L'essentiel en bref
- En Allemagne, la responsabilité NIS2 incombe juridiquement à la direction : l'article 38, paragraphe 1, de la BSIG l'oblige à mettre en œuvre les dix mesures de gestion des risques de l'article 30 de la BSIG et à en surveiller la mise en œuvre.
- La BSIG n'impose aucun rôle précis comme un RSSI. La direction peut répartir le travail opérationnel, mais la surveillance et l'obligation de formation régulière prévue à l'article 38, paragraphe 3, de la BSIG restent les siennes.
- Dans la NIS2 Readiness Study 2026 de Kertos (51 entreprises de secteurs NIS2, de 50 à 1 000 salariés), 63 % désignent la direction informatique comme responsable. Dans 41 % des cas, elle est le seul rôle cité et seules 22 % citent la direction générale.
- 84 % des entreprises interrogées n'ont ni RSSI interne ni RSSI externe et 73 % citent un seul rôle responsable de NIS2 et de la sécurité de l'information.
- Un modèle solide répartit NIS2 sur au moins trois niveaux : la direction générale (responsabilité et surveillance), un rôle de pilotage comme un RSSI (coordination) et l'informatique, les achats et les métiers (mise en œuvre).
Demandez à une ETI allemande qui porte NIS2 en interne et vous obtiendrez le plus souvent l'une de trois réponses : l'informatique, parce qu'il s'agit de systèmes ; la qualité, parce qu'elle gère déjà un système de management selon ISO 9001 ; ou la direction générale, parce que la loi la désigne. La responsabilité NIS2 ne se règle pourtant pas avec un seul nom dans l'organigramme. La loi définit qui rend des comptes. Qui fait le travail, c'est à l'entreprise d'en décider.
Cet article explique ce que dit la loi allemande sur le BSI (BSIG) sur la responsabilité, comment 51 entreprises de secteurs NIS2 répartissent aujourd'hui la tâche et quelle part l'informatique, la qualité et la direction générale devraient chacune assumer. L'ensemble des obligations que déclenche NIS2, de l'enregistrement aux délais de notification, est présenté dans notre guide complet de la directive NIS2.
Ce que dit l'article 38 de la BSIG sur la responsabilité NIS2
La réponse de la loi est claire : c'est la direction qui est responsable. La loi allemande de transposition de NIS2 s'applique depuis le 6 décembre 2025 et refond entièrement la loi sur le BSI (BSIG). Selon l'article 38, paragraphe 1, de la BSIG, les directions des entités essentielles et importantes doivent mettre en œuvre les mesures de gestion des risques de l'article 30 de la BSIG et en surveiller la mise en œuvre. Au niveau européen, la disposition correspondante est l'article 20 de la directive NIS2.
Trois obligations reviennent donc à la direction elle-même :
- Mettre en œuvre : les dix domaines de mesures de l'article 30, paragraphe 2, de la BSIG doivent arriver dans l'entreprise, de l'analyse des risques à l'authentification multifacteur en passant par la sécurité de la chaîne d'approvisionnement.
- Surveiller : la direction doit se faire rendre compte régulièrement et vérifier que les mesures sont efficaces.
- Se former : l'article 38, paragraphe 3, de la BSIG exige que les directions suivent régulièrement des formations pour savoir identifier et évaluer les risques et les pratiques de gestion des risques.
Si la direction manque à ces obligations, l'article 38, paragraphe 2, de la BSIG la rend responsable envers sa propre entité selon le droit des sociétés applicable à sa forme juridique, c'est-à-dire, pour une GmbH, la loi allemande sur les GmbH. Vous pouvez lire le texte intégral de l'article 38 de la BSIG en allemand.
Ce que la loi ne fait pas, c'est désigner une fonction chargée du travail. La BSIG n'impose ni RSSI ni responsable de la sécurité de l'information. Les entreprises qui appliquent la méthode IT-Grundschutz du BSI sont dans une autre situation : le module ISMS.1.A4 y exige que la direction désigne un responsable de la sécurité de l'information, lui donne des moyens suffisants et lui permette de rendre compte directement à la direction.
Les obligations personnelles des dirigeants en détail, de la formation à la documentation, sont réunies dans notre liste de contrôle NIS2 pour les directeurs généraux.
