Appliquez l'article 21 de NIS2 jusqu'aux machines de l'atelier.
Access Gate applique sur site la partie réseau de l'article 21 de NIS2 pour vos réseaux OT et SCADA. Il contrôle et journalise chaque accès aux automates, HMI et serveurs SCADA, sans agent sur les machines.
Dernière mise à jour :
Le problème
Les mesures de l'article 21 couvrent l'ensemble des réseaux et systèmes d'information de l'entité, y compris les automates, les HMI, les machines CNC, les serveurs SCADA et les capteurs de l'atelier. Beaucoup fonctionnent avec un firmware propriétaire ou un système d'exploitation en fin de vie et ne peuvent pas recevoir d'agent. La directive ne prévoit pas d'exemption pour ces machines.
Quelle solution de conformité NIS2 pour des réseaux OT et SCADA ?
Une solution de conformité NIS2 pour réseaux OT et SCADA applique l'article 21 à des machines qui n'acceptent ni agent ni correctif. Elle le fait sans arrêter la production. Aucun produit ne rend à lui seul une entité conforme. Il faut quatre fonctions techniques, complétées par votre gouvernance et vos procédures. L'ANSSI décline ces exigences dans le ReCyF.
- Voir : un inventaire des automates, HMI, RTU et serveurs SCADA, construit à partir du trafic.
- Contrôler : des zones et des règles de flux entre l'IT et l'OT, selon l'IEC 62443.
- Accéder : un accès nominatif avec MFA devant les équipements anciens, pour vos équipes et vos prestataires.
- Prouver : des journaux de session et des rapports prêts pour l'audit.
Access Gate, de l'éditeur français Trout Software, réunit ces fonctions dans une DMZ in a box : une appliance par site, branchée à côté du réseau. Le tableau indique ce qu'il couvre à chaque niveau du modèle de Purdue.
| Niveau | Environnement | Article 21 | Access Gate | Reste à votre charge |
|---|---|---|---|---|
| L4-L5 | SI d'entreprise | a, i, j | Sépare l'IT de l'OT et se connecte à vos annuaires | EDR, SIEM, SOC |
| L3.5 | DMZ industrielle | d, h, i, j | Proxy d'authentification, bastion et filtrage entre zones | Contrats des prestataires |
| L3 | Supervision et historians | b, f | Journaux de session, alertes et rapports d'accès | Traitement et notification des incidents |
| L2 | SCADA et HMI | d, i, j | Accès nominatif avec MFA et sessions enregistrées | Durcissement et correctifs |
| L1 | PLC, RTU et DCS | a, e, g, i | Refus par défaut et règles par machine et par protocole, sans rien installer | Remplacement des équipements obsolètes |
| L0 | Capteurs et actionneurs | c | Pas de contrôle direct | Sécurité physique et continuité |
Quelles familles de solutions comparer ?
Les réponses du marché se répartissent en quatre familles, souvent complémentaires. Chacune couvre une partie de l'article 21.
| Famille | Exemples | Article 21 | Limite en OT |
|---|---|---|---|
| Pare-feu industriels | Fortinet, Cisco, Stormshield | a, i | Les règles se gèrent zone par zone. L'accès nominatif demande d'autres briques. |
| Visibilité et détection OT | Cisco Cyber Vision, Nozomi Networks, Claroty | a, b | Le contrôle des accès demande en général un autre produit ou module. |
| Bastions PAM | Wallix, CyberArk, BeyondTrust | d, i, j | Une route directe reste ouverte tant que le réseau n'est pas segmenté. |
| DMZ in a box | Access Gate (Trout Software) | a, b, d, g, h, i, j | Ne protège que les chemins dirigés vers l'appliance. Ne remplace ni un EDR ni un SOC. |
Si vous comparez déjà des éditeurs, consultez nos pages Alternative souveraine à Fortinet et Zscaler pour l'OT et Alternative souveraine à Claroty.
Qu'exige NIS2 pour l'OT et les systèmes de contrôle industriels ?
NIS2 ne fait aucune différence entre l'IT et l'OT. Un industriel concerné gère ses risques cyber avec les dix mesures de l'article 21 et notifie ses incidents importants selon l'article 23. Sa direction approuve et supervise ces mesures selon l'article 20. Les automates, les HMI, les serveurs SCADA et les postes d'ingénierie sont des réseaux et systèmes d'information au sens de la directive, et les obligations s'y appliquent.
