Les points cl\u00e9s en bref<\/p>\n
- \n
- La NIS2 dans l’\u00e9nergie est effective depuis d\u00e9cembre 2025.<\/strong> Les obligations BSI et BNetzA s’appliquent, les audits commenceront \u00e0 \u00eatre productifs \u00e0 partir de l’\u00e9t\u00e9 2026. L’enregistrement aupr\u00e8s du BBK conform\u00e9ment \u00e0 la loi sur le toit KRITIS doit \u00eatre termin\u00e9 au plus tard le 17 juillet 2026.<\/li>\n
- La confiance z\u00e9ro pour l’OT n’est pas copi\u00e9e de l’IT.<\/strong> La recommandation de la CISA du 29 avril 2026 pr\u00e9cise que la segmentation, les limites d’identit\u00e9 et la visibilit\u00e9 des actifs doivent \u00eatre construites pour les contraintes de SCADA, de protection et de syst\u00e8mes de contr\u00f4le, et non r\u00e9trofit\u00e9es.<\/li>\n
- La faille la plus courante se situe \u00e0 la fronti\u00e8re IT-OT.<\/strong> Les comptes de service communs, les structures de domaine partag\u00e9es et les acc\u00e8s de maintenance non segment\u00e9s sont le chemin en 2026 par lequel les compromissions IT atteignent les centres de contr\u00f4le.<\/li>\n<\/ul>\n<\/div>\n
Related:<\/span>MFA adaptatif comme levier de confiance z\u00e9ro<\/a> \/<\/span> La vague de contr\u00f4le de la NIS2 touche 29 500 entreprises<\/a><\/p>\n
Comment un fournisseur d’\u00e9nergie DACH commence la confiance z\u00e9ro en 2026<\/h2>\n
L’image suivante r\u00e9sume \u00e0 partir de plusieurs programmes de fournisseurs discut\u00e9s publiquement une approche typique, et non un conglom\u00e9rat individuel. Les noms r\u00e9els sont d\u00e9lib\u00e9r\u00e9ment omis car il manque des sources publiques fiables. Quiconque cherche une histoire de fournisseur toute faite se trompe ici. Quiconque cherche l’ancre pour sa propre feuille de route trouve une approche r\u00e9aliste.<\/p>\n
La situation de d\u00e9part est un distributeur de r\u00e9seau dans la zone \u00e0 trois chiffres du MW, plusieurs sous-stations, ses propres centres de contr\u00f4le, un monde IT centr\u00e9 sur Microsoft et un r\u00e9seau ICS historiquement d\u00e9velopp\u00e9. La BNetzA a inscrit le fournisseur en 2025 comme KRITIS, le statut NIS2 est venu s’ajouter avec l’entr\u00e9e en vigueur de la loi de mise en \u0153uvre en d\u00e9cembre 2025. La pression de contr\u00f4le vient parall\u00e8lement du catalogue de s\u00e9curit\u00e9 informatique de la BNetzA et de la pr\u00e9paration au re-certificat ISO-27019.<\/p>\n
Le premier r\u00e9sultat d’audit fiable issu de l’auto-\u00e9valuation interne \u00e9tait g\u00eanant. 41 comptes de service avec des autorisations dans les deux mondes. Cinq VPN de maintenance qui atteignaient les segments OT sans MFA. Une structure Active Directory qui aurait prolong\u00e9 un compromis d’administrateur de domaine directement dans les centres de contr\u00f4le. Exactement le mod\u00e8le contre lequel la recommandation de la CISA met explicitement en garde.<\/p>\n
Cinq \u00e9tapes qui ont r\u00e9ellement soutenu le programme<\/h2>\n
Au lieu de concevoir une architecture Zero Trust sur papier, on a travaill\u00e9 en cinq \u00e9tapes prioritaires. Chaque \u00e9tape a g\u00e9n\u00e9r\u00e9 un artefact d’audit que le v\u00e9rificateur comprend sans explication.<\/p>\n
\nCinq \u00e9tapes prioritaires pour Zero Trust chez les fournisseurs d’\u00e9nergie<\/div>\n\n\n\u00c9tape 1<\/div>\nInventaire des actifs en IT et OT dans une vue.<\/strong> Avant chaque politique, il y a la liste des appareils, des protocoles, des versions de firmware et des propri\u00e9taires. Sans cet inventaire, la segmentation reste une th\u00e9orie. En pratique : \u00e9coute passive sur le port miroir OT, v\u00e9rifi\u00e9e avec l’\u00e9tat de la CMDB.<\/div>\n<\/div>\n\n\u00c9tape 2<\/div>\nS\u00e9paration des identit\u00e9s \u00e0 la fronti\u00e8re IT-OT.