Complass – Navigate compliance Complass – Navigate compliance
Langue FR
Deutsch English Français Italiano Español Nederlands Polski Português
Essayer gratuitement

NIS2, CRA et autres : votre entreprise est-elle concernée ?

Une première évaluation pour NIS2 (§ 28 BSIG), KRITIS, le règlement sur la cyberrésilience et le règlement Machines, ainsi que pour ISO 27001, IEC 62443 et TISAX en tant que preuves volontaires. Pour tous les secteurs, avec une profondeur particulière pour l’industrie et l’OT. Sans inscription, en quelques minutes.

Entreprise

Toutes les questions sont facultatives ; nous comptons une question sans réponse comme « Je ne sais pas ». Condition supposée : activité exercée contre rémunération.

1. Où votre entreprise est-elle établie ?

NIS2 est transposée en droit national ; cette vérification évalue la transposition allemande (BSIG). Le règlement sur la cyberrésilience et le règlement Machines s’appliquent directement dans toute l’UE.

2. Secteur

Uniquement pour l’orientation et les indications non contraignantes ci-dessous ; pour les conséquences juridiques, c’est la question 3 qui compte.

Activité

3. Activité exacte au sens de NIS2 (annexe 1/2 BSIG)

Choisissez l’activité qui correspond le mieux. Les groupes correspondent aux secteurs des annexes 1 et 2 BSIG.

Ce qui compte, c’est ce que fait réellement votre entreprise, pas le secteur. Les activités qui ne représentent qu’une part négligeable de votre activité sont écartées (§ 28, al. 3, BSIG). Si aucune ne convient, choisissez « Aucune de celles-ci ».

Taille

Il s’agit de votre entreprise en tant qu’entité juridique, par exemple la GmbH, avec tous ses sites réunis, et non d’un site isolé. Nous demanderons à l’étape suivante si les chiffres d’un groupe d’entreprises comptent aussi. Les derniers comptes annuels font foi.

4. Effectifs

Les salariés à temps plein comptent pour 1, les salariés à temps partiel et saisonniers au prorata. Les apprentis ainsi que les salariés en congé maternité ou parental ne sont pas comptés. Exemple : 40 salariés à temps plein et 20 à mi-temps font 50.

5. Chiffre d’affaires annuel

Chiffre d’affaires hors TVA selon le compte de résultat.

6. Total du bilan

La somme de l’actif de votre bilan. Elle figure dans les comptes annuels ou vous est fournie par votre expert-comptable.

À partir de 50 salariés, votre entreprise est considérée comme une entreprise moyenne. Il en va de même si le chiffre d’affaires et le total du bilan dépassent tous deux 10 M€. En cas de doute, choisissez « Je ne sais pas » ; le résultat indique alors ce qu’il faut vérifier.

Groupe d’entreprises

7. Groupe d’entreprises

Il y a groupe lorsqu’une autre entreprise détient au moins 25 % de votre entreprise, par exemple une société mère, ou lorsque votre entreprise détient au moins 25 % d’une autre. Si votre informatique est indépendante du groupe, seuls vos propres chiffres comptent (§ 28, al. 4, BSIG).

Comment comptent les participations et l’informatique partagée
  • Plus de 50 % ou influence dominante (entreprise liée) : les chiffres comptent en totalité. Cela vaut pour la société mère, vos filiales et les sociétés sœurs sous la même mère.
  • 25 à 50 % (entreprise partenaire) : les chiffres comptent au prorata, à hauteur de la participation.
  • Moins de 25 % : ne compte pas, vous êtes considéré comme indépendant. Les participations de sociétés de capital-risque, de business angels ou d’universités jusqu’à 50 % peuvent elles aussi ne pas compter.
  • Informatique indépendante signifie séparée juridiquement, économiquement et dans les faits : systèmes et réseaux propres, exploitation informatique propre ou prestataire propre, décisions propres en matière de sécurité.
  • Informatique partagée, par exemple : un centre de données du groupe, un réseau commun ou une authentification commune (Active Directory) ou un service informatique central de la société mère.

Exemple : la société mère détient 100 % de votre GmbH, mais votre informatique fonctionne de façon totalement séparée. Alors seuls vos propres chiffres comptent. Vous devriez pouvoir prouver cette indépendance. En cas de doute, choisissez « Informatique partagée ».

À remplir uniquement si vous avez choisi « Fait partie d’un groupe, informatique partagée ». Alors les chiffres du groupe comptent : toutes les entreprises liées ensemble, y compris la vôtre, au prorata pour les participations comprises entre 25 et 50 %. En cas de doute, demandez à la comptabilité de votre groupe.

Effectifs du groupe
Chiffre d’affaires annuel du groupe
Total du bilan du groupe

Activités particulières

8. Exploitez-vous une installation critique (KRITIS) ?

Les installations critiques approvisionnent en règle générale au moins 500 000 personnes, par exemple de grandes centrales électriques, stations d’eau ou hôpitaux à partir d’un certain nombre de cas. Les seuils figurent dans l’ordonnance BSI-KritisV. Les exploitants le savent généralement, car ils sont enregistrés auprès du BSI.

9. Cas particuliers (facultatif, choix multiple)

Ces activités relèvent de NIS2 quelle que soit la taille : signatures, cachets ou horodatages électroniques (services de confiance), services DNS ou domaine de premier niveau, réseaux ou services de télécommunications publics. Pour les banques, assurances et autres entités financières, DORA prévaut.

