Industrie & NIS2 : sécuriser la convergence IT/OT

De quoi parle NIS2 ?

NIS2 classe parmi les entités importantes la fabrication de dispositifs médicaux, de produits informatiques et électroniques, de machines et équipements, de véhicules et d’autres matériels de transport. Au-delà du seuil de taille, ces industriels doivent appliquer les mesures de l’article 21.

La spécificité industrielle est l’OT : automates, capteurs et systèmes de contrôle, longtemps isolés, désormais connectés.

Le secteur « Industrie » est-il concerné ?

Les industriels fabriquant les produits visés, au-delà du seuil, sont concernés comme entités importantes. Les exploitants de secteurs essentiels (énergie, eau) relèvent d’un régime encore plus strict, traité dans les pages dédiées.

En deçà du seuil, l’industriel reste souvent concerné indirectement, via les exigences de ses donneurs d’ordre soumis à NIS2.

Obligations détaillées

Sanctions & risques

Pour les entités importantes, jusqu’à 7 M€ ou 1,4 % du CA mondial, avec responsabilité personnelle possible des dirigeants. Le risque opérationnel est majeur : un incident OT peut arrêter la production ou compromettre la sécurité des opérateurs.

Le risque commercial existe aussi : les donneurs d’ordre exigent des garanties de sécurité de leurs fournisseurs.

Calendrier d’application

• 1Directive. Adoptée fin 2022.
• 2France. Transposition en cours ; anticiper, en particulier sur l’OT, souvent en retard.

Erreurs fréquentes dans le secteur

• 1OT oublié. Sécuriser l’IT en négligeant les systèmes industriels.
• 2Accès de maintenance non maîtrisés. Laisser des accès distants ouverts pour les prestataires.
• 3Chaîne non sécurisée. Ne pas encadrer intégrateurs et fournisseurs de composants.
• 4Direction absente. Traiter la cybersécurité comme un sujet purement technique.

Cas pratique

Un fabricant de machines subit un incident propagé depuis un accès de télémaintenance d’un prestataire jusqu’à ses automates. La remédiation NIS2 consiste à cloisonner IT/OT, à encadrer les accès distants, à inventorier les systèmes industriels et à formaliser un plan de reprise tenant compte des contraintes de production.

Feuille de route de mise en conformité

1. 1

   Qualifier. Déterminer le statut (importante, essentielle, hors champ).

2. 2

   Cartographier l’OT. Inventorier automates, capteurs et interconnexions IT/OT.

3. 3

   Segmenter et sécuriser. Cloisonner les réseaux et maîtriser les accès distants.

4. 4

   Encadrer les fournisseurs. Sécuriser la chaîne d’approvisionnement industrielle.

5. 5

   Outiller la notification. Mettre en place le processus d’alerte et de reporting.

Questions fréquentes