La directive NIS2, directive (UE) 2022/2555, est le texte européen qui encadre la cybersécurité des entités « essentielles » et « importantes » de 18 secteurs. Elle leur impose dix mesures de sécurité minimales (article 21), la notification des incidents importants sous 24 heures (article 23) et la responsabilité de la direction (article 20), sous peine d'amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Elle remplace la directive NIS de 2016 et élargit à la fois les secteurs couverts et les obligations de chaque entité.
Si vous exploitez des usines, la difficulté est d'appliquer ces mesures à des machines qui ne peuvent pas recevoir de logiciel de sécurité. Notre page conformité NIS2 pour l'OT associe chaque mesure de l'article 21 au contrôle qui y répond, et dit clairement ce qui reste à votre charge. Pour la transposition française et le ReCyF de l'ANSSI, lisez notre guide NIS2 pour les industriels.
Qu'est-ce que la directive NIS2 ?
NIS2 est la deuxième directive sur la sécurité des réseaux et des systèmes d'information. Le texte complet est sur EUR-Lex. Elle est entrée en vigueur en janvier 2023. Les États membres devaient la transposer avant le 17 octobre 2024, et chaque loi nationale fixe ses propres dates d'application.
La directive poursuit quatre objectifs :
- Harmoniser les règles de cybersécurité entre États membres.
- Élargir le périmètre à davantage de secteurs et aux entreprises de taille moyenne.
- Fixer des mesures de sécurité concrètes au lieu de les laisser à l'interprétation nationale.
- Accélérer la notification des incidents et la coopération entre autorités nationales.
Qui est concerné par NIS2 ?
NIS2 s'applique aux organisations moyennes et grandes des secteurs listés dans ses deux annexes. Certaines entités sont concernées quelle que soit leur taille, comme les fournisseurs de DNS ou le seul fournisseur d'un service critique dans un État membre.
| Catégorie | Secteurs | Taille type | Amende maximale |
|---|---|---|---|
| Entité essentielle | Grandes organisations de l'annexe I : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC, administration publique, espace | 250 salariés ou plus, ou plus de 50 millions d'euros de chiffre d'affaires | 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel |
| Entité importante | Organisations moyennes de l'annexe I, et moyennes ou grandes de l'annexe II : services postaux, gestion des déchets, chimie, agroalimentaire, fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules), fournisseurs numériques, recherche | 50 salariés ou plus, ou plus de 10 millions d'euros de chiffre d'affaires | 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial annuel |
L'annexe I compte 11 secteurs hautement critiques et l'annexe II 7 autres secteurs critiques, d'où les « 18 secteurs ». Les entités déjà couvertes par la première directive NIS restent dans le périmètre. Beaucoup d'industriels, d'acteurs de l'agroalimentaire et de sites chimiques sont concernés pour la première fois.
Les obligations sont presque identiques pour les deux catégories. La différence tient à la supervision : les entités essentielles font l'objet de contrôles a priori, les entités importantes de contrôles a posteriori.
Quelles sont les exigences de NIS2 ?
Les dix mesures de sécurité de l'article 21
L'article 21(2) liste dix mesures minimales. Elles doivent être proportionnées à votre risque, à votre taille et à l'impact probable d'un incident. La colonne de droite dit ce que chacune implique sur un site industriel.