NIS2 prévoit dix mesures à l'article 21, la notification des incidents à l'article 23 et la responsabilité de la direction à l'article 20. Le périmètre, le détail des mesures, les délais et les sanctions sont expliqués dans notre guide de la conformité NIS2 dans l'industrie. Cette page montre ce qu'Access Gate applique sur le réseau.
Ce qu'Access Gate applique sur le réseau
Cinq mesures portent sur les personnes et les systèmes autorisés à atteindre vos machines. Access Gate en assure la partie réseau, sur site.
- Sécurité de la chaîne d'approvisionnement (d). Fournisseurs et intégrateurs n'atteignent que les machines autorisées, pour une durée limitée et avec MFA, et chaque session est enregistrée. Voir l'accès distant sécurisé pour l'OT.
- Contrôle d'accès et MFA (i, j). Chaque utilisateur s'authentifie avec MFA sur Access Gate avant qu'une session n'atteigne un automate ou un HMI. La machine n'a jamais besoin de gérer le MFA elle-même.
- Gestion des actifs (i). L'inventaire des actifs recense chaque machine à partir du trafic qui circule déjà sur votre réseau. Rien n'est installé sur les machines.
- Zones entre l'OT et l'IT (a, g, i). Access Gate découpe l'OT en zones et bloque toute connexion que vous n'avez pas autorisée, selon le modèle zones et conduits de l'IEC 62443. Le considérant 89 cite la segmentation du réseau parmi les pratiques de cyberhygiène.
- Journalisation pour la gestion des incidents (b). Chaque connexion est journalisée avec l'utilisateur, la machine et l'heure. Votre équipe s'appuie sur ce journal pour l'alerte précoce sous 24 heures.
Ce qui reste à votre charge
Access Gate ne rend à lui seul aucune entité conforme. Votre équipe rédige l'analyse des risques et les politiques de sécurité, traite et notifie les incidents, organise la continuité d'activité, applique les correctifs, encadre la sécurité dans les contrats fournisseurs et forme le personnel. Access Gate apporte l'application technique et les preuves pour la partie réseau des mesures.
Trois chiffres NIS2 et leurs sources.
Chaque chiffre renvoie au texte d'origine.
- 24 h, 72 h, 1 mois
- Alerte précoce, notification d'incident et rapport final après un incident important.
- Directive (UE) 2022/2555, article 23, paragraphe 4
- 18 secteurs
- 11 secteurs hautement critiques à l'annexe I et 7 autres secteurs critiques à l'annexe II.
- Directive (UE) 2022/2555, annexes I et II
- 15 ou 20 objectifs
- Le ReCyF, publié par l'ANSSI le 17 mars 2026, fixe 15 objectifs de sécurité pour les entités importantes et 20 pour les entités essentielles.
- ANSSI, Référentiel Cyber France (ReCyF)
Comment la France et l'Allemagne transposent NIS2
NIS2 est une directive : chaque État membre la transpose dans son droit et désigne son autorité. La date limite de transposition était le 17 octobre 2024.
France : l'ANSSI et le projet de loi Résilience
La France transpose NIS2 par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi Résilience. Le Sénat l'a adopté en mars 2025. Son examen à l'Assemblée nationale, prévu en octobre 2026, a été retiré de l'ordre du jour. Le texte y est de nouveau inscrit à partir du 9 novembre 2026. L'ANSSI est l'autorité nationale. Elle précise que les obligations NIS2 s'appliqueront en France une fois la loi promulguée et ses décrets d'application publiés. L'ANSSI suit l'avancement sur sa page dédiée à la transposition. Dans l'attente de ces textes, son ReCyF prévoit 15 objectifs de sécurité pour les entités importantes et 20 pour les entités essentielles. Pour le cas des industriels, voir la conformité NIS2 pour les industriels.
Allemagne : la NIS2UmsuCG et l'enregistrement auprès du BSI
L'Allemagne a transposé NIS2 par la loi NIS2UmsuCG, qui refond la loi sur le BSI (BSIG). La loi a été publiée au Bundesgesetzblatt le 5 décembre 2025 et est en vigueur depuis le 6 décembre. Le BSI supervise environ 29 500 entités, classées particulièrement importantes ou importantes. Chaque entité concernée s'enregistre auprès du BSI au plus tard trois mois après être entrée dans le périmètre, d'abord via « Mein Unternehmenskonto », puis sur le portail du BSI. L'article 30, paragraphe 2, du BSIG reprend les dix mesures minimales.
Appliquer l'article 21 aux machines qui ne peuvent pas recevoir d'agent.
Access Gate applique les mesures sur le réseau, devant les machines. Vous le reliez à votre pare-feu ou à votre routeur existant et ajoutez une règle qui lui redirige le trafic des machines. Rien n'est installé sur les machines, et leur firmware reste inchangé.
