42 jours pour détecter, 24 heures pour notifier : NIS 2 face à la réalité des environnements OT

Jaguar Land Rover a perdu cinq semaines de production et environ 50 millions de livres par semaine lorsqu’une attaque par rançongiciel a arrêté, en septembre 2025, ses usines au Royaume-Uni, en Slovaquie et au Brésil. Les attaquants n’ont touché aucun équipement de l’atelier. Il leur a suffi de chiffrer les systèmes informatiques qui portaient la planification de production, les commandes de composants et la communication avec les fournisseurs. Les lignes se sont arrêtées parce que, sans ces données, il n’y avait plus rien à produire ni de quoi le produire. JLR a au moins su tout de suite : la production s’est arrêtée le jour même. La plupart des intrusions dans les environnements industriels se manifestent bien plus tard, et c’est là que les obligations de notification de NIS 2 deviennent difficiles d’une manière que le texte de la directive ne laisse pas deviner.

La plupart des industriels partagent ce constat et repoussent malgré tout le chantier, car appliquer NIS 2 suppose d’inventorier des centaines d’équipements, de revoir l’architecture réseau et d’ouvrir une discussion distincte avec chaque fournisseur et chaque intégrateur. Ce n’est pas de la négligence. C’est une estimation réaliste de l’effort, dans laquelle la conformité perd face à la production tant qu’elle ne se heurte pas à une échéance ou à un incident.

En bref : la directive NIS 2 demande une gestion des risques, la notification des incidents, la segmentation, la sécurité de la chaîne d’approvisionnement et une responsabilité au niveau de la direction. Comprendre les exigences prend un après-midi. La difficulté commence au premier équipement de la liste : l’automate qui supervise la pasteurisation, avec un logiciel que le fournisseur ne maintient plus depuis six ans. Il ne peut pas être mis à jour sans l’accord du fournisseur, l’appui de l’intégrateur et une revalidation du procédé, et cette validation porte sur les paramètres qui déterminent si le produit est propre à la consommation. La prochaine fenêtre pour ce travail tombe en novembre.

La réglementation n’est pas la partie difficile

NIS 2 énonce dix mesures de gestion des risques et un rythme de notification. Une seule lecture suffit pour en saisir l’intention, car ce sont les principes que toute équipe sécurité reconnaît. En France, les obligations viendront de la loi résilience et de ses décrets d’application ; l’ANSSI a déjà publié le Référentiel Cyber France (ReCyF), qui sert de référence de travail en attendant. La complication vient de l’environnement dans lequel elles atterrissent.

L’informatique d’entreprise peut corriger un serveur le mardi soir, déployer un agent sur chaque portable et retirer du parc le matériel qui n’est plus supporté. Un environnement de production n’offre aucune de ces options à la demande. C’est pourquoi un playbook de sécurité informatique appliqué tel quel à l’OT cale dès la première semaine : un scan réseau déclenche une alarme sur un automate, un agent EDR bloque l’application de commande, et une politique de mise à jour forcée entre en conflit avec la certification de l’équipement. Les exigences sont justes. Le chemin pour y arriver passe par des changements dans l’architecture de l’usine, et ceux-là relèvent de votre programme de fabrication numérique, pas d’un projet de conformité mené en parallèle de la production.

Cinq éléments qui transforment une exigence en décision opérationnelle

1. Des équipements impossibles à corriger ce trimestre. Le fournisseur de l’automate a publié le correctif, mais l’installer implique d’arrêter la ligne, de faire venir un ingénieur OEM sur site et de rejouer un test de non-régression complet de la logique de commande. Sur des équipements validés, ajoutez la requalification du procédé. Le matériel industriel dure trois à quatre fois plus longtemps que le matériel informatique : certaines vulnérabilités restent donc des années, quoi que dise la politique de correctifs sur le papier. 

2. Aucune vision unique de ce qui est connecté. Automates, PC industriels, commutateurs, IHM, stations d’ingénierie, portables de prestataires, liaisons de télémaintenance. Peu d’usines peuvent produire une liste fiable, car les données d’équipements de marques différentes ne sont jamais arrivées au même endroit. C’est pourquoi construire une couche de connectivité industrielle et travailler sur la sécurité OT se révèlent, encore et encore, être le même projet. 

