La directive NIS2 redessine la cartographie de la cybersécurité européenne. Si les grands donneurs d’ordre se préparent depuis des mois, leurs sous-traitants industriels découvrent souvent trop tard qu’ils figurent eux aussi dans le périmètre. Mécaniciens de précision, fabricants de composants, prestataires logistiques ou ateliers d’usinage : nombre d’entre eux ignorent qu’une exigence de conformité pèse désormais sur leurs épaules, avec des conséquences directes sur leur carnet de commandes.
Une chaîne de valeur devenue une chaîne de vulnérabilités
Le premier réflexe à adopter est d’évaluer son exposition réelle, et un diagnostic NIS2 permet justement de situer son entreprise dans le dispositif. Beaucoup de sous-traitants partent du principe qu’ils sont trop petits pour être concernés. C’est une erreur d’appréciation. La directive ne raisonne pas uniquement par la taille de l’organisation, mais par son rôle dans des secteurs jugés essentiels ou importants : énergie, transport, fabrication de dispositifs médicaux, production de produits chimiques, agroalimentaire, infrastructures numériques.
Un atelier qui usine des pièces pour un équipementier automobile, un fournisseur de cartes électroniques pour le secteur de l’énergie ou un prestataire de maintenance industrielle peut se retrouver indirectement soumis aux obligations. Les entités régulées ont en effet la responsabilité de sécuriser l’ensemble de leur chaîne d’approvisionnement. Concrètement, elles répercutent leurs exigences sur leurs partenaires par contrat.
Le risque contractuel avant le risque réglementaire
Pour un sous-traitant, le danger immédiat n’est pas toujours la sanction administrative. C’est la perte de marché. Un donneur d’ordre soumis à NIS2 doit démontrer qu’il maîtrise les risques liés à ses fournisseurs. Il va donc auditer ses partenaires, exiger des garanties, imposer des clauses de sécurité et, le cas échéant, écarter ceux qui ne suivent pas.
Les questionnaires de sécurité se multiplient déjà. Un industriel incapable de répondre, de prouver la mise en place de mesures de protection ou de démontrer une gouvernance minimale de ses systèmes d’information se voit progressivement déréférencé. La conformité devient un critère de sélection au même titre que le prix ou les délais.
Des exigences techniques et organisationnelles concrètes
NIS2 ne se limite pas à un volet déclaratif. La directive impose des mesures précises : analyse des risques, sécurisation des accès, gestion des incidents, plans de continuité d’activité, chiffrement des données sensibles, contrôle des accès et formation des équipes. Les incidents significatifs doivent être notifiés aux autorités compétentes dans des délais courts.
Pour beaucoup de PME industrielles, ces obligations représentent un saut culturel. La cybersécurité y a longtemps été perçue comme une affaire de grandes structures dotées de directions informatiques étoffées. Or un atelier de cinquante personnes manipule aujourd’hui des automates connectés, des logiciels de pilotage de production et des échanges de données numériques avec ses clients. Autant de portes d’entrée pour une attaque.
Une responsabilité qui remonte jusqu’aux dirigeants
L’un des changements majeurs de NIS2 concerne l’implication directe de la direction. Les dirigeants sont désormais responsables de la mise en conformité et peuvent être tenus pour comptables en cas de manquement. Cette responsabilisation interdit de reléguer le sujet à un simple prestataire informatique externe. Elle impose une gouvernance assumée au plus haut niveau.
Pour les sous-traitants, cette dimension change la donne. Le sujet quitte le terrain purement technique pour devenir un enjeu stratégique de pérennité de l’activité. Ignorer NIS2, c’est prendre le risque de fragiliser durablement sa relation avec ses principaux clients.
Anticiper plutôt que subir
La bonne nouvelle, c’est que la mise en conformité progressive reste accessible, même pour une structure modeste. Elle commence par un état des lieux honnête : quels systèmes sont en place, quelles données circulent, quels accès existent, quelles failles évidentes subsistent. Vient ensuite la priorisation des actions, des plus urgentes aux plus structurantes.
Les sous-traitants qui s’engagent dès maintenant transforment une contrainte en avantage concurrentiel. Pouvoir afficher une démarche de conformité solide devient un argument commercial face à des donneurs d’ordre eux-mêmes sous pression. À l’inverse, attendre la première demande d’audit pour réagir expose à une mise à l’écart brutale.
La conformité NIS2 n’est pas une formalité réservée aux grands groupes. Pour l’industrie, et particulièrement pour ses sous-traitants, elle dessine une nouvelle ligne de partage entre les entreprises capables de rester dans la chaîne de valeur et celles qui en sortiront.