Les industriels multisites déploient un Access Gate par usine. Chaque Access Gate fonctionne de façon autonome, sans dépendance entre les usines. Chaque usine dispose de ses propres zones IEC 62443, et vous gérez les politiques de toutes les usines depuis une console unique.
Segmentation sans recâblage
Access Gate sépare les zones OT de l'IT et les unes des autres. Vos VLAN et vos commutateurs restent tels quels.
Le MFA devant chaque machine
Access Gate vérifie le MFA avant qu'une session n'atteigne la machine, et l'automate n'a jamais à le prendre en charge. Cela répond aux mesures de contrôle d'accès et de MFA des points i et j.
Un journal chaîné par hachage pour chaque session OT
Chaque connexion à un actif OT est journalisée avec l'utilisateur, l'heure et le protocole, et les sessions peuvent être rejouées. Le journal est chaîné par hachage, et toute altération est détectable.
NIS2 impose-t-elle la segmentation OT ?
Oui, en pratique. L'article 21, paragraphe 2, de la directive n'emploie pas le mot. Il exige des politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information (point a), la cyberhygiène de base (point g) et le contrôle d'accès (point i). Le considérant 89 cite la segmentation du réseau parmi les pratiques de cyberhygiène.
Le règlement d'exécution est plus explicite, mais pour le seul secteur numérique. Le point 6.8 de l'annexe du règlement d'exécution (UE) 2024/2690 impose aux entités de ce secteur de découper leurs systèmes en zones et de placer les systèmes critiques pour leur fonctionnement ou pour la sûreté dans des zones sécurisées. Le guide de mise en œuvre technique de l'ENISA (juin 2025, en anglais) explique comment l'appliquer et la tester.
En France, dans l'attente des textes d'application, l'objectif 7 du ReCyF publié par l'ANSSI prévoit que les entités essentielles cloisonnent leurs systèmes d'information en zones de sécurité et contrôlent les flux entre ces zones, y compris pour les prestataires et les fournisseurs.
Access Gate segmente l'OT sans recâblage. Vous le reliez à votre pare-feu ou à votre routeur existant et ajoutez une règle. Il applique les politiques de zone au niveau du réseau, et rien n'est installé sur les machines.
Access Gate se branche à côté de votre réseau.
Reliez-le à votre pare-feu ou à votre routeur existant et ajoutez une règle. Aucun recâblage n'est nécessaire.
Des politiques d'accès entre l'OT et l'IT.
Décidez comment serveurs, automates et HMI se connectent aux systèmes d'entreprise. Les politiques s'appliquent au niveau du réseau, sans rien installer sur les machines.
Des preuves pour chaque mesure de l'article 21.
Journaux d'accès et rapports sur les politiques d'accès sont prêts quand l'auditeur les demande.
Comment Access Gate répond à chaque mesure de l'article 21.
Pour chacune des dix mesures, voici ce qu'exige la directive, ce qu'Access Gate fait sur le réseau et ce qui reste à votre charge. « Appliqué » signifie qu'Access Gate met en œuvre le contrôle technique. « Contribue » signifie qu'il couvre une partie de la mesure ou en fournit les preuves.
| Article | Mesure | Contrôle Access Gate | Couverture |
|---|---|---|---|
| Art. 21(2)(a) | Analyse des risques et politiques de sécurité des systèmes d'information | L'inventaire des actifs et le refus par défaut alimentent votre analyse des risques. La rédaction de la politique reste à votre charge. | Contribue |
| Art. 21(2)(b) | Gestion des incidents | Journaux de session, alertes et rejeu pour l'alerte précoce sous 24 h. La notification reste à votre charge. | Contribue |
| Art. 21(2)(c) | Continuité d'activité et gestion de crise | Access Gate se branche à côté du réseau, donc la production continue si l'appliance s'arrête. Le plan de reprise reste à votre charge. | Contribue |
| Art. 21(2)(d) | Sécurité de la chaîne d'approvisionnement | Accès prestataire par session, avec MFA, enregistrement et révocation automatique. Les contrats fournisseurs restent à votre charge. | Appliqué |
| Art. 21(2)(e) | Sécurité de l'acquisition, du développement et de la maintenance des systèmes | Découverte passive des machines non gérées et refus par défaut autour des machines non corrigées. Le traitement des vulnérabilités reste à votre charge. | Contribue |
| Art. 21(2)(f) | Évaluation de l'efficacité | Rapports sur les politiques d'accès et dossiers de preuves à la demande. | Contribue |
| Art. 21(2)(g) | Cyberhygiène et formation | MFA, moindre privilège et expiration des sessions imposés par la politique. La formation reste à votre charge. | Contribue |
| Art. 21(2)(h) | Cryptographie et chiffrement | Chaque chemin d'accès est chiffré en TLS. La politique reste à votre charge. | Appliqué |
| Art. 21(2)(i) | Contrôle d'accès et gestion des actifs | Inventaire passif des actifs et accès nominatif par utilisateur, machine et protocole. La sécurité des ressources humaines reste à votre charge. | Appliqué |
| Art. 21(2)(j) | Authentification multifacteur | MFA à la passerelle avant qu'une session n'atteigne la machine, avec TOTP hors ligne. Les communications vocales et vidéo restent à votre charge. | Appliqué |
Établir et maintenir des politiques de gestion des risques pour tous les systèmes d'information.