Comment les ETI allemandes répartissent NIS2 aujourd'hui : les chiffres de la NIS2 Readiness Study 2026
En pratique, NIS2 repose presque toujours sur la direction informatique dans les ETI allemandes, et le plus souvent sur elle seule. Pour la NIS2 Readiness Study 2026, Kertos a interrogé entre août et septembre 2026 51 entreprises en Allemagne, toutes actives dans des secteurs couverts par la directive et toutes de 50 à 1 000 salariés. À la question de savoir qui est responsable de NIS2 et de la sécurité de l'information, plusieurs réponses étaient possibles.
Trois tendances se dégagent. D'abord, 37 des 51 entreprises (73 %) citent un seul rôle responsable : NIS2 repose donc le plus souvent sur une seule personne. Ensuite, la direction informatique et la direction générale ne sont citées ensemble que dans 4 entreprises, alors que la loi repose précisément sur ce duo de mise en œuvre et de surveillance. Enfin, 43 entreprises sur 51 (84 %) n'ont ni RSSI interne ni RSSI externe.
Ce que les chiffres ne montrent pas compte aussi. Les retardataires citent la direction informatique à peu près aussi souvent que les entreprises déjà enregistrées ou en cours de mise en œuvre (15 sur 25 contre 16 sur 24). La responsabilité seule n'explique donc pas l'avancement. Ce qui compte, c'est que la personne responsable dispose de temps, d'un mandat et d'un soutien. La qualité n'était pas une option de réponse distincte dans l'enquête ; la catégorie la plus proche est celle des responsables conformité ou risques, à 14 %. La façon dont la presse spécialisée allemande a relayé l'étude est résumée dans notre article sur NIS2 en Allemagne.
Informatique, qualité ou direction générale : ce que chaque rôle peut apporter
Aucun des trois rôles ne peut porter NIS2 seul, mais chacun apporte quelque chose qui manque aux autres. La vraie question n'est donc pas qui est responsable, mais qui prend quelle part.
Direction informatique : connaît les systèmes, mais ne devrait pas se contrôler elle-même
Une idée reçue veut que NIS2 soit un projet informatique. Il est vrai qu'une grande partie des dix domaines de mesures est technique : sauvegardes, contrôle des accès, gestion des vulnérabilités, chiffrement et authentification multifacteur. Rien de tout cela ne se fait sans la direction informatique.
Au moins trois domaines sortent cependant du périmètre informatique : la sécurité de la chaîne d'approvisionnement (article 30, paragraphe 2, point 4, de la BSIG) concerne les achats et les contrats, la sécurité liée au personnel concerne les RH et la formation concerne tous les salariés. S'y ajoute un point structurel. L'annexe A 5.3 d'ISO 27001:2022 exige de séparer les tâches et domaines de responsabilité incompatibles. La personne qui configure le pare-feu ne devrait pas être celle qui évalue son efficacité et annonce à la direction que tout va bien. Pourquoi l'équation « NIS2 égale informatique » mène les entreprises sur une mauvaise piste est aussi expliqué dans notre article sur les idées reçues sur NIS2.
Et si le RSSI est aussi l'administrateur système ?
Dans les petites équipes informatiques, c'est plutôt la règle que l'exception : le seul administrateur est aussi nommé RSSI, parce que personne d'autre ne connaît les systèmes. Ni la BSIG ni ISO 27001 ne l'interdisent expressément. Cela crée pourtant exactement le conflit d'intérêts que l'annexe A 5.3 doit résoudre. Le RSSI évalue alors des risques et des contrôles qu'il a lui-même mis en place en tant qu'administrateur, et il s'accorde ses propres droits d'accès. L'audit interne devient lui aussi délicat, car le chapitre 9.2 d'ISO 27001 exige de choisir les auditeurs de manière à garantir l'objectivité et l'impartialité de l'audit.
Si le double rôle ne peut être évité, trois mesures compensatoires aident. Une deuxième personne valide les modifications des comptes à privilèges. Quelqu'un d'autre audite l'informatique, en interne depuis la qualité ou en externe. Et le RSSI rend compte directement à la direction générale, pas par l'intermédiaire de la direction informatique. À terme, ce double rôle est une bonne raison de compléter le rôle de pilotage par une expertise externe.
