4.1 Mise en conformité NIS2 — méthode & sanctions

Première étape critique : déterminer si l'entité est concernée par NIS2. Le réflexe « on est petits, on n'est pas concernés » est l'erreur la plus fréquente — l'auto-évaluation doit être faite rigoureusement et documentée.

Critère de taille — l'article 2 renvoie à la recommandation 2003/361/CE, qui se lit ainsi :

• au moins 50 salariés (en équivalent temps plein), ou
• un chiffre d'affaires annuel et un total de bilan supérieurs à 10 M€.

Le raccourci « 50 salariés ou 10 M€ de chiffre d'affaires » fait perdre la seconde condition : une entreprise de 40 salariés réalisant 12 M€ de chiffre d'affaires mais dont le bilan reste sous 10 M€ peut rester hors champ. À l'inverse, certaines catégories d'entités sont incluses quelle que soit leur taille (article 3).

Critère de secteur : relever de l'annexe I (secteurs hautement critiques) ou de l'annexe II (autres secteurs critiques) — étant rappelé que l'annexe seule ne détermine pas le statut, qui se lit en croisant le secteur et la taille. Quelques exemples fréquents :

• Entreprise de plasturgie 80 salariés, fournisseur automobile → entité importante (annexe II, fabrication automobile).
• PME alimentaire 60 salariés → entité importante (annexe II, production agroalimentaire).
• Cabinet d'expertise comptable 90 salariés → généralement non concerné (sauf si gère des services « critiques »).
• SSII 200 salariés → potentiellement entité importante si elle est fournisseur numérique au sens annexe II.
• Établissement de santé privé de 300 salariés → annexe I et grande entreprise : entité essentielle.

Documentation de l'auto-évaluation :

• Note interne signée par le dirigeant motivant la décision.
• Référence à l'annexe applicable.
• Calcul détaillé des seuils (effectif ETP, CA, bilan).
• Description de l'activité justifiant le rattachement à un secteur.

Enregistrement auprès de l'autorité : le dispositif, le formulaire et le calendrier seront fixés par la loi de transposition et ses décrets. L'ANSSI met d'ores et déjà à disposition une plateforme d'information et d'auto-positionnement (MesServicesCyber) : c'est là que les modalités définitives seront publiées.

L'analyse de risque est la pierre angulaire de NIS2. C'est elle qui justifie le niveau et la nature des mesures déployées. NIS2 demande une analyse documentée, proportionnée et mise à jour régulièrement.

En France, la méthode de référence est EBIOS Risk Manager, publiée par l'ANSSI en 2018 et maintenue depuis avec le Club EBIOS. Elle s'articule sans difficulté avec l'ISO/IEC 27005 et avec la démarche zones et conduits de l'IEC 62443-3-2.

EBIOS RM en 5 ateliers :

1. Cadrage et socle de sécurité : périmètre, valeurs métier, biens supports, écosystème, conformité réglementaire, état socle.
2. Sources de risque et objectifs visés : qui peut nous attaquer, pour quoi faire (matrice SROV — Sources de Risque / Objectifs Visés).
3. Scénarios stratégiques : chemins d'attaque écosystémiques, parties prenantes critiques.
4. Scénarios opérationnels : modes opératoires techniques détaillés.
5. Traitement du risque : plan de traitement, mesures de sécurité, risque résiduel.

Spécificités OT à intégrer dans l'analyse :

• Valeurs métier OT : production, sûreté humaine et environnementale, conformité (HACCP, ATEX, GMP, etc.), continuité.
• Biens supports : automates, SCADA, DCS, RTU, SIS, SCADA cloud, IIoT.
• Sources de risque spécifiques OT : APT, ransomware, insiders, sabotage industriel, espionnage technologique.
• Scénarios opérationnels OT : prise de contrôle d'un automate, manipulation des SIS, ransomware sur Historian, déni de service sur SCADA, vol de programme automate.
• Conséquences : accident humain, environnemental, pertes de production, image, conformité, juridique.

L'analyse de risque doit aboutir à une cartographie des risques avec hiérarchisation (matrice probabilité × impact), validée par la direction, qui sert de base au programme de remédiation.