3. Des fenêtres de maintenance trimestrielles. L’équipement porteur de votre vulnérabilité la plus sérieuse n’est parfois accessible que pendant un arrêt planifié. D’ici là, la vulnérabilité existe et quelqu’un doit décider en conscience que vous vivez avec. 

4. Des sites dispersés et des dépendances fournisseurs. Des usines différentes, des intégrateurs différents, des architectures différentes et des contrats OEM qui exigent un accès distant pour maintenir la garantie. 

5. Trois équipes qui ont besoin les unes des autres. La sécurité informatique et le RSSI savent ce que la directive exige. La sécurité OT sait comment la mettre en œuvre dans un système de commande sans créer de risque opérationnel. Les automaticiens connaissent le procédé. Aucune des trois ne peut évaluer le risque seule, et une sécurité OT portée uniquement par l’informatique produit des mesures que l’usine finit par contourner. 

Une technologie de sécurité de plus ne résoudra pas ces problèmes. Ce qui aide, c’est la visibilité et un modèle de risque partagé. Tant que la sécurité et la maintenance regardent deux listes d’équipements différentes, chaque décision de corriger, d’isoler ou de remplacer est une négociation sans données communes.

Impact de NIS 2 sur les organisations industrielles

1. Gestion du risque opérationnel
   La cybersécurité devient un élément central qui touche la continuité de production, la sécurité des personnes et la résilience de l’entreprise.
2. Responsabilité élargie
   La gestion des risques s’étend aux fournisseurs et aux partenaires technologiques, la responsabilité finale revenant à la direction.
3. Maturité proactive
   La conformité traduit la capacité d’une organisation à gérer le cyberrisque et à maintenir l’activité pendant un incident.

Commencez par comprendre ce qui tourne réellement

Un inventaire des actifs OT n’est pas une tâche administrative. C’est le socle sur lequel repose tout le reste. Un inventaire utile enregistre ce qui est connecté, quel procédé l’équipement sert, à quel point ce procédé est critique, comment l’équipement communique, où l’IT et l’OT se rejoignent, qui peut l’atteindre et ce qui se passe s’il s’arrête. Le constituer à la main prend des semaines et il est périmé avant d’être terminé. Un inventaire exploitable doit être tenu de façon centralisée, appuyé par des outils de découverte automatique et par une politique qui fait de sa mise à jour la responsabilité de quelqu’un. Aucun outil ne trouvera tout, tant la diversité des types d’équipements, des architectures réseau et des liaisons non documentées est grande : les outils comblent l’essentiel de l’écart, le processus comble le reste.

Sans cela, une liste de vulnérabilités n’est qu’une liste. La même faille sur un banc d’essai et sur la station qui pilote la ligne donnant la cadence de toute l’usine sont deux problèmes différents, et une fenêtre de maintenance n’en résoudra qu’un. Les équipements de la seconde catégorie se repèrent dans les données de production que vous collectez déjà : le suivi du TRS (OEE) montre où les arrêts coûtent le plus cher.

La suite : segmentation, supervision et politique de correctifs réaliste

1. La segmentation limite la distance qu’un attaquant peut parcourir. Selon le rapport Dragos 2026, 81% des environnements industriels évalués ne l’ont pas à un niveau suffisant, ce qui facilite le passage du réseau bureautique vers les systèmes de commande. Elle ne se conçoit pas sur un schéma d’architecture, car la plupart des usines portent des liaisons non documentées accumulées au fil des ans : un portable qui relie deux zones, une intégration ERP qui va plus loin que prévu, un accès distant ouvert pour une intervention en 2019 et jamais retiré. Cartographiez d’abord le trafic réel.

2. La supervision vous dit quand le comportement normal change, et c’est le calendrier de notification qui rend cela décisif. L’horloge NIS 2 ne démarre pas à l’intrusion, mais au moment où vous en avez connaissance : 24 heures pour l’alerte précoce, 72 heures pour l’évaluation de l’impact, un mois pour le rapport final. Mettez cela en regard des 42 jours d’accès non détecté que le même rapport donne comme durée moyenne de présence d’un rançongiciel en environnement OT, et le problème apparaît. Ces six semaines ne violent rien dans la directive. Le problème, c’est ce qu’elles laissent derrière elles : une période où personne ne regardait, donc des preuves absentes et une notification qui se résume à une reconstitution. Si vous collectez déjà des données de l’usine, vous êtes bien plus près que vous ne le pensez, car le travail de notification devient une interrogation de ce que vous avez plutôt qu’une reconstruction de zéro. Si vous ne collectez rien, vous partez de zéro le jour où l’horloge démarre. Et 42 jours est une moyenne : beaucoup de cas durent bien plus longtemps. Il faut aussi rappeler que la supervision en OT doit être passive, car les scans intrusifs et les agents sur des systèmes de commande anciens créent exactement le risque opérationnel que vous cherchiez à éviter.
   