Qualité : maîtrise les systèmes de management, mais pas automatiquement la sécurité de l'information
De nombreuses ETI industrielles et de nombreux sous-traitants allemands gèrent depuis des années un système de management de la qualité selon ISO 9001. Confier NIS2 au responsable qualité semble donc logique. ISO 9001 et ISO 27001 partagent la même structure harmonisée, dont les chapitres 4 à 10 couvrent le contexte, le leadership, la planification, le support, la réalisation des activités opérationnelles, l'évaluation des performances et l'amélioration. Quiconque mène déjà des revues de direction, des audits internes et des actions correctives apporte à un système de management de la sécurité de l'information (SMSI) exactement la méthode qui manque souvent à l'informatique.
Le problème tient au contenu. La qualité évalue les risques pour la qualité des produits et la satisfaction des clients ; un SMSI évalue les risques pour la confidentialité, l'intégrité et la disponibilité de l'information. Les 93 mesures de l'annexe A d'ISO 27001 et les dix domaines de mesures de l'article 30 de la BSIG exigent une compréhension technique qu'une équipe qualité possède rarement. Un responsable qualité peut donc bien piloter le SMSI, à condition que l'informatique ou des experts externes apportent la profondeur technique. Les points communs et les différences entre ISO 27001 et NIS2 sont détaillés dans notre article NIS2 et ISO 27001 : où se recoupent-elles ?.
Direction générale : porte la responsabilité, pas le travail de détail
La direction générale ne peut pas se décharger de NIS2, mais elle n'a pas non plus à la mettre en œuvre elle-même. Selon la lettre de l'article 38 de la BSIG, la surveillance et la formation lui reviennent. En pratique, elle désigne le rôle de pilotage, lui donne un budget et des pouvoirs, se fait rendre compte à intervalles fixes et décide des risques que l'entreprise accepte en connaissance de cause.
Beaucoup de dirigeants sous-estiment ce que demande la surveillance. Une réunion trimestrielle où la direction informatique annonce que « tout est au vert » n'est pas de la surveillance. La direction a besoin d'un rapport chiffré : risques ouverts, état des mesures, incidents, résultats des évaluations de fournisseurs et taux de participation aux formations.
Et le délégué à la protection des données ?
Dans l'étude, 20 % citent le délégué à la protection des données (DPO) comme responsable de NIS2 et 4 entreprises le citent même comme seul rôle. C'est la deuxième idée reçue : protection des données et sécurité de l'information se recoupent, mais ne sont pas la même chose. Le RGPD protège les données à caractère personnel ; NIS2 protège les réseaux et systèmes d'information grâce auxquels une entreprise fournit ses services, qu'ils contiennent ou non des données personnelles. L'article 38, paragraphe 6, du RGPD permet au DPO d'exercer d'autres missions, mais exige qu'elles n'entraînent pas de conflit d'intérêts. Un DPO qui contrôle des mesures de sécurité dont il est lui-même responsable en tant que RSSI se retrouve vite dans ce conflit.
Un modèle de rôles NIS2 qui fonctionne pour les ETI
Un modèle à trois niveaux a fait ses preuves : la direction générale rend des comptes et surveille, un rôle de pilotage coordonne et les métiers mettent en œuvre. Selon l'entreprise, ce rôle de pilotage s'appelle RSSI, responsable de la sécurité de l'information ou coordinateur sécurité. L'essentiel est qu'il rende compte directement à la direction générale et non par l'intermédiaire de la direction informatique.
La répartition suivante est une proposition à adapter à votre entreprise. A désigne qui rend des comptes, R qui réalise, C qui contribue et I qui est informé.
La ligne sur les notifications mérite une attention particulière. Selon l'article 32 de la BSIG, la notification initiale doit parvenir au guichet commun du BSI et du BBK au plus tard 24 heures après la prise de connaissance d'un incident de sécurité important, puis une évaluation suit au bout de 72 heures. Qui décide un week-end si un incident est important et qui envoie la notification doit être fixé à l'avance, suppléants compris. La mise en place des processus d'urgence et de notification est expliquée dans notre guide de la planification d'urgence NIS2.
