NIS2 industrie 2026 : la checklist de conformité complète (30 points)

· 15 minutes de lecture
15 min read
Équipe Eziwan
Équipe Eziwan
Infrastructure IoT

La directive NIS2 (Network and Information Security 2) est transposée en droit français depuis octobre 2024. En 2026, les entités industrielles qui n'ont pas encore initié leur mise en conformité naviguent sur un terrain à risque : les premières sanctions par l'ANSSI sont attendues, et les attaques cyber sur les infrastructures industrielles continuent de progresser — selon le CERT-FR, les incidents OT ont augmenté de 38 % entre 2023 et 2025.

Cet article vous donne une lecture claire de ce que NIS2 impose à l'industrie et une checklist de 30 points structurée pour évaluer votre niveau de conformité.

NIS2 en résumé : ce qui change pour l'industrie française​

NIS2 succède à NIS1 (2016) avec un périmètre d'application considérablement élargi. La directive européenne 2022/2555 a été transposée en France par une loi spécifique qui donne à l'ANSSI les pouvoirs de supervision, d'audit et de sanction.

Ce qui change fondamentalement par rapport à NIS1 :

  • Le périmètre s'élargit massivement : NIS1 concernait principalement les opérateurs d'importance vitale (OIV) et quelques prestataires critiques. NIS2 ajoute des dizaines de milliers d'entreprises supplémentaires, notamment dans l'industrie manufacturière, la fabrication de dispositifs médicaux, l'industrie chimique et la fabrication de matériaux critiques.

  • La responsabilité remonte au niveau de la direction : les dirigeants peuvent être tenus personnellement responsables en cas de non-conformité grave. Ils doivent approuver les mesures de sécurité et suivre une formation cyber basique.

  • Les délais de notification sont courts : 24 heures pour la notification initiale en cas d'incident significatif, 72 heures pour le rapport intermédiaire, un mois pour le rapport final.

  • Les obligations s'étendent à la chaîne de sous-traitance : vous devez évaluer la sécurité de vos fournisseurs critiques et des prestataires qui accèdent à vos systèmes.

La directive distingue deux catégories d'entités selon leur taille et leur secteur d'activité, avec des obligations légèrement différentes.

Qui est concerné : entités essentielles vs entités importantes​

Entités essentielles (EE)

Sont classées entités essentielles les organisations de grande taille (> 250 employés OU > 50 M€ de CA OU > 43 M€ de bilan) dans les secteurs :

  • Énergie (électricité, gaz, pétrole, hydrogène)
  • Transports (aérien, ferroviaire, maritime, routier)
  • Secteur bancaire et infrastructure des marchés financiers
  • Santé
  • Eau potable et eaux usées
  • Infrastructure numérique
  • Gestion des services TIC
  • Administrations publiques
  • Espace

Les entités essentielles sont soumises à une supervision proactive de l'ANSSI : audits planifiés, inspections sur place, obligation de déclaration d'incertitudes.

Entités importantes (EI)

Sont classées entités importantes les organisations de taille moyenne (> 50 employés OU > 10 M€ de CA) dans les secteurs :

  • Services postaux et d'expédition
  • Gestion des déchets
  • Fabrication, production et distribution de produits chimiques
  • Production, transformation et distribution de denrées alimentaires
  • Industrie manufacturière (y compris fabrication de dispositifs médicaux, ordinateurs, électronique, équipements électriques, machines, véhicules, équipements de transport)
  • Fournisseurs numériques
  • Recherche

Les entités importantes sont soumises à une supervision réactive : l'ANSSI n'audite pas spontanément, mais peut déclencher un audit sur notification d'incident ou sur signalement.

Cas des PME industrielles françaises

Une PME industrielle de 75 salariés avec 12 M€ de CA est une entité importante au titre de NIS2. Elle est soumise à l'ensemble des obligations techniques, même si les délais de mise en conformité peuvent être accordés selon les secteurs.

L'ANSSI a publié un outil d'auto-évaluation du périmètre disponible sur le site anssi.fr. Si vous n'avez pas encore effectué cette vérification, c'est la première étape.

