Zero Trust chez le fournisseur d’énergie : Ce que les audits NIS2 révèlent maintenant
Le 29 avril 2026, la CISA, le ministère américain de l’Énergie et quatre autres agences ont publié une recommandation commune sur l’application des principes de confiance zéro à la technologie opérationnelle. Trois semaines plus tard, en Allemagne, les premiers audits BSI selon la loi de mise en œuvre de la NIS2, qui est entrée en vigueur le 6 décembre 2025, commencent. Les fournisseurs d’énergie sont ainsi soumis à une double pression. Quiconque exploite un réseau plat avec des identités communes entre l’IT et l’OT ne sera plus considéré comme un état de l’art selon le nouveau catalogue de sécurité informatique de la BNetzA. Volt Typhoon a montré l’année dernière à quoi cela sert dans la pratique.
Les points clés en bref
- La NIS2 dans l’énergie est effective depuis décembre 2025. Les obligations BSI et BNetzA s’appliquent, les audits commenceront à être productifs à partir de l’été 2026. L’enregistrement auprès du BBK conformément à la loi sur le toit KRITIS doit être terminé au plus tard le 17 juillet 2026.
- La confiance zéro pour l’OT n’est pas copiée de l’IT. La recommandation de la CISA du 29 avril 2026 précise que la segmentation, les limites d’identité et la visibilité des actifs doivent être construites pour les contraintes de SCADA, de protection et de systèmes de contrôle, et non rétrofitées.
- La faille la plus courante se situe à la frontière IT-OT. Les comptes de service communs, les structures de domaine partagées et les accès de maintenance non segmentés sont le chemin en 2026 par lequel les compromissions IT atteignent les centres de contrôle.
Related:MFA adaptatif comme levier de confiance zéro / La vague de contrôle de la NIS2 touche 29 500 entreprises
Comment un fournisseur d’énergie DACH commence la confiance zéro en 2026
L’image suivante résume à partir de plusieurs programmes de fournisseurs discutés publiquement une approche typique, et non un conglomérat individuel. Les noms réels sont délibérément omis car il manque des sources publiques fiables. Quiconque cherche une histoire de fournisseur toute faite se trompe ici. Quiconque cherche l’ancre pour sa propre feuille de route trouve une approche réaliste.
La situation de départ est un distributeur de réseau dans la zone à trois chiffres du MW, plusieurs sous-stations, ses propres centres de contrôle, un monde IT centré sur Microsoft et un réseau ICS historiquement développé. La BNetzA a inscrit le fournisseur en 2025 comme KRITIS, le statut NIS2 est venu s’ajouter avec l’entrée en vigueur de la loi de mise en œuvre en décembre 2025. La pression de contrôle vient parallèlement du catalogue de sécurité informatique de la BNetzA et de la préparation au re-certificat ISO-27019.
Le premier résultat d’audit fiable issu de l’auto-évaluation interne était gênant. 41 comptes de service avec des autorisations dans les deux mondes. Cinq VPN de maintenance qui atteignaient les segments OT sans MFA. Une structure Active Directory qui aurait prolongé un compromis d’administrateur de domaine directement dans les centres de contrôle. Exactement le modèle contre lequel la recommandation de la CISA met explicitement en garde.
Cinq étapes qui ont réellement soutenu le programme
Au lieu de concevoir une architecture Zero Trust sur papier, on a travaillé en cinq étapes prioritaires. Chaque étape a généré un artefact d’audit que le vérificateur comprend sans explication.
L’ordre n’est pas un conseil de goût. Celui qui commence par l’étape trois sans connaître la situation des actifs et des identités segmente sur des hypothèses. Cela ne résiste pas à une situation de charge.
Ce que la recommandation de la CISA signifie pour les fournisseurs DACH
La recommandation commune du 29 avril 2026 n’est pas seulement une lecture américaine. Elle fournit quatre points qui seront abordés dans chaque audit de fournisseur DACH. Premièrement, les identités entre IT et OT ne doivent pas être partagées. Deuxièmement, la visibilité au niveau des actifs et des protocoles est une condition préalable à la segmentation. Troisièmement, le refus par défaut dans OT doit fonctionner sans bloquer l’exploitation. Quatrièmement, la réponse aux incidents dans OT nécessite des playbooks et des exercices spécifiques.
Volt Typhoon est explicitement mentionné dans la recommandation. Le modèle de compromettre les informations d’identification IT et de se déplacer latéralement vers OT est désormais standard. Un fournisseur qui ne sépare pas ses identités OT se fie à la protection de son domaine IT. Cette protection n’a pas résisté dans plusieurs incidents publics.
