La directive NIS2 concerne bien sûr la Supply Chain

Le 17 octobre 2024, tous les États membres devaient avoir transposé la directive NIS2. Près de deux ans plus tard, la France ne l’a toujours pas fait : l’Assemblée nationale doit examiner le projet de loi « résilience » en séance à partir du 7 octobre 2026, et la Commission européenne a saisi la Cour de justice de l’Union européenne en juillet 2026. Ce retard ne vous dispense pas de vous préparer. Les entreprises qui seront assujetties devront sécuriser leur chaîne d’approvisionnement, donc leurs fournisseurs, leurs transporteurs et leurs éditeurs de logiciels.

Les objectifs et la portée de la directive NIS2

La directive NIS2 (directive (UE) 2022/2555) vise à relever le niveau de cybersécurité des tissus économiques et administratifs en Europe. Elle pose un socle commun de mesures juridiques, techniques et organisationnelles pour protéger les réseaux et les systèmes d’information critiques. Elle remplace et élargit la première directive NIS (Network and Information Security), adoptée en 2016.

L’objectif est de répondre à une menace cyber dont la pression ne retombe pas, et de rendre les organisations capables d’encaisser un incident sans que toute l’activité s’arrête.

Un cadre élargi : environ 15 000 entités en France

La première directive NIS visait quelques centaines d’opérateurs en France. NIS2 couvre 18 secteurs et devrait concerner près de 15 000 entités, entreprises et administrations confondues. Les secteurs sont répartis en deux annexes :

• Secteurs hautement critiques (annexe I) : énergie, transports (aérien, ferroviaire, par voie d’eau, et pour la route les gestionnaires routiers et les systèmes de transport intelligents), banque, santé, eau potable, infrastructures numériques, administration publique, espace.
• Autres secteurs critiques (annexe II) : services postaux et d’expédition, gestion des déchets, chimie, production et distribution alimentaire, fabrication (dispositifs médicaux, électronique, machines, véhicules), fournisseurs numériques, recherche.

Le secteur ne suffit pas : la taille compte aussi. Une organisation d’un de ces secteurs entre dans le champ dès qu’elle emploie au moins 50 salariés, ou qu’elle dépasse 10 millions d’euros de chiffre d’affaires annuel et de total de bilan. Elle est ensuite classée entité essentielle ou entité importante, avec des conséquences différentes.

Critère	Entité essentielle (EE)	Entité importante (EI)
Profil type	Grande entreprise d’un secteur de l’annexe I (plus de 250 salariés, ou plus de 50 M€ de chiffre d’affaires et 43 M€ de bilan)	Entreprise moyenne de l’annexe I, ou entreprise de l’annexe II quelle que soit sa taille au-delà du seuil
Exemples logistiques	Grande entreprise ferroviaire de fret, armateur, compagnie aérienne cargo, gestionnaire de port	Opérateur ferroviaire de fret de taille moyenne, service d’expédition et de messagerie colis, industriel ou grossiste de l’agroalimentaire
Contrôle de l’autorité	A priori et a posteriori (audits, inspections possibles à tout moment)	A posteriori, après un incident ou un signalement
Amende maximale	10 M€ ou 2 % du chiffre d’affaires mondial (le plus élevé des deux)	7 M€ ou 1,4 % du chiffre d’affaires mondial

Le classement définitif dépendra du texte français et de ses décrets. Pour savoir où vous vous situez, le simulateur de l’ANSSI reste le point de départ le plus fiable (voir plus bas).

Nouvelles obligations précises pour les entités

Les entreprises concernées devront respecter trois familles d’exigences :

1. Déclaration des incidents : tout incident important est signalé à l’ANSSI en trois temps. Une alerte précoce sous 24 heures, une notification complète sous 72 heures, puis un rapport final dans le mois.
2. Gestion des risques : l’article 21 de la directive liste dix mesures minimales, dont l’analyse de risques, la continuité d’activité (sauvegardes, reprise après sinistre, gestion de crise), le contrôle des accès et, point clé pour nous, la sécurité de la chaîne d’approvisionnement. Ces mesures portent sur toute l’infrastructure de l’entreprise.
3. Gouvernance et supervision : les dirigeants approuvent les mesures, suivent une formation et peuvent voir leur responsabilité engagée. Les entités fournissent des informations à l’ANSSI et peuvent être contrôlées.

En cas de manquement, les amendes peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes.

Calendrier : où en est la France en septembre 2026 ?

Le calendrier européen était fixé dès 2022. Le calendrier français, lui, a glissé avec la dissolution de l’Assemblée en juin 2024 puis l’encombrement de l’agenda parlementaire.

• 27 décembre 2022 : publication de la directive au Journal officiel de l’UE.
• 17 octobre 2024 : date limite de transposition dans les droits nationaux.
• 15 octobre 2024 : présentation en Conseil des ministres du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (il transpose aussi DORA et la directive REC).
• 12 mars 2025 : adoption en première lecture par le Sénat.
• 10 septembre 2025 : adoption du texte par la commission spéciale de l’Assemblée nationale, puis attente d’une inscription en séance.

Année 2026

• Mars 2026 : l’ANSSI publie le ReCyF (Référentiel Cyber France), document de travail qui liste les mesures recommandées pour atteindre les objectifs de NIS2.
• Juillet 2026 : la Commission européenne saisit la CJUE contre la France (ainsi que l’Espagne, l’Irlande et les Pays-Bas) et demande des sanctions financières.
• 7 octobre 2026 : début de l’examen du projet de loi en séance publique à l’Assemblée nationale.