Checklist technique — 30 points de contrôle​

A. Inventaire des actifs (5 points)​

☐ A1. Inventaire complet des actifs IT Vous disposez d'un inventaire à jour de tous les équipements informatiques (serveurs, postes, équipements réseau) incluant version du système d'exploitation, version des logiciels critiques, responsable et criticité métier. Mis à jour au moins tous les 6 mois.

☐ A2. Inventaire complet des actifs OT Votre inventaire couvre les automates (PLC, RTU), IHM, superviseurs SCADA, passerelles IoT, routeurs industriels, et tout équipement connecté au réseau OT. Le firmware version et la date de dernière mise à jour sont documentés.

☐ A3. Cartographie des flux de données Les flux de communication entre les systèmes IT et OT sont documentés sous forme de diagramme de flux de données. Les flux non documentés sont bloqués par défaut (politique de whitelist).

☐ A4. Classification des actifs par criticité Chaque actif est classifié selon sa criticité pour la continuité d'activité : critique (arrêt de production immédiat si compromis), important (dégradation significative), standard. Cette classification guide les priorités de sécurité.

☐ A5. Gestion du cycle de vie Un processus documenté gère les fins de vie des équipements : retrait des équipements hors support, décommissionnement sécurisé (effacement des données, retrait des comptes), recyclage.

B. Gestion des accès et authentification (5 points)​

☐ B1. MFA pour les accès distants L'authentification multi-facteurs (MFA) est obligatoire pour tout accès distant aux systèmes d'information, y compris les accès VPN aux réseaux OT. Les solutions SMS OTP sont déconseillées par l'ANSSI ; préférez TOTP (Google Authenticator, Aegis) ou clés FIDO2.

☐ B2. Principe du moindre privilège Les comptes utilisateurs disposent uniquement des droits nécessaires à leur mission. Les comptes administrateurs dédiés sont distincts des comptes de travail quotidien. Les droits sont revus au minimum annuellement et lors de chaque changement de poste.

☐ B3. Gestion des comptes partagés et de service Les comptes partagés (comptes génériques "admin", "operator") sont supprimés ou remplacés par des comptes nominatifs. Les comptes de service applicatifs sont gérés dans un coffre-fort (CyberArk, Hashicorp Vault, Bitwarden Business) avec rotation automatique des mots de passe.

☐ B4. Contrôle des accès physiques L'accès physique aux salles serveurs, armoires de contrôle et locaux techniques est contrôlé par badging ou clé, avec journalisation. Les accès des intervenants extérieurs sont tracés.

☐ B5. Révocation des accès Un processus formalisé garantit la révocation immédiate des accès lors d'un départ ou d'un changement de fonction. Le délai de révocation est documenté et inférieur à 24 heures pour les accès critiques.

C. VPN et chiffrement des communications OT (5 points)​

☐ C1. VPN pour tous les accès distants OT Tout accès distant à un réseau OT (SCADA, supervision, automates) passe obligatoirement par un VPN chiffré (IPsec, OpenVPN ou TLS mutuel). Les accès directs Internet vers des équipements OT sont interdits et techniquement bloqués.

☐ C2. Segmentation IT/OT Le réseau OT est physiquement ou logiquement séparé du réseau IT (bureau, entreprise). La communication entre zones passe par une DMZ ou un firewall dédié avec règles explicites. La politique par défaut est "deny all".

☐ C3. Chiffrement des communications cloud Toutes les communications entre les équipements terrain et les plateformes cloud (MQTT, HTTPS, API REST) utilisent TLS 1.2 minimum (TLS 1.3 recommandé). Les certificats sont valides, non auto-signés, et leur expiration est monitorée.

☐ C4. Zéro port entrant ouvert sur Internet Aucun équipement OT, aucune IHM, aucun superviseur n'est directement accessible depuis Internet sur un port entrant. Tout accès distant est initié depuis l'équipement vers la plateforme (modèle "call home" ou accès via VPN client).

☐ C5. Gestion des clés et certificats Un inventaire des certificats TLS, clés VPN et secrets applicatifs est maintenu. Les clés et certificats arrivant à expiration dans les 30 jours déclenchent une alerte. Un processus de rotation est documenté.

