Points clés
Cela change trois choses précises. Premièrement, vos fournisseurs de logiciels deviennent partie d'une évaluation documentée des risques de la chaîne d'approvisionnement au titre de l'article 21(2)(d), vous devez donc avoir des preuves pour chacun d'eux dans vos dossiers, et pas seulement une impression commerciale. Deuxièmement, votre réponse aux incidents fonctionne désormais avec des délais légaux : un avertissement précoce dans les 24 heures après avoir eu connaissance d'un incident significatif, une notification complète dans les 72 heures et un rapport final dans le mois, ce qui signifie qu'un fournisseur doit vous notifier assez rapidement pour que vous puissiez respecter ces échéances. Troisièmement, l'approbation des dirigeants au titre de l'article 20 rend les preuves auditables, donc les affirmations du fournisseur doivent être documentées.
Concrètement, cela signifie exiger de chaque fournisseur présélectionné : une certification de sécurité de l'information avec sa déclaration de périmètre, une région d'hébergement nommée, une liste de sous-traitants, une clause contractuelle de notification des incidents précisant un délai, et des objectifs de reprise exprimés en heures. Les réponses de Fabrico sont : ISO 27001, ISO 9001 et ISO/IEC 20000-1, hébergement dans une région AWS de l'UE, un accord de traitement des données conforme au RGPD, et un objectif de temps de reprise de 4 heures avec un objectif de point de reprise de 4 heures et des sauvegardes quotidiennes.
La NIS2 a remplacé la directive NIS de 2016 et s'applique depuis le 18 octobre 2024, après une échéance de transposition au 17 octobre 2024. La transposition en droit national a été inégale selon les États membres, donc la version qui vous lie est l'acte de transposition de votre pays, et non le texte de la directive. Vérifiez la loi nationale et confirmez avec votre conseil avant d'agir sur tout résumé, y compris celui-ci.
Le champ d'application est déterminé par deux éléments conjoints : le secteur et la taille de l'entreprise.
Annexe I, entités essentielles. Énergie, transport, banques, infrastructures du marché financier, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace.
Annexe II, entités importantes. C'est l'annexe qui importe pour la plupart des lecteurs de cette page. Elle inclut les services postaux et de messagerie, la gestion des déchets, la fabrication, la production et la distribution de produits chimiques, la production, la transformation et la distribution d'aliments, et un bloc manufacturier couvrant les dispositifs médicaux, les produits informatiques, électroniques et optiques, les équipements électriques, les machines et équipements, les véhicules à moteur, les remorques et semi-remorques, et autres équipements de transport. Des organisations de recherche et plusieurs fournisseurs numériques figurent également sur la liste.
Taille. La règle générale veut que les entreprises de taille intermédiaire et les grandes entreprises dans ces secteurs soient couvertes. Taille intermédiaire signifie grosso modo 50 salariés ou plus ou un chiffre d'affaires annuel supérieur à 10 millions d'euros. Les grandes entités des secteurs de l'annexe I sont traitées comme essentielles ; les entités de taille intermédiaire de l'annexe I et les entités de taille intermédiaire et grandes de l'annexe II sont traitées comme importantes. Les entités essentielles et importantes font face aux mêmes obligations de sécurité ; ce qui diffère est la supervision et le plafond des sanctions.
La conséquence pratique est sans détour. Un fabricant de machines implanté sur un seul site avec 120 personnes, qui ne s'est jamais considéré comme une infrastructure critique, est une entité importante au titre de la NIS2. Un transformateur alimentaire de même taille l'est aussi.
Article 21 : mesures de gestion des risques. Les entités doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées. Les mesures listées incluent la gestion des incidents, la continuité d'activité et la gestion des sauvegardes, la sécurité de la chaîne d'approvisionnement, la sécurité lors de l'acquisition et du développement des systèmes et réseaux d'information, des politiques sur la cryptographie, le contrôle d'accès, la gestion des actifs et l'utilisation de l'authentification multifactorielle ou d'authentification continue lorsque c'est approprié.
Appliquez cette liste à une plateforme de maintenance. La gestion des sauvegardes, la sécurité de la chaîne d'approvisionnement, l'acquisition sécurisée, la cryptographie et le contrôle d'accès décrivent tous des éléments que vous devez pouvoir expliciter au sujet de votre GMAO. Ce ne sont plus des questions optionnelles.
