Le piège classique
Les opérateurs de centrales nucleaires et leur chaîne de valeur (combustible, maintenance spécialisée, transport, dechets) croient souvent être exclus de NIS 2 au motif que leurs activités touchent a la sécurité nationale. C'est faux : le considérant 10 confirme que la directive s'applique bien aux producteurs d'electricite d'origine nucleaire. Seules certaines activités précisés peuvent être soustraites par l'état membre au titre de la sécurité nationale, et c'est a l'ILR et aux autorités compétentes nationales de tracer cette frontière, pas a l'exploitant lui-même.
La cartographie en pratique : separer ce qui relevé de NIS 2 et ce qui relevé de la sécurité nationale
Le considérant crée une zone grise dangereuse. L'exploitant doit documenter, activité par activité, le régime applicable, sous peine de double sanction : non-conformité NIS 2 d'un cote, manquement aux obligations de sécurité nationale de l'autre.
- Production electrique standard, IT corporate, supervision industrielle non-classifiée : NIS 2 plein régime.
- Activités liées au combustible, a la surete, aux materiaux sensibles : potentiellement exclues si l'état membre l'invoque expressement.
- Chaîne de valeur nucleaire (sous-traitants maintenance, transport, ingenierie) : présomption NIS 2, sauf décision contraire motivée.
- Systèmes mixtes (un SCADA qui pilote du standard et du sensible) : segmentation obligatoire pour eviter la contagion juridique.
Comment Luxgap automatise ce risque
Notre Luxgap Nuclear Scope Mapper trace pour vous la frontière entre activités NIS 2 et activités sécurité nationale, et la rend opposable. L'outil ingere votre cartographie d'actifs depuis votre CMDB (ServiceNow, GLPI), vos référentiels OT (Claroty, Nozomi, Microsoft Defender for IoT) et vos contrats fournisseurs Odoo ou SAP, puis classifie chaque système, processus et sous-traitant selon une grille croisant les critères NIS 2 annexe I et les catégories nationales de sécurité.
- Classifie automatiquement chaque actif et processus selon une matrice NIS 2 / sécurité nationale validée avec l'ILR et le Haut-Commissariat a la Protection nationale.
- Détecte les zones grises ou un même système sert simultanément des activités NIS 2 et des activités sensibles, et propose le plan de segmentation réseau correspondant.
- Suit la chaîne de valeur nucleaire complète (sous-traitants, sous-sous-traitants maintenance et transport) et signale les ruptures de régime juridique.
- Génère un dossier de qualification d'entité opposable, horodate, démontrant pour chaque activité le régime applicable et les mesures NIS 2 deployées.
- Alerte en temps réel via Teams ou Slack quand une nouvelle activité, un nouveau fournisseur ou une modification de SCADA fait basculer un actif d'un régime a l'autre.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez une démonstration sur votre cas concret et nos équipes realisent un audit blanc gratuit sous 48h pour cartographier les zones de risque avant tout engagement.
Le service Luxgap sur ce sujet
CISO externalisé
Nommé responsable de la sécurité de l'information, notre CISO pilote la politique, la gouvernance, les risques, les audits et les incidents, avec NIS 2 ou DORA quand ils s'appliquent.
Découvrir le mandat CISO→