D. Détection et réponse aux incidents (4 points)​

☐ D1. Journalisation des événements de sécurité Les équipements critiques (firewall, VPN, IHM, serveurs SCADA) génèrent des logs de sécurité collectés dans un système centralisé (SIEM, syslog server). La rétention est d'au moins 12 mois pour les entités essentielles, 6 mois pour les entités importantes.

☐ D2. Surveillance des anomalies Des règles de détection d'anomalies sont actives sur les flux réseau OT : connexions vers des destinations inconnues, volumes de trafic inhabituels, connexions hors horaires de production, tentatives d'authentification échouées répétées.

☐ D3. Procédure de réponse aux incidents documentée Un plan de réponse aux incidents (PRI) est documenté, approuvé par la direction, et testé au moins une fois par an (exercice de simulation ou test tabletop). Il couvre les phases de détection, containment, éradication, récupération et communication.

☐ D4. Contacts CERT-FR et ANSSI à jour L'entreprise a enregistré ses coordonnées auprès de l'ANSSI via le portail NIS2. Les coordonnantes du responsable sécurité et de la direction sont à jour. Le contact du CERT-FR (cert-fr.cert.gouv.fr, +33 3 51 14 17 41) est connu des équipes concernées.

E. Continuité d'activité (4 points)​

☐ E1. Plan de continuité d'activité (PCA) documenté Un PCA couvrant les scénarios de cyberattaque (ransomware, compromission SCADA) est documenté et testé. Il définit les procédures de fonctionnement dégradé (mode manuel, redémarrage à partir de backups propres).

☐ E2. Sauvegardes régulières et testées Les configurations des automates, SCADA, IHM et serveurs sont sauvegardées selon une politique documentée. Les sauvegardes sont stockées hors ligne ou dans un environnement isolé. Leur restauration est testée au minimum semestriellement.

☐ E3. Redondance des accès réseau Les sites critiques disposent d'une redondance de connectivité (Dual SIM multi-opérateur, fibre + 4G LTE) pour maintenir l'accès distant de supervision en cas de défaillance d'un opérateur.

☐ E4. Délais de reprise documentés (RTO/RPO) Les objectifs de reprise après incident (RTO : Recovery Time Objective, RPO : Recovery Point Objective) sont définis et documentés pour chaque système critique. Ces objectifs sont cohérents avec les engagements contractuels envers les clients.

F. Formation et sensibilisation (3 points)​

☐ F1. Formation cyber obligatoire pour la direction NIS2 impose que les dirigeants soient formés aux risques cyber et aux mesures de sécurité applicables à l'organisation. Cette formation (au minimum 4 heures) doit être documentée avec date et attestation.

☐ F2. Sensibilisation régulière des employés Une session de sensibilisation aux risques cyber (phishing, ingénierie sociale, mots de passe) est organisée au minimum une fois par an pour l'ensemble du personnel. Les sous-traitants ayant accès aux systèmes sont inclus.

☐ F3. Exercice de phishing Un exercice de phishing simulé est réalisé au minimum annuellement pour mesurer le niveau de vigilance des employés et identifier les personnes à risque pour une formation renforcée.

G. Gestion des tiers et sous-traitants (4 points)​

☐ G1. Inventaire des sous-traitants critiques Les prestataires qui accèdent à vos systèmes d'information ou OT (intégrateurs, mainteneurs, éditeurs de logiciels) sont listés avec la criticité de leur accès. Cet inventaire est maintenu à jour.

☐ G2. Clauses contractuelles de sécurité Les contrats avec les prestataires critiques incluent des clauses de sécurité : obligation de signalement des incidents, conformité NIS2 pour les entités soumises, droit d'audit, confidentialité.

☐ G3. Accès sous-traitants limités et tracés Les accès distants accordés aux sous-traitants (accès maintenance PLC, téléassistance) sont limités dans le temps, tracés dans un journal et révocables immédiatement. Les VPN dédiés par prestataire sont préférables aux comptes partagés.