Le régime de sanctions prévu par NIS2 est calqué sur celui du RGPD — c'est la nouveauté la plus dissuasive par rapport à NIS1. Rappel : ces sanctions seront administratives, prononcées par l'autorité nationale, et ne s'appliqueront qu'une fois la loi française promulguée. À ne pas confondre avec les sanctions pénales de la LPM applicables aux OIV (article L1332-7 du Code de la défense).

Point capital : la responsabilité personnelle des dirigeants. L'article 20 de NIS2 impose explicitement que l'organe de direction (conseil d'administration, comité de direction) approuve les mesures de gestion des risques et en supervise l'application. En cas de manquement grave, ils peuvent être :

• Suspendus temporairement de leurs fonctions (entités essentielles).
• Tenus personnellement responsables (action civile, action en responsabilité).
• Soumis à formation obligatoire dans certains cas.

L'article 20 prévoit aussi que les membres de l'organe de direction suivent une formation à la gestion des risques cyber, et encourage les entités à en proposer une à leurs salariés. C'est une nuance souvent perdue : NIS2 n'impose pas de former tous les salariés — l'obligation de formation vise la direction, la sensibilisation générale figurant parmi les mesures d'hygiène de l'article 21.

Une mise en conformité NIS2 OT réussie repose sur une gouvernance claire. Le modèle recommandé :

• Sponsor exécutif : un membre du COMEX (DG ou DGA), avec responsabilité explicite. Article 20 NIS2 oblige.
• Comité cybersécurité OT trimestriel : sponsor + RSSI + DSI + directeur industriel + directeur HSE + responsable conformité. Décisions stratégiques et arbitrages budgétaires.
• RSSI ou OT Security Officer : opérationnel quotidien. Profil rare combinant cyber et automatisme.
• Comité opérationnel mensuel : RSSI + équipes IT + équipes OT + sites pilotes. Suivi du plan.
• Référents cyber locaux par site : 1 contact unique sur chaque usine, idéalement en interne (responsable automatismes, conducteur de travaux QHSE) plutôt que sous-traité.

Matrice RACI minimale pour les activités clés NIS2 OT :

• Analyse de risque : R = RSSI ; A = COMEX cyber ; C = direction industrielle ; I = ANSSI.
• Programme de mise en conformité : R = RSSI ; A = COMEX cyber ; C = directions métiers ; I = COMEX général.
• Détection et alerte : R = SOC ; A = RSSI ; C = production, RH, juridique ; I = COMEX, ANSSI.
• Réponse à incident OT : R = SOC + équipe IR ; A = RSSI ou directeur industriel selon contexte ; C = juridique, RH, com ; I = COMEX, ANSSI, assurance.
• Audits annuels : R = audit interne ou prestataire externe ; A = COMEX cyber ; C = RSSI ; I = COMEX général.

Par quoi commencer concrètement : les 20 objectifs du ReCyF. Publié par l'ANSSI le 17 mars 2026 en version de travail, le Référentiel Cyber France traduit les objectifs de sécurité de NIS2 en vingt résultats à atteindre — gouvernance, maîtrise de l'écosystème, sécurité des systèmes et des réseaux, gestion des accès, détection et réponse aux incidents, continuité, gestion du risque, supervision. Chaque objectif décrit un résultat, jamais une technologie à acheter, ce qui le rend directement utilisable comme grille d'auto-évaluation : pour chacun des vingt, où en sommes-nous, qui en est responsable, quelle preuve pouvons-nous produire ? C'est aujourd'hui le meilleur point de départ pour un industriel, et il a toutes les chances de constituer le socle de la réglementation à venir.

Indicateurs de pilotage à présenter trimestriellement à la direction :

• % d'actifs OT inventoriés et caractérisés.
• % de sites couverts par segmentation conforme.
• % de comptes admin OT avec MFA.
• Nombre d'incidents détectés / traités / délais de résolution.
• Couverture des 10 mesures NIS2 (en % de complétude).
• Taux d'achèvement du programme global et budget consommé.
• Résultat des exercices de crise.