Aristotelis Zervos
Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, informatique-Conformité et la réglementation de l'IA.
La loi-cadre KRITIS (KRITIS-DachG) a été adoptée à l'automne 2025 par le gouvernement fédéral et votée par le Bundestag le 29 janvier 2026. L'objectif de cette loi est de définir des exigences minimales uniformes pour la protection physique des infrastructures critiques et d'assurer leur mise en œuvre grâce à des mesures coordonnées de soutien et de surveillance. Ces dispositions complètent les réglementations existantes en matière de sécurité informatique en adoptant une approche « tous risques ». Elles offrent ainsi une protection contre les risques naturels, les défaillances techniques, le sabotage, le terrorisme et d’autres menaces non liées aux technologies de l’information. Vous trouverez ci-dessous un aperçu des principaux points de la loi-cadre KRITIS (KRITIS-DachG).
Définitions des termes : Service critique, Installations critiques, Résilience, Incident
Pour que les entreprises puissent évaluer si elles sont concernées par la loi sur la protection des infrastructures critiques (KRITIS-DachG), il vaut la peine de jeter un coup d'œil sur les principaux aspects de cette loi. Définitions dans la loi :
- Service critique : Il s'agit d'un service destiné à répondre aux besoins de la collectivité dans certains secteurs. Par exemple : l'énergie, les transports, les services financiers et d'assurance, les services sociaux (sécurité sociale et protection sociale de base), la santé, l'eau (eau potable/eaux usées), l'alimentation, les technologies de l'information et les télécommunications, les infrastructures spatiales ou la gestion des déchets. Une interruption ou une perturbation importante d’un tel service entraînerait des pénuries d’approvisionnement ou mettrait en danger la sécurité publique.
- Installation critique : On entend par « installation » tout site d'exploitation ou dispositif (fixe ou mobile). Une installation est considérée comme critique lorsqu’elle est essentielle à la fourniture d’un service critique. Concrètement, cela signifie que si cette installation tombe en panne, le service essentiel est menacé. Les exploitants d’installations critiques peuvent être des entreprises du secteur privé ou des organismes publics exerçant une influence déterminante sur l’installation.
- La résilience : La loi-cadre KRITIS définit la résilience comme la capacité d’une infrastructure critique à prévenir un incident, à s’en protéger, à le contrer, à y réagir, à en limiter les conséquences, à en absorber les effets et à se rétablir par la suite. Il s'agit donc d'une approche globale de la résilience, allant des mesures préventives aux réactions d'urgence, en passant par le rétablissement du fonctionnement normal.
- Incident Un incident au sens de la loi-cadre KRITIS est un événement qui perturbe ou pourrait perturber de manière significative la fourniture d'un service critique. Important : les incidents purement informatiques (incidents de sécurité informatique) relevant de la loi sur le BSI ne sont pas considérés comme des incidents au sens de la présente loi. La loi-cadre KRITIS vise principalement les dangers physiques et les crises d'approvisionnement classiques. Il s'agit par exemple de catastrophes naturelles, de pannes d'électricité à grande échelle, d'actes de sabotage ou de défaillances dues à une erreur humaine, dans la mesure où ceux-ci perturbent de manière significative l'approvisionnement. Les cyberattaques restent soumises à l’obligation de déclaration et de traitement en vertu de la loi BSIG, même si des chevauchements peuvent bien sûr exister (par exemple, dans le cas d’attaques combinées).
Obligations des exploitants d'installations critiques
La loi-cadre KRITIS impose aux exploitants d'installations critiques de nouvelles obligations étendues. Celles-ci visent à garantir qu'ils prennent les mesures nécessaires à la prévention et à la gestion des crises. Il s'agit notamment :
- Enregistrement des installations et des opérateurs : Tous les exploitants relevant de la loi-cadre KRITIS doivent s'enregistrer, ainsi que leurs installations critiques, dans un registre central auprès de l'Office fédéral de la protection civile et de l'aide en cas de catastrophe (BBK). Cette inscription s'effectue via une plateforme en ligne commune au BBK et au BSI, afin d'éviter tout chevauchement avec l'enregistrement existant au titre de la loi BSIG. L'enregistrement comprend des informations sur l'exploitant (nom, forme juridique, coordonnées), sur l'installation (emplacement, secteur d'activité, zone de desserte) et sur le service critique fourni. Un point de contact disponible 24 heures sur 24 et 7 jours sur 7 doit également être désigné. Délais : Les installations critiques existantes doivent être enregistrées au plus tard le 17 juillet 2026. Les nouvelles installations doivent être déclarées dans un délai de trois mois à compter de leur classification. En cas de non-respect de l'obligation d'enregistrement, le BBK peut, après avoir entendu l'exploitant, l'inscrire lui-même au registre.