☐ G4. Évaluation de sécurité des fournisseurs critiques Les fournisseurs de logiciels ou de matériels critiques font l'objet d'une évaluation minimale de leur posture de sécurité (questionnaire, certifications ISO 27001, audit).

Gestion des accès distants OT : l'angle mort NIS2​

L'accès distant sécurisé aux systèmes OT est souvent l'angle mort le plus critique des entreprises industrielles. C'est aussi l'un des vecteurs d'attaque les plus exploités — le rapport ENISA 2025 sur les incidents OT cite les accès distants mal sécurisés comme le vecteur d'entrée principal dans 42 % des incidents documentés.

Les mauvaises pratiques les plus fréquentes :

  • Port 3389 (RDP) ouvert directement sur Internet vers un superviseur SCADA
  • Compte "admin" avec mot de passe "password" sur une IHM accessible depuis le Web
  • VPN opérateur partagé sans segmentation réseau (l'intervenant accède à tout le réseau)
  • TeamViewer ou AnyDesk sans MFA, avec accès permanent

L'approche conforme NIS2 :

  1. Aucun port entrant ouvert sur Internet depuis le réseau OT
  2. Tout accès distant passe par un VPN avec MFA (OpenVPN + certificat client + OTP TOTP)
  3. Les accès VPN sont limités aux sous-réseaux nécessaires au travail du prestataire (segmentation par VLAN)
  4. Chaque session d'accès distant est journalisée avec horodatage, identité de l'utilisateur et actions réalisées
  5. Les accès exceptionnels (dépannage d'urgence) sont accordés temporairement via un workflow d'approbation et révoqués automatiquement après la session

Cette architecture est accessible pour une PMI industrielle avec des équipements modernes — un routeur industriel Eziwan avec VPN OpenVPN/IPSec intégré et accès distant via la plateforme Eziwan Cloud répond à ces exigences sans nécessiter d'infrastructure complexe.

Délais de notification des incidents (24 h / 72 h)​

NIS2 impose des délais stricts de notification en cas d'incident de sécurité significatif, défini comme un incident ayant ou susceptible d'avoir un impact significatif sur la continuité du service.

Notification initiale (Early Warning) — 24 heures : Signalement à l'ANSSI via le portail dédié si l'incident est susceptible d'avoir un impact transfrontière, s'il résulte d'une infraction pénale, ou s'il peut affecter d'autres entités. Cette notification est succincte : nature de l'incident, systèmes touchés, impact initial estimé.

Notification intermédiaire — 72 heures : Rapport plus détaillé incluant une évaluation préliminaire de la sévérité, de la cause probable et des mesures de containment en cours.

Rapport final — 1 mois : Description complète de l'incident, cause identifiée, impact réel, mesures de remédiation appliquées, mesures de prévention de récurrence.

Conseil pratique : les délais commencent à courir à partir du moment où l'entreprise a connaissance de l'incident — pas à partir du moment où l'incident a réellement commencé. Un incident de ransomware découvert 3 semaines après l'intrusion initiale déclenche le compteur à la date de découverte, pas à la date de l'intrusion. Documentez précisément la chronologie de la découverte.

Sanctions : jusqu'à 10 M€ ou 2 % du CA mondial​

NIS2 introduit un régime de sanctions administratives significativement plus sévère que NIS1.

Entités essentielles :

  • Sanctions jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé)
  • Suspension temporaire possible des activités ou des fonctions de direction

Entités importantes :

  • Sanctions jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires annuel mondial total

Les critères d'appréciation des sanctions :

  • Gravité et durée de l'infraction
  • Caractère intentionnel ou négligent
  • Mesures prises pour réduire les dommages
  • Historique de conformité de l'entité
  • Coopération avec l'ANSSI

En pratique, les premières sanctions françaises seront probablement ciblées sur les entités essentielles grandes tailles avant de s'étendre aux entités importantes. Mais l'expérience RGPD montre que l'administration monte rapidement en puissance une fois le cadre établi.