| Article | Mesure | Ce que cela implique sur un site industriel |
|---|---|---|
| 21(2)(a) | Analyse des risques et politiques de sécurité des systèmes d'information | Partir d'un inventaire des machines à jour. En OT, on écoute le trafic au lieu d'interroger les équipements. |
| 21(2)(b) | Gestion des incidents | Journaliser les accès à chaque machine, pour reconstituer la chronologie dans les délais de notification. |
| 21(2)(c) | Continuité d'activité, sauvegardes, gestion de crise | Sauvegarder les programmes automates et les configurations, pas seulement les serveurs. Tester la restauration. |
| 21(2)(d) | Sécurité de la chaîne d'approvisionnement | Contrôler l'accès de l'intégrateur, du mainteneur et du constructeur, y compris les routeurs 4G oubliés dans les armoires. |
| 21(2)(e) | Sécurité de l'acquisition, du développement et de la maintenance, dont la gestion des vulnérabilités | Inscrire des clauses de sécurité dans les cahiers des charges des machines. Prévoir les équipements qui n'auront jamais de correctif. |
| 21(2)(f) | Évaluation de l'efficacité des mesures | Mesurer, puis montrer les chiffres. Une politique écrite ne suffit pas comme preuve. |
| 21(2)(g) | Hygiène cyber de base et formation | Inclure les équipes de production. Ce sont elles qui branchent les clés USB et ouvrent les accès prestataires. |
| 21(2)(h) | Cryptographie et chiffrement | Modbus, S7 et DNP3 circulent en clair. Le chiffrement doit venir du réseau qui entoure les machines. |
| 21(2)(i) | Sécurité des ressources humaines, contrôle d'accès, gestion des actifs | Un automate ignore la notion d'utilisateur. Un mot de passe d'atelier partagé ne laisse aucune trace nominative. |
| 21(2)(j) | Authentification multifacteur et communications sécurisées | Un HMI ancien ne sait pas faire de MFA. L'authentification forte doit être placée devant la machine. |
Pour la réponse de Trout Access Gate à chaque ligne, en indiquant « partiel » quand une partie du travail reste à votre charge, consultez le tableau de correspondance avec l'article 21 sur notre page NIS2.
Notification des incidents (article 23)
Lors d'un incident important, le délai court à partir du moment où vous en avez connaissance.
- Sous 24 heures : une alerte précoce au CSIRT ou à l'autorité compétente.
- Sous 72 heures : une notification d'incident avec une première évaluation de la gravité et de l'impact.
- Sous un mois : un rapport final.
Un incident est important lorsqu'il cause, ou peut causer, une perturbation grave du service ou une perte financière, ou un dommage considérable à des tiers. Le délai de 24 heures est celui qui prend la plupart des organisations de court.
Gouvernance et responsabilité (article 20)
Les organes de direction doivent approuver les mesures de sécurité, superviser leur mise en œuvre et suivre une formation en cybersécurité. Leur responsabilité peut être engagée. Pour les entités essentielles, l'autorité peut interdire temporairement à un dirigeant d'exercer ses fonctions (article 32). Notre article sur la responsabilité des dirigeants au titre de NIS2 détaille ce point.
Que change NIS2 pour les réseaux ICS et OT ?
NIS2 n'exempte pas les systèmes de contrôle industriel. Dans l'énergie, l'eau, les transports et l'industrie, les mesures de l'article 21 portent sur les automates, les HMI, les RTU et les serveurs SCADA. La plupart de ces machines ne peuvent pas recevoir d'agent, et beaucoup tournent sur des systèmes d'exploitation en fin de vie. Quatre chantiers demandent un travail propre à l'OT.
Gestion des actifs
Tenez à jour l'inventaire de chaque machine, de son firmware et de ses flux. Construisez-le passivement à partir du trafic réseau, pour ne jamais perturber un process en marche. Notre guide sur les exigences d'inventaire des actifs NIS2 liste ce qu'il faut suivre.
Gestion des risques
Évaluez ensemble le risque cyber et le risque physique, car un incident OT peut arrêter une ligne ou blesser quelqu'un. Classez les machines selon ce que coûterait leur arrêt. Revoyez l'analyse à chaque évolution du site.
Réponse aux incidents
Désignez une équipe de réponse aux rôles clairs. Rédigez un plan pour les incidents OT et testez-le en exercice avec la production. Décidez à l'avance qui notifie l'autorité, pour que l'alerte sous 24 heures n'attende pas une réunion.
