Conformité du secteur industriel : RGPD, AI Act, NIS2, Data Act & CRA

Pourquoi le secteur « Industrie » est concerné

L’industriel porte deux casquettes distinctes. Comme exploitant d’un site, il gère un système d’information industriel (OT) de plus en plus connecté à l’informatique de gestion (IT), ce qui l’expose aux risques cyber que NIS2 cherche à réduire. Comme fabricant d’un produit mis sur le marché, il devient responsable de la sécurité et des données de ce produit au titre du CRA et du Data Act.

La convergence IT/OT est le point critique : un capteur ou un automate mal sécurisé devient une porte d’entrée vers la ligne de production, avec des conséquences physiques (arrêt, sabotage). C’est précisément ce périmètre que NIS2 et le CRA visent à durcir.

Enfin, dès qu’un produit industriel embarque une fonction d’IA jouant un rôle de sécurité (par exemple le pilotage d’une machine), l’AI Act peut le classer à haut risque, en cumul avec la législation sectorielle sur les machines et la sécurité des produits.

NIS2 — fabrication et sites critiques

NIS2 vise la fabrication de certains produits (dispositifs médicaux, produits électroniques et informatiques, machines et équipements, véhicules) parmi les entités importantes, au-delà du seuil de taille. L’industriel doit déployer les mesures de gestion des risques de l’article 21, sécuriser la convergence IT/OT et notifier les incidents.

La sécurité de la chaîne d’approvisionnement — fournisseurs de composants, intégrateurs, éditeurs de logiciels industriels — est un enjeu central.

Obligations clés

• Mesures de gestion des risques (art. 21) sur l’IT et l’OT.
• Sécurisation de la convergence IT/OT.
• Notification des incidents significatifs.
• Sécurité de la chaîne d’approvisionnement industrielle.

Data Act — les données des produits connectés

Le Data Act impose au fabricant de produits connectés de rendre accessibles à l’utilisateur les données que le produit génère, et de permettre leur partage avec des tiers choisis par lui. Pour l’industrie, cela concerne les données de machines, d’équipements et de capteurs.

Les fabricants doivent concevoir leurs produits pour un accès aux données « par conception » et revoir leurs contrats de service associés.

Obligations clés

• Accès de l’utilisateur aux données générées par le produit.
• Partage des données avec des tiers désignés par l’utilisateur.
• Conception « accès aux données by design ».
• Révision des contrats de services de données associés.

CRA — produits à éléments numériques

Le Cyber Resilience Act qualifie de fabricant tout industriel mettant sur le marché un produit comportant des éléments numériques (machine connectée, équipement embarquant du logiciel). Il impose la sécurité dès la conception, la gestion des vulnérabilités, un SBOM, des correctifs sur la durée de support et la notification des vulnérabilités exploitées, aboutissant au marquage CE cybersécurité.

Obligations clés

• Sécurité « by design » des produits à éléments numériques.
• Gestion et divulgation des vulnérabilités + SBOM.
• Correctifs sur la période de support.
• Marquage CE cybersécurité pour la mise sur le marché.

AI Act — l’IA comme composant de sécurité

Lorsqu’un produit industriel intègre une IA jouant un rôle de composant de sécurité soumis à une législation d’harmonisation (machines, équipements), cette IA peut être classée à haut risque au sens de l’AI Act. S’y ajoutent les usages internes (contrôle qualité, maintenance prédictive), le plus souvent de risque limité.

Obligations clés

• Qualifier l’IA composant de sécurité (souvent haut risque).
• Gestion des risques et qualité des données.
• Supervision humaine et documentation technique.
• Articulation avec la législation sur les machines.

RGPD — salariés, maintenance et clients

L’industriel traite des données personnelles : salariés, badges et vidéosurveillance des sites, données de maintenance rattachées à des techniciens, parfois données de clients. Il est responsable de traitement et doit tenir un registre, sécuriser et encadrer ces traitements.

Obligations clés

• Registre des traitements (RH, sûreté des sites, maintenance).
• Base légale et information (vidéosurveillance, badges).
• Sécurité et durées de conservation.

Vue comparée des réglementations

Comment ces réglementations s’articulent

Pour un industriel, la sécurité est le fil conducteur : les mesures NIS2 (IT/OT), les exigences CRA (produit) et la sécurité du RGPD partagent un socle commun. Construire une politique de sécurité couvrant à la fois l’usine (OT) et les produits vendus, puis la décliner par texte, est la démarche la plus efficace.

La distinction exploitant / fabricant structure tout : NIS2 vise surtout l’exploitant (sécurité des sites), tandis que CRA et Data Act visent le fabricant (sécurité et données des produits vendus). Un même groupe industriel peut être les deux et doit traiter les deux périmètres.

Calendrier d’application

• 1RGPD. En vigueur depuis mai 2018.
• 2Data Act. Obligations majoritaires applicables depuis le 12 septembre 2025.
• 3AI Act. Interdictions depuis février 2025 ; haut risque (composants de sécurité) selon le calendrier des produits, à partir de 2026-2027.
• 4CRA. Entré en vigueur fin 2024 ; obligations complètes à horizon 2027.
• 5NIS2. Transposition française en cours ; anticiper dès maintenant.

Sanctions encourues

Les plafonds cumulables : CRA jusqu’à 15 M€ ou 2,5 %, AI Act jusqu’à 35 M€ ou 7 %, NIS2 jusqu’à 10 M€ ou 2 % (entités importantes : 7 M€ ou 1,4 %), RGPD jusqu’à 20 M€ ou 4 %. Le Data Act renvoie aux sanctions nationales.

Le risque industriel a une dimension physique : un incident cyber sur l’OT peut arrêter une ligne, endommager des équipements ou compromettre la sécurité des opérateurs, au-delà de la seule sanction.

Feuille de route de mise en conformité

• 1Cartographier IT et OT. Recenser systèmes de gestion, systèmes industriels, produits connectés vendus et briques d’IA.
• 2Bâtir un socle sécurité IT/OT. Politique de sécurité couvrant usine et produits, gestion des vulnérabilités, SBOM — servant NIS2, CRA et RGPD.
• 3Traiter les produits (CRA / Data Act). Sécurité by design et accès aux données pour les produits connectés mis sur le marché.
• 4Qualifier l’IA. Identifier les IA composants de sécurité et produire la documentation requise.
• 5Piloter. Impliquer la direction, désigner DPO et RSSI, instaurer une revue périodique.

Comment Data Comply One accompagne le secteur

Data Comply One réunit RGPD, AI Act, NIS2 et DORA sur une plateforme unique, avec DPO et RSSI externalisés — et accompagne les industriels sur l’articulation NIS2 (site) / CRA (produit) et la couche Data Act.

DCO fournit des modèles adaptés (registre, mesures NIS2 IT/OT, documentation AI Act, cartographie CRA/SBOM) pour éviter de traiter chaque texte en silo.

Questions fréquentes