<\/strong> Les comptes de service partag\u00e9s sont r\u00e9solus, les comptes OT sont plac\u00e9s dans un domaine d’identit\u00e9 s\u00e9par\u00e9 avec leurs propres cycles de vie. Les facteurs r\u00e9sistants au phishing comme FIDO2 pour les acc\u00e8s administratifs ne sont plus n\u00e9gociables.<\/div>\n<\/div>\n\n\u00c9tape 3<\/div>\nMicro-segmentation \u00e0 partir du niveau Purdue 3.<\/strong> La coupure nette se situe entre les op\u00e9rations de fabrication (niveau 3) et le contr\u00f4le de processus (niveau 2). Chaque transition passe par une passerelle explicative, chaque r\u00e8gle a un propri\u00e9taire. La valeur par d\u00e9faut est de refuser, pas d’autoriser.<\/div>\n<\/div>\n\n\u00c9tape 4<\/div>\nSzA pour OT avec son propre catalogue de cas d’utilisation.<\/strong> Le syst\u00e8me de d\u00e9tection d’intrusion selon les directives du BSI couvre les mod\u00e8les sp\u00e9cifiques \u00e0 OT, pas seulement la logique IT. Les anomalies dans Modbus, IEC 60870-5-104 ou DNP3 n\u00e9cessitent leurs propres d\u00e9tecteurs et chemins d’escalade vers le SOC.<\/div>\n<\/div>\n\n\u00c9tape 5<\/div>\nR\u00e9ponse aux incidents avec chemin BBK et notification dans les 24 heures.<\/strong> La notification initiale NIS2 au BSI est obligatoire dans les 24 heures, la notification finale dans les 72 heures. Le chemin vers le BBK issu de la loi KRITIS est pratiqu\u00e9 en parall\u00e8le. Les playbooks distinguent entre les incidents IT et OT.<\/div>\n<\/div>\n<\/div>\n<\/div>\nL’ordre n’est pas un conseil de go\u00fbt. Celui qui commence par l’\u00e9tape trois sans conna\u00eetre la situation des actifs et des identit\u00e9s segmente sur des hypoth\u00e8ses. Cela ne r\u00e9siste pas \u00e0 une situation de charge.<\/p>\n
\n29.500<\/div>\nLes \u00e9tablissements allemands qui rel\u00e8vent de la mise en \u0153uvre de la NIS2, soit six fois plus que sous la r\u00e9glementation KRITIS actuelle. Les amendes peuvent aller jusqu’\u00e0 10 millions d’euros, la notification initiale est obligatoire dans les 24 heures.<\/div>\nSource : BSI \/ OpenKRITIS, mars 2026<\/div>\n<\/div>\nCe que la recommandation de la CISA signifie pour les fournisseurs DACH<\/h2>\n
La recommandation commune du 29 avril 2026 n’est pas seulement une lecture am\u00e9ricaine. Elle fournit quatre points qui seront abord\u00e9s dans chaque audit de fournisseur DACH. Premi\u00e8rement, les identit\u00e9s entre IT et OT ne doivent pas \u00eatre partag\u00e9es. Deuxi\u00e8mement, la visibilit\u00e9 au niveau des actifs et des protocoles est une condition pr\u00e9alable \u00e0 la segmentation. Troisi\u00e8mement, le refus par d\u00e9faut dans OT doit fonctionner sans bloquer l’exploitation. Quatri\u00e8mement, la r\u00e9ponse aux incidents dans OT n\u00e9cessite des playbooks et des exercices sp\u00e9cifiques.<\/p>\n
Volt Typhoon est explicitement mentionn\u00e9 dans la recommandation. Le mod\u00e8le de compromettre les informations d’identification IT et de se d\u00e9placer lat\u00e9ralement vers OT est d\u00e9sormais standard. Un fournisseur qui ne s\u00e9pare pas ses identit\u00e9s OT se fie \u00e0 la protection de son domaine IT. Cette protection n’a pas r\u00e9sist\u00e9 dans plusieurs incidents publics.<\/p>\n
O\u00f9 les fournisseurs \u00e9chouent encore en 2026<\/h2>\n
Trois erreurs apparaissent le plus souvent dans la pratique. La premi\u00e8re est d’ordre organisationnel. La s\u00e9curit\u00e9 OT d\u00e9pend de l’exploitation, la s\u00e9curit\u00e9 IT du d\u00e9partement du CIO. Sans une responsabilit\u00e9 commune ancr\u00e9e dans la direction, toute strat\u00e9gie Zero Trust s’effrite \u00e0 la jonction. NIS2 rend la gestion explicitement responsable, ce qui rend la s\u00e9paration politiquement intenable.<\/p>\n
