NIS2 industrie en 2026 : conformité directive UE et impact OT

Dernière mise à jour : 17 mai 2026. La directive NIS2 (Network and Information Security 2) est entrée en application en octobre 2024 dans toute l’Union européenne. Elle étend significativement le périmètre de la cybersécurité obligatoire aux entreprises industrielles dépassant certains seuils. Cet article documente le périmètre, les obligations, et l’impact sur les plateformes TRS et systèmes OT en 2026.

Qu’est-ce que la directive NIS2 ?

NIS2 (Directive UE 2022/2555 du 14 décembre 2022) succède à la directive NIS de 2016. Elle vise à harmoniser et renforcer la cybersécurité dans l’UE en imposant des obligations strictes aux organisations dont l’activité a un impact sociétal ou économique significatif. Transposition nationale obligatoire avant 17 octobre 2024.

Le périmètre NIS2 : entités essentielles vs importantes

L’extension majeure NIS2 vs NIS1 concerne le manufacturing : les industriels de chimie, alimentaire, électronique, automobile, médical au-delà des seuils sont désormais soumis aux obligations cybersécurité.

Les obligations principales NIS2

Mesures de gestion des risques

Article 21 NIS2 impose 10 catégories de mesures minimales :

1. Politiques d’analyse des risques et de sécurité des systèmes d’information
2. Gestion des incidents (prévention, détection, réponse)
3. Continuité d’activité (sauvegardes, plans de reprise, gestion de crise)
4. Sécurité de la chaîne d’approvisionnement
5. Sécurité de l’acquisition, du développement, de la maintenance
6. Politiques d’évaluation de l’efficacité des mesures
7. Pratiques d’hygiène cybersécurité et formation
8. Politiques de cryptographie et de chiffrement
9. Sécurité des ressources humaines, contrôle d’accès, gestion des actifs
10. Authentification multi-facteurs, communications sécurisées, communications d’urgence

Obligation de notification des incidents

NIS2 impose la notification d’incident significatif dans des délais courts :

• Alerte précoce : 24 heures après prise de connaissance
• Notification d’incident : 72 heures avec évaluation initiale
• Rapport intermédiaire : sur demande de l’autorité
• Rapport final : 1 mois après notification incident

Sanctions financières

Sanctions administratives prévues : jusqu’à 10 M€ ou 2 % du CA mondial (entités essentielles), jusqu’à 7 M€ ou 1,4 % (entités importantes). Responsabilité personnelle des dirigeants prévue par certaines transpositions nationales.

L’impact NIS2 sur les plateformes TRS et systèmes OT

Pour les industriels soumis NIS2, les plateformes TRS et systèmes OT entrent dans le périmètre :

• Inventaire et classification : les plateformes TRS doivent être inventoriées et classifiées selon criticité.
• Analyse de risque : risque cyber sur les plateformes TRS évalué (impact sur production en cas de compromission).
• Mesures techniques : authentification MFA, chiffrement, segmentation, monitoring conformément aux obligations Article 21.
• Notification incidents : incident sur plateforme TRS impactant la production peut nécessiter notification 24h/72h.
• Chaîne d’approvisionnement : exigences vis-à-vis des fournisseurs de plateformes TRS et autres SI industriels.

Le calendrier de mise en conformité 2026

Questions fréquentes

Qu’est-ce que la directive NIS2 ?

Directive UE 2022/2555 du 14 décembre 2022, transposée nationalement avant 17 octobre 2024. Renforce et étend la cybersécurité obligatoire aux organisations à impact sociétal significatif, dont manufacturing.

Mon entreprise est-elle concernée par NIS2 ?

Vérifier 2 critères : 1) Secteur (manufacturing chimie/alimentaire/électronique/auto/médical = entités importantes). 2) Seuils (≥ 50 employés ou ≥ 10 M€ CA pour importantes, ≥ 250 ou ≥ 50 M€ pour essentielles).

Quelles sont les obligations NIS2 ?

10 catégories mesures Article 21 (analyse risques, gestion incidents, continuité, chaîne approvisionnement, etc.) + notification incidents (24h alerte, 72h notification, 1 mois rapport final).

Quelles sanctions en cas de non-conformité NIS2 ?

Jusqu’à 10 M€ ou 2 % CA mondial (entités essentielles), 7 M€ ou 1,4 % (importantes). Responsabilité personnelle dirigeants prévue par certaines transpositions nationales.

Quel est le délai de notification d’incident NIS2 ?

Alerte précoce : 24 heures après prise de connaissance. Notification d’incident : 72 heures avec évaluation initiale. Rapport final : 1 mois après notification incident.

NIS2 s’applique-t-il aux plateformes TRS ?

Indirectement : la plateforme TRS est un SI industriel intégré au périmètre des obligations cybersécurité de l’industriel. Inventaire, analyse de risque, mesures techniques s’appliquent.

Quelle relation entre NIS2 et IEC 62443 ?

NIS2 fixe les obligations légales. IEC 62443 fournit le cadre technique pour les implémenter. IEC 62443 est la référence d’implémentation recommandée pour répondre aux exigences NIS2 OT.

Coût de mise en conformité NIS2 ?

Variable selon taille et maturité initiale. Audit : 30 000-80 000 €. Mise en œuvre : 200 000-2 M€ sur 18-30 mois. ROI : éviter sanctions (jusqu’à 10 M€) + réduire risque cyber.

Faut-il un RSSI pour NIS2 ?

Non explicitement imposé, mais désignation d’un responsable cybersécurité fortement recommandée. Mesures organisationnelles Article 21 nécessitent un pilote dédié pour leur mise en œuvre et leur suivi.

Quelle est l’erreur la plus fréquente en NIS2 industrie ?

Croire que NIS2 ne concerne que l’IT. NIS2 couvre l’ensemble du SI industriel, y compris OT (automates, capteurs, plateformes TRS, MES). Périmètre OT souvent oublié initialement.

Auteur : François Coulloudon, CEO, TeepTrak.