NIS2 en production : rendre la sécurité OT vérifiable

Sécurité des infrastructures critiques (NIS2) est obligatoire dans le secteur de la production depuis le 6 décembre 2025. La loi de transposition de la directive NIS2 est entrée en vigueur ce jour-là. Loi sur le BSI modifiée sans période transitoire, et depuis lors, les réseaux de production font expressément partie des systèmes pour lesquels les entreprises doivent apporter la preuve de leur sécurité.

Pour la direction de l'usine et le service de maintenance, cela modifie l'ordre des priorités. Jusqu'à présent, la segmentation du réseau était un gage de qualité pour un système informatique de production performant. Désormais, elle constitue, au même titre qu'un inventaire complet des actifs, une condition indispensable pour pouvoir signaler ce qui s'est passé en cas d'incident.

Qui relève de la loi de transposition de la directive NIS 2 ?

La loi distingue les infrastructures « particulièrement importantes » des infrastructures « importantes ». La première catégorie comprend notamment les fournisseurs d'énergie, les services de gestion de l'eau et les sociétés de transport. Pour l'industrie manufacturière, qui est classée parmi les autres secteurs critiques, le seuil est plus bas : les entreprises comptant au moins 50 salariés ou réalisant un chiffre d'affaires annuel de 10 millions d'euros sont généralement considérées comme des entités importantes, à condition que le secteur soit répertorié par le BSI.

Le nombre d'organisations concernées en Allemagne est ainsi passé d'environ 4 500, sous l'ancienne loi sur la sécurité informatique, à environ 29 500 a augmenté. Les personnes qui faisaient déjà partie de ce groupe à la date d'entrée en vigueur, le 6 décembre 2025, devaient s'enregistrer auprès du BSI avant le 6 mars 2026. Pour tous ceux qui ne franchiront ces seuils qu’ultérieurement, le même délai de trois mois court à compter de la date à laquelle l’organisme est considéré pour la première fois comme concerné.

Ce que signifie concrètement la sécurité OT NIS2 dans la production

Les systèmes OT fonctionnent différemment de l'informatique classique. Dans la production, la disponibilité prime sur la confidentialité : un four à l'arrêt ou une ligne de production interrompue coûte immédiatement de l'argent. Une mise à jour de sécurité qui s'exécute pendant la nuit sur un PC de bureau peut provoquer le plantage d'un système de contrôle. De nombreuses installations existantes fonctionnent de toute façon sur des systèmes d’exploitation pour lesquels aucun correctif n’est disponible.

La directive NIS2 exige néanmoins la mise en place de mesures de gestion des risques conformes à l'état de la technique, et le cadre de référence établi à cet effet est la Série de normes CEI 62443. Elle définit des zones de sécurité et des passerelles contrôlées entre celles-ci, sur le modèle de Purdue. Concrètement, cela signifie que le réseau administratif et le réseau de production doivent être séparés physiquement ou logiquement, que la maintenance à distance s'effectue via un point de transfert sécurisé, et qu'aucun accès direct à Internet depuis le réseau de production n'est autorisé. De plus, l’accès aux automates ne doit s’effectuer qu’avec une authentification multifactorielle via un serveur relais dont les activités sont consignées, et non via un mot de passe partagé directement depuis le réseau des bureaux.

Un registre complet des actifs constitue la base de la sécurité NIS2 OT. Sans vue d’ensemble indiquant quel système de contrôle, équipé de quel micrologiciel, est connecté à quel endroit du réseau, il est impossible d’évaluer l’état des correctifs ni, en cas d’incident, de déterminer précisément ce qui est affecté. C’est précisément là que réside la plus grande lacune dans de nombreuses entreprises, car les inventaires informatiques sont tenus à jour, contrairement aux inventaires OT.

Obligations de déclaration et délais correspondants

Alors qu'auparavant, une déclaration en une seule étape suffisait, il faut désormais régime de déclaration à trois niveaux. Une alerte précoce doit être transmise au BSI dans les 24 heures suivant la prise de connaissance de l'incident ; un rapport plus détaillé doit suivre dans les 72 heures, et un rapport final comprenant une analyse des causes et des mesures correctives doit être remis au plus tard dans un délai d'un mois. Le BSI applique ici le principe de la rapidité avant l’exhaustivité ; les détails manquants peuvent être fournis ultérieurement.

Ces délais ne peuvent pas être improvisés. Si l’on attend que l’incident se produise pour clarifier ces points, si l’on identifie l’incident et si l’on rédige le rapport, on perd un temps précieux. Un plan d’action documenté, définissant clairement les responsabilités conjointes des équipes IT et OT, fait donc partie intégrante de l’obligation de preuve.

Responsabilité des dirigeants en vertu de l'article 38 de la loi allemande sur la responsabilité des dirigeants (BSIG)

La partie sous-estimée de la loi concerne la direction elle-même, et non le service informatique. Conformément à l'article 38 de la BSIG, la direction doit approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre régulièrement des formations afin de pouvoir évaluer elle-même les risques. Cette obligation de formation ne peut expressément pas être déléguée. Un responsable informatique ne peut pas se substituer à la direction pour y participer.