La deuxi\u00e8me erreur est technique. Les VPN de maintenance pour les fabricants d’\u00e9quipements sont trait\u00e9s comme des exceptions et sont donc exclus de la micro-segmentation. C’est pr\u00e9cis\u00e9ment cela qui est cit\u00e9 comme vecteur initial dans plusieurs incidents publics li\u00e9s \u00e0 l’\u00e9nergie ces deux derni\u00e8res ann\u00e9es. Quiconque autorise une exception globale ici sape son propre concept.<\/p>\n
La troisi\u00e8me erreur est proc\u00e9durale. Le d\u00e9lai de 24 heures pour la d\u00e9claration initiale NIS2 est rarement pratiqu\u00e9. Dans la r\u00e9alit\u00e9, cela signifie qu’une \u00e9quipe doit \u00eatre en mesure d’autoriser la d\u00e9claration sans r\u00e9veiller le conseil d’administration. Sans d\u00e9clarations de test et sans cha\u00eene d’escalade document\u00e9e, le d\u00e9lai ne sera pas respect\u00e9 en cas d’urgence.<\/p>\n
Le fournisseur du cas ci-dessus a pr\u00e9cis\u00e9ment abord\u00e9 ces trois points avant de d\u00e9ployer le programme technique. Trois mois avant le premier audit BSI. C’est le d\u00e9lai pragmatique dans lequel les points ouverts peuvent \u00eatre r\u00e9ellement ferm\u00e9s. Quiconque commence en juin n’aura que des diapositives en septembre.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQuand commence le premier audit BSI apr\u00e8s la loi de mise en \u0153uvre de NIS2 ?<\/strong><\/summary>\n
La loi de mise en \u0153uvre de NIS2 est entr\u00e9e en vigueur le 6 d\u00e9cembre 2025, l’obligation d’enregistrement est en cours. La surveillance BSI est en phase op\u00e9rationnelle depuis mai 2026, les premiers audits pour les fournisseurs d’\u00e9nergie critiques sont attendus pour l’\u00e9t\u00e9 2026. Quiconque ne peut pas documenter les mesures de gestion des risques conform\u00e9ment \u00e0 l’article 21 de NIS2 a un probl\u00e8me ici.<\/p>\n<\/details>\n
\nQu’est-ce qui distingue Zero Trust en OT de Zero Trust en IT ?<\/strong><\/summary>\n
Les environnements OT ont des exigences de disponibilit\u00e9 et de latence \u00e9lev\u00e9es, des protocoles h\u00e9rit\u00e9s sans cryptage et des appareils qui ne peuvent pas \u00eatre mis \u00e0 jour. Une logique IT qui repose sur une v\u00e9rification continue \u00e0 chaque demande ne peut pas \u00eatre appliqu\u00e9e sans modification dans un syst\u00e8me de contr\u00f4le. La recommandation de la CISA du 29 avril 2026 formule donc une interpr\u00e9tation OT sp\u00e9cifique : la segmentation, les limites d’identit\u00e9 et la visibilit\u00e9 des actifs pr\u00e9c\u00e8dent la v\u00e9rification continue, qui est mise en \u0153uvre de mani\u00e8re progressive.<\/p>\n<\/details>\n
\nQuel r\u00f4le joue l’ISO 27019 dans la pratique d’audit NIS2 ?<\/strong><\/summary>\n
L’ISO 27019 est l’extension sp\u00e9cifique \u00e0 l’\u00e9nergie de l’ISO 27001. Elle couvre les contr\u00f4les OT sp\u00e9cifiques que le catalogue ISO 27001 pur ne traite pas. Dans le catalogue de s\u00e9curit\u00e9 IT de la BNetzA, la certification selon l’ISO 27001 et l’ISO 27019 est prescrite. Les exigences de gestion des risques NIS2 et les exigences de l’ISO 27019 se chevauchent, donc les audits peuvent \u00eatre combin\u00e9s si la documentation est propre.<\/p>\n<\/details>\n
\nLes VPN de maintenance doivent-ils \u00eatre enti\u00e8rement int\u00e9gr\u00e9s dans la micro-segmentation ?<\/strong><\/summary>\n
Oui, avec des identit\u00e9s temporaires et une d\u00e9tection sur le trajet. Les exceptions globales pour les fabricants d’\u00e9quipements ne sont plus justifiables selon la recommandation de la CISA et la pratique d’audit. L’octroi d’acc\u00e8s \u00e0 la demande, combin\u00e9 \u00e0 l’enregistrement de session, remplace le tunnel permanent site \u00e0 site.<\/p>\n<\/details>\n
\nComment utiliser le BBK en plus du BSI dans le cadre de la loi sur les infrastructures critiques ?<\/strong><\/summary>\n
