NIS2 OT
Cybersécurité Industrielle
La sensibilisation cyber s'arrête trop souvent à la bureautique. Voici le volet industriel : directive NIS2 et état réel de sa transposition en France, automates et SCADA, modèle de Purdue, IEC 62443, attaques marquantes (Stuxnet, Triton, Colonial Pipeline), détection et gestion de crise. 4 modules · 5 h 30 · quiz et examen final.
Travail-Industrie n'est pas un organisme de formation. Cette sensibilisation ne se substitue ni à un audit de conformité conduit par un prestataire qualifié par l'ANSSI, ni à une analyse d'architecture OT, ni à un conseil juridique sur votre situation. L'examen final est auto-évaluatif et ne donne lieu à aucune attestation.
La directive (UE) 2022/2555 devait être transposée pour le 17 octobre 2024. La France ne l'a pas fait : le projet de loi sur la résilience des infrastructures critiques n'a pas été voté en séance, la Commission européenne a saisi la CJUE en juillet 2026, et aucune obligation NIS2 n'est opposable à une entreprise française à ce jour. En revanche l'ANSSI a publié le 17 mars 2026 le référentiel ReCyF (20 objectifs de sécurité), qui permet de préparer la conformité sans attendre la loi. Cette formation distingue systématiquement ce qui est prévu de ce qui est applicable.
secteurs couverts par NIS2, répartis entre l'annexe I (hautement critiques) et l'annexe II
sanction maximale prévue pour une entité essentielle (ou 2 % du CA mondial) — applicable seulement après la loi française
délai d'alerte précoce prévu par l'article 23, avant notification à 72 h et rapport final à 1 mois
Programme complet
4 modules pour comprendre la directive, les menaces OT, la défense en profondeur et la conformité.
Cadre réglementaire NIS2 & spécificités OT
Directive NIS2 (UE 2022/2555), état de la transposition française, entités essentielles et importantes, différences fondamentales IT vs OT, autres cadres (LPM 2013 et OIV, IEC 62443, CRA, DORA).
- NIS2 — directive UE 2022/2555 : entités essentielles et importantes, transposition française
- IT vs OT : automates, SCADA, DCS, RTU — pourquoi le périmètre industriel est critique
- Autres cadres : LPM 2013 OIV, IEC 62443, CRA, DORA — articulation avec NIS2
- Quiz du Module 1
Menaces & attaques OT spécifiques
Histoire des grandes attaques OT (Stuxnet, BlackEnergy, NotPetya, Triton, Colonial Pipeline, Norsk Hydro), vecteurs d'attaque industriels et profil des acteurs (APT, ransomware, insiders).
- Les grandes attaques OT : Stuxnet, BlackEnergy, NotPetya, Triton, Colonial Pipeline, Norsk Hydro
- Vecteurs d'attaque OT : USB, supply chain, interface IT/OT, accès distant, ransomware
- Profil des attaquants : APT étatiques (Sandworm, Volt Typhoon), ransomware, insiders, hacktivistes
- Quiz du Module 2
Architecture & défense en profondeur
Modèle de Purdue, segmentation zones et conduits IEC 62443, mesures techniques de protection (firewalls industriels, diodes de données, hardening des automates, MFA) et détection (IDS OT, SOC OT, SIEM, monitoring passif).
- Modèle de Purdue, DMZ industrielle, zones et conduits IEC 62443
- Mesures techniques : firewall industriel, diode, inventaire, patching, hardening PLC, MFA
- Détection : sondes IDS OT, SOC OT, SIEM, monitoring passif
- Quiz du Module 3
Gouvernance, conformité & gestion de crise
Mise en conformité NIS2 (analyse de risque, 10 mesures de gestion, référentiel ReCyF de l'ANSSI), sanctions, signalement sous 24/72 h, PCA/PRA OT, exercices de crise et culture de sécurité industrielle.
- Mise en conformité NIS2 : analyse de risque, 10 mesures, ReCyF, sanctions (10 M€ / 2 % CA)
- PCA/PRA OT, plan de réponse, signalement ANSSI sous 24/72h, exercices de crise
- Culture de sécurité OT : RSSI/DSI/ingénieurs procédés/automaticiens, sensibilisation terrain
- Quiz du Module 4
Compléter avec les formations cyber transverses
Cette formation cible le volet OT industriel. Pour le volet IT/utilisateur (phishing, mots de passe, MFA, RGPD, NIS2 côté SI tertiaire), suivez en complément notre formation Cybersécurité — Sensibilisation utilisateur. Pour le volet continuité d'activité (PCA, PRA, ISO 22301, DORA, sauvegardes 3-2-1-1-0), suivez notre formation PCA / PRA & Continuité d'activité.
