Dans l'énergie, NIS2 se joue rarement sur le portail bureautique. Elle se joue sur la frontière entre le SI de gestion et le SI de conduite, et sur les accès distants accordés aux intégrateurs et aux mainteneurs. La directive (UE) 2022/2555 cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues, et étend le sujet aux prestataires. Traduction de terrain : le compte partagé utilisé depuis des années pour la télémaintenance d'un poste devient un point de conformité autant qu'un point de sécurité.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. NIS2 étant une directive, chaque État membre la transpose : les modalités précises dépendent du droit national applicable, et votre qualification doit être confirmée avec vos conseils.
Le cadre, en version courte
NIS2 est une directive : ce sont les textes nationaux de transposition qui en déterminent les modalités. Elle sépare entités essentielles et entités importantes, couvre plusieurs secteurs dont l'énergie, demande des mesures de gestion des risques mentionnant l'authentification multifacteur ou continue, et pose des attentes sur la chaîne d'approvisionnement. Le classement de votre entité doit être confirmé au regard de la transposition applicable et avec vos conseils : il pèse sur l'intensité du dispositif attendu, pas sur sa nature. Pour la comparaison avec les autres textes européens, voyez la synthèse du cluster. La suite traite du sujet qui coûte réellement du temps : le terrain.
La frontière IT/OT : deux mondes, deux horloges
Le SI de gestion vit au rythme des correctifs. Le SI industriel vit au rythme des arrêts programmés, parfois espacés de plusieurs années. Un automate installé pour deux décennies n'accueillera pas de client d'authentification moderne, et une console de conduite ne tolère pas une latence d'ouverture de session dépendant d'un service distant.
D'où une conclusion directe : n'authentifiez pas l'automate, authentifiez l'humain qui franchit la frontière. Le point de contrôle utile est le rebond, le poste d'ingénierie, la passerelle de télémaintenance, la console de téléconduite — tout ce qui ouvre la zone industrielle depuis l'extérieur. Trois conséquences :
- Le bastion devient l'objet réglementaire central : c'est là que se prouve qui est entré, quand, et pour quelle intervention.
- Les sauts de zone (bureautique, DMZ industrielle, conduite) méritent chacun une vérification. Une authentification en début de chaîne ne dit rien de ce qui se passe trois zones plus loin ; c'est le principe de l'authentification continue.
- Les postes d'ingénierie portables, qui circulent d'un site à l'autre avec leurs consoles constructeur, sont le vecteur le plus mobile et le moins souvent inventorié.
Les accès distants des tiers : le vrai sujet de la chaîne d'approvisionnement
Un poste ou un parc de production est entretenu par une constellation d'acteurs : intégrateur, constructeur d'automates, éditeur de la supervision, bureau d'études. Chacun demande un accès distant, souvent hérité d'un contrat ancien. Quatre constats reviennent en audit :
- des comptes qui survivent au départ du salarié du prestataire, faute de boucle de retour vers votre gestion des identités ;
- des comptes génériques de télémaintenance partagés dans une équipe d'astreinte fournisseur ;
- des accès permanents là où l'intervention est ponctuelle ;
- des seconds facteurs envoyés par SMS, méthode que le NIST SP 800-63B classe « restricted ».
Le sujet est autant contractuel que technique : c'est au renouvellement du contrat de maintenance que se gagne la capacité à imposer une méthode d'accès et une traçabilité exploitable.
Le terrain : pas de réseau, des gants, et trois heures du matin
Les sites sans couverture
Un poste électrique en zone rurale, une station de compression, un local enterré : la couverture mobile y est aléatoire. Toute méthode supposant un canal de réception — SMS, notification push, appel vocal — devient inutilisable au moment précis où l'on en a besoin. Survivent les méthodes qui fonctionnent sans connectivité du terminal : facteur mémorisé, calcul hors ligne, support physique. C'est la logique d'un enrôlement hors ligne comme celui de HIAsecure, qui dote l'utilisateur d'une méthode de résolution personnelle.
L'astreinte de nuit
À trois heures du matin, un agent réveillé doit se connecter vite. C'est le pire moment pour un parcours long, et le meilleur pour un attaquant qui joue sur la fatigue : une salve de notifications finit par être validée par réflexe, comme l'a montré le cas Uber en 2022. Un dispositif d'astreinte doit être rapide et non rejouable.
Les comptes techniques
Comptes de service de la supervision, comptes constructeur d'automates, comptes d'historisation : ils ne s'authentifient pas comme des humains. On attend d'eux un secret non partagé, une rotation documentée, un usage restreint, et une réponse à « pourquoi ce compte existe-t-il encore ? ».
| Situation de terrain | Pratique fréquente | Ce qui devient difficile à défendre | Direction de travail |
|---|---|---|---|
| Télémaintenance d'un intégrateur | Compte générique, accès permanent | Aucune imputation nominative | Accès nominatif, fenêtre limitée, journal exploitable |
| Connexion depuis un site sans réseau | SMS-OTP « quand ça passe » | La méthode de secours devient la méthode réelle | Facteur indépendant de la connectivité |
| Astreinte de nuit | Push validé au réflexe | Sensibilité à la fatigue et au push bombing | Validation liée à l'action, non rejouable |
| Poste d'ingénierie itinérant | Session ouverte en permanence | Qui pilotait à un instant donné ? | Réauthentification sur action sensible |
| Compte technique d'automate | Mot de passe constructeur inchangé | Secret connu hors de l'organisation | Inventaire, rotation, restriction d'usage |
Par où commencer ce trimestre
- Inventoriez les points de franchissement IT/OT, pas les serveurs : combien de chemins mènent à la zone de conduite, modems et liaisons constructeur compris ?
- Listez les tiers ayant un accès distant et confrontez la liste aux contrats actifs.
- Repérez les méthodes dépendantes du réseau mobile sur les sites isolés, et notez ce que font les agents quand elles échouent.
- Reprenez les parcours de récupération de compte, contournement le plus court d'une authentification renforcée.
- Alignez la traçabilité sur ce que vous devrez produire six mois plus tard : qui, quand, sur quel équipement, pour quelle opération.
- Portez ces exigences dans les prochains marchés de maintenance, en résultat attendu plutôt qu'en produit imposé.
FAQ
Faut-il une authentification multifacteur jusque sur les automates ?
Ce n'est ni réaliste ni ce qu'impose la logique du texte. L'attente porte sur la maîtrise des accès : verrouiller les points d'entrée humains vers la zone industrielle, et traiter les comptes techniques comme des secrets à inventorier et à faire tourner.
Comment authentifier un agent sur un site sans couverture réseau ?
En écartant les méthodes qui supposent la réception d'un message : restent les facteurs mémorisés, les supports physiques et le calcul hors ligne. La vraie question est celle du secours, car un secours indisponible devient un contournement.
Nos intégrateurs refusent de changer de méthode d'accès. Quel levier ?
Le contrat. Les attentes de NIS2 sur les prestataires fondent des clauses d'accès au renouvellement, et l'obligation d'informer quand un intervenant quitte le fournisseur.
La téléconduite est-elle traitée comme la bureautique ?
Non. Les mesures se calibrent sur le risque de l'action : piloter un organe de réseau n'a pas le profil d'une consultation de messagerie.
Aller plus loin : le pilier : authentification cognitive · SecNumCloud et l'énergie · accès à privilèges · l'AiTM dans l'énergie