Article 23 : notification. Pour un incident significatif, un avertissement précoce est adressé au CSIRT ou à l'autorité compétente dans les 24 heures, une notification d'incident avec une évaluation initiale dans les 72 heures, et un rapport final dans le mois. Vous ne pouvez pas respecter un délai de 24 heures si le contrat de votre fournisseur promet une notification « sans retard injustifié » et rien de plus. Demandez un nombre d'heures et faites-le figurer dans l'accord.
Article 20 : gouvernance. Les organes de direction doivent approuver les mesures de gestion des risques en cybersécurité, superviser leur mise en œuvre et peuvent être tenus responsables en cas d'infractions. Les membres de la direction doivent également suivre une formation. C'est l'article qui change le ton des conversations avec les fournisseurs, car un responsable d'usine qui approuve une plateforme signe désormais quelque chose qui entraîne une exposition personnelle.
En matière de sanctions, la directive fixe des amendes administratives maximales d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, selon le montant le plus élevé, pour les entités essentielles, et d'au moins 7 millions d'euros ou 1,4 %, selon le montant le plus élevé, pour les entités importantes.
La question 1 est celle qui est réellement nouvelle. La plupart des contrats logiciels rédigés avant 2024 ne contiennent aucune fenêtre de notification d'incident, et un fournisseur qui ne s'engage pas sur un nombre d'heures vous fait porter un délai légal que vous n'avez aucun moyen de respecter.
Une objection courante à ce stade est que le logiciel de maintenance n'est pas un système de contrôle, donc il ne peut pas avoir beaucoup d'importance. C'est à moitié vrai et la moitié erronée est la plus coûteuse.
Une GMAO contient votre registre d'actifs, votre historique de maintenance, vos références fournisseurs et pièces détachées, et les noms et horaires des personnes qui travaillent sur vos lignes. Une plateforme OEE contient des taux de production en temps réel et des raisons d'arrêt, qui décrivent votre capacité et vos problèmes plus en détail que ce qu'un tiers externe ne devrait jamais voir. Les deux sont généralement connectées à autre chose : un ERP, une instance SAP PM, parfois un historien ou un réseau PLC.
Ce point de connexion est crucial. En vertu de l'article 21, vous évaluez la sécurité des systèmes et réseaux d'information et de leur chaîne d'approvisionnement. Une plateforme qui lit la couche PLC est incluse dans l'évaluation qu'elle puisse ou non écrire sur cette couche, et votre registre des risques doit le préciser explicitement. Si vous déployez de l'OEE sur des machines qui n'ont jamais été conçues pour être mises en réseau, la méthode de connexion elle-même devient partie intégrante de la réponse, ce qui est couvert par notre guide sur l'OEE sans PLC.
Fabrico est une plateforme combinée GMAO et OEE, développée dans l'UE et hébergée dans une région AWS de l'UE. Face à la liste de preuves ci-dessus : certifications ISO 27001, ISO 9001 et ISO/IEC 20000-1 ; un accord de traitement des données conforme au RGPD ; chiffrement au repos et en transit ; sauvegardes quotidiennes avec un RTO de 4 heures et un RPO de 4 heures ; protection DDoS Cloudflare ; contrôle d'accès basé sur les rôles avec SSO et SAML disponibles pour des configurations personnalisées ; et un journal d'audit exportable.
La collecte de données couvre la disponibilité, la performance et la qualité calculées à partir des données PLC, des capteurs IoT lorsque les PLC ne sont pas disponibles, et des caméras IA pour les machines sans signal exploitable. L'intégration s'effectue via une API REST, des webhooks, l'import/export Excel et une synchronisation bidirectionnelle SAP PM incluant S/4HANA, de sorte que les points de connexion sont énumérables, ce dont une évaluation des risques a besoin.
Deux exclusions honnêtes, car elles apparaîtront dans votre propre analyse d'écart : Fabrico ne dispose d'aucun rapport SOC 2, et l'authentification multifactorielle n'est pas actuellement une fonctionnalité standard. Si votre analyse d'écart NIS2 a identifié l'authentification multifactorielle comme un contrôle requis, soulevez-le lors du premier échange avec le fournisseur plutôt qu'en fin de processus.
