Directive NIS 2 : Quelles exigences pour les automaticiens ?
La directive européenne NIS 2 (Network and Information Security 2) marque une évolution majeure du cadre de cybersécurité au sein de l’Union européenne. Alors que la réglementation NIS 1 de 2016 ciblait environ 300 opérateurs de services essentiels en France, NIS 2 élargit son périmètre à plus de 10 000 entités. Pour le secteur industriel, cette transition représente un changement d’échelle déterminant. Les ateliers de fabrication, les machines spéciales et les réseaux de contrôle-commande ne peuvent plus être tenus à l’écart des exigences de sécurité numérique. L’interconnexion entre l’informatique de gestion (IT) et les réseaux d’usine expose désormais les lignes de production à des risques majeurs de paralysie. Face à des sanctions financières pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, et devant la mise en cause de la responsabilité personnelle des dirigeants, les automaticiens doivent s’approprier ces mesures sans délai.
Périmètre d'application
L’assujettissement à la directive s’articule autour de critères de taille et de secteur d’activité. Une organisation entre dans le périmètre dès lors qu’elle emploie au moins 50 salariés ou réalise un chiffre d’affaires supérieur à 10 millions d’euros, tout en exerçant dans l’un des 18 secteurs prioritaires. Ces derniers distinguent les entités essentielles (énergie, eau potable, transports, santé) et les entités importantes (fabrication de machines, équipements électroniques, chimie, agroalimentaire). Les entités essentielles font l’objet d’un suivi préventif rigoureux par l’ANSSI, tandis que les entités importantes relèvent d’une surveillance a posteriori en cas d’alerte.
Le socle des dix exigences de sécurité
- Évaluer les risques : inventorier les automates et réseaux pour identifier les vulnérabilités de l’atelier.
- Fixer des règles claires : formaliser une politique de sécurité définissant les accès aux machines.
- Réagir aux incidents : repérer les comportements anormaux et appliquer une procédure pour stopper l’attaque.
- Assurer la continuité : préparer un plan de reprise d’activité (PRA) avec sauvegardes isolées (règle 3-2-1).
- Encadrer les prestataires : exiger des garanties de sécurité éprouvées de vos fournisseurs et intégrateurs.
- Former la direction : sensibiliser les dirigeants pour qu’ils arbitrent les choix de protection et les budgets.
- Chiffrer les données : protéger les identifiants et les paramètres sensibles stockés ou en transit sur le réseau.
- Suivre les correctifs : orchestrer la gestion des vulnérabilités sur les progiciels et microprogrammes.
- Tester les installations : organiser des audits réguliers et des simulations pour vérifier la réactivité d’équipe.
- Alerter les autorités : notifier tout incident significatif à l’ANSSI sous 24 heures (avec rapport sous 72 heures).
Architecture réseau et gestion des accès distants
Exemples
Limites et contraintes
Cette démarche se heurte néanmoins à des contraintes propres à l’outil industriel. La longévité des installations constitue le premier obstacle, car un atelier conserve couramment des automates en service depuis plus de quinze ans, incompatibles avec le chiffrement récent. En outre, la mise à jour d’un contrôleur ou d’un superviseur exige des validations rigoureuses sur banc d’essai pour éviter tout arrêt de ligne. Enfin, la dimension économique du projet demande un dimensionnement rigoureux. Pour une PME industrielle de 50 postes, les coûts initiaux varient de 15 000 à 40 000 euros la première année, puis de 5 000 à 15 000 euros par an pour l’entretien. Ce montant reste mesurable au regard des 150 000 euros que coûte en moyenne une cyberattaque.
Conclusion
La directive NIS 2 invite le monde de l’automatisme à intégrer une hygiène numérique rigoureuse dans ses projets. Loin d’une charge administrative stérile, elle consolide la fiabilité de la production face aux nouvelles menaces. En structurant un plan sur 12 mois fondé sur la cartographie de vos réseaux, la protection des accès et le dialogue avec vos prestataires, vous pérennisez vos installations tout en confortant vos donneurs d’ordres.