Examen final : 25 questions
Validez vos acquis avec un examen blanc auto-évaluatif. Barème +2 / -1 / 0 abstention, 5 kill questions sur les fondamentaux NIS2 et les règles AIC vs CIA, seuil de réussite 33/50.
NIS2 OT : le maillon faible que les directions sous-estiment
Un changement d'échelle annoncé, une entrée en vigueur qui se fait attendre
La directive NIS2 (UE 2022/2555) élargit massivement le périmètre des entreprises soumises à des obligations de cybersécurité. Là où NIS1 (2016) ne visait que quelques centaines d'opérateurs désignés un par un, NIS2 couvre 18 secteurs et concernera toute entité d'au moins 50 salariés — ou dont le chiffre d'affaires et le bilan dépassent 10 M€ — opérant dans ces secteurs. Pour l'industrie française, c'est un changement d'échelle : énergie, chimie, agroalimentaire, automobile, machines, dispositifs médicaux, eau, déchets, transports. Mais l'échéance de transposition du 17 octobre 2024 a été manquée et la loi française n'est toujours pas promulguée : le cadre est connu, il n'est pas encore opposable. C'est précisément la situation qu'il faut comprendre pour investir au bon rythme — ni dans l'urgence commerciale, ni dans l'attentisme.
L'angle mort OT — un péril que les RSSI ne maîtrisent pas seuls
La plupart des programmes cybersécurité d'entreprise sont conçus par et pour les équipes IT. Mais l'OT (Operational Technology) — les automates programmables (PLC), les SCADA, les DCS, les RTU qui pilotent les processus de production — obéit à des règles totalement différentes : système d'exploitation propriétaire, cycle de vie de 20-30 ans, redémarrage interdit en production, disponibilité avant tout (modèle AIC), patching impossible. Les outils EDR ou les antivirus classiques sont rarement déployables sur ces équipements. La directive NIS2 oblige enfin les entreprises à traiter l'OT comme un périmètre à part entière.
L'histoire est riche en avertissements
Stuxnet (2010), première cyberarme industrielle connue, a détruit des centrifugeuses d'enrichissement sur une installation pourtant coupée du réseau. BlackEnergy (2015-2016) a privé d'électricité quelque 230 000 personnes en Ukraine en manœuvrant des postes électriques. NotPetya (juin 2017), qui ne visait aucun industriel en particulier, a tout de même arrêté des usines chez Saint-Gobain, Maersk, Merck ou FedEx en se propageant depuis les réseaux bureautiques — environ 10 Md$ de dommages au total. Triton (2017) s'en est pris au système instrumenté de sécurité d'un site pétrochimique, c'est-à-dire à la dernière barrière avant l'accident. Colonial Pipeline (mai 2021) : un rançongiciel a touché les systèmes de facturation, et c'est l'exploitant lui-même qui a arrêté l'oléoduc. Norsk Hydro (mars 2019) : 22 000 postes chiffrés, refus de payer, conduite manuelle des usines et communication publique quotidienne — le cas d'école de la résilience.
Pour qui cette formation ?
RSSI et leurs équipes, DSI et SOC qui doivent étendre leur périmètre à l'OT, ingénieurs procédés et automaticiens qui font le pont avec la cybersécurité, responsables de production et d'usine, directeurs HSE intéressés par la cyber-résilience, dirigeants d'ETI industrielles confrontés à la mise en conformité NIS2, prestataires d'audits cyber souhaitant maîtriser le volet OT, consultants en transformation industrielle 4.0.
Pour aller plus loin
Les formations du site qui complètent le volet cybersécurité industrielle.
Les métiers derrière la cybersécurité industrielle
La conduite d'un programme cyber OT mobilise des profils rares, à cheval sur deux cultures. Fiches métier, salaires et parcours de formation :
- Ingénieur cybersécurité industrielle — le profil pivot entre RSSI et production (salaire).
- Administrateur réseaux industriels (OT) — celui qui tient la segmentation au quotidien.
- Architecte réseau industriel — conception des zones, conduits et DMZ industrielle.
- Automaticien et développeur SCADA / superviseur IHM — sans eux, aucune mesure ne tient en production.
Questions fréquentes
Contenu relu par le Pôle Sectoriel & Industrie · Politique éditoriale