Considérez un fabricant de machines spécialisées : deux usines dans l'UE, 180 employés, un chiffre d'affaires d'environ 35 millions d'euros. C'est une entité importante au titre de l'annexe II. Il utilise un système de maintenance basé sur des tableurs et évalue une GMAO avec OEE.
L'analyse d'écart produit quatre constats qui touchent cet achat. Il n'existe pas de registre de la chaîne d'approvisionnement pour les fournisseurs de logiciels, il faut donc en créer un et cet achat en sera la première entrée. Il n'y a pas de clause de notification d'incident dans les contrats logiciels existants, il faut donc rédiger une clause standard avant la signature plutôt qu'après. Les objectifs de sauvegarde et de reprise pour les données de production sont non documentés, ainsi les chiffres fournis par le fournisseur deviennent ceux documentés. Et personne n'a confirmé quelle juridiction héberge les données.
Bien séquencées, aucune de ces étapes ne retarde le projet. Les quatre éléments partent avec le premier courriel au fournisseur, les réponses arrivent en une semaine, et les preuves de conformité sont assemblées pendant l'évaluation fonctionnelle. Mal séquencées, les mêmes quatre éléments ressortent au stade du contrat et ajoutent six à dix semaines, car le service juridique doit négocier une clause de notification avec un fournisseur à qui on a déjà dit qu'il avait remporté l'appel.
La leçon est générale au-delà de la NIS2 : les questions de conformité sont peu coûteuses si elles sont posées dès la première semaine et coûteuses si elles le sont à la douzième. Le même schéma s'applique au questionnaire de sécurité fournisseur et au guide sur le RGPD et la résidence des données.
Généralement non selon la règle de taille seule, mais il existe des exceptions. Les États membres peuvent désigner des entités plus petites comme concernées lorsqu'elles sont le fournisseur unique d'un service critique, ou lorsque la perturbation aurait un impact significatif. Certaines transpositions nationales étendent le champ d'application au-delà du seuil de la directive. Vérifiez la transposition nationale plutôt que de vous fier uniquement au test de l'effectif.
Vous restez responsable de vos propres mesures de gestion des risques, qui au titre de l'article 21(2)(d) incluent explicitement la sécurité de votre chaîne d'approvisionnement et vos relations avec les fournisseurs directs. Cela ne fait pas de vous le fautif du seul incident chez le fournisseur, mais une autorité de supervision vous demandera ce que vous avez fait pour évaluer et gérer ce fournisseur. L'objectif de l'exercice est d'avoir les preuves dans vos dossiers.
Il n'existe pas de certification NIS2 pour un logiciel. La NIS2 impose des obligations aux entités, pas aux produits, donc aucun fournisseur ne peut vous délivrer un certificat NIS2. Ce qu'un fournisseur peut vous fournir, ce sont des preuves qui soutiennent vos obligations : un certificat ISO 27001 avec un périmètre pertinent, un accord de traitement des données, une région d'hébergement, des objectifs de reprise et un engagement de notification d'incident. Prenez garde aux fournisseurs qui se revendiquent « certifiés NIS2 ».
Ils se recoupent mais ne sont pas identiques et ont des délais différents. Le RGPD concerne les données personnelles et exige la notification d'une violation de données personnelles à l'autorité de contrôle dans les 72 heures. La NIS2 concerne la sécurité des systèmes et réseaux d'information et impose un avertissement précoce dans les 24 heures et une notification dans les 72 heures pour un incident significatif. Un même événement peut déclencher des obligations sous les deux régimes, envers des autorités différentes et selon des cadres différents.
La directive est entrée en vigueur en janvier 2023, les États membres devaient la transposer avant le 17 octobre 2024, et elle s'applique à partir du 18 octobre 2024. En pratique, plusieurs États membres ont manqué la date de transposition, donc la date à laquelle des obligations spécifiques sont devenues opposables varie selon le pays. Confirmez la situation pour chaque pays où vous opérez.
Cet article fournit des informations générales sur un cadre réglementaire et ne constitue pas un conseil juridique. Confirmez vos obligations auprès d'un conseil qualifié et au regard de la loi nationale de transposition.
Pour voir comment le dossier de preuves de Fabrico correspond à votre analyse d'écart, réservez une démonstration, ou commencez par le guide OEE pour la fabrication si vous définissez encore ce que la plateforme doit mesurer.
Dernière mise à jour : 7 août 2026.
Connexion
Blog