La directive NIS2, adoptée par l’Union européenne, ambitionne de renforcer la cybersécurité des infrastructures critiques, notamment les sites industriels. Si son objectif est de standardiser et d’élever les pratiques de sécurité sur le continent, son efficacité réelle dépend largement de l’adhésion des entreprises et de la mise en œuvre concrète. Entre obligations légales, ressources disponibles et infrastructures hétérogènes, le passage de la théorie à la pratique pourrait révéler des limites significatives.
Pourquoi NIS2 promet une sécurité renforcée mais reste théorique pour beaucoup ?
NIS2 impose aux opérateurs d’importance vitale et aux fournisseurs de services essentiels de respecter des exigences de cybersécurité plus strictes qu’auparavant, incluant :
- La gestion des risques informatiques
- La notification rapide des incidents
- La sécurisation des chaînes logicielles et matérielles
- La gouvernance et la sensibilisation des équipes
Théoriquement, ces mesures standardisées devraient réduire la vulnérabilité des sites industriels. Cependant, selon une étude de l’ENISA, plus de 40 % des infrastructures critiques européennes n’avaient pas atteint un niveau minimal de maturité en cybersécurité avant NIS2. Cela suggère que la directive seule ne garantit pas une amélioration immédiate si les entreprises manquent de compétences ou de ressources pour appliquer ses exigences.
Les obstacles concrets à l’application effective de NIS2 dans l’industrie
Plusieurs facteurs freinent l’application complète de NIS2 sur le terrain. Premièrement, la complexité des systèmes industriels : les sites combinent souvent équipements legacy, systèmes SCADA anciens et nouvelles installations connectées. Adapter chaque composant aux nouvelles exigences peut représenter des investissements considérables, parfois supérieurs à 500 000 euros par site, selon la taille et le secteur.
Deuxième obstacle : les ressources humaines. Les experts en cybersécurité industrielle sont rares et coûteux. Moins de 20 % des ingénieurs ICS en Europe possèdent une formation complète sur les standards NIS2, ce qui limite la capacité des entreprises à traduire les obligations réglementaires en actions concrètes.
Enfin, la pression sur la production pousse souvent les équipes à prioriser la continuité opérationnelle sur la conformité, retardant la mise en œuvre des mesures NIS2 sur certains sites critiques.
Les mécanismes de NIS2 qui peuvent réellement réduire les risques
Malgré ces obstacles, certains aspects de NIS2 ont un effet tangible. La directive oblige à notifier rapidement tout incident, ce qui améliore la détection et la réponse aux attaques. Les audits réguliers et la documentation exigée favorisent également une meilleure traçabilité et visibilité des vulnérabilités.
Les sites industriels qui adoptent NIS2 de manière proactive constatent une réduction de 25 à 35 % des incidents critiques liés à des vulnérabilités connues, selon des retours de terrain dans le secteur énergie et transport. La directive encourage aussi une harmonisation des pratiques entre pays et secteurs, facilitant la coopération et le partage d’informations sur les menaces, ce qui est un levier important pour la cybersécurité collective.
A LIRE AUSSI Qui est responsable en cas de cyberattaque provoquant un accident du travail ?
Comment maximiser l’impact de NIS2 pour une sécurité tangible sur le terrain ?
Pour que NIS2 ne reste pas un cadre théorique, les entreprises doivent combiner plusieurs approches :
- Priorisation des risques : concentrer les efforts sur les systèmes les plus critiques et exposés
- Formation continue des équipes : développer les compétences en cybersécurité industrielle pour traduire la directive en actions concrètes
- Automatisation et surveillance : utiliser des outils de détection et de monitoring adaptés aux ICS pour garantir le suivi permanent des incidents
- Audits et corrections régulières : ne pas se limiter à la conformité formelle, mais corriger activement les écarts détectés
Les sites industriels qui adoptent cette approche voient leur résilience augmenter de manière mesurable, avec une diminution significative des arrêts non planifiés et des incidents critiques. NIS2 devient alors un catalyseur réel pour améliorer la sécurité, à condition que les entreprises dépassent la simple conformité administrative.