- Analyse et évaluation des risques : Les exploitants sont tenus de procéder régulièrement à une analyse systématique des risques liés à l'ensemble des menaces pesant sur leurs installations critiques. Cette analyse doit prendre en compte tous les risques pertinents : des aléas naturels (par exemple, les inondations, les pandémies) aux attaques délibérées, en passant par les défaillances techniques. Sur la base de cette analyse, une évaluation des risques doit être réalisée afin de hiérarchiser les risques en fonction de leur probabilité de survenue et de l’ampleur des dommages. La directive européenne exige que ces analyses de risques par les exploitants soient effectuées dans un délai de 9 mois à compter de l’identification des risques. Il est important que les entreprises adaptent leurs modèles existants de gestion des risques et de gestion de la continuité des activités (BCM) à l’approche « tous risques ». De nombreux secteurs disposent déjà de normes en matière de gestion des urgences et des crises. Celles-ci peuvent être intégrées et étendues.
Mesures de résilience et plan de résilience
Sur la base de l'analyse des risques, des mesures techniques, organisationnelles et humaines appropriées et proportionnées doivent être prises pour protéger les installations critiques. Ces mesures vont des dispositifs de sécurité architecturaux (par exemple, contrôles d’accès, systèmes redondants) aux mesures organisationnelles (plans d’urgence, formation du personnel, sécurisation des pièces de rechange et des stocks de carburant), en passant par la coopération avec les autorités et les partenaires en cas de crise. Toutes les mesures prises doivent être consignées dans un plan de résilience. Ce plan présente la stratégie de l’entreprise visant à maintenir son activité en cas de crise, les mesures de protection définies et les résultats de l’analyse des risques préalable. Le BBK met à disposition des modèles et des gabarits à cet effet afin d’aider les entreprises à l’élaborer.
Le plan de résilience doit être mis en œuvre et tenu à jour. Il est donc indispensable de procéder à des réévaluations régulières et de l'adapter aux nouvelles menaces.
Même si toutes les mesures doivent être planifiées au moment de l'enregistrement, certaines d'entre elles peuvent encore être en cours de mise en œuvre. Dans tous les cas, les entreprises devraient commencer à planifier suffisamment tôt, car la mise en œuvre et la mise en place d'une stratégie de résilience peuvent prendre beaucoup de temps.
Points de contact et obligation de notification
- Désignation de points de contact : Comme indiqué précédemment, la loi exige la désignation d’un point de contact permanent par opérateur. Celui-ci doit garantir que les autorités puissent joindre rapidement un interlocuteur en cas de crise ou de suspicion. Dans la pratique, il s’agira généralement d’une ligne d’urgence accessible 24 heures sur 24 ou d’un service de permanence correspondant. Les coordonnées doivent être fournies lors de l'enregistrement et tenues à jour en permanence. Pour les entreprises opérant à l'international, il peut s'avérer judicieux de mettre en place en interne un point de contact centralisé pour toutes les questions relatives aux infrastructures critiques (KRITIS).
- Obligation de signalement des incidents majeurs : Si, malgré toutes les mesures de prévention, un incident survient, l'obligation de déclaration prévue par la loi-cadre KRITIS s'applique. Tout incident majeur doit être signalé sans délai, au plus tard dans les 24 heures suivant sa découverte, à l'autorité compétente. À cette fin, un centre de signalement commun au BBK et au BSI sera mis en place. Toutes les notifications d’incidents doivent transiter par ce portail central en ligne. Les doublons (par exemple, des notifications distinctes adressées au BBK et BSI) sont ainsi évités. Si le premier rapport contient encore des informations incomplètes (ce qui est courant dans une situation d'urgence), il doit être mis à jour en permanence en cas de perturbations persistantes.