Kilian Schmidt développe cette idée dans sa tribune publiée par Security-Insider (en allemand).
Voici à quoi cela peut ressembler concrètement. Un fabricant de machines de 180 salariés relève de la BSIG en tant qu'entité importante. L'informatique compte deux personnes et une responsable qualité expérimentée gère le système ISO 9001. La direction générale la nomme RSSI à 30 % de son temps de travail, parce qu'elle maîtrise déjà les audits et les revues de direction. Le responsable informatique met en œuvre les mesures techniques et lui rend compte. Les achats se chargent de l'évaluation des fournisseurs à l'aide d'un questionnaire fixe. Pour la profondeur technique en sécurité de l'information, l'entreprise fait appel à un expert externe. La direction reçoit un rapport chaque trimestre et suit elle-même une formation une fois par an. NIS2 ne repose plus sur une seule personne et l'informatique ne se contrôle plus elle-même.
Comment Kertos organise les responsabilités NIS2
Un modèle de rôles sur le papier n'aide que si le quotidien montre qui a fait quoi. La plateforme Kertos traduit les exigences NIS2 en mesures, attribue chaque mesure à un responsable et rassemble les preuves là où elles naissent. La direction voit l'état d'avancement sans dépendre de comptes rendus par e-mail. Une entreprise qui travaille déjà selon ISO 27001 réutilise ses contrôles existants pour NIS2 au lieu de les gérer en double.
Pour les entreprises qui ne peuvent pas pourvoir elles-mêmes le rôle de pilotage, un expert Kertos assume le rôle de RSSI externe dans les offres Pro et Premium. La responsabilité au titre de l'article 38 de la BSIG reste à la direction, qui dispose d'un cadre pour en surveiller la mise en œuvre.
Les clients de Kertos apprécient particulièrement que les tâches soient clairement réparties. Un client écrit sur G2 :
Si vous souhaitez voir comment les responsabilités NIS2 peuvent être organisées dans votre entreprise, nous vous le montrons lors d'une démo.
Questions fréquentes
Qui est responsable de NIS2 dans l'entreprise ?
Juridiquement, la direction. L'article 38, paragraphe 1, de la BSIG l'oblige à mettre en œuvre les mesures de gestion des risques de l'article 30 de la BSIG et à en surveiller la mise en œuvre. En pratique, le travail opérationnel repose le plus souvent sur la direction informatique dans les ETI allemandes, citée comme responsable par 63 % des entreprises de la NIS2 Readiness Study 2026.
La direction peut-elle déléguer NIS2 à l'informatique ?
La direction peut confier la mise en œuvre opérationnelle à l'informatique, à un RSSI ou à des experts externes. La surveillance de la mise en œuvre et la participation régulière à des formations prévues à l'article 38, paragraphe 3, de la BSIG lui restent. Si elle manque à ces obligations, elle est responsable envers son entreprise selon le droit des sociétés applicable.
Faut-il un RSSI pour NIS2 ?
La BSIG n'impose ni RSSI ni responsable de la sécurité de l'information. Sans un rôle qui coordonne les dix domaines de mesures et rend compte directement à la direction, l'obligation de surveillance est cependant difficile à remplir. Les entreprises qui appliquent la méthode IT-Grundschutz du BSI doivent désigner un responsable de la sécurité de l'information selon le module ISMS.1.A4.
Le délégué à la protection des données peut-il aussi être responsable de NIS2 ?
En principe oui : l'article 38, paragraphe 6, du RGPD permet au DPO d'exercer d'autres missions tant qu'il n'en résulte pas de conflit d'intérêts. NIS2 va toutefois au-delà des données personnelles et couvre tous les réseaux et systèmes d'information. Dans l'étude, 20 % des entreprises citent le DPO comme responsable de NIS2.
Le responsable qualité peut-il piloter le SMSI pour NIS2 ?
Oui, avec un appui technique en sécurité de l'information. ISO 9001 et ISO 27001 partagent la même structure harmonisée, avec les chapitres 4 à 10, si bien que la méthode des audits et des revues de direction se transpose. Le contenu technique des 93 mesures de l'annexe A d'ISO 27001 exige toutefois des connaissances informatiques ou des experts externes.
