NIS2 dans l’industrie
Pourquoi les industriels doivent se conformer à la NIS2
Votre entreprise industrielle est-elle concernée par NIS2 ? Quels systèmes faut-il protéger ? Comment préparer votre organisation en tenant compte des contraintes de production ?
La directive NIS2 renforce les exigences de cybersécurité pour certaines activités industrielles. Son application dépend notamment du secteur, de la taille et de situations particulières.
Pour avancer, commencez par clarifier votre situation. Ensuite, identifiez les risques qui pourraient interrompre votre activité. Vous pourrez ainsi construire une démarche adaptée à votre site.
« Dans l’industrie, préparer NIS2 commence par une question concrète : de quoi dépend la continuité de votre production ? »
Quelles entreprises industrielles sont concernées par NIS2 ?
Toutes les entreprises industrielles ne relèvent pas automatiquement de NIS2. Il faut examiner leur activité réelle et les critères applicables.
Ce tableau donne des repères. Il ne remplace pas l’examen des définitions précises et des critères d’applicabilité. Retrouvez-les dans les annexes de la directive européenne NIS2.
Les activités industrielles visées
La directive couvre notamment les activités suivantes :
Chimie
Fabrication, production et distribution de produits chimiques
Alimentaire
Certaines activités de production, transformation et distribution
Dispositifs médicaux
Fabrication de dispositifs médicaux et de diagnostic in vitro
Électronique
Fabrication de produits informatiques, électroniques et optiques
Équipements électriques
Fabrication d’équipements électriques
Machines
Fabrication de machines et équipements
Automobile et transport
Construction de véhicules et fabrication d’autres matériels de transport
Les critères à vérifier
Votre secteur constitue un premier point d’entrée. Cependant, il ne suffit pas à déterminer votre situation. Examinez également :
- La taille de votre entreprise.
- Vos données financières.
- Vos activités effectivement exercées.
- Les exceptions ou dispositions particulières pertinentes.
La directive distingue les entités essentielles et les entités importantes. Cette classification influence notamment leur supervision. Pour une première orientation, utilisez le simulateur NIS2 de l’ANSSI
Les demandes des donneurs d’ordre
Votre entreprise peut recevoir des demandes de sécurité sans être directement assujettie.
Par exemple, un client peut demander des informations sur vos sauvegardes. Il peut aussi examiner vos accès distants ou votre gestion des incidents.
Distinguez donc deux sujets : vos obligations réglementaires et vos engagements contractuels. Cette distinction vous aide à répondre précisément aux attentes de vos partenaires.
_exigences NIS2
Quelles exigences NIS2 faut-il anticiper dans l’industrie ?
La préparation ne se limite pas à installer des outils. Elle demande aussi une organisation capable de décider, d’agir et de suivre les risques.
Les principaux thèmes comprennent :
- La gouvernance : définir les responsabilités et impliquer la direction.
- La gestion des risques : adapter les protections aux enjeux de l’activité.
- Les incidents : préparer leur traitement et les notifications requises.
- La continuité : organiser les sauvegardes, la reprise et la gestion de crise.
- Les fournisseurs : prendre en compte les dépendances et les accès externes.
- Les collaborateurs : développer les connaissances et les pratiques de sécurité.
Situation en France (octobre 2026) : l’ANSSI indique que la transposition est en cours. Elle invite les futures entités concernées à engager leur préparation.
Le Référentiel Cyber France, ou ReCyF, présente des mesures recommandées. L’ANSSI le diffuse à ce stade comme document de travail. Il reste susceptible d’ajustements.
Vous souhaitez structurer votre démarche ?
_expertise
Notre expertise cybersécurité
Anticipez, protégez et renforcez votre cybersécurité
Expert en cybersécurité, AGESYS accompagne les entreprises dans la protection de leur système d’information. De l’audit à la mise en conformité NIS2, nos experts identifient vos risques et construisent une stratégie adaptée à votre organisation.
Nous vous accompagnons également dans le déploiement de solutions de protection éprouvées : sécurité Microsoft 365, protection des messageries, EDR, bastion d’administration, sensibilisation des utilisateurs et sauvegarde des données.
