Cybersécurité industrielle OT, IEC 62443 et NIS2 : audit, conseil, formation et assistance technique pour l'industrie

Cadre réglementaire et normatif de la cybersécurité industrielle

NIS2 : une directive en cours de transposition en France

La directive (UE) 2022/2555, dite NIS2, remplace la première directive européenne sur la sécurité des réseaux et des systèmes d'information. Les États membres devaient la transposer avant le 17 octobre 2024, et la Commission européenne indique que la première directive a été abrogée le 18 octobre 2024. Elle couvre dix-huit secteurs, dont certaines activités de fabrication, qui relèvent de son annexe II et visent des entités dites « importantes ». Le périmètre exact dépend de la description des activités dans le texte de transposition et pas du seul code d'activité d'une entreprise : une usine ne peut pas conclure à sa propre situation sans lire le texte final.

En France, la transposition est toujours en cours. L'ANSSI l'écrit sur sa page dédiée, et le dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité indique un dépôt le 15 octobre 2024, une adoption par le Sénat le 12 mars 2025 et un rapport de la commission spéciale de l'Assemblée nationale le 10 septembre 2025. À ce jour, la loi n'est pas définitivement adoptée : aucune obligation d'enregistrement n'est applicable et aucun audit de conformité NIS2 reconnu n'existe.

L'ANSSI annonce toutefois les grandes lignes : des entités essentielles (au moins 250 salariés, ou plus de 50 millions d'euros de chiffre d'affaires et plus de 43 millions d'euros de bilan) et des entités importantes (au moins 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan), un enregistrement auprès de l'agence une fois le périmètre confirmé, une notification des incidents significatifs et des sanctions proportionnées au chiffre d'affaires. Une préinscription volontaire est possible sur le service MonEspaceNIS2. Anticiper ces logiques, sans les présenter comme applicables, est une position raisonnable pour un industriel.

Cyber Resilience Act et règlement machines

Le règlement (UE) 2024/2847, ou Cyber Resilience Act, vise les fabricants, importateurs et distributeurs de produits comportant des éléments numériques. Selon la page de synthèse de la Commission, il est entré en vigueur le 10 décembre 2024, son chapitre sur les organismes d'évaluation de la conformité s'applique depuis le 11 juin 2026, les obligations de notification de l'article 14 s'appliquent depuis le 11 septembre 2026, et l'application complète est fixée au 11 décembre 2027. L'article 14 impose au fabricant de signaler les vulnérabilités activement exploitées et les incidents graves, avec une alerte précoce sous 24 heures et une notification sous 72 heures, y compris pour des produits déjà sur le marché.

Ce texte concerne ceux qui fabriquent des produits : constructeurs de machines équipées d'automates et de modules connectés, fabricants de composants électroniques, intégrateurs qui livrent des solutions embarquant leur propre logiciel. Il ne vise pas les prestations de conseil ou de formation. Pour un client qui n'est pas fabricant de produits numériques, il compte surtout comme exigence que ses fournisseurs devront satisfaire, et qui touchera la gestion des correctifs et des nomenclatures logicielles.

Le règlement (UE) 2023/1230 sur les machines, applicable le 20 janvier 2027 selon la page de la Commission, ajoute des exigences de cybersécurité pour les logiciels et données pertinents pour la conformité et pour les systèmes de commande de sécurité. Le fabricant, ou l'intégrateur qui modifie de façon substantielle une machine, reste responsable du marquage CE (conformité européenne) et de la déclaration de conformité. Un prestataire de cybersécurité n'y substitue pas sa signature.

IEC 62443, guides de l'ANSSI et méthodes de risque

L'IEC 62443 est la famille de normes de référence pour la sécurité des systèmes d'automatisation et de contrôle industriels. Elle traite les exigences organisationnelles, la conception des systèmes (zones, conduits, niveaux de sécurité) et les exigences applicables aux composants. Ses parties sont payantes : nous les utilisons comme grille de lecture et nous invitons chaque client à consulter l'édition en vigueur auprès de l'organisme de normalisation.