Continuité d'activité
Prévoyez des solutions de repli pour les process critiques. Gardez des copies hors ligne des programmes automates et des projets HMI. Vérifiez que le plan correspond toujours au site après chaque modification.
Contrôle d'accès et segmentation
C'est souvent l'écart le plus difficile à combler. Les machines anciennes ne savent ni authentifier un utilisateur ni enregistrer une session, et la voie d'entrée la plus risquée reste l'accès distant des prestataires. Le considérant 89 de la directive cite la segmentation du réseau parmi les pratiques d'hygiène cyber de base, et le ReCyF de l'ANSSI impose aux entités essentielles de cloisonner leurs systèmes en zones de sécurité.
Trout Access Gate se branche sur votre réseau existant et place une passerelle devant ces machines. Chaque session, y compris la maintenance par un tiers, est liée à un utilisateur nommé, limitée aux machines nécessaires et enregistrée. Rien n'est installé sur les machines. Voir la conformité NIS2 pour l'OT et l'accès distant sécurisé pour l'OT et les prestataires.
Quels référentiels aident à respecter NIS2 ?
Il n'existe pas de certificat NIS2. La conformité se démontre devant l'autorité nationale, preuves à l'appui. Les référentiels existants permettent de les produire plus vite.
- L'IEC 62443 donne le modèle technique des réseaux industriels : zones et conduits, niveaux de sécurité et exigences fournisseurs.
- L'ISO/IEC 27001 couvre le système de management : processus de risque, politiques et amélioration continue.
- Le ReCyF de l'ANSSI décline l'article 21 en objectifs de sécurité vérifiables pour les entités françaises.
Associez chaque mesure de l'article 21 à un contrôle que vous appliquez déjà, pour ne pas faire le travail deux fois. Si vous vendez aussi à la défense américaine, consultez une seule architecture pour CMMC et NIS2.
Comment se préparer à NIS2 ?
- Confirmez votre catégorie. Vérifiez si vous êtes entité essentielle ou importante, et enregistrez-vous auprès de l'autorité nationale.
- Faites une analyse des écarts. Comparez vos contrôles actuels aux dix mesures de l'article 21, site par site.
- Construisez une feuille de route. Donnez à chaque écart un responsable, une date et un budget. Traitez d'abord les écarts les plus risqués.
- Préparez la notification. Vérifiez que vous pouvez envoyer une alerte sous 24 heures, y compris un week-end.
- Sécurisez la chaîne d'approvisionnement. Ajoutez des clauses de sécurité aux contrats fournisseurs et contrôlez l'accès distant des prestataires.
- Placez des contrôles devant l'OT. Segmentation, accès nominatif, MFA et journaux de session, sans modifier les machines.
- Formez les équipes. Incluez les opérateurs et la maintenance, pas seulement les bureaux.
- Mesurez et améliorez. Revoyez les mesures régulièrement et gardez les preuves prêtes pour un contrôle.
Trois difficultés reviennent souvent. Les contrôles de sécurité ne doivent pas bloquer le travail de production. Les petites entités doivent investir là où le risque est le plus fort. Et la sécurité de vos fournisseurs devient la vôtre : prévoyez de les évaluer dès le départ.
Quand NIS2 s'applique-t-elle ?
La date limite de transposition était le 17 octobre 2024. En 2026, la plupart des États membres ont intégré NIS2 dans leur droit national. Quelques-uns, dont la France, finalisent encore leur transposition, et les contrôles montent en puissance à mesure que chaque loi entre en vigueur. Vérifiez auprès de votre autorité nationale la date qui vous concerne. Notre article sur l'application de NIS2 suit ce qui a changé. Voir aussi notre état des lieux de la souveraineté numérique européenne appliquée au réseau et à la cybersécurité.
Par où commencer
Identifiez votre catégorie, associez vos contrôles à l'article 21 et testez votre notification sous 24 heures. Pour les usines, commencez par le contrôle d'accès aux machines qui ne savent pas se protéger seules.