Automobile & NIS2 : sécuriser une chaîne d’approvisionnement étendue

De quoi parle NIS2 ?

NIS2 range la fabrication de véhicules et d’autres matériels de transport parmi les entités importantes, au-delà du seuil de taille. Les mesures de l’article 21 s’appliquent à l’IT et à l’OT des sites de production.

La spécificité automobile est la profondeur de la chaîne : rang 1, rang 2 et au-delà, chaque maillon pouvant devenir un vecteur d’attaque.

Le secteur « Automobile » est-il concerné ?

Constructeurs et équipementiers dépassant le seuil sont concernés comme entités importantes. Les fournisseurs plus petits le sont souvent indirectement, via les exigences des donneurs d’ordre.

La sécurité de la chaîne d’approvisionnement est l’obligation la plus dimensionnante du secteur.

Obligations détaillées

Sanctions & risques

Pour les entités importantes, jusqu’à 7 M€ ou 1,4 % du CA mondial, avec responsabilité possible des dirigeants. Un incident sur la chaîne peut interrompre la production en flux tendu, avec des conséquences économiques immédiates.

Les donneurs d’ordre imposent par ailleurs des exigences de sécurité à leurs fournisseurs.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours ; anticiper compte tenu de la profondeur de la chaîne.

Erreurs fréquentes dans le secteur

• 1Chaîne sous-estimée. Ne sécuriser que le rang 1 en négligeant les rangs suivants.
• 2OT négligé. Oublier les systèmes industriels des usines.
• 3Continuité fragile. Sous-estimer l’impact d’un incident sur les flux tendus.
• 4Direction absente. Cantonner la cybersécurité à la technique.

Cas pratique

Un constructeur subit un incident propagé depuis un fournisseur de rang 2. La remédiation NIS2 consiste à cartographier la chaîne au-delà du rang 1, à imposer des exigences de sécurité contractuelles, à sécuriser les interconnexions IT/OT et à renforcer les plans de continuité adaptés aux flux tendus.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer le statut (importante, hors champ).

2. 2

   Cartographier la chaîne. Identifier les fournisseurs critiques sur plusieurs rangs.

3. 3

   Sécuriser IT/OT. Appliquer les mesures aux usines et aux interconnexions.

4. 4

   Encadrer les fournisseurs. Déployer des exigences de sécurité contractuelles.

5. 5

   Outiller la notification. Mettre en place l’alerte et le reporting des incidents.

Questions fréquentes