelle.
Le plafond financier diffère selon la catégorie. Les entités essentielles risquent jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, les entités importantes jusqu'à 7 millions d'euros ou 1,4 %. Pour le seul retard d'enregistrement, le plafond est de 500 000 euros.
Le risque financier n'est que la partie visible. NIS2 rattache expressément la responsabilité au niveau de la direction, ce qui signifie que les dirigeants et les organes de direction peuvent être tenus personnellement responsables des manquements dans la gouvernance du risque cyber. Il s'agit d'un choix délibéré du législateur, destiné à faire passer la sécurité de l'information d'une tâche administrative à une responsabilité de direction. S'y ajoute une obligation autonome de formation régulière pour la direction.
Au-delà des amendes, le BSI peut émettre des injonctions contraignantes, exiger des preuves de conformité et intensifier la surveillance. Pour une entité essentielle, cela peut signifier des contrôles et des audits externes à vos frais.
Il existe aussi un coût plus discret. Les grands comptes, les assureurs et les partenaires interrogent désormais sur le statut NIS2 lors des achats. Un enregistrement manquant devient un obstacle commercial bien avant qu'une autorité ne se manifeste, et relancer un contrat grand compte enlisé coûte nettement plus cher qu'un enregistrement. Pour un client réglementé, votre lacune de conformité est sa lacune de conformité, et c'est précisément pour cela qu'il vérifie.
L'enregistrement n'est qu'un début
S'enregistrer auprès du BSI remplit une obligation, mais NIS2 est un programme continu et non un formulaire isolé. La directive exige une gestion des risques permanente, la notification des incidents, la sécurité de la chaîne d'approvisionnement et une gouvernance démontrable qui tient dans le temps.
L'obligation de notification est l'exigence la plus tranchante. NIS2 impose une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident significatif, suivie d'une notification plus complète après 72 heures et d'un rapport final après un mois. Ces délais ne s'improvisent pas sous pression, c'est pourquoi les responsabilités, les canaux de notification et les modèles de rapport doivent être définis à l'avance. Notre guide sur les exigences NIS2 parcourt l'ensemble du dispositif.
Vient ensuite la substance même des mesures de sécurité. La loi attend une analyse des risques, un contrôle d'accès, de la cryptographie, une évaluation des fournisseurs, la formation du personnel et des tests réguliers de l'efficacité de vos contrôles. Beaucoup de ces exigences recoupent étroitement des normes établies, et lire NIS2 à la lumière de la norme ISO 27001 est l'un des moyens les plus efficaces de satisfaire les deux à la fois.
La sécurité de la chaîne d'approvisionnement mérite une attention particulière, car c'est là que les organisations sous-estiment le plus souvent leur exposition. NIS2 vous rend coresponsable du niveau de sécurité de vos fournisseurs et prestataires directs, et pas uniquement de vos propres systèmes. Cela implique des clauses de sécurité contractuelles, des évaluations de risque fournisseurs et une vision claire des tiers susceptibles de devenir un point d'entrée. Si vous dépendez de fournisseurs cloud ou de services managés, leurs faiblesses deviennent votre problème réglementaire. Notre guide sur la planification d'urgence et la continuité d'activité selon NIS2 montre à quoi ressemble un plan qui fonctionne.
Un parcours réaliste ressemble à ceci : établir votre exposition et votre catégorie, vous enregistrer sans délai auprès du BSI, mener une analyse d'écart face aux mesures de sécurité, combler les lacunes par des politiques documentées, des contrôles techniques et des revues fournisseurs, mettre en place et tester un processus de notification à 24 heures, puis maintenir les preuves de manière à pouvoir démontrer votre conformité à tout moment.
Comment Kertos vous accompagne maintenant
Kertos associe la plateforme à des experts certifiés, afin que vous puissiez passer d'un périmètre incertain à un programme NIS2 solide sans ralentir l'activité.
L'automatisation change surtout le calcul de la charge de travail. Kertos automatise la collecte des preuves, la mise en correspondance des contrôles et la documentation, et condense ainsi le travail manuel qui étale habituellement un projet NIS2 sur de longs mois.
Tout aussi important : traiter NIS2 comme une conformité continue et non comme un projet ponctuel. Dès que vous êtes enregistré, la plateforme maintient à jour votre registre des risques, vos politiques et vos processus d'incident, de sorte que le compte à rebours de 24 heures et le prochain contrôle ne vous prennent pas au dépourvu. Une session de préparation NIS2 sur mesure permet de cartographier la plateforme sur votre périmètre précis.
Puis-je encore m'enregistrer maintenant que le délai est dépassé ?
Oui, et vous devriez le faire immédiatement. L'obligation d'enregistrement n'a pas disparu à l'expiration du délai, elle est devenue exigible. Un enregistrement tardif volontaire est apprécié différemment d'une absence d'enregistrement prolongée.
Quelle est l'amende en cas d'enregistrement manqué ?
Jusqu'à 500 000 euros pour le seul retard d'enregistrement. Les manquements aux autres obligations NIS2 comportent des plafonds plus élevés, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités importantes. La direction peut être tenue personnellement responsable.
Le BSI me prévient-il si mon entreprise est concernée ?
Non. Il n'existe aucune notification officielle. Votre organisation doit évaluer elle-même si elle relève de la catégorie des entités essentielles ou importantes. Une évaluation structurée du périmètre est la première étape la plus sûre.
L'enregistrement suffit-il à la conformité NIS2 ?
Non. L'enregistrement est une obligation parmi plusieurs. Vous devez également mettre en œuvre des mesures de gestion des risques, évaluer vos fournisseurs, former vos collaborateurs et votre direction, disposer d'un processus de notification opérationnel en 24 heures, et maintenir ces preuves à jour en continu.
Y aura-t-il une nouvelle prolongation ?
N'en faites pas l'hypothèse. Le 31 juillet était déjà le délai supplémentaire accordé après une date légale dépassée en mars.
L'échéance NIS2 n'est plus une date à l'horizon, c'est une date franchie. Pour les entreprises non enregistrées, la situation est moins confortable qu'avant l'été, mais elle est aussi sans ambiguïté : effectuer l'enregistrement, documenter votre exposition et engager les mesures en parallèle. Les entreprises qui agissent maintenant évitent plus qu'une amende. Elles construisent le socle qui transforme NIS2 en une preuve plutôt qu'en une menace.