Où les fournisseurs échouent encore en 2026
Trois erreurs apparaissent le plus souvent dans la pratique. La première est d’ordre organisationnel. La sécurité OT dépend de l’exploitation, la sécurité IT du département du CIO. Sans une responsabilité commune ancrée dans la direction, toute stratégie Zero Trust s’effrite à la jonction. NIS2 rend la gestion explicitement responsable, ce qui rend la séparation politiquement intenable.
La deuxième erreur est technique. Les VPN de maintenance pour les fabricants d’équipements sont traités comme des exceptions et sont donc exclus de la micro-segmentation. C’est précisément cela qui est cité comme vecteur initial dans plusieurs incidents publics liés à l’énergie ces deux dernières années. Quiconque autorise une exception globale ici sape son propre concept.
La troisième erreur est procédurale. Le délai de 24 heures pour la déclaration initiale NIS2 est rarement pratiqué. Dans la réalité, cela signifie qu’une équipe doit être en mesure d’autoriser la déclaration sans réveiller le conseil d’administration. Sans déclarations de test et sans chaîne d’escalade documentée, le délai ne sera pas respecté en cas d’urgence.
Le fournisseur du cas ci-dessus a précisément abordé ces trois points avant de déployer le programme technique. Trois mois avant le premier audit BSI. C’est le délai pragmatique dans lequel les points ouverts peuvent être réellement fermés. Quiconque commence en juin n’aura que des diapositives en septembre.
Foire aux questions
Chaque question est verrouillée. Un clic déverrouille la réponse.
Quand commence le premier audit BSI après la loi de mise en œuvre de NIS2 ?
La loi de mise en œuvre de NIS2 est entrée en vigueur le 6 décembre 2025, l’obligation d’enregistrement est en cours. La surveillance BSI est en phase opérationnelle depuis mai 2026, les premiers audits pour les fournisseurs d’énergie critiques sont attendus pour l’été 2026. Quiconque ne peut pas documenter les mesures de gestion des risques conformément à l’article 21 de NIS2 a un problème ici.
Qu’est-ce qui distingue Zero Trust en OT de Zero Trust en IT ?
Les environnements OT ont des exigences de disponibilité et de latence élevées, des protocoles hérités sans cryptage et des appareils qui ne peuvent pas être mis à jour. Une logique IT qui repose sur une vérification continue à chaque demande ne peut pas être appliquée sans modification dans un système de contrôle. La recommandation de la CISA du 29 avril 2026 formule donc une interprétation OT spécifique : la segmentation, les limites d’identité et la visibilité des actifs précèdent la vérification continue, qui est mise en œuvre de manière progressive.
Quel rôle joue l’ISO 27019 dans la pratique d’audit NIS2 ?
L’ISO 27019 est l’extension spécifique à l’énergie de l’ISO 27001. Elle couvre les contrôles OT spécifiques que le catalogue ISO 27001 pur ne traite pas. Dans le catalogue de sécurité IT de la BNetzA, la certification selon l’ISO 27001 et l’ISO 27019 est prescrite. Les exigences de gestion des risques NIS2 et les exigences de l’ISO 27019 se chevauchent, donc les audits peuvent être combinés si la documentation est propre.
Les VPN de maintenance doivent-ils être entièrement intégrés dans la micro-segmentation ?
Oui, avec des identités temporaires et une détection sur le trajet. Les exceptions globales pour les fabricants d’équipements ne sont plus justifiables selon la recommandation de la CISA et la pratique d’audit. L’octroi d’accès à la demande, combiné à l’enregistrement de session, remplace le tunnel permanent site à site.
Comment utiliser le BBK en plus du BSI dans le cadre de la loi sur les infrastructures critiques ?
La loi sur les infrastructures critiques traite de la résilience physique, de la sabotage et des menaces hybrides, NIS2 de la sécurité IT. Les deux voies se déroulent en parallèle, avec des enregistrements séparés. Les fournisseurs doivent être enregistrés en plus auprès du BBK au plus tard le 17 juillet 2026. Sur le plan opérationnel, il est judicieux de structurer les déclarations d’incident, les exercices et les plans d’urgence de manière à ce qu’une déclaration serve le chemin compétent sans être dupliquée.
Les choix de la rédaction
À lireApplication de la NIS2 en 2026 : Phase de vérification du BSI et checklist DACHÀ lireSegmenter le réseau selon le principe Zero Trust : pourquoi les réseaux plats constituent le plus grand risque de sécuritéÀ lireQuand la production s’arrête : pourquoi la mécanique allemande devient une cible privilégiée des attaques OT
Plus du réseau MBF Media
cloudmagazinIngénierie de plate-forme pour la conformité : les IDP imposent NIS2 et DORAMyBusinessFuturePlan de crise plutôt que communication de crise : quatre décisions pour les PMEDigital ChiefsMandat technologique au conseil de surveillance : NIS2, EU AI Act et déficit de compétences