Audit NIS2
Préparez votre activité industrielle à NIS2
- Analyse de votre organisation, de vos accès et de vos pratiques
- Identification des risques pour la continuité de votre activité
- Évaluation de votre préparation aux exigences NIS2
- Recommandations priorisées selon vos enjeux et vos contraintes de production
_environnements IT et OT
Pourquoi NIS2 demande une approche adaptée aux environnements IT et OT ?
Dans une usine, les systèmes informatiques soutiennent plusieurs fonctions. Certains organisent les commandes. D’autres pilotent directement les équipements.
Leur sécurisation doit tenir compte de ces différences.
Comprendre les dépendances entre gestion et production
L’IT désigne les technologies de l’information. Elles comprennent notamment les serveurs, les applications de gestion et les postes bureautiques.
L’OT désigne les technologies opérationnelles. Elles servent à surveiller ou à commander des procédés physiques.
Dans votre site, ces environnements peuvent échanger des données. Une application de gestion peut, par exemple, transmettre des informations nécessaires à la fabrication.
Il faut donc examiner les dépendances. Quels échanges sont indispensables ? Quels accès relient les environnements ? Que se passe-t-il lorsqu’un service devient indisponible ?
Cette lecture permet de relier la cybersécurité aux conséquences opérationnelles.
Tenir compte des contraintes des équipements industriels
Un automate ne se gère pas comme un poste bureautique. Les équipements industriels peuvent présenter des contraintes de disponibilité, de compatibilité et de durée de vie.
Ainsi, une modification doit tenir compte du procédé et des conditions de fonctionnement. Les équipes informatiques, maintenance et production doivent coordonner leurs décisions.
L’ANSSI souligne que les protections de l’informatique de gestion ne conviennent pas toujours aux systèmes industriels. Son guide de cybersécurité des systèmes industriels propose une approche adaptée.
L’objectif est de choisir des mesures pertinentes pour chaque environnement, puis d’en vérifier les effets.
_NIS2 TOP départ
Par où commencer pour préparer votre site industriel à NIS2 ?
Commencez par les risques pour votre activité. Ensuite, organisez les actions selon leur priorité et leurs conditions de mise en œuvre.
Identifier les services critiques
Réunissez les responsables informatiques, production et maintenance.
Posez des questions concrètes :
- Quels systèmes sont nécessaires à la fabrication
- Quelles données faut-il conserver pour produire et livrer
- Quels services peuvent fonctionner temporairement en mode dégradé
- Quelles interruptions votre organisation peut-elle accepter
Cartographier les équipements et leurs dépendances
Recensez les systèmes, leurs responsables et leurs principaux échanges. Ne limitez pas cette cartographie aux postes et serveurs. Intégrez les équipements industriels concernés et les accès des intervenants externes.
Puis, reliez ces éléments aux activités qu’ils soutiennent. Vous pourrez mieux comprendre les conséquences d’une panne ou d’une compromission.
Le guide de cartographie du système d’information de l’ANSSI fournit une méthode pour organiser ce travail.
Examiner les accès externes et les comptes sensibles
Les prestataires peuvent intervenir à distance pour maintenir certains équipements. Il faut connaître ces accès et leurs conditions d’utilisation.
Vérifiez notamment les personnes autorisées, les droits accordés et la suppression des accès devenus inutiles.
Selon votre contexte, un bastion d’administration peut contribuer à encadrer et tracer certaines interventions. Son intégration doit correspondre aux équipements et aux usages concernés.
Organiser le cloisonnement et la détection
Examinez les communications entre les environnements. Identifiez les échanges nécessaires avant de modifier les règles réseau.
Ensuite, définissez les moyens de repérer une activité suspecte. La supervision du procédé ne remplace pas automatiquement la détection cyber.
_continuité de production
Comment préparer la continuité de production face à un incident cyber ?
Une sauvegarde ne répond pas à toutes les questions de reprise. Le plan de continuité d’activité, ou PCA, organise le maintien des activités prioritaires. Le plan de reprise d’activité, ou PRA, prépare leur rétablissement après une interruption.
Pour votre site, clarifiez notamment :
- Les activités à maintenir en priorité.
- Les systèmes nécessaires à leur fonctionnement.
- Les données et configurations à restaurer.
