NIS2 et assistants IA : les obligations des opérateurs essentiels

Ce que change NIS2

NIS2 succède à la première directive NIS en élargissant le nombre de secteurs et d’entités concernés, et en renforçant les obligations : gouvernance du risque cyber au niveau de la direction, mesures de sécurité techniques et organisationnelles, notification des incidents, et — point clé ici — sécurité de la chaîne d’approvisionnement.

Les entités sont classées en « essentielles » ou « importantes », avec des obligations graduées mais une même logique de fond : démontrer la maîtrise de ses risques numériques, y compris ceux introduits par les fournisseurs et les outils.

Le développement logiciel, maillon de la chaîne d’approvisionnement

Pour un opérateur d’infrastructure critique, le logiciel qui pilote ses systèmes — supervision, contrôle industriel, gestion de réseau — fait partie intégrante de la surface à sécuriser. Or les outils utilisés pour développer ce logiciel font eux-mêmes partie de la chaîne d’approvisionnement.

Un assistant IA de code en mode cloud introduit ici une double interrogation : un flux sortant de code vers un tiers, et une dépendance à un fournisseur externe potentiellement extra-européen pour une activité touchant des systèmes essentiels. NIS2 pousse à documenter, et à réduire, ce type de dépendance non maîtrisée.

Le cas sensible des systèmes industriels (SCADA / OT)

Les systèmes de contrôle industriel (SCADA) et les environnements OT (Operational Technology) sont souvent volontairement isolés des réseaux externes pour des raisons de sûreté. Un assistant cloud, qui exige une connexion permanente, y est par nature inutilisable. Le développement pour ces systèmes appelle donc des outils capables de fonctionner en environnement isolé.

L’approche conforme : souveraineté et isolation

Pour rester aligné avec NIS2 tout en bénéficiant de l’IA, l’outil de développement doit garder le code en interne et pouvoir fonctionner sans dépendance externe. Un assistant déployé on-premise ou air-gapped répond à ces deux exigences : pas de flux de code vers un tiers, fonctionnement possible en environnement isolé, et maîtrise complète de la chaîne par l’opérateur.

Nous détaillons cette approche pour les opérateurs essentiels sur notre page dédiée aux infrastructures critiques.

Conclusion

NIS2 ne réglemente pas les assistants IA de code en tant que tels, mais sa logique de sécurité de la chaîne d’approvisionnement et de maîtrise des dépendances les inclut. Pour un opérateur essentiel, choisir un assistant souverain et isolable n’est pas une contrainte de plus : c’est la façon la plus directe de garder le contrôle sur le logiciel qui fait tourner des systèmes critiques.