Access Gate découvre les actifs en continu, cartographie le réseau et applique les politiques. Les risques sont gérés par microsegmentation et règles de refus par défaut. Les modifications de politique sont versionnées. La rédaction de l'analyse des risques et de la politique de sécurité reste à votre charge.
Prévenir, détecter et traiter les incidents, et envoyer une alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important.
Access Gate détecte les anomalies de session, envoie des alertes et rejoue les sessions pour l'analyse forensique. Chaque connexion est journalisée avec l'identité de l'utilisateur, l'horodatage, la source et la destination. Les preuves d'incident sont enregistrées en continu et exportables à la demande. La réponse à incident et la notification à l'autorité restent à la charge de votre équipe.
Maintenir l'activité pendant et après un incident de sécurité, et gérer les sauvegardes et la reprise après sinistre.
Access Gate se branche à côté du réseau. Si l'appliance est indisponible, le trafic de production continue. Les configurations de politique s'exportent pour la sauvegarde. Les plans de reprise après sinistre restent à votre charge.
Gérer les risques de cybersécurité dans les relations avec les fournisseurs et prestataires de services.
Les accès fournisseurs sont délimités par session à des actifs, des protocoles et des créneaux définis, avec MFA. Chaque session fournisseur est enregistrée avec une piste d'audit complète. Le VPN s'arrête à la passerelle, et aucun accès permanent ne reste ouvert. L'accès est révoqué automatiquement à la fin de la session. Les contrats et l'évaluation des fournisseurs restent à votre charge.
Sécuriser l'acquisition, le développement et la maintenance des réseaux et systèmes d'information, et traiter et divulguer les vulnérabilités.
Access Gate ne traite pas les vulnérabilités. Sa découverte passive repère les équipements non gérés que votre processus de gestion des vulnérabilités doit couvrir. Elle n'utilise pas de scan actif, qui pourrait perturber l'OT. Le refus par défaut limite les connexions qui peuvent atteindre une machine en attente de correctif. Le développement sécurisé, les correctifs et la divulgation des vulnérabilités restent à votre charge.
Évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité.
Les états de référence de la segmentation, les rapports sur les politiques d'accès et l'analyse des journaux de session fournissent les données pour évaluer les mesures. Des dossiers de preuves sont générés à la demande pour les auditeurs et les régulateurs. L'évaluation elle-même reste à la charge de votre équipe.
Appliquer les pratiques de base de cyberhygiène et former le personnel à la cybersécurité.
Les règles d'Access Gate imposent le MFA, l'accès au moindre privilège et l'expiration des sessions. Le contenu et la dispense des formations restent à votre charge.
Définir des politiques et procédures relatives à la cryptographie et, le cas échéant, au chiffrement.
Chaque chemin d'accès utilise TLS, avec AES-128/256 GCM et échange de clés ECDHE. Le chiffrement s'applique au niveau du proxy, sans modifier les équipements de production. Votre politique de cryptographie reste à votre charge.
Assurer la sécurité des ressources humaines, définir les politiques de contrôle d'accès et gérer les actifs.
Le point i) de l'article 21, paragraphe 2, cite la gestion des actifs. L'inventaire des actifs recense chaque machine à partir du trafic déjà présent sur votre réseau, avec l'historique de ses changements. L'accès repose sur l'identité, avec MFA et RBAC par utilisateur, par actif et par protocole. Les politiques d'accès s'appliquent sur la couche réseau.
Utiliser l'authentification à plusieurs facteurs ou continue et des communications sécurisées, selon les besoins.