- Les personnes habilitées à intervenir.
- Les conditions permettant une reprise maîtrisée.
Ensuite, vérifiez ces dispositions par des tests et des exercices adaptés.
Exemple illustratif : votre application de gestion devient indisponible. Les machines fonctionnent encore, mais les équipes n’accèdent plus aux ordres de fabrication. Dans ce cas, restaurer l’application constitue une partie de la réponse. Il faut aussi organiser le travail temporaire et vérifier les données nécessaires à la reprise. Cet exemple montre pourquoi les équipes métiers doivent participer à la préparation. Elles connaissent les dépendances que l’inventaire technique ne révèle pas toujours.
_formation
Les formations Cybersécurité
Donnez à vos collaborateurs les bons réflexes pour protéger votre activité industrielle.
AGESYS propose des formations pour comprendre les risques cyber et adopter des pratiques adaptées. Ainsi, vos équipes apprennent à repérer les tentatives de phishing, protéger leurs accès et signaler les situations suspectes. Cette sensibilisation soutient votre préparation à NIS2.
Optimisez la structuration de vos espaces collaboratifs avec notre coaching Microsoft 365
Apprenez les meilleures pratiques pour éviter les cyberattaques et sécuriser vos données.
Apprenez les meilleures pratiques pour éviter les cyberattaques et sécuriser vos données.
Apprenez les meilleures pratiques pour protéger vos systèmes contre les menaces et les vulnérabilités courantes.
Renforcez la sécurité de votre entreprise avec la construction d'un plan d'audit cybersécurité interne.
Apprenez les meilleures pratiques pour protéger vos comptes et configurer les politiques de sécurité
_AGESYS
AGESYS vous accompagne dans votre préparation à NIS2
AGESYS accompagne les industriels dans l’évaluation et le renforcement de leur maturité cybersécurité.
Selon le périmètre convenu, la démarche peut concerner l’analyse des risques, l’audit, la gouvernance ou la préparation des plans de continuité et de reprise.
Joey, Senior Lead NIS2 Implementer, apporte son expertise NIS2 à cet accompagnement.
Notre objectif : relier les exigences de sécurité à vos priorités opérationnelles. Les actions doivent tenir compte de votre organisation et de vos contraintes.
Découvrez notre accompagnement informatique des industriels et notre démarche de préparation à la conformité NIS2.
_nos atouts
- Expertise NIS2 portée par Joey, Senior Lead NIS2 Implementer
- Accompagnement des entreprises industrielles
- Évaluation de votre maturité cybersécurité
- Analyse des risques pour votre activité et votre production
- Préparation aux exigences NIS2
- Recommandations concrètes et priorisées
- Gouvernance adaptée à votre organisation
- Préparation des plans de continuité et de reprise
- Sensibilisation de vos collaborateurs aux risques cyber
- Accompagnement de l’audit au suivi des actions
_confidentialité et protection
Vos données méritent le plus haut niveau d'exigence
Chez AGESYS, la sécurité n’est pas une option. Elle constitue le socle de chacune de nos prestations. Nos équipes appliquent des procédures strictes afin de garantir la confidentialité des données, la protection des accès et le respect des bonnes pratiques de cybersécurité.
Expertise NIS2
Nos consultants accompagnent les entreprises dans leur mise en conformité avec la directive NIS2
Label ExpertCyber
Une reconnaissance délivrée par Cybermalveillance.gouv.fr qui atteste de notre capacité à accompagner les entreprises
NIS2 Directive Senior Lead Implementer
AGESYS dispose de la certification NIS2 Directive Senior Lead Implementer
_FAQ
Outils et usages de Microsoft 365
Toutes les usines sont-elles concernées par NIS2 ?
Non. L’existence d’un site de production ne suffit pas à déterminer l’applicabilité de NIS2. Il faut examiner l’activité de l’entité, sa taille et les dispositions pertinentes. Certaines activités manufacturières figurent dans le périmètre, tandis que d’autres n’y entrent pas automatiquement.
Commencez donc par qualifier votre situation. Ensuite, distinguez vos éventuelles obligations des demandes de vos clients. Le parcours NIS2 de l’ANSSI fournit des informations pour cette première analyse.
