NIS2 et cybersécurité OT industrielle

La cybersécurité OT industrielle a cessé d'être une affaire d'informatique pour devenir une obligation légale. Avec la directive NIS2, des milliers d'usines dans l'UE doivent protéger leurs réseaux de commande —automates, SCADA, lignes de production— avec la même rigueur que leurs données. Ce guide explique, sans fumée, à qui elle s'applique, ce qu'elle exige et par où commencer.

1 Ce qu'est NIS2 et pourquoi elle touche l'industrie

La directive NIS2 (directive UE 2022/2555, Network and Information Security 2) est la loi européenne qui relève le niveau minimal de cybersécurité dans les secteurs jugés critiques. Elle remplace et élargit l'ancienne NIS de 2016 : elle multiplie les secteurs couverts, durcit les obligations et, surtout, fait entrer pleinement l'industrie dans le périmètre réglementé.

Le changement pour une usine, c'est qu'il ne suffit plus de protéger les ordinateurs de bureau. NIS2 impose aussi d'évaluer et de protéger les réseaux et systèmes d'information qui font tourner le procédé de production : le SCADA qui supervise l'usine, les automates qui font avancer la ligne, les IHM, les variateurs et le réseau industriel qui les relie. Autrement dit, le monde OT (Operational Technology, technologie d'exploitation).

2 À qui elle s'applique : entités essentielles et importantes

NIS2 classe les organisations concernées en deux catégories, avec des régimes de supervision et de sanction distincts :

En règle générale, NIS2 s'applique si votre organisation opère dans l'un des secteurs couverts et compte 50 salariés ou plus, ou réalise plus de 10 millions d'euros de chiffre d'affaires par an. De nombreuses usines et installations de procédés y entrent comme entité importante, même si elles ne se perçoivent pas comme « infrastructure critique ».

3 État de la transposition dans l'UE

Le délai européen pour transposer NIS2 en droit national a expiré le 17 octobre 2024. De nombreux États membres ne l'ont pas respecté —la Commission a envoyé des avis motivés à la plupart en 2025— et l'intègrent via leurs lois nationales sur des calendriers échelonnés :

• La France a manqué le délai et adopte sa loi nationale, avec une application étalée sur 2025-2026.
• L'Espagne transpose par étapes (décret-loi royal 7/2025 et une loi de gouvernance de la cybersécurité en cours), avec une application pleine attendue en 2026.
• La Bulgarie a adopté sa loi NIS2 (modification de la loi sur la cybersécurité, JO n° 17), en vigueur depuis le 13 février 2026.

Le message pratique est clair : que la loi nationale soit encore en cours de finalisation n'est pas une excuse pour attendre. Les obligations de fond (gestion des risques et notification) sont déjà fixées par la directive, et l'adaptation technique d'une usine prend des mois. Qui commence maintenant sera à l'heure. Pour le détail officiel, référez-vous à votre CSIRT national et à l'agence européenne ENISA.

4 Obligations clés à respecter

NIS2 n'est pas une liste de produits, mais un ensemble d'obligations de gestion. Voici celles qui pèsent le plus sur une usine :

Le non-respect se paie : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et jusqu'à 7 millions ou 1,4 % pour les importantes. Plus marquant encore : la responsabilité incombe à la direction, et pas seulement au service informatique.

5 IT vs OT : pourquoi la sécurité industrielle est différente

L'erreur la plus coûteuse est d'appliquer à l'usine les recettes de l'informatique de bureau. IT et OT ont des priorités opposées, et cela change tout :

C'est pourquoi on ne peut pas « copier-coller » le modèle IT sur l'usine. Un antivirus lourd peut faire planter une IHM ; redémarrer un équipement pour le mettre à jour peut arrêter une ligne entière. La sécurité OT exige une approche propre qui comprend le procédé de production —le même savoir-faire qui sert à concevoir un système SCADA ou à comparer SCADA et IHM.

6 Bonnes pratiques de sécurité OT (et où s'inscrit IEC 62443)

Respecter NIS2 à l'usine se traduit par des mesures techniques concrètes. La norme de référence est IEC 62443, la norme internationale de cybersécurité pour les systèmes d'automatisation et de contrôle industriels (IACS) : tandis que NIS2 fixe le quoi (obligations légales), IEC 62443 apporte le comment technique avec son modèle de zones et conduits. Voici les pratiques à plus fort impact :

Le modèle Purdue organise le réseau en niveaux —du terrain (capteurs et actionneurs) à la gestion (ERP)— et aide à décider qui communique avec qui. IEC 62443 l'affine avec des zones (groupes d'actifs au même niveau de sécurité) et des conduits (les communications contrôlées entre elles). Combiner les deux est aujourd'hui la base de toute architecture OT défendable, et s'articule naturellement avec des pratiques comme la maintenance prédictive, qui vit elle aussi sur ce réseau industriel.

Questions fréquentes