{"id":88910,"date":"2026-04-14T10:02:11","date_gmt":"2026-04-14T10:02:11","guid":{"rendered":"https:\/\/www.sardinasystems.com\/non-classifiee\/kritis-nis2umsg-nouvelles-regles-pour-linformatique-des-infrastructures-critiques\/"},"modified":"2026-04-14T11:40:56","modified_gmt":"2026-04-14T11:40:56","slug":"kritis-nis2umsg-new-rules-for-critical-infrastructure-it","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/fr\/actualites\/kritis-nis2umsg-new-rules-for-critical-infrastructure-it\/","title":{"rendered":"KRITIS & NIS2UmsG : nouvelles r\u00e8gles pour l’informatique des infrastructures critiques"},"content":{"rendered":"\n

Le cadre KRITIS allemand pour la protection des infrastructures critiques vient de conna\u00eetre sa refonte la plus importante depuis dix ans. La loi de transposition NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie<\/em>, ou NIS2UmsG \u2014 est entr\u00e9e en vigueur le 6 d\u00e9cembre 2025, r\u00e9visant substantiellement la loi BSI (BSIG) qui r\u00e9git les obligations de s\u00e9curit\u00e9 informatique des op\u00e9rateurs d’infrastructures critiques depuis 2009. <\/p>\n\n

Pour les organisations op\u00e9rant dans des secteurs tels que l’\u00e9nergie, l’eau, la sant\u00e9, les transports ou l’informatique et les t\u00e9l\u00e9communications, il ne s’agit pas d’une mise \u00e0 jour mineure. Le p\u00e9rim\u00e8tre des entit\u00e9s r\u00e9glement\u00e9es, leurs obligations et les modalit\u00e9s de preuve de conformit\u00e9 ont chang\u00e9 de mani\u00e8re concr\u00e8te. Cet article explique ce qui a chang\u00e9, ce qui reste identique et ce que cela signifie en pratique lors du choix d’une plateforme cloud. Ce qu’est KRITIS et ce que cela signifie d\u00e9sormais en vertu de la nouvelle loi<\/strong>KRITIS \u2014 abr\u00e9viation de Kritische Infrastrukturen<\/em><\/a> \u2014 est la d\u00e9signation f\u00e9d\u00e9rale allemande pour les infrastructures critiques. Les op\u00e9rateurs d’installations relevant de KRITIS sont depuis longtemps soumis \u00e0 des obligations sp\u00e9cifiques en mati\u00e8re de s\u00e9curit\u00e9 informatique en vertu de la BSIG, sous la supervision du BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/em>). <\/p>\n\n

En vertu de la nouvelle loi, la terminologie a \u00e9volu\u00e9. La BSIG r\u00e9vis\u00e9e<\/a> ne parle plus de \u00ab Kritische Infrastrukturen \u00bb comme cat\u00e9gorie principale. Elle r\u00e9glemente d\u00e9sormais les besonders wichtige Einrichtungen<\/em> (entit\u00e9s particuli\u00e8rement importantes) et les wichtige Einrichtungen<\/em> (entit\u00e9s importantes). Les op\u00e9rateurs de ce qui est d\u00e9sormais appel\u00e9 kritische Anlagen<\/em> (installations critiques) constituent un sous-ensemble du premier groupe et restent soumis aux exigences les plus strictes. Les obligations qu’ils d\u00e9tenaient en vertu de la BSIG pr\u00e9c\u00e9dente sont largement maintenues, mais restructur\u00e9es et, dans certains domaines, renforc\u00e9es. <\/p>\n\n

Les secteurs couverts restent globalement les m\u00eames : \u00e9nergie, transports, finance, sant\u00e9, eau, alimentation, informatique et t\u00e9l\u00e9communications, espace et gestion des d\u00e9chets. Ce qui a chang\u00e9, c’est la logique des seuils, certaines r\u00e8gles sectorielles et le p\u00e9rim\u00e8tre global des entit\u00e9s concern\u00e9es par le cadre \u2014 non seulement les op\u00e9rateurs KRITIS, mais des dizaines de milliers d’organisations relevant des cat\u00e9gories NIS2 plus larges. <\/p>\n\n

Un changement structurel notable : le secteur financier a \u00e9t\u00e9 scind\u00e9 en deux \u2014 Finanzwesen<\/em> (Finance) et Leistungen der Sozialversicherung sowie Grundsicherung f\u00fcr Arbeitsuchende<\/em> (Prestations sociales et revenu de base pour les demandeurs d’emploi)<\/em>. Les assureurs priv\u00e9s ne sont plus inclus. Les organisations soumises au r\u00e8glement DORA de l’UE sont exempt\u00e9es de certaines obligations de d\u00e9claration et d’audit de la BSIG, car les deux cadres se chevauchent consid\u00e9rablement. <\/p>\n\n