Si la direction enfreint ces obligations de manière fautive, elle engage sa responsabilité envers sa propre entreprise conformément aux règles du droit des sociétés applicable ; dans le cas d'une SARL, c'est donc en vertu de l'article 43 de la loi sur les sociétés à responsabilité limitée (GmbHG). Il s'agit d'une responsabilité interne vis-à-vis de sa propre entreprise, et non d'un recours direct de tiers, mais elle peut toutefois porter atteinte au patrimoine privé. Par ailleurs, des amendes sont prévues pour l’établissement lui-même, dont le montant peut aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les établissements particulièrement importants.

La traçabilité nécessite des données issues du suivi

Sécurité des infrastructures critiques (NIS2) a besoin de données à l'appui. En cas de doute, un auditeur du BSI ne se contente pas de demander si une entreprise juge la segmentation du réseau appropriée, mais exige le plan du réseau, les règles du pare-feu et la date du dernier correctif installé sur un automate spécifique. Or, ces justificatifs ne résultent pas d’une simple déclaration d’intention, mais d’un processus continu Surveillance des installations, qui consigne les faits au lieu de se contenter de les affirmer.

Quiconque met déjà en place un système permettant de collecter des données machine pour établir des indicateurs de disponibilité et de performance dispose souvent déjà de la moitié de l'infrastructure nécessaire à un inventaire des actifs OT. L'autre moitié consiste à séparer les réseaux par lesquels transitent ces données. Ce même flux de données sert souvent, par la même occasion, de base au Suivi énergétique, car les données de consommation et d'état transitent généralement par les mêmes canaux. Droits d'accès aux données des machines et les exigences de sécurité relèvent donc de la même planification.

Foire aux questions

À partir de quand la directive NIS2 s'appliquera-t-elle aux entreprises manufacturières ?

La loi de transposition de la directive NIS2 est entrée en vigueur le 6 décembre 2025 sans période transitoire. Les entités qui atteignaient déjà les seuils à cette date devaient s’enregistrer auprès du BSI avant le 6 mars 2026. Celles qui ne franchissent les seuils qu’ultérieurement disposent d’un délai de trois mois à compter de cette date pour s’enregistrer. Les obligations matérielles s’appliquent dès que le seuil est atteint, que l’enregistrement soit déjà effectué ou non. Le point de départ du délai est donc le dépassement effectif du seuil, et non la date d’enregistrement. L’évaluation au cas par cas relève de la responsabilité du service juridique ou du cabinet d’avocats.

Un système de gestion de la production sans connexion Internet est-il également considéré comme un système OT au sens de la directive NIS2 ?

Oui, si elle fait partie des réseaux et des systèmes d'information de l'établissement. La directive NIS2 ne fait pas de distinction selon qu'un système est directement connecté à Internet ou non, mais selon qu'il est pertinent pour le fonctionnement de l'établissement. Un système de commande isolé, sans aucune connexion réseau, ne relève certes pas des mesures classiques relatives aux réseaux, mais doit néanmoins figurer dans l’analyse des risques et l’inventaire des actifs. Si elle tombe en panne par la suite ou fait l’objet d’une manipulation, il s’agit tout de même, en cas de doute, d’un incident de sécurité soumis à déclaration, car c’est l’impact sur la production qui compte, et non le mode de transmission.

La direction peut-elle déléguer la responsabilité NIS2 au service informatique ?

Les tâches opérationnelles peuvent être déléguées, mais pas la responsabilité. L'article 38 de la BSIG oblige la direction à approuver et à superviser personnellement les mesures de gestion des risques, ainsi qu'à participer elle-même, sans possibilité de délégation, aux formations. L’argument „ le service informatique s’en charge déjà “ ne suffit expressément pas comme preuve lors d’un contrôle du BSI. Si la direction manque de manière fautive à son obligation de surveillance, elle engage sa responsabilité vis-à-vis de sa propre institution, quelle que soit la qualité de l’organisation opérationnelle du service informatique.

Depuis des années, torck met en place des liaisons de données entre le système de commande et le tableau de bord et maîtrise ainsi les deux aspects des exigences NIS2 en matière de sécurité des systèmes opérationnels (OT) dans la production : la connexion technique et la documentation requise pour un audit. Nos équipes de développement à Maxhütte-Haidhof, Vienne et Rabat travaillent dans le cadre d’un contrat régi par le droit allemand avec la société allemande torck GmbH et avec un interlocuteur germanophone, sans les frictions liées à une chaîne de sous-traitance. Si vous souhaitez vérifier comment la segmentation du réseau, l’inventaire des actifs et la gestion des preuves s’articulent dans un Surveillance des installations Si vous souhaitez les regrouper, n'hésitez pas à nous contacter.

Prendre rendez-vous