Naviguer dans le changement de 2026 : NIS2 et CRA dans l'automatisation industrielle de l'UE
Le paysage industriel européen entre dans une ère réglementaire transformatrice à partir de 2026. Les industries de procédés, en particulier les secteurs chimique et énergétique, doivent désormais naviguer entre deux cadres législatifs puissants : la directive NIS2 et le règlement sur la résilience cybernétique (CRA). Ensemble, ces lois transforment la cybersécurité d'une « bonne pratique » volontaire en une exigence obligatoire pour l'accès au marché et la continuité des opérations.
Harmoniser NIS2 et CRA pour les infrastructures critiques
Les exploitants d'infrastructures critiques subissent désormais une double pression de ces réglementations imbriquées. Alors que NIS2 se concentre sur la résilience opérationnelle des « entités essentielles », le CRA vise l'intégrité numérique des produits qu'elles achètent. Par conséquent, une usine chimique ne peut pas se conformer à NIS2 sans s'assurer que ses fournisseurs respectent les normes du CRA. Cette synergie crée un système fermé de responsabilité allant du fabricant de puces au gestionnaire de l'usine.
CRA : sécurité intégrée obligatoire pour les produits d'automatisation
Le CRA modifie fondamentalement la manière dont les fournisseurs développent les systèmes d'automatisation et de contrôle industriels (IACS). Les fabricants doivent désormais intégrer les principes de sécurité dès la conception et par défaut à chaque étape du cycle de vie du produit. De plus, les entreprises doivent fournir une liste des composants logiciels (SBOM) pour chaque élément numérique. Les produits ne respectant pas ces normes strictes perdront leur marquage CE, ce qui les exclura du marché de l'UE dès 2026.
NIS2 : renforcer la gouvernance des technologies opérationnelles (TO)
Selon NIS2, les exploitants industriels doivent mettre en œuvre une gestion complète des risques et des protocoles de déclaration d'incidents. Cette obligation dépasse le cadre traditionnel des technologies de l'information pour s'étendre à l'environnement des technologies opérationnelles (TO), incluant les réseaux API et SDC. Les exploitants doivent désormais prouver leur capacité à détecter les menaces et à maintenir la continuité des activités lors d'attaques informatiques. Par conséquent, la direction doit assumer la responsabilité directe de la posture de cybersécurité et de la vérification de la chaîne d'approvisionnement.
Le rôle évolutif de la documentation et des audits
La conformité exige désormais un bond considérable en matière de transparence administrative et d'audits techniques. Les exploitants doivent tenir des registres rigoureux des évaluations des risques et des contrôles des fournisseurs pour satisfaire les autorités nationales. De plus, les équipes d'approvisionnement doivent privilégier les fournisseurs qui démontrent une gestion active des vulnérabilités et un soutien durable en matière de sécurité. En conséquence, la « dette de conformité » devient un risque financier réel pour les entreprises en retard dans leur transformation numérique.
Analyse d'expert : la fin de la « sécurité par l'obscurité »
Selon mon analyse, ces réglementations marquent la fin définitive de la « sécurité par l'obscurité » dans le secteur industriel. Pendant des décennies, de nombreuses usines se sont appuyées sur l'isolement de leurs systèmes de contrôle comme principale défense. Cependant, le CRA et NIS2 reconnaissent que les usines modernes et connectées nécessitent une protection active et documentée. Je pense que ce changement conduira finalement à une culture de « cybersécurité » où la sécurité numérique sera traitée avec la même rigueur que la protection physique contre les explosions (ATEX) ou la sécurité fonctionnelle (SIL).