Les schémas de certification d'ISASecure portent sur des produits (composants et systèmes) et sur des processus de développement, et sont délivrés par des organismes accrédités selon la norme ISO/IEC 17065. Ils s'adressent aux fabricants, non aux entreprises de conseil et non aux usines qui exploitent ces équipements.

Du côté français, l'ANSSI a publié une méthode de classification des systèmes industriels, puis, le 19 décembre 2025, le guide « La cybersécurité des systèmes industriels : mesures détaillées », second volet de la série. EBIOS (Expression des besoins et identification des objectifs de sécurité) Risk Manager, méthode d'analyse de risques de l'agence, se prête bien à un atelier de production. Les normes ISO/IEC 27001 (système de management de la sécurité de l'information) et ISO/IEC 27005 (gestion des risques) servent de cadre aux organisations qui veulent structurer leur démarche. Leur certification est délivrée par des organismes accrédités, jamais par un cabinet de conseil.

Enjeux d'un site industriel et d'un sous-traitant

Les contraintes propres à l'OT

Un automate installé il y a quinze ans peut piloter une ligne qui fonctionne encore très bien. Le remplacer, ou seulement le mettre à jour, demande un arrêt, un chiffrage, parfois l'accord du constructeur de la machine. La priorité d'un atelier est la disponibilité : un correctif qui interrompt un cycle ou un scan qui fait redémarrer un équipement fragile cause un dommage immédiat, tandis que le risque cyber reste abstrait jusqu'à l'incident. D'où une approche prudente : observer avant d'agir, planifier avec la production, prévoir un retour arrière.

Les protocoles industriels historiques ont été conçus pour des réseaux fermés, sans authentification ni chiffrement. Les postes de supervision et d'ingénierie tournent parfois sur des systèmes d'exploitation anciens. Les accès de télémaintenance des constructeurs, utiles au quotidien, multiplient les points d'entrée. Les sauvegardes des programmes d'automates existent rarement sous une forme que l'on sait restaurer. Ces constats, courants, ne sont pas des fautes de l'atelier : ils sont l'héritage d'une époque où la connexion n'était pas la règle.

Exigences des donneurs d'ordre et des partenaires

Pour beaucoup de sous-traitants industriels, la pression vient d'abord des clients : questionnaires de sécurité avant une consultation, clauses contractuelles sur les accès distants, demandes de preuves sur les sauvegardes et les journaux, attentes sur la notification d'un incident. Ces exigences précèdent souvent la loi. Les fournisseurs de logiciels de l'entreprise et ses partenaires de télémaintenance posent aussi leurs questions.

Répondre honnêtement suppose de connaître ses installations. Un inventaire, même partiel, des automates, des postes de supervision, des liaisons réseau et des accès distants vaut mieux qu'une déclaration générale. Les réponses les plus solides décrivent ce qui est en place, ce qui est prévu et ce qui est refusé, sans promettre une conformité que personne ne peut attester à ce jour.

Rôles et responsabilités

La cybersécurité industrielle se perd souvent entre deux services. L'informatique connaît les outils de sécurité mais pas les contraintes de l'atelier. L'automatisme connaît les machines mais pas les menaces. La maintenance ouvre des accès pour réparer vite. Un RSSI industriel, ou une personne qui en tient le rôle, coordonne : il décide des règles d'accès, arbitre entre sécurité et disponibilité avec la production, et suit les risques. Les intégrateurs et les constructeurs portent, pour leurs équipements, la responsabilité de leur conception et de leurs correctifs.

Le chef d'établissement ou le dirigeant reste responsable de ses choix de sécurité et de ses décisions de risque. Un prestataire éclaire, propose et réalise ce qui lui est confié, mais ne décide pas à la place de l'entreprise de ce qui est acceptable. Nous écrivons nos livrables pour que cette décision soit prise en connaissance de cause et tracée.