Après le vote, il faudra encore publier les décrets d’application, puis laisser aux entreprises le temps de se mettre en conformité. Le sujet, déjà brûlant début 2025, n’a pas refroidi.

Pourquoi la supply chain est-elle concernée ?

La directive NIS2 porte d’abord sur les flux d’information. Or des trois flux que pilote la supply chain (information, physique, financier), c’est celui de l’information qui commande les deux autres. Un entrepôt dont le système est chiffré par un rançongiciel ne sait plus quoi préparer, ni pour qui.

• Interconnexion des systèmes : la supply chain repose sur des logiciels reliés entre eux (ERP, TMS, WMS) pour gérer les stocks, les expéditions et les échanges avec les partenaires, souvent par EDI. Chaque interface est une porte d’entrée possible.
• Attaques ciblées : les données qui circulent dans la chaîne (prévisions de demande, informations de transport, données produits, informations consommateurs, sites classés ICPE) intéressent les cybercriminels.
• Impact en cascade : une défaillance chez un seul maillon se répercute sur toute la chaîne. Consolider la résilience de vos partenaires compte autant que la vôtre.
• Obligation qui descend chez les fournisseurs : l’article 21 impose aux entités assujetties de traiter la sécurité de leurs relations avec leurs fournisseurs et prestataires. Un transporteur, un prestataire logistique ou un éditeur de WMS qui n’est pas lui-même assujetti peut donc recevoir des questionnaires de sécurité, de nouvelles clauses contractuelles ou des demandes d’audit de la part de ses clients.

Comment s’y préparer ?

L’ANSSI accompagne les entreprises avec plusieurs outils gratuits. MonEspaceNIS2 permet de :

• déterminer si une entité est assujettie à la directive, et à quel titre ;
• se préenregistrer dès maintenant, en attendant l’enregistrement officiel ;
• accéder à des ressources, dont le ReCyF et un outil qui compare ce référentiel aux normes déjà en place (ISO 27001, par exemple).

Côté opérations, quatre chantiers peuvent démarrer sans attendre le texte définitif :

1. Cartographier les flux d’information : qui échange quoi avec qui, par quel canal (ERP, WMS, TMS, EDI, portails transporteurs, automates).
2. Recenser les accès externes : télémaintenance des éditeurs, intégrateurs, prestataires de transitique. Ils sont rarement documentés et souvent ouverts en permanence.
3. Relire les contrats : délai de notification d’un incident par le prestataire, sauvegardes, réversibilité des données (un point déjà abordé dans notre article sur le changement de WMS).
4. Écrire et tester un mode dégradé : comment l’entrepôt continue d’expédier si le WMS tombe pendant 48 heures.

Pour les structures qui ont besoin d’une surveillance continue, un SOC appliqué à la supply chain est une option à étudier, plus lourde mais plus complète.

NIS2 est une avancée pour sécuriser les infrastructures critiques et préserver la compétitivité des entreprises européennes. Pour la supply chain, souvent oubliée dans les stratégies de cybersécurité, c’est l’occasion de prendre la place qui lui revient dans la gestion des risques d’un monde très interconnecté. Car le risque finit bien souvent par tomber sur les opérations.

Tips blogistics

Pour progresser à titre individuel ou faire monter vos équipes en compétence, Blogistics recommande le MOOC de l’ANSSI, SecNumacadémie. Sérieux et solide, il donne un aperçu complet des risques cyber du quotidien. La plateforme est fermée pour refonte au moment où nous écrivons ; l’ANSSI annonce une nouvelle version en trois niveaux (découverte, intermédiaire, avancé), avec une attestation par parcours.

Un incontournable pour tous les acteurs de la supply chain qui travaillent, de près ou de loin, avec un logiciel métier.

Questions fréquentes

Une entreprise de transport ou de logistique est-elle concernée par NIS2 ?
Cela dépend de son activité. Le fret ferroviaire, maritime, fluvial et aérien, les ports et les services d’expédition et de messagerie sont listés, au-delà de 50 salariés ou de 10 M€ de chiffre d’affaires et de bilan. Le transport routier de marchandises n’est pas visé en tant que tel, mais un transporteur routier travaillant pour des clients assujettis sera concerné par ricochet. Le simulateur MonEspaceNIS2 de l’ANSSI permet de vérifier sa situation en quelques minutes.

NIS2 s’applique-t-elle déjà en France ?
Pas encore. En septembre 2026, le projet de loi « résilience » n’est pas voté : son examen en séance à l’Assemblée nationale débute le 7 octobre 2026. Les obligations deviendront opposables après la promulgation de la loi et la publication des décrets.

Dans quels délais faut-il déclarer un incident ?
La directive prévoit une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final dans le mois, adressés à l’ANSSI en France.

Un sous-traitant non assujetti doit-il s’en préoccuper ?
Oui, indirectement. Ses clients assujettis doivent sécuriser leur chaîne d’approvisionnement : ils lui demanderont des garanties par contrat, questionnaire ou audit.

Quelles sanctions sont prévues ?
Jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 M€ ou 1,4 % pour une entité importante. Les dirigeants peuvent aussi voir leur responsabilité engagée.

Article mis à jour en septembre 2026.

Par Pierre