En bref
- Réglementation : NIS2.
- Producteurs, gestionnaires de réseaux, distributeurs d’énergie, exploitants d’eau potable et d’assainissement au-delà des seuils sont des entités essentielles.
- Sécuriser l’OT/SCADA.
- Appliquer les mesures de l’article 21.
- Notifier les incidents.
- Jusqu’à 10 M€ ou 2 % du CA mondial, avec supervision a priori et responsabilité possible des dirigeants.
Échéances réglementaires
Les dates clés de cette réglementation.
Janvier 2023
Entrée en vigueur (directive UE)
En vigueurOctobre 2024
Échéance de transposition (UE)
En vigueur2026
Transposition française (loi de résilience)
En vigueurDe quoi parle NIS2 ?
NIS2 range l’énergie (électricité, gaz, pétrole, hydrogène, chaleur), l’eau potable et les eaux usées parmi les entités essentielles de l’annexe I. La gestion des déchets relève des entités importantes. Le régime essentiel implique une supervision a priori (contrôles, audits).
Les mesures de l’article 21 doivent couvrir l’IT et surtout l’OT (SCADA), historiquement peu sécurisé.
Le secteur « Énergie & environnement » est-il concerné ?
Producteurs, gestionnaires de réseaux, distributeurs d’énergie, exploitants d’eau potable et d’assainissement au-delà des seuils sont des entités essentielles. Certains opérateurs critiques peuvent l’être indépendamment de leur taille.
La gestion des déchets relève des entités importantes, au régime légèrement moins strict.
Obligations détaillées
Sécuriser l’OT/SCADA
Inventorier et sécuriser les systèmes industriels de pilotage, souvent anciens et exposés une fois connectés.
Appliquer les mesures de l’article 21
Politique de sécurité, gestion des incidents, chiffrement, contrôle d’accès, authentification multifacteur.
Notifier les incidents
Émettre une alerte précoce puis les rapports selon les délais.
Assurer continuité et crise
Disposer de plans robustes adaptés aux infrastructures critiques.
Se soumettre à la supervision
Coopérer aux contrôles a priori propres aux entités essentielles.
Sanctions & risques
Jusqu’à 10 M€ ou 2 % du CA mondial, avec supervision a priori et responsabilité possible des dirigeants. Le risque opérationnel est sociétal : une attaque sur un réseau essentiel peut priver des populations d’énergie ou d’eau.
Calendrier d’application
- 1Directive. Adoptée fin 2022.
- 2France. Transposition en cours ; régime essentiel à anticiper.
Erreurs fréquentes dans le secteur
- 1SCADA négligé. Sécuriser l’IT sans traiter les systèmes industriels.
- 2Continuité fragile. Sous-estimer l’impact sociétal d’une interruption.
- 3Chaîne non sécurisée. Laisser des fournisseurs critiques non encadrés.
- 4Direction absente. Cantonner la cybersécurité à la technique.
Cas pratique
Un exploitant d’eau détecte une intrusion sur son SCADA via un accès de télégestion. Comme entité essentielle, il doit notifier et démontrer ses mesures. Il cloisonne IT/OT, encadre les accès distants, renforce la surveillance des systèmes industriels et éprouve son plan de continuité.
Feuille de route de mise en conformité
- 1
Qualifier. Confirmer le statut essentiel.
- 2
Cartographier l’OT. Inventorier les systèmes SCADA et interconnexions.
- 3
Sécuriser. Déployer les mesures IT/OT et le plan d’incident.
- 4
Encadrer les fournisseurs. Sécuriser la chaîne d’approvisionnement.
- 5
Préparer les contrôles. Se préparer à la supervision a priori.
Questions fréquentes
Énergie et eau : essentiel ; déchets : important.
Passez à l'action sur NIS2
Diagnostic gratuit ou échange avec un expert dédié aux énergie & environnement.
Ils nous font déjà confiance
Découvrez comment des organisations du secteur énergie & environnement ont sécurisé leur conformité avec DCO.