En bref : la directive européenne NIS2 impose à nettement plus d'entreprises qu'auparavant des mesures de gestion des risques et la notification des incidents de sécurité importants. En Allemagne, elle est transposée par la loi de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG, loi allemande) ; l'autorité compétente est le BSI (office fédéral allemand de la sécurité des technologies de l'information). Pour les serveurs web, cela signifie surtout : mises à jour, gestion des vulnérabilités et traitement des incidents doivent être organisés et démontrables. Cette page est une information générale et ne constitue pas un conseil juridique.
Pas de conseil juridique : savoir si votre entreprise relève de NIS2 et quelles obligations s'appliquent précisément, vous le clarifiez à l'aide des indications du BSI et avec un conseil juridique. Nous ne citons volontairement aucun seuil ni délai dépendant de votre classification.
Ce qu'est NIS2
NIS2 est la seconde directive européenne sur la sécurité des réseaux et de l'information. Elle élargit nettement le cercle des entreprises soumises à des obligations par rapport à la réglementation antérieure et distingue les entités essentielles et les entités importantes. Les secteurs et catégories de taille concernés sont fixés par la loi.
En Allemagne, le NIS2UmsuCG transpose la directive et réécrit pour cela notamment la loi sur le BSI. Le BSI est l'interlocuteur pour l'enregistrement, les notifications et la supervision et met à disposition sur son site des informations et des aides pour la classification. Vous y trouverez des indications fiables et actuelles sur les délais et les procédures, et non dans des synthèses générales.
Obligations NIS2 des entreprises en un coup d'œil
Pour les entreprises concernées, les obligations peuvent se ranger grossièrement en trois domaines :
Gestion des risques. Les entreprises doivent prendre des mesures techniques et organisationnelles appropriées et proportionnées. Cela comprend typiquement des concepts d'analyse des risques et de sécurité de l'information, la gestion des incidents de sécurité, le maintien de l'activité avec sauvegardes et gestion de crise, la sécurité de la chaîne d'approvisionnement, la sécurité lors de l'acquisition, du développement et de la maintenance, y compris le traitement des vulnérabilités, le contrôle d'accès et la cryptographie.
Notifications. Les incidents de sécurité importants doivent être notifiés au BSI. La directive prévoit pour cela une procédure échelonnée, d'une première alerte rapide jusqu'à un rapport final. Les délais et voies de notification exacts pour l'Allemagne figurent dans les indications du BSI.
Responsabilité de la direction. La direction doit approuver les mesures, surveiller leur mise en œuvre et se former aux questions de cybersécurité. Plus de détails sous Responsabilité de la direction.
Ce que cela signifie pour les serveurs web
Les serveurs web sont souvent le système le plus exposé d'une entreprise. PHP2Shell montre à quelle vitesse une faille dans un composant de base peut toucher toutes les applications qui tournent dessus. Les deux failles CVE-2026-109618 et CVE-2026-109619 permettent l'exécution de code sans authentification ; le BSI a déclenché le niveau d'alerte 3 (orange) et recommandé une mise à jour immédiate.
Pour une entreprise soumise à NIS2, des questions pratiques en découlent : savons-nous quels serveurs utilisent PHP et dans quelle version ? Qui suit les avis de sécurité et décide des mises à jour d'urgence ? Pouvons-nous détecter une attaque, et qui apprécie si un incident est important et donc soumis à notification ? Est-il réglé ce que prennent en charge l'hébergeur et les prestataires ?
Un correctif ne supprime pas les logiciels malveillants introduits auparavant et ne prouve pas que rien ne s'est produit. Cela fait aussi partie de l'évaluation de l'incident.
Mesures concrètes pour l'infrastructure web
Les points suivants ne constituent pas une liste exhaustive, mais couvrent les lacunes les plus fréquentes :
| Mesure | Rattachement |
|---|---|
| Inventaire de tous les serveurs web, versions de PHP et applications | Analyse des risques |
| Procédure fixe pour les mises à jour de sécurité, redémarrage et justificatif compris | Gestion des vulnérabilités |
| Supervision et conservation des journaux | Gestion des incidents |
| Sauvegardes testées et plan de reprise | Continuité d'activité |
| Répartition des tâches avec l'hébergeur et les agences par écrit | Chaîne d'approvisionnement |
| Authentification multifacteur pour les accès administrateur | Contrôle d'accès |
| Voies de notification et responsabilités préparées | Obligations de notification |
L'IT-Grundschutz du BSI constitue un cadre méthodologique approprié. Un plan d'urgence informatique pour serveurs web relie technique, responsabilités et voies de notification.
Penser ensemble NIS2 et protection des données
Une attaque contre un serveur web peut être à la fois un incident NIS2 et une violation de données personnelles. Deux procédures se déroulent alors en parallèle, avec des autorités et des exigences différentes. La notification à l'autorité de protection des données selon l'art. 33 du RGPD est décrite dans Obligation de notification RGPD : 72 heures. Planifiez les deux voies à l'avance, afin que personne n'ait à improviser en cas de crise.
Un autre point concerne les prestataires. De nombreuses entreprises font entretenir leurs sites par des agences et exploiter leurs serveurs par des hébergeurs. L'obligation de tenir compte des risques de la chaîne d'approvisionnement signifie en pratique : régler par contrat qui installe les mises à jour de sécurité, avec quelle rapidité les failles critiques sont traitées, comment vous êtes informé des incidents et quels justificatifs vous recevez. La situation autour de PHP2Shell est une bonne pierre de touche pour savoir si ces règles existent déjà et ont fonctionné en situation réelle. Si une réponse manque, c'est un point pour votre gestion des risques.
Comment PHP SOS aide-t-il concrètement ?
- Nous recensons votre infrastructure web et évaluons les risques et les lacunes sous une forme que vous pouvez utiliser pour votre gestion des risques.
- Nous mettons en place une procédure démontrable pour les mises à jour de sécurité et la reprenons sur demande par un contrat de maintenance sécurité.
- Avec la supervision de sécurité et la conservation des journaux, nous créons la base pour détecter et évaluer les incidents.
- En cas d'incident, nous fournissons les faits techniques pour votre notification au BSI ; la qualification juridique reste de votre ressort et de celui de votre conseil juridique.
Questions fréquentes
Mon entreprise est-elle concernée par NIS2 ?
Cela dépend notamment du secteur et de la taille de l'entreprise. Les critères exacts découlent de la loi allemande de transposition. Le BSI (office fédéral allemand de la sécurité des technologies de l'information) fournit sur son site des informations sur le champ d'application ; en cas de doute, clarifiez la question avec un conseil juridique.
Que signifie NIS2 pour un site web d'entreprise ?
Les serveurs web, portails clients et boutiques font partie des systèmes dont une entreprise concernée doit maîtriser les risques. Cela comprend les mises à jour, la gestion des vulnérabilités, le contrôle d'accès et la capacité de détecter et de notifier les incidents.
Quels délais de notification s'appliquent selon NIS2 ?
La directive prévoit une procédure de notification échelonnée pour les incidents de sécurité importants. Les délais, voies et formulaires contraignants pour l'Allemagne figurent dans les indications du BSI et dans le texte de loi. Nous ne citons ici volontairement aucun délai sans lien avec votre situation.
NIS2 s'applique-t-elle aussi aux fournisseurs ?
NIS2 exige des entités concernées qu'elles tiennent aussi compte de la sécurité de leur chaîne d'approvisionnement. C'est pourquoi de nombreux clients interrogent leurs prestataires et fournisseurs sur leurs mesures de sécurité, même si ceux-ci ne relèvent pas directement de la loi.