Un industriel qui aborde NIS2 bute rarement sur la doctrine. Il bute sur trois réalités d'atelier : le smartphone est interdit ou impraticable là où travaillent les opérateurs, la maintenance des machines est sous-traitée à des tiers qui exigent un accès distant, et l'arrêt d'une ligne coûte trop cher pour qu'on accepte un dispositif susceptible de bloquer un poste. Le travail utile consiste à traduire une exigence écrite pour des systèmes d'information en règles tenables en zone de production.
Lecture opérationnelle, et non avis juridique. NIS2 est une directive : ses effets concrets passent par le texte national qui la transpose, dont dépendent le périmètre et les modalités applicables à votre site.
Deux régimes qui peuvent se superposer
NIS2, directive (UE) 2022/2555, désigne des entités essentielles et des entités importantes dans une série de secteurs, et attend d'elles des mesures de gestion des risques citant l'authentification multifacteur ou continue, ainsi qu'un traitement de la chaîne d'approvisionnement. Étant une directive, elle est transposée par chaque État membre : les critères qui vous rangent dans l'une ou l'autre catégorie relèvent du droit national applicable, et cette qualification doit être confirmée avec vos conseils.
La qualification d'opérateur d'importance vitale est autre chose. Elle relève d'un régime national distinct, avec sa propre logique de désignation et ses propres obligations. Les deux régimes ne s'excluent pas : un même industriel peut relever de NIS2 par son activité et se voir par ailleurs concerné par le dispositif national. Nous n'énoncerons ici aucun critère de désignation : c'est un sujet à instruire avec vos conseils et vos autorités de tutelle, pas à déduire d'un article. Ce qu'il faut en retenir côté projet : prévoyez que deux référentiels puissent s'appliquer au même périmètre technique, et construisez un dispositif d'authentification qui documente ses preuves une fois pour les deux. La lecture comparée des textes européens aide à cadrer cette architecture documentaire.
Le smartphone n'est pas une hypothèse de travail en atelier
Presque toutes les politiques d'authentification d'entreprise reposent sur un postulat implicite : l'utilisateur a un téléphone à portée de main, allumé, connecté. En production, ce postulat tombe.
Salle blanche. Le téléphone n'entre pas, ou au prix d'un protocole de décontamination incompatible avec le rythme de travail. L'opérateur est ganté, parfois en surblouse intégrale.
Zone ATEX. Le matériel non certifié est proscrit. Un terminal personnel n'y a rien à faire, et le matériel certifié coûte cher.
Poste ganté ou environnement bruyant. Saisir un code à six chiffres sur un écran tactile avec des gants nitrile est une source d'erreur, donc de perte de temps, donc de contournement.
Interdiction interne. Là où la propriété intellectuelle est sensible — bureaux d'études, ateliers prototypes — l'appareil photo du téléphone motive l'interdiction, et elle ne sera pas levée pour un projet d'IAM.
Conséquence désagréable mais saine : dans ces zones, le second facteur ne peut pas être un appareil personnel. Restent les supports physiques dédiés, les badges déjà présents pour le contrôle d'accès, et les facteurs ne reposant sur aucun objet — un facteur mémorisé, ou un facteur cognitif « je sais faire » comme celui que développe HIAsecure, qui vise à prouver une intention humaine sans terminal personnel ni identifiant à saisir.