Responsabilité des dirigeants : en cas d'infraction grave résultant d'une négligence manifeste, NIS2 prévoit que les dirigeants peuvent être personnellement poursuivis. Cette disposition est une nouveauté importante qui place la cybersécurité au niveau du comité de direction.

Ressources officielles (ANSSI, CERT-FR)​

  • ANSSI — portail NIS2 : https://www.cert.ssi.gouv.fr/nis2 — outil d'auto-évaluation du périmètre, guides sectoriels, calendrier de mise en conformité
  • ANSSI — Guide d'hygiène informatique : référentiel de 42 mesures de base, disponible gratuitement, bon point de départ pour les PME
  • CERT-FR : cert-fr.cert.gouv.fr — bulletins de sécurité, alertes sur les vulnérabilités critiques, signalement d'incidents (signalement@cert.gouv.fr)
  • ANSSI — Guide de la sécurité des systèmes industriels : référentiel spécifique OT/SCADA, très pertinent pour l'industrie manufacturière
  • CNIL et NIS2 : la conformité NIS2 est complémentaire au RGPD — les mesures techniques de sécurité satisfont souvent les deux réglementations simultanément

Pour les petites structures, l'ANSSI recommande de commencer par le diagnostic CyberDC disponible via cybermalveillance.gouv.fr, puis de prioriser les mesures selon le résultat.

FAQ​

Ma PME industrielle est-elle concernée par NIS2 ? Si vous avez entre 50 et 249 employés (ou un CA entre 10 M€ et 50 M€) et que vous opérez dans un secteur listé dans NIS2 (industrie manufacturière critique, eau, énergie, santé, etc.), vous êtes probablement une entité importante (EI). En dessous de ces seuils, vous n'êtes a priori pas directement soumis, mais vos donneurs d'ordre (EE ou EI) peuvent vous imposer des obligations contractuelles de sécurité. Utilisez l'outil d'auto-évaluation ANSSI disponible sur cert.ssi.gouv.fr/nis2 pour vérifier.

Quand les premières sanctions NIS2 sont-elles attendues en France ? La transposition française est effective depuis octobre 2024. L'ANSSI priorise dans un premier temps la notification des entités concernées et l'accompagnement à la mise en conformité. Les premières sanctions administratives sont attendues à partir de 2026, en commençant par les entités essentielles de grande taille. Les PME auront généralement un délai d'accompagnement avant sanctions.

NIS2 couvre-t-il les systèmes OT/SCADA ou uniquement l'informatique de gestion ? NIS2 s'applique explicitement aux systèmes OT (Operational Technology), SCADA, ICS et systèmes de contrôle industriel. L'ANSSI a publié un guide spécifique "Sécurité des systèmes industriels" qui décrit les mesures concrètes pour les automates, IHM, SCADA et réseaux OT. La segmentation IT/OT et la sécurisation des accès distants aux PLC sont des obligations directes.

Un seul incident NIS2 peut-il déclencher des sanctions automatiquement ? Non. Une obligation de notification n'est pas une sanction. L'obligation de notifier un incident à l'ANSSI dans les 24h n'entraîne pas automatiquement une sanction — c'est une obligation procédurale. Les sanctions interviennent en cas de non-conformité aux mesures techniques et organisationnelles (accès non sécurisés, absence de sauvegardes, pas de gestion des vulnérabilités), ou en cas de non-coopération avec l'ANSSI.

Comment prouver sa conformité NIS2 à l'ANSSI ? L'ANSSI peut demander des preuves documentaires : politiques de sécurité approuvées par la direction, logs de sécurité, résultats d'audits, plans de formation, PCA testé. Pour les entités essentielles, des audits sur place sont possibles. La meilleure préparation est de documenter systématiquement vos mesures dès maintenant : date d'implémentation, responsable, résultats.

Pour aller plus loin​

Envie d'en savoir plus ? Eziwan aide les industriels à sécuriser leurs accès distants OT conformément aux exigences NIS2 : VPN OpenVPN/IPSec, segmentation réseau, zéro port entrant ouvert. Consultez notre guide sur la cybersécurité OT ou contactez-nous pour un audit de vos accès distants.

Ressources complémentaires​