Ce que nous faisons, et ce que nous ne faisons pas

Nos interventions

Nous auditons les architectures et les pratiques, à partir d'observations, de revues documentaires et d'entretiens, sans test actif sur un équipement de production sans accord écrit et fenêtre d'arrêt. Nous conseillons sur la gouvernance, la classification des installations avec la méthode de l'ANSSI, la lecture de l'IEC 62443 et l'anticipation de NIS2. Nous concevons des zones et des conduits, une segmentation, un point d'entrée unique pour la télémaintenance. Nous déployons, avec une ligne témoin puis une généralisation, des sondes de détection en écoute passive, des bastions d'accès et des mesures de durcissement des postes.

Nous conduisons des analyses de risques selon la méthode EBIOS RM (EBIOS Risk Manager, méthode d'analyse des risques numériques de l'ANSSI), nous aidons à préparer un dossier pour un donneur d'ordre ou pour un prestataire d'audit, et nous formons. Chaque livrable est traçable : sources, hypothèses, décisions, limites. Il est présentable à votre direction, à vos clients ou à l'organisme de votre choix.

Ce que nous ne faisons pas

Optédif ne délivre aucune certification, qualification, accréditation, habilitation ni agrément. Nous ne sommes pas prestataire d'audit de la sécurité des systèmes d'information qualifié par l'ANSSI (PASSI), et nous n'employons pas de personnel certifié à ce titre : nous ne réalisons donc aucun audit relevant de cette qualification. Nous ne délivrons pas de certification ISASecure ni d'attestation de niveau de sécurité d'un produit ou d'un système. Nous ne réalisons pas d'audit de conformité NIS2 : il n'en existe pas de reconnu, et la loi n'est pas adoptée.

Nous ne sommes ni fabricant de machines ni éditeur de logiciels. Lorsque nos travaux touchent la commande d'une machine ou d'une cellule, ils se font sous la responsabilité du fabricant ou de l'intégrateur, qui conserve le marquage CE et la déclaration de conformité, et nous ne modifions aucun système de commande de sécurité. Nous ne faisons aucune promesse de résultat : ni protection absolue, ni conformité future, ni certificat obtenu.

Assistance technique

Pour une campagne ponctuelle (inventaire des équipements d'un site, analyse de risques d'une ligne, plan de remédiation, rédaction de procédures), nous intervenons en assistance technique, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Nos intervenants ne sont pas placés sous votre autorité : ils travaillent selon nos méthodes, rendent compte à un responsable de prestation d'Optédif et remettent des livrables convenus à l'avance.

Les exigences de sécurité du site, de plan de prévention et de gestion des accès aux réseaux sont fixées avec vous et respectées par Optédif. Les intervenants reçoivent les autorisations d'accès au site de leur propre employeur et des vôtres, selon vos règles, et n'ont pas vocation à conserver d'accès privilégié permanent à vos systèmes. Une passation documentée clôt la mission.

Références officielles et points de vigilance

Sources à consulter

• ANSSI, page NIS2 : état de la transposition, seuils annoncés, service MonEspaceNIS2.
• ANSSI, guide sur la cybersécurité des systèmes industriels : mesures détaillées, avec la méthode de classification.
• Sénat, dossier législatif du projet de loi de résilience : étapes de la procédure.
• Commission européenne, directive NIS2 et Cyber Resilience Act : textes, calendrier.
• ISASecure : schémas de certification et organismes accrédités.
• Commission européenne, règlement machines : date d'application et nouveautés.

Ce qui peut changer

Le texte de transposition de NIS2 n'est pas arrêté : périmètre des entités, seuils, obligations et calendrier peuvent évoluer, et nous mettons cette page à jour. Les normes harmonisées sous le règlement machines sont attendues, et un report des volets cybersécurité et intelligence artificielle, demandé par des industriels, n'est pas confirmé à ce jour. Avant toute décision structurante, consultez les textes officiels et, si l'enjeu le justifie, un conseil juridique. Pour un audit qualifié ou une certification, adressez-vous à un prestataire ou à un organisme habilité par l'autorité compétente.