Ce que les op\u00e9rateurs d’installations critiques doivent d\u00e9sormais faire<\/strong><\/h3>\n\n

Pour les op\u00e9rateurs de kritische Anlagen<\/em>, les obligations fondamentales \u2014 enregistrement, d\u00e9claration d’incidents, mise en \u0153uvre de mesures techniques et organisationnelles appropri\u00e9es et fourniture r\u00e9guli\u00e8re de preuves de conformit\u00e9 \u2014 restent en place. Mais plusieurs d\u00e9tails ont chang\u00e9. <\/p>\n\n

L’enregistrement suit d\u00e9sormais deux voies.<\/strong> Les op\u00e9rateurs KRITIS existants doivent s’enregistrer non seulement dans le portail MIP (Melde- und Informationsportal<\/em>)<\/a> existant, qu’ils utilisent jusqu’\u00e0 pr\u00e9sent, mais \u00e9galement en tant que besonders wichtige Einrichtung<\/em> dans le nouveau portail BSI. La date limite pour ceux d\u00e9j\u00e0 enregistr\u00e9s est de trois mois \u00e0 compter du 6 d\u00e9cembre 2025 \u2014 soit le 6 mars 2026. Les nouveaux op\u00e9rateurs doivent effectuer les deux enregistrements d\u00e8s le d\u00e9part. <\/p>\n\n

Le cycle d’audit a \u00e9t\u00e9 allong\u00e9.<\/strong> Auparavant, les op\u00e9rateurs devaient soumettre des preuves de conformit\u00e9 tous les deux ans. En vertu de la nouvelle BSIG, le cycle est de trois ans. Le BSI a directement notifi\u00e9 aux op\u00e9rateurs existants leurs nouvelles \u00e9ch\u00e9ances individuelles. <\/p>\n\n

La d\u00e9claration d’incidents suit la structure NIS2.<\/strong> L’obligation de d\u00e9claration KRITIS pr\u00e9c\u00e9dente est d\u00e9sormais enti\u00e8rement int\u00e9gr\u00e9e dans le cadre NIS2. Les op\u00e9rateurs qui d\u00e9clarent via MIP n’ont pas besoin de dupliquer la d\u00e9claration dans le portail BSI \u2014 le BSI a confirm\u00e9 que cet arrangement transitoire restera en place au moins jusqu’au 31 juillet 2026. <\/p>\n\n

Les syst\u00e8mes de d\u00e9tection d’attaques restent obligatoires.<\/strong> L’exigence de d\u00e9ployer des syst\u00e8mes capables de d\u00e9tecter les \u00e9v\u00e9nements pertinents pour la s\u00e9curit\u00e9 \u2014 introduite par IT-SiG 2.0 en 2021 \u2014 est maintenue en vertu de l’article 31 de la BSIG pour les op\u00e9rateurs d’installations critiques sp\u00e9cifiquement. Le BSI a publi\u00e9 des lignes directrices sur ce que ces syst\u00e8mes doivent \u00eatre capables de faire (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung<\/em>), disponibles via la page de t\u00e9l\u00e9chargements du BSI. <\/p>\n\n

Les points de contact partag\u00e9s (G\u00dcAS) sont supprim\u00e9s.<\/strong> Les op\u00e9rateurs qui partageaient auparavant une structure de contact commune avec leurs pairs du m\u00eame secteur doivent d\u00e9sormais chacun maintenir leurs propres arrangements de contact directs avec le BSI.<\/p>\n\n

Pourquoi le choix de la plateforme cloud est une d\u00e9cision de conformit\u00e9 KRITIS<\/strong><\/h3>\n\n

La BSIG r\u00e9vis\u00e9e exige explicitement que les op\u00e9rateurs \u00e9valuent la fiabilit\u00e9 de leurs fournisseurs de technologies \u2014 y compris les plateformes sur lesquelles leurs charges de travail critiques s’ex\u00e9cutent. Ce n’est pas nouveau, mais c’est d\u00e9sormais plus formellement int\u00e9gr\u00e9 dans le cadre. Pour l’infrastructure cloud sp\u00e9cifiquement, cela soul\u00e8ve des questions qui vont au-del\u00e0 des certifications et des SLA. <\/p>\n\n