Au plus tard un mois après la découverte de l'incident, l'exploitant doit remettre un rapport final détaillé faisant la lumière sur les causes et l'ensemble des conséquences.
Le contenu des notifications doit inclure au moins le type et la cause de l'incident, l'objet de la notification et la date de l'incident. concernés La notification doit comprendre la zone, la durée et l'étendue de la perturbation (nombre d'utilisateurs concernés, etc.). Le BBK évalue ces notifications de perturbation et informe au besoin d'autres États membres ou la Commission européenne si l'incident a une portée transfrontalière. Important : cette obligation de notification s'applique en plus des éventuelles dispositions spécifiques au secteur. Ainsi, par exemple, les fournisseurs d'énergie doivent continuer à informer, le cas échéant, l'Agence fédérale des réseaux en parallèle, les services de santé leurs autorités de surveillance, etc. dans la mesure où des directives correspondantes existent. La loi KRITIS-DachG ne crée toutefois pas de „Naming & Shaming“ public : les déclarations sont traitées de manière confidentielle. Ce n'est que si l'intérêt public l'exige que le BBK peut, après avoir entendu l'exploitant, informer le public, par exemple pour mettre en garde la population.
Outre ces obligations fondamentales, la loi prévoit d'autres directives, par exemple la participation à des programmes de résilience gouvernementaux.
Surveillance KRITIS
Le respect de ces obligations est contrôlé par un système de surveillance à plusieurs niveaux. L'interlocuteur central est l'Office fédéral de la protection civile et de l'aide en cas de catastrophe (BBK), qui fait office de point de contact central. Selon les secteurs, différentes autorités compétentes sont également désignées : l'Agence fédérale des réseaux pour l'électricité, le gaz, l'hydrogène et les télécommunications, l'Office fédéral des chemins de fer pour le transport ferroviaire, l' Office fédéral allemand pour la sécurité informatique (BSI) pour les services informatiques et de télécommunications, les ministères de la Santé (fédéral et régionaux) pour les établissements de santé, etc.
Les autorités compétentes travaillent en étroite collaboration avec le BBK et le BSI afin d'éviter tout chevauchement. Il y aura ainsi, par exemple, un point de contact commun, et le BBK et le BSI coopéreront également en matière d'enregistrement et d'audit grâce à une plateforme en ligne et à des procédures harmonisées.
Les autorités disposent de pouvoirs étendus pour contrôler la mise en œuvre des mesures de résilience. Elles peuvent demander aux exploitants de fournir des justificatifs et des informations, par exemple l'accès au plan de résilience ou à la documentation interne. Les autorités de contrôle adoptent à cet égard une approche fondée sur les risques : les contrôles ciblés sont effectués en priorité auprès des entreprises dont la taille, l'exposition au risque ou l'impact potentiel en cas de sinistre sont particulièrement élevés.
Les exploitants doivent, sur demande, Audit- présenter les résultats s'ils ont fait procéder à des contrôles externes. L'autorité peut elle-même effectuer des contrôles sur place ou faire appel à des Troisième de l'entreprise. Les entreprises sont tenues de permettre aux auditeurs d'accéder aux locaux de l'entreprise, aux systèmes et installations concernés et de leur fournir des informations. Si des défauts sont constatés, l'autorité peut obliger l'exploitant à présenter un plan d'élimination des défauts dans un délai déterminé et à mettre en œuvre les mesures correspondantes.
Conseil de lecture : Guide DORA sur la surveillance des prestataires tiers critiques
Responsabilité et sanctions en cas d'infractions à la réglementation KRITIS
Responsabilité civile de la direction : L'article 20 de la KRITIS-DachG, qui souligne la responsabilité de la direction de l'entreprise, est remarquable. La direction d'un opérateur (c'est-à-dire le conseil d'administration, la direction ou des organes similaires) est tenue de mettre en œuvre des mesures de résilience et de les ancrer dans l'organisation. Si la direction néglige cette obligation de manière fautive, elle est responsable vis-à-vis de l'entreprise des dommages causés. Cette responsabilité civile Responsabilité civile s'applique à titre subsidiaire, dans la mesure où des dispositions du droit des sociétés (par exemple, les obligations de diligence prévues par le droit des sociétés anonymes) ne s'appliquent pas déjà à de tels cas. Pour les décideurs, cela signifie que la résilience relève de la responsabilité du dirigeant. Quiconque ignore délibérément les directives s'expose à des actions en responsabilité personnelle. À l'instar de ce que l'on connaît en matière de protection des données ou de droit du travail, où, dans le cas où Conformité-les infractions, également une Responsabilité civile de la direction.