Le MFA est appliqué au niveau du proxy avant qu'une session n'atteigne l'actif. Les jetons TOTP fonctionnent hors ligne, y compris sur les sites isolés. Chaque chemin d'accès est chiffré en TLS. Les communications vocales, vidéo et d'urgence sécurisées restent à votre charge.
Comment Guichon Valves a sécurisé OT et IT pour NIS2.
des flux OT-IT segmentés et auditables pour la conformité NIS2. Déployé sans perturbation de production.
Ils nous font confiance
Access Gate fonctionne sur site, sous votre juridiction.
Access Gate fonctionne entièrement dans votre périmètre, sans cloud ni plan de contrôle distant. Journaux et politiques restent sur votre réseau. Les données d'accès à l'OT restent donc hors de portée de lois étrangères comme le CLOUD Act américain. Les OIV n'ont aucun paramétrage particulier à faire pour cela.
Télécharger la Fiche Produit Access Gate.
Obtenez la présentation complète du produit avec les capacités techniques, le modèle de déploiement, l'alignement conformité et les références clients.
Contenu
Architecture produit, modèle de déploiement, capacités clés (application proxy, micro-DMZ, accès par identité), alignement conformité et déploiements clients réels.
Le produit en conditions réelles
Demandez une démo en direct pour voir comment l'Access Gate se déploie sur votre réseau sans recâblage ni temps d'arrêt.
Questions fréquentes sur NIS2 pour l'OT.
mesures dans l'article 21, paragraphe 2. Access Gate applique ou soutient, sur site, la partie réseau de chacune.
Choisissez une solution qui applique les mesures de l'article 21 sans agent sur les automates et sans arrêt de production. Elle doit couvrir l'inventaire des actifs, la segmentation, l'accès nominatif avec MFA, y compris pour les prestataires, et les preuves d'audit. Access Gate assure cette partie réseau sur site, avec une appliance par usine branchée à côté du réseau. L'analyse des risques, les politiques, la notification des incidents et les contrats restent à votre charge.
L'article 21, paragraphe 2, point d), impose la sécurité de la chaîne d'approvisionnement, y compris celle des relations avec les fournisseurs et prestataires directs. Les points i) et j) y ajoutent le contrôle d'accès et le MFA. Avec Access Gate, chaque constructeur de machines ou intégrateur qui se connecte à distance n'atteint que les machines autorisées, pour une durée définie et avec MFA. Chaque session est enregistrée. L'accès prend fin avec la session. Voir l'accès distant sécurisé pour l'OT.
Oui, mais une seule. Vous reliez Access Gate à votre pare-feu ou à votre routeur existant et ajoutez une règle qui lui redirige le trafic des machines. Supprimer cette règle permet de revenir en arrière. Il n'y a ni recâblage ni changement d'adresse IP, et rien n'est installé sur les machines. Access Gate s'installe en une journée.
Oui. NIS2 n'impose aucun service cloud. Access Gate fonctionne entièrement dans votre périmètre, sans dépendance SaaS ni plan de contrôle distant. Ses journaux et ses politiques restent sur votre réseau. Les données d'accès à votre OT restent ainsi sous votre propre juridiction.
Oui, en pratique. L'article 21, paragraphe 2, n'emploie pas le mot, mais il exige des mesures de sécurité des réseaux et des systèmes d'information, la cyberhygiène de base et le contrôle d'accès. Le considérant 89 cite la segmentation du réseau parmi ces pratiques. En France, l'objectif 7 du ReCyF prévoit le cloisonnement en zones de sécurité pour les entités essentielles. Access Gate applique les politiques de zone au niveau du réseau, sans rien installer sur les machines.
NIS2 fixe les obligations, et l'IEC 62443 est la norme industrielle que de nombreuses équipes OT utilisent pour les remplir. Access Gate applique le modèle zones et conduits de l'IEC 62443. Les mêmes politiques et les mêmes journaux servent donc de preuves pour l'article 21 et pour une démarche IEC 62443. Voir l'IEC 62443 pour l'OT.
L’Access Gate est le premier service que vous déployez, pas le dernier.
Sécurisez vos usines aujourd'hui. Maîtrisez votre digitalisation demain.
Access Gate place la puissance de calcul directement sur le réseau, au plus près de vos équipements. Une fois le boîtier en place, il héberge les services qui ramènent l’OT dans le périmètre sécurisé : accès distant, passerelles de protocole, DNS et NTP, historian, serveur de mises à jour. Accélérez votre digitalisation, en gardant la maîtrise.
Guides NIS2 et ressources associées.
Des lectures approfondies pour les équipes IT et OT qui préparent un audit NIS2.