Les plateformes cloud publiques hyperscale \u2014 AWS, Azure, GCP \u2014 pr\u00e9sentent des caract\u00e9ristiques structurelles difficiles \u00e0 concilier avec les exigences KRITIS. Les d\u00e9cisions de routage des donn\u00e9es sont prises de mani\u00e8re dynamique, ce qui rend techniquement difficile de garantir que les donn\u00e9es ne quittent jamais l’Allemagne ou l’UE. Leurs syst\u00e8mes internes \u2014 hyperviseurs, piles r\u00e9seau \u2014 ne peuvent pas \u00eatre audit\u00e9s de mani\u00e8re ind\u00e9pendante, ce qui cr\u00e9e des frictions avec les exigences d’\u00e9valuation de la cha\u00eene d’approvisionnement. Et les fournisseurs dont le si\u00e8ge est aux \u00c9tats-Unis restent soumis au CLOUD Act (18 U.S.C. \u00a7 2713), qui peut contraindre \u00e0 la divulgation de donn\u00e9es quel que soit l’endroit o\u00f9 elles sont stock\u00e9es \u2014 un conflit direct avec les obligations de souverainet\u00e9 des donn\u00e9es en vertu du cadre BSIG. <\/p>\n\n

Rien de tout cela ne signifie qu’un hyperscaler ne peut pas faire partie de l’infrastructure d’un op\u00e9rateur. Mais cela signifie que pour les charges de travail class\u00e9es comme critiques, la question de la plateforme rev\u00eat un poids r\u00e9glementaire, et pas seulement op\u00e9rationnel. <\/p>\n\n

Ce qu’il faut rechercher dans une plateforme cloud conforme<\/strong><\/h3>\n\n

Sur la base des exigences \u00e9nonc\u00e9es dans la BSIG r\u00e9vis\u00e9e et les lignes directrices du BSI, une plateforme cloud prenant en charge les charges de travail r\u00e9glement\u00e9es KRITIS doit d\u00e9montrablement traiter plusieurs domaines :<\/p>\n\n

Haute disponibilit\u00e9 par architecture<\/mark><\/strong> \u2014 pas seulement un temps de disponibilit\u00e9 promis contractuellement, mais une redondance int\u00e9gr\u00e9e dans les couches de calcul, de stockage et de r\u00e9seau, sans point de d\u00e9faillance unique.<\/p>\n\n

D\u00e9ploiement sur site ou priv\u00e9 avec contr\u00f4le total de la r\u00e9sidence des donn\u00e9es<\/strong><\/mark> \u2014 l’op\u00e9rateur doit pouvoir v\u00e9rifier o\u00f9 les donn\u00e9es sont trait\u00e9es et stock\u00e9es, sans routage externe non divulgu\u00e9.<\/p>\n\n

Chiffrement au repos et en transit<\/mark><\/strong>, gestion des cl\u00e9s sous le contr\u00f4le de l’op\u00e9rateur et segmentation r\u00e9seau stricte entre les locataires.<\/p>\n\n

Capacit\u00e9 de d\u00e9tection d’attaques<\/mark><\/strong> conforme aux lignes directrices du BSI \u2014 surveillance en temps r\u00e9el, d\u00e9tection d’anomalies et int\u00e9gration avec les outils SIEM.<\/p>\n\n

Journalisation d’audit compl\u00e8te<\/mark><\/strong> \u2014 chaque appel d’API, chaque modification de configuration, chaque action administrative, exportable pour l’inspection du BSI et la soumission de preuves de conformit\u00e9 triennale.<\/p>\n\n

Une cha\u00eene d’approvisionnement logicielle auditable<\/mark><\/strong> \u2014 des fondations open source avec une nomenclature logicielle (SBOM) publi\u00e9e, afin que les op\u00e9rateurs puissent effectuer l’\u00e9valuation de fiabilit\u00e9 requise par la loi.<\/p>\n\n

Comment FishOS r\u00e9pond aux exigences KRITIS<\/strong><\/h3>\n\n

FishOS, d\u00e9velopp\u00e9 par Sardina Systems, est une plateforme de gestion cloud qui int\u00e8gre OpenStack, Kubernetes et Ceph dans une pile automatis\u00e9e unique. Elle est con\u00e7ue pour un d\u00e9ploiement sur site et en cloud priv\u00e9, ce qui signifie que les op\u00e9rateurs conservent un contr\u00f4le direct sur l’endroit o\u00f9 leurs donn\u00e9es r\u00e9sident et sont trait\u00e9es \u2014 sans d\u00e9pendance \u00e0 une infrastructure cloud externe ou \u00e0 une juridiction \u00e9trang\u00e8re. <\/p>\n\n

