Ce que NIS2 exige des sites industriels.

NIS2 est la directive européenne (UE) 2022/2555 sur la cybersécurité. Elle remplace la directive NIS de 2016. Elle impose à des dizaines de milliers d'organisations un socle minimal de gestion du risque cyber, défini par son article 21. Elle les oblige aussi à notifier les incidents significatifs à l'autorité nationale. Une directive n'est pas d'application directe : chaque État membre la transpose, et c'est la loi nationale qui devient opposable. En France, ce texte est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. L'autorité désignée est l'ANSSI.

Sont concernées les entités essentielles (EE) et importantes (EI) de 18 secteurs. Ils se répartissent entre l'annexe I de la directive (11 secteurs hautement critiques : énergie, transports, santé, eau potable, eaux usées, infrastructure numérique, administration publique, espace, banque, marchés financiers, services TIC) et l'annexe II (7 secteurs critiques : produits chimiques, denrées alimentaires, fabrication, déchets, postes et expédition, fournisseurs numériques, recherche). Le critère de taille général est simple : une entreprise d'au moins 50 salariés, ou réalisant plus de 10 millions d'euros de chiffre d'affaires, entre dans le périmètre. Les grandes entreprises des secteurs de l'annexe I sont entités essentielles, les autres sont entités importantes. Certaines entités sont désignées indépendamment de leur taille. L'ANSSI annonce environ 15 000 entités concernées en France, contre quelques centaines sous NIS1.

Au 18 septembre 2026, la loi de transposition n'est pas promulguée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été présenté en Conseil des ministres le 15 octobre 2024 et adopté par le Sénat le 12 mars 2025. Son examen en commission spéciale à l'Assemblée nationale s'est achevé en septembre 2025, et le passage en séance est attendu. Les décrets d'application et les référentiels techniques suivront la promulgation. En pratique, les obligations ne sont pas encore opposables, mais le calendrier de mise en conformité d'un site industriel se compte en trimestres : commencer après la publication des décrets, c'est commencer en retard.

Le Référentiel Cyber France (ReCyF), publié par l'ANSSI le 17 mars 2026, traduit les exigences de NIS2 en objectifs de sécurité concrets : 15 objectifs pour les entités importantes, 20 pour les entités essentielles, les objectifs 16 à 20 étant les plus avancés. C'est le document qui répond à la question laissée ouverte par l'article 21 : ce qu'il faut réellement mettre en place. Le ReCyF n'est pas encore opposable : il le deviendra avec les décrets d'application de la loi de transposition. Une entité qui l'applique dès maintenant pourra s'en prévaloir lors d'un contrôle. L'ANSSI met aussi à disposition un outil de comparaison avec les autres référentiels existants, dont l'ISO 27001.

Non. NIS2 est une obligation réglementaire, pas un schéma de certification. Il n'existe ni certificat NIS2, ni organisme accrédité pour le délivrer. Un prestataire qui vend une certification NIS2 vend donc autre chose. La conformité se démontre devant l'autorité de contrôle par des preuves : l'enregistrement de l'entité auprès de l'ANSSI, la capacité à notifier un incident dans les délais et la documentation des mesures de l'article 21. Une certification ISO 27001 couvre une partie du chemin, celle du système de management, mais elle ne suffit pas. Pour la partie industrielle, c'est l'IEC 62443 qui fournit le vocabulaire technique, et le ReCyF qui fournit le cadre français.

Pour les entités essentielles : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour les entités importantes : jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires. Au-delà de l'amende, NIS2 prévoit des mesures non financières : injonctions, audits de sécurité imposés, et publication du manquement. L'autorité compétente peut aussi prononcer une interdiction temporaire d'exercer des fonctions de direction.

Le dirigeant. L'article 20 de NIS2 désigne explicitement les organes de direction comme responsables : ils doivent approuver les mesures de gestion des risques, en surveiller la mise en œuvre, suivre une formation, et peuvent être tenus personnellement responsables en cas de manquement. Opérationnellement, la responsabilité se partage entre le RSSI (politique cyber), la DSI (IT) et le responsable production (OT), mais c'est la direction générale qui répond juridiquement du manquement. Le piège classique consiste à déléguer l'OT au RSSI, alors que ni le RSSI ni la DSI n'ont autorité sur la production.

Parce que quatre des dix mesures de l'article 21 supposent des capacités que les équipements industriels n'ont pas. Un automate ignore la notion d'utilisateur, donc pas de traçabilité nominative (art. 21(2)(i)). Il ne sait pas faire d'authentification multifactorielle, et son firmware ne sera pas mis à jour pour cela (art. 21(2)(j)). Les protocoles industriels comme Modbus ou S7 circulent en clair par conception (art. 21(2)(h)). Et l'accès des mainteneurs et intégrateurs se fait souvent en direct, par un routeur posé dans une armoire (art. 21(2)(d)). Ces quatre exigences ne peuvent pas être satisfaites sur les équipements : elles doivent l'être par le réseau qui les dessert.

Par le périmètre, pas par la technique. Déterminez d'abord si chaque site est entité essentielle, entité importante ou hors périmètre, puisque les obligations et les sanctions en dépendent. Établissez ensuite l'inventaire des actifs OT en écoute passive, parce que toutes les autres mesures en dépendent et qu'un scan actif peut perturber la production. Traitez alors les accès des tiers et la journalisation, qui sont à la fois les plus exposés et les plus rapides à corriger. Le reste des mesures de l'article 21 se planifie ensuite sur l'année.