Infractions administratives et amendes : Afin d'en garantir l'application, la loi prévoit un barème d'amendes. Les infractions, telles que l'absence d'enregistrement, l'omission d'une analyse des risques, l'absence de plan de résilience ou le non-signalement d'un incident, sont passibles d'amendes lourdes. Les montants maximaux, échelonnés en fonction de la gravité de l'infraction, s'élèvent respectivement à 50 000 €, 100 000 €, 200 000 € et 500 000 €. L'amende maximale de 500 000 € devrait s'appliquer notamment en cas de manquements graves ou répétés aux obligations (par exemple, un non-respect total des exigences en matière de résilience). En outre, toute infraction intentionnelle aux injonctions des autorités peut être considérée comme Infraction sont sanctionnés. Cela accentue la pression.
Conséquences spécifiques au secteur : Indépendamment de la loi-cadre KRITIS, les droits de surveillance spécifiques à chaque secteur restent en vigueur. Dans les secteurs fortement réglementés (énergie, télécommunications, transports, etc.), un manquement flagrant aux obligations de protection pourrait également entraîner des mesures de surveillance pouvant aller jusqu'au retrait des autorisations. Il s'agirait là d'une mesure de dernier recours qui n'est pas explicitement prévue par la loi-cadre KRITIS. Un fournisseur d'énergie qui enfreindrait toutefois de manière persistante les exigences de sécurité pourrait toutefois voir sa licence d'exploitation remise en cause.
Dans l'ensemble, le législateur indique toutefois que ces nouvelles obligations doivent être prises au sérieux, tant par le biais d'amendes que par l'accent mis sur la responsabilité de la direction.
Kritis fait de la résilience une affaire de chef
La loi-cadre KRITIS impose aux entreprises critiques de nouvelles obligations particulièrement exigeantes : de l'enregistrement aux analyses de risques, en passant par les procédures de notification. Elle offre en même temps l'occasion de mettre à jour sa propre gestion de crise et de la renforcer face à des menaces diverses.
Les décideurs doivent agir de manière proactive, s'appuyer sur les guides officiels et procéder à la mise en œuvre par étapes. Avec une bonne planification et un soutien adéquat, il est possible de satisfaire à ces exigences, ce qui permettra à terme de renforcer la sécurité d'approvisionnement tout en garantissant la conformité réglementaire. La devise est la suivante : „ La résilience est possible si l'on en fait une priorité absolue et si l'on mobilise toutes les parties prenantes. ”
Vous exploitez des infrastructures critiques ou pensez que votre entreprise relève du champ d'application de la loi-cadre KRITIS ? Dans ce cas, il est judicieux de clarifier la situation dès que possible et d'entamer la mise en œuvre de manière structurée. 2B Advice vous accompagne de manière concrète : de l'évaluation de l'impact à la mise en place d'une structure organisationnelle, jusqu'à la mise en place d'un système prêt pour l'audit Documentation.
Nous vous aidons en particulier pour
- Portée & analyse de l'impact (services essentiels, infrastructures critiques, dépendances, interfaces avec la loi allemande sur la sécurité des systèmes d'information (BSIG) et la directive NIS-2)
- Analyse et évaluation des risques selon l'approche « tous risques » (méthode fiable, permettant à la direction de prendre des décisions)
- Plan de résilience & programme de mesures (priorisation, trajectoire de mise en œuvre, gouvernance, preuves)
- Processus de notification & organisation de crise (Logique de signalement sur 24 heures, modèles, exercices, plan de communication)
- Audit-Préparation (Tenue des pièces justificatives, contrôles internes, préparation aux contrôles administratifs/vérifications sur place)
Si vous le souhaitez, nous pouvons organiser un bref entretien préliminaire afin d'évaluer votre situation actuelle et d'élaborer un plan d'action concret. Il vous suffit de nous écrire : vous recevrez rapidement une analyse vous indiquant quelles sont les prochaines étapes les plus efficaces pour votre entreprise.
Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, informatique-Conformité et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French