Produits et machines

10. Produits comportant des éléments numériques

Sont visés le matériel et les logiciels pouvant être connectés à un appareil ou à un réseau, par exemple des automates, appareils connectés, applications ou micrologiciels. Quiconque vend un produit sous son propre nom est considéré comme fabricant, même si un autre l’a fabriqué.

11. Machines

Une machine est substantiellement modifiée lorsqu’une transformation crée de nouveaux dangers que le fabricant n’avait pas prévus. Quiconque le fait est lui-même considéré comme fabricant. Cela vaut aussi pour les machines que vous construisez pour votre propre exploitation.

Preuves volontaires

12. Exigences des clients (facultatif, choix multiple)

Choisissez ce que les clients exigent de vous dans les contrats, demandes ou audits fournisseurs. TISAX est surtout exigé par l’industrie automobile. Même si NIS2 ou le CRA ne s’appliquent pas directement à vous, les clients concernés répercutent souvent leurs obligations sur leurs fournisseurs et prestataires par contrat.

13. Intelligence artificielle

Dès l’utilisation d’outils d’IA tels que ChatGPT ou Copilot dans l’entreprise, des obligations apparaissent, par exemple en matière de maîtrise de l’IA par les salariés. Quiconque développe des systèmes d’IA ou les distribue sous son propre nom a nettement plus d’obligations.

Que signifient ces référentiels ?

NIS2 (transposée dans la loi sur le BSI) oblige les exploitants de certains secteurs, à partir d’une taille minimale, à la gestion des risques, à l’enregistrement et à la notification. En savoir plus sur NIS2

KRITIS (loi-cadre KRITIS) concerne les exploitants d’installations critiques quelle que soit leur taille et exige des mesures de résilience. En savoir plus sur la loi-cadre KRITIS

Règlement sur la cyberrésilience exige des fabricants, importateurs et distributeurs de produits comportant des éléments numériques une cybersécurité sur l’ensemble du cycle de vie, dans toute l’UE. En savoir plus sur le CRA

Règlement Machines complète le marquage CE des machines par des exigences de cybersécurité pour les systèmes de commande, dans toute l’UE. En savoir plus sur le règlement Machines

ISO 27001, IEC 62443 et TISAX ne sont pas des obligations légales, mais des preuves souvent exigées par les clients ou les contrats. En savoir plus sur ISO 27001 · En savoir plus sur IEC 62443

Première appréciation non contraignante, pas un conseil juridique. Le résultat repose exclusivement sur vos indications et sur des règles standardisées ; il ne remplace ni votre propre examen ni l’auto-identification auprès des autorités. Fichier de règles 2026.10.3, Au 2026-10-10.
Protection des données : le RGPD s’applique à presque toute entreprise qui traite des données à caractère personnel. Il ne fait pas partie de cette vérification. Avec le module RGPD, vous mettez en œuvre la protection des données de façon démontrable dans Complass. En savoir plus sur le RGPD

Questions fréquentes sur la vérification de l’assujettissement

Le résultat est-il juridiquement contraignant ?

Non. Il s’agit d’une première appréciation non contraignante, fondée sur vos indications et sur des règles standardisées, et non d’un conseil juridique.

Mes données sont-elles enregistrées ?

Non. L’évaluation se fait uniquement en mémoire vive et n’est ni enregistrée ni journalisée nulle part, sauf si vous envoyez expressément le résultat avec une demande de démo.

D’où viennent les seuils ?

Du § 28 BSIG, de l’ordonnance BSI-KritisV, du règlement sur la cyberrésilience et du règlement Machines ; les références figurent avec chaque résultat.

Que signifie « examen en suspens » ?

Vos indications ne permettent pas encore de répondre de façon définitive ; une indication manquante ne mène jamais automatiquement à « non concerné ».

Mon entreprise n’est pas établie en Allemagne. La vérification s’applique-t-elle quand même ?

En tant que règlements européens, le règlement sur la cyberrésilience et le règlement Machines s’appliquent directement dans tous les États membres (règlement Machines à partir du 20.01.2027). Pour NIS2, chaque État membre transpose la directive en droit national ; cette vérification n’évalue que la transposition allemande (BSIG) et affiche pour celle-ci « examen en suspens ».

Qu’en est-il du RGPD ?

Le RGPD s’applique à presque toute entreprise qui traite des données à caractère personnel. Il ne fait pas partie de cette vérification. Avec le module RGPD, vous mettez en œuvre la protection des données de façon démontrable dans Complass.

Le règlement sur l’IA s’applique-t-il à nous ?

Quiconque utilise l’IA dans l’entreprise doit prendre des mesures pour promouvoir la maîtrise de l’IA de ses salariés (art. 4 du règlement sur l’IA, dans la version en vigueur depuis le 27.07.2026). Aucun niveau ni certificat particulier n’est prescrit, mais vous devriez pouvoir justifier ces mesures. D’autres obligations dépendent de la finalité d’utilisation et s’appliquent de façon échelonnée ; veuillez vérifier l’état actuel.

Puis-je enregistrer ou imprimer le résultat ?

Oui, via la fonction d’impression de votre navigateur ; il n’existe pas d’export PDF côté serveur.

Que faire du résultat ?

Vous trouverez pour chaque référentiel les premières étapes et, à la fin, une proposition d’offre adaptée ; une démo vous montre Complass à partir de votre propre exemple.

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.

Essayer gratuitement Demander une démo