| Environnement | Contrainte dominante | Facteurs praticables | Facteurs à écarter | Point de vigilance |
|---|---|---|---|---|
| Salle blanche | Aucun objet entrant, gants | Badge déjà en zone, facteur mémorisé | Push, SMS, application mobile | Partage du badge entre équipes |
| Zone ATEX | Matériel certifié uniquement | Clé physique certifiée, facteur mémorisé | Terminal personnel non certifié | Coût et délai d'approvisionnement |
| Atelier standard, poste partagé | Rotation rapide sur un même écran | Badge sans contact, facteur mémorisé court | Session ouverte en continu | Verrouillage effectif entre deux opérateurs |
| Bureau d'études | Interdiction photo, propriété intellectuelle | Clé physique, certificat sur poste | Magic link par messagerie | Exfiltration de plans plutôt qu'arrêt de ligne |
| Télémaintenance fournisseur | Accès depuis l'extérieur | Accès nominatif fenêtré, clé physique | Compte générique partagé | Rotation du personnel chez le prestataire |
| Astreinte hors site | Rapidité exigée | Méthode non rejouable, hors connectivité | OTP par SMS | Contournement quand le réseau manque |
La maintenance sous-traitée : le point le plus exposé
Les machines de production sont entretenues par leurs constructeurs, qui demandent contrat à l'appui un accès distant permanent pour diagnostiquer sans se déplacer. La chaîne compte souvent plusieurs niveaux : un intégrateur, son sous-traitant, un support constructeur parfois situé hors d'Europe. C'est exactement le périmètre que NIS2 vise lorsqu'elle traite des prestataires. Trois questions suffisent à situer votre exposition :
- Un accès fournisseur peut-il être ouvert sans validation côté site ? Si oui, l'exigence de maîtrise n'est pas tenue, quel que soit le chiffrement du tunnel.
- Savez-vous quelle personne physique s'est connectée ? Un compte au nom du constructeur ne permet aucune imputation, donc aucune reconstitution d'incident crédible.
- Que se passe-t-il quand l'intervenant quitte le prestataire ? Sans boucle de retour contractuelle, le compte survit à la personne.
L'exigence utile s'écrit en résultat : nominativité, ouverture limitée à la fenêtre d'intervention, non-rejouabilité de la preuve d'accès, journal exploitable de bout en bout. Elle n'impose ainsi aucun produit à un fournisseur qui a ses propres contraintes.
L'arrêt de ligne, contrainte de conception
En production, la disponibilité est une exigence de sécurité, pas son contraire. Un dispositif qui bloque un opérateur devant sa supervision produit un coût immédiat et, plus grave, une procédure officieuse de contournement qui deviendra la norme. Deux principes en découlent :
- Le mode dégradé se conçoit d'abord. Que fait l'équipe si le service d'authentification est indisponible ? La réponse doit être écrite, testée et tracée, sinon elle sera improvisée.
- L'exigence se module selon l'action. Consulter un indicateur, changer une recette, modifier un paramètre de sécurité machine : trois niveaux de risque, trois niveaux d'exigence. Une élévation ciblée sur l'action sensible se défend mieux qu'une friction uniforme, et se déploie souvent en surcouche d'un dispositif existant.
FAQ
NIS2 et le statut d'opérateur d'importance vitale, est-ce la même chose ?
Non. NIS2 est une directive européenne transposée en droit national, avec sa distinction entre entités essentielles et importantes. La désignation comme opérateur d'importance vitale relève d'un régime national distinct. Les deux peuvent concerner le même industriel, et la qualification doit être établie avec vos conseils.
Comment authentifier un opérateur qui ne peut pas sortir son téléphone ?
En cessant de considérer le smartphone comme le second facteur par défaut. Le badge d'accès physique, une clé adaptée à l'environnement ou un facteur ne reposant sur aucun objet transporté couvrent la majorité des cas d'atelier.
Nos automates n'acceptent aucune authentification moderne. Sommes-nous en défaut ?
Ce n'est pas là que se joue la démonstration. L'attente porte sur la maîtrise des accès à l'ensemble industriel : verrouiller les points d'entrée humains et les passerelles, et traiter les comptes constructeur comme des secrets inventoriés et renouvelés.
Un support constructeur hors d'Europe pose-t-il une difficulté ?
Il ajoute une dimension de dépendance et de juridiction à l'analyse des prestataires. Le sujet se traite dans le contrat et dans la conception de l'accès : fenêtre limitée, nominativité, journalisation conservée de votre côté.
Aller plus loin : le pilier : authentification cognitive · le CRA pour l'industrie · vol de session en milieu industriel · clé physique et accès d'administration