Quiz du Module 1

Réponse : Une directive doit être transposée pour créer des obligations, contrairement à un règlement (RGPD, DORA, CRA) d'application directe. La directive (UE) 2022/2555 a été adoptée le 14 décembre 2022 et devait être transposée avant le 17 octobre 2024 — la France n'a pas tenu cette échéance, le projet de loi n'a pas été voté en séance et la Commission a saisi la CJUE en juillet 2026. En attendant, l'ANSSI publie le référentiel ReCyF (17 mars 2026, 20 objectifs) pour permettre d'anticiper.

Réponse : Modèle AIC inversé : Availability d'abord, puis Integrity, puis Confidentiality. Conséquence : on n'isole jamais un automate à l'aveugle, on coordonne la réponse avec la production.

Réponse : 10 M€ ou 2 % du CA mondial (essentielles), 7 M€ ou 1,4 % (importantes). Régime calqué sur le RGPD, sanctions administratives, auxquelles s'ajoute la responsabilité de l'organe de direction (article 20). À ne pas confondre avec les sanctions pénales de la LPM pour les OIV (150 000 € pour les dirigeants, article L1332-7 du Code de la défense).

Réponse : NIS2 dit "quoi faire", IEC 62443 dit "comment faire techniquement". Référence mondiale pour la cyber OT, publié par l'ISA et l'IEC. Articulation indispensable.

Réponse : Entité importante : secteur de l'annexe II, et critère de taille atteint (au moins 50 salariés). Attention au raccourci : l'annexe ne suffit pas à déterminer le statut, qui se lit en croisant secteur et taille — une entité de l'annexe I de taille moyenne est elle aussi « importante », pas « essentielle ». Sanction maximale prévue : 7 M€ ou 1,4 % du CA mondial.