Du c\u00f4t\u00e9 de la disponibilit\u00e9, FishOS inclut un composant de surveillance de la sant\u00e9<\/a> propri\u00e9taire qui analyse en continu les m\u00e9triques en temps r\u00e9el et les donn\u00e9es de journalisation. Selon Sardina Systems, il utilise ce qu’ils d\u00e9crivent comme une approche d’\u00ab immunologie informatique \u00bb \u2014 identifiant non seulement les \u00e9tats d\u00e9faillants mais aussi les \u00e9tats \u00ab malades \u00bb d\u00e9grad\u00e9s avant qu’ils ne provoquent des pannes. Cela se distingue des outils de surveillance conventionnels. <\/p>\n\n

Du c\u00f4t\u00e9 de la s\u00e9curit\u00e9 et de l’audit, FishOS fournit une journalisation d’audit centralis\u00e9e couvrant les actions au niveau utilisateur et syst\u00e8me dans toute l’infrastructure, et prend en charge l’int\u00e9gration SIEM. Selon des \u00e9valuations tierces de la plateforme, FishOS inclut une capacit\u00e9 SIEM int\u00e9gr\u00e9e pour d\u00e9tecter et r\u00e9pondre aux menaces de s\u00e9curit\u00e9 au sein de l’environnement. <\/p>\n\n

En mati\u00e8re de transparence de la cha\u00eene d’approvisionnement, FishOS est construit sur des composants open source \u2014 OpenStack, Ceph, Kubernetes \u2014 avec des bases de code publiquement auditables. Sardina Systems fournit une documentation SBOM, qui soutient directement l’\u00e9valuation de la fiabilit\u00e9 de la cha\u00eene d’approvisionnement requise en vertu de la BSIG r\u00e9vis\u00e9e. <\/p>\n\n

FishOS prend en charge la migration depuis VMware et d’autres plateformes h\u00e9rit\u00e9es via son appliance FishOS Move It, en utilisant soit une approche \u00e0 temps d’arr\u00eat minimal, soit le suivi des blocs de changement (CBT) pour les environnements en production. Les deux m\u00e9thodes ont fait leurs preuves sur des sites de production. <\/p>\n\n

FishOS fournit la base architecturale \u2014 souverainet\u00e9 sur site, auditabilit\u00e9 open source, haute disponibilit\u00e9 et outillage op\u00e9rationnel \u2014 dont les op\u00e9rateurs ont besoin pour construire et d\u00e9montrer une infrastructure conforme.<\/p>\n\n

Par o\u00f9 commencer avec KRITIS<\/strong>Si votre organisation est potentiellement concern\u00e9e par la BSIG r\u00e9vis\u00e9e \u2014 soit en tant qu’op\u00e9rateur KRITIS existant, soit en tant qu’entit\u00e9 nouvellement r\u00e9glement\u00e9e dans les cat\u00e9gories NIS2 \u2014 les priorit\u00e9s imm\u00e9diates sont :<\/p>\n\n

Premi\u00e8rement, v\u00e9rifiez si vous \u00eates qualifi\u00e9 en tant que Betreiber kritischer Anlagen<\/em> en vertu de la BSI-KritisV mise \u00e0 jour, ou en tant qu’besonders wichtige<\/em> ou wichtige Einrichtung<\/em> dans le cadre NIS2 plus large. Le BSI a publi\u00e9 un outil d’auto-\u00e9valuation \u00e0 cette fin. <\/p>\n\n

Deuxi\u00e8mement, si vous \u00eates d\u00e9j\u00e0 enregistr\u00e9 dans MIP en tant qu’op\u00e9rateur KRITIS, lancez l’enregistrement dans le nouveau portail BSI en tant que besonders wichtige Einrichtung<\/em> avant le 6 mars 2026.<\/p>\n\n

Troisi\u00e8mement, \u00e9valuez votre infrastructure actuelle par rapport aux exigences techniques des articles 30 et 31 de la BSIG \u2014 en particulier concernant la d\u00e9tection d’attaques, la journalisation d’audit et la documentation de la cha\u00eene d’approvisionnement.<\/p>\n\n

\"Une<\/a><\/figure>\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Le cadre KRITIS allemand pour la protection des infrastructures critiques vient de conna\u00eetre sa refonte la plus importante depuis dix ans. La loi de transposition NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie, ou NIS2UmsG \u2014 est entr\u00e9e en vigueur le 6 d\u00e9cembre 2025, r\u00e9visant substantiellement la loi BSI (BSIG) qui r\u00e9git les obligations de s\u00e9curit\u00e9 […]<\/p>\n","protected":false},"author":20,"featured_media":88912,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1277,1276],"tags":[3470,1734],"class_list":["post-88910","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-notre-blog","category-actualites","tag-conformite-cloud","tag-infrastructure-ouverte","grve-entry-item","grve-blog-item"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t