La loi sur les infrastructures critiques traite de la r\u00e9silience physique, de la sabotage et des menaces hybrides, NIS2 de la s\u00e9curit\u00e9 IT. Les deux voies se d\u00e9roulent en parall\u00e8le, avec des enregistrements s\u00e9par\u00e9s. Les fournisseurs doivent \u00eatre enregistr\u00e9s en plus aupr\u00e8s du BBK au plus tard le 17 juillet 2026. Sur le plan op\u00e9rationnel, il est judicieux de structurer les d\u00e9clarations d’incident, les exercices et les plans d’urgence de mani\u00e8re \u00e0 ce qu’une d\u00e9claration serve le chemin comp\u00e9tent sans \u00eatre dupliqu\u00e9e.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/05\/nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was-dach-unternehmen-bei-der-eigenen-compliance-jetzt-pruefen-muessen-cover-hero-250x141.jpg\")
<\/span>\u00c0 lire<\/span>Application de la NIS2 en 2026 : Phase de v\u00e9rification du BSI et checklist DACH<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/st-zerotrust-250x167.jpg\")
<\/span>\u00c0 lire<\/span>Segmenter le r\u00e9seau selon le principe Zero Trust : pourquoi les r\u00e9seaux plats constituent le plus grand risque de s\u00e9curit\u00e9<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/ot-angriffe-maschinenbau-2026-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Quand la production s\u2019arr\u00eate : pourquoi la m\u00e9canique allemande devient une cible privil\u00e9gi\u00e9e des attaques OT<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-platform-engineering-compliance-idp-nis2-82010065.jpg\")
<\/span>cloudmagazin<\/span>Ing\u00e9nierie de plate-forme pour la conformit\u00e9 : les IDP imposent NIS2 et DORA<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-krisenplan-statt-krisen-pr-mittelstand-v-3796319-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>Plan de crise plut\u00f4t que communication de crise : quatre d\u00e9cisions pour les PME<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-tech-mandate-aufsichtsrat-nis2-eu-ai-act-39094777-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Mandat technologique au conseil de surveillance : NIS2, EU AI Act et d\u00e9ficit de comp\u00e9tences<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"BSI lancera les premiers audits NIS2 chez les fournisseurs d’\u00e9nergie KRITIS \u00e0 l’\u00e9t\u00e9 2026.","protected":false},"author":55,"featured_media":14101,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"","_yoast_wpseo_title":"Zero Trust chez le fournisseur d'\u00e9nergie : Ce que les audits NIS2 r\u00e9v\u00e8lent maintenant","_yoast_wpseo_metadesc":"**BSI lance en \u00e9t\u00e9 2026 les premiers audits NIS2 pour les fournisseurs d\u2019\u00e9nergie critiques.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-15581","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":10,"wpml_language":"fr","wpml_translation_of":15576,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/15581","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=15581"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/15581\/revisions"}],"predecessor-version":[{"id":21272,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/15581\/revisions\/21272"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/14101"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=15581"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=15581"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=15581"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - La confiance z\u00e9ro pour l’OT n’est pas copi\u00e9e de l’IT.<\/strong> La recommandation de la CISA du 29 avril 2026 pr\u00e9cise que la segmentation, les limites d’identit\u00e9 et la visibilit\u00e9 des actifs doivent \u00eatre construites pour les contraintes de SCADA, de protection et de syst\u00e8mes de contr\u00f4le, et non r\u00e9trofit\u00e9es.<\/li>\n