3. La gestion des vulnérabilités fondée sur le risque commence en acceptant que tout ne peut pas être corrigé maintenant, et en refusant d’en faire une excuse. Quand le correctif doit attendre :

• Restreindre l’accès. Contrôlez qui peut atteindre l’équipement et depuis où. 

• Compenser au niveau du réseau. Isolation plus stricte de l’équipement dans le réseau OT et durcissement à la frontière de zone. 

• Le surveiller. Observez le trafic vers et depuis l’équipement, pour qu’un changement de comportement soit visible. 

• Planifier la correction. Inscrivez la remédiation dans un arrêt qui existe réellement au calendrier. 

Une autorité de contrôle ne cherche pas un rapport de correctifs vide. Elle cherche une décision de risque documentée et défendable.

Le détail technique des trois sujets est traité dans NIS2 and OT Networks: What the Directive Really Means for Your Manufacturing Plant (en anglais).

Un poste de travail, deux réponses correctes

Une station d’ingénierie sur le réseau de commande d’une ligne d’embouteillage tourne sous une version de Windows qui n’est plus supportée. Le fournisseur de l’équipement s’y connecte à distance pour le diagnostic.

La sécurité dit : mettez à niveau le système d’exploitation, installez une protection et coupez la connexion externe.

La maintenance dit : l’application de commande n’est pas validée sur un système plus récent, remplacer la station demande l’appui du fournisseur et une requalification du procédé, un agent peut perturber le logiciel de commande, et supprimer l’accès distant revient à attendre un ingénieur sur site au prochain arrêt de ligne.

Les deux ont raison sur leur propre risque, et aucune ne peut trancher seule. Ce qui résout la situation : établir la criticité et l’exposition de l’équipement, couper les liaisons dont il n’a pas besoin, contrôler et journaliser la session du fournisseur, surveiller son trafic et inscrire le remplacement dans la prochaine fenêtre de maintenance planifiée. C’est ainsi que la conformité arrive comme une décision de risque opérationnel, et non comme un exercice parallèle imposé à l’usine.

Quelqu’un doit tout de même prendre cette décision. Au titre de l’article 20, la responsabilité incombe à la direction, et dans l’industrie cela signifie que la sécurité OT ne peut plus vivre entièrement du côté de l’informatique ou du RSSI.

Votre échéance dépend du pays où vous produisez

NIS 2 est une directive et non un règlement : les dates qui s’appliquent à vous viennent donc de la loi nationale de transposition. En France, c’est la loi résilience, encore en discussion ; en Allemagne, le NIS2UmsuCG ; en Pologne, la novelle de la loi KSC.

Plus de vingt pays appliquent déjà la directive. Statut complet par pays, mis à jour régulièrement. Un groupe qui produit dans trois pays travaille avec trois calendriers, trois parcours d’enregistrement et trois autorités de contrôle, pour une seule et même directive.

La question qui vaut la peine d’être posée

Les programmes les plus solides ne seront pas ceux qui comptent le plus de politiques, mais ceux qui laissent l’usine avec une meilleure visibilité, une responsabilité claire sur le risque et une capacité réelle à contenir une perturbation et à s’en relever. Y parvenir demande des personnes qui ont mis en service des automates autant que des personnes qui ont rédigé des politiques de sécurité. C’est ainsi que nous travaillons avec nos clients chez TT PSC : des ingénieurs qui ont connecté et intégré des usines partout en Europe, aux côtés de spécialistes de la sécurité OT, pour évaluer des environnements qui ne peuvent pas s’arrêter.

La bonne question n’est donc pas ce que vous devez mettre en place pour être conforme. C’est ce qui doit changer dans votre exploitation pour que la résilience fasse partie de votre façon de produire. La réponse commence par un état des lieux honnête, et cela n’a pas à être un grand projet.

Évaluer la préparation de votre OT à NIS 2