Une PME sous-traitante doit-elle se préparer à NIS2 ?
Une PME peut être directement concernée selon sa situation. Elle peut aussi recevoir des exigences contractuelles de ses donneurs d’ordre. Dans ce second cas, demandez à votre client de préciser ses attentes. Souhaite-t-il une description des mesures existantes, des justificatifs ou un plan d’amélioration ?
Cette clarification évite de répondre à un questionnaire sans comprendre son objectif. Puis, rassemblez les éléments disponibles sur vos accès, sauvegardes et procédures. Vous pourrez identifier les réponses documentées et les points à approfondir.
Le code NAF suffit-il à déterminer l’applicabilité de NIS2 ?
Non. Le code NAF constitue un repère sur l’activité principale. Il ne décrit pas toujours toutes les activités réellement exercées. La directive utilise aussi des définitions et des références sectorielles précises. Il faut donc rapprocher votre activité effective des catégories prévues.
Examinez ensuite les autres critères applicables. Une entreprise exerçant plusieurs activités mérite une attention particulière. En pratique, préparez une description claire de vos produits, services et activités. Elle facilitera l’analyse de votre situation.
Les automates et équipements de production entrent-ils dans le périmètre ?
Ils doivent être examinés lorsqu’ils participent aux réseaux et systèmes concernés par la démarche. Cependant, le périmètre ne se résume pas à une liste de machines. Il faut aussi comprendre leurs fonctions, leurs connexions et leurs dépendances.
Un automate isolé et un équipement accessible à distance ne présentent pas la même situation. De même, les conséquences d’une indisponibilité varient selon le procédé. Le cadrage doit préciser les équipements étudiés et les contrôles autorisés. Il doit également intégrer les contraintes de fonctionnement.
Comment sécuriser les accès de télémaintenance ?
Commencez par recenser les intervenants, les équipements accessibles et les moyens de connexion utilisés. Ensuite, examinez les droits accordés. Vérifiez qui autorise les interventions et comment votre organisation conserve leur trace.
Définissez également les conditions de retrait des accès. Un compte devenu inutile ne doit pas rester disponible par défaut. Selon l’environnement, des protections complémentaires peuvent être pertinentes. Leur choix doit tenir compte de la compatibilité des équipements.
Enfin, coordonnez ces règles avec les prestataires. La sécurité des accès doit rester compréhensible et applicable.
Peut-on préparer NIS2 avec des équipements industriels anciens ?
Oui, vous pouvez commencer par identifier les équipements, leurs fonctions et leurs risques. Leur ancienneté ne dispense pas d’organiser leur protection. Certaines mesures habituelles peuvent toutefois être difficiles à appliquer. Il faut alors examiner les possibilités avec les responsables techniques et les fournisseurs.
Le cloisonnement, la maîtrise des accès ou la détection peuvent contribuer à réduire l’exposition. Ils ne suppriment pas nécessairement toutes les faiblesses. Enfin, documentez les limites et les décisions prises. Vous pourrez ainsi planifier les améliorations ou remplacements nécessaires.
Comment planifier les contrôles en tenant compte de la production ?
Préparez les interventions avec les équipes du site. Identifiez les systèmes concernés, leurs contraintes et les périodes possibles. Les entretiens et l’analyse documentaire peuvent précéder certains contrôles techniques. En revanche, toute action susceptible d’affecter un équipement demande une préparation spécifique.
Précisez les autorisations, les conditions d’arrêt et les moyens de retour à la situation précédente. L’objectif est de maîtriser les interventions. Aucun prestataire ne devrait promettre une absence totale d’impact sans connaître l’environnement et les contrôles prévus.
Quelle différence entre NIS2 et une évaluation CyberVadis ?
NIS2 définit un cadre réglementaire européen. CyberVadis évalue les pratiques de cybersécurité d’une organisation à partir de justificatifs. Une évaluation CyberVadis peut aider à identifier des améliorations et à partager des éléments avec des clients. Toutefois, elle ne certifie pas et ne garantit pas, à elle seule, la conformité NIS2.
Les démarches peuvent donc se compléter. Il faut vérifier ce que chaque résultat démontre et quelles obligations restent à traiter.
