NIS2 agroalimentaire : quels fabricants et grossistes sont concernés ?

Une charcuterie industrielle bretonne de 60 salariés fait tourner sa ligne de conditionnement sur un automate qui n''a jamais été mis à jour depuis l''installation. Les températures de la chambre froide remontent vers un tableau de bord dans le cloud. Deux enseignes de la grande distribution envoient leurs commandes par EDI. Demandez au dirigeant si NIS2 s''applique et la réponse est souvent : « On fait de la charcuterie, on n''est pas une banque. »

Cette réponse est plus souvent fausse que juste. Pour NIS2 agroalimentaire, l''annexe II vise la production industrielle, la transformation et la distribution en gros de denrées alimentaires. Si votre client s''y trouve et atteint le seuil de taille, c''est une entité importante, avec un régulateur, un registre et une direction qui répond du résultat.

NIS2 agroalimentaire : qui est réellement concerné

L''annexe II de la directive (UE) 2022/2555 range la « production, transformation et distribution de denrées alimentaires » parmi les autres secteurs critiques. Sont visées les entreprises du secteur alimentaire au sens de l''article 3, point 2, du règlement (CE) n° 178/2002 qui exercent une activité de distribution en gros et de production et transformation industrielles.

Restent en dehors, sauf désignation comme critiques au titre de la directive CER : la production primaire (les exploitations), le commerce de détail et la restauration. L''autorité alimentaire finlandaise le précise expressément dans ses orientations sectorielles.

L''alimentaire relève de l''annexe II : les entreprises concernées sont donc des entités importantes, non essentielles. En pratique, la supervision est réactive : l''autorité intervient après un incident, une plainte ou une entité non enregistrée repérée à partir d''une liste sectorielle.

La taille est le second filtre. En règle de travail, l''entreprise doit être au moins de taille moyenne : 50 salariés ou plus, ou un chiffre d''affaires annuel et un total de bilan tous deux supérieurs à 10 millions d''euros.

Trois cas limites qui décident du périmètre

Le fabricant avec ses propres boutiques. Une boulangerie industrielle qui exploite aussi douze points de vente est concernée côté production. L''activité détermine le secteur, la taille s''apprécie pour l''entité dans son ensemble. Ne laissez pas un client s''exclure au motif que « l''essentiel de notre chiffre d''affaires est du détail » sans lire le texte national.

La filiale d''un groupe. La taille se mesure selon la recommandation 2003/361/CE de la Commission, qui compte les entreprises liées et partenaires. Une filiale de conditionnement de 30 personnes au sein d''un groupe de 400 peut basculer en catégorie moyenne ou grande. Demandez l''organigramme du groupe avant d''accepter « nous sommes trop petits ».

Le grossiste et le façonnier. La distribution en gros figure dans le texte. Un grossiste d''ingrédients ou un façonnier qui conditionne pour des marques n''est pas un spectateur : il est dans le secteur.

En cas de doute, notre guide pour savoir si NIS2 s''applique à votre organisation déroule le test général.

Ce que le statut d''entité importante change en pratique

Les entités importantes doivent les mêmes mesures de gestion des risques (article 21) que les entités essentielles. La différence porte sur la supervision et les sanctions, pas sur l''obligation elle-même.

• Responsabilité de la direction. L''article 20 impose à l''organe de direction d''approuver les mesures et d''en superviser la mise en œuvre. Dans une entreprise familiale, c''est le dirigeant, pas le prestataire informatique.
• Notification des incidents. Un incident significatif appelle une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Le détail figure dans nos délais de notification des incidents.
• Sanctions. La directive plafonne les amendes des entités importantes à 7 millions d''euros ou 1,4 % du chiffre d''affaires mondial annuel, le montant le plus élevé étant retenu. En France, ces plafonds ne s''appliqueront qu''une fois la loi de transposition adoptée.
• Enregistrement. L''ANSSI met à disposition la plateforme MonEspaceNIS2 pour vérifier si l''on est concerné et préparer son enregistrement. L''enregistrement est binaire et horodaté, donc le plus simple à contrôler pour un régulateur. Notre panorama des obligations d''enregistrement recense les portails.

Où les industriels alimentaires échouent : le socle OT et la chaîne du froid

Une usine agroalimentaire est un environnement OT entouré d''un réseau bureautique. C''est là que les audits trouvent les failles.

Les systèmes qui comptent sont ceux qui arrêtent la production ou font perdre le produit : automates et SCADA des lignes de remplissage et de conditionnement, MES pour la traçabilité des lots, supervision de la chaîne du froid, systèmes de laboratoire (LIMS) qui libèrent les lots et ERP qui pilote les commandes. Si l''un d''eux est compromis, l''usine s''arrête, ou pire, expédie des produits dont les enregistrements de sécurité ne sont plus fiables.

Quatre mesures portent l''essentiel :

1. Segmentation entre IT de bureau et production. Le schéma de notre guide sur la segmentation OT/IT dans l''industrie s''applique directement : un réseau à plat transforme un e-mail de phishing en ligne à l''arrêt.
2. Accès à distance avec authentification forte. Les fabricants de machines gardent souvent un accès distant permanent aux automates. Chacun de ces chemins est un accès fournisseur au sens de l''article 21, paragraphe 2, point d.
3. Sauvegardes restaurables, y compris programmes d''automates et recettes. L''article 21, paragraphe 2, point c vise la reprise d''activité. Une sauvegarde du serveur de fichiers sans la configuration des automates ne relance pas une usine.
4. Intégrité des enregistrements de sécurité alimentaire. Les relevés de chaîne du froid et les libérations de lots servent de preuve à l''autorité sanitaire comme au régulateur NIS2.

La sécurité de la chaîne d''approvisionnement joue dans les deux sens. Les distributeurs qui achètent chez votre client vont demander des preuves, et les contrats fournisseurs font déjà partie de la conformité NIS2.

Un même secteur, des points de départ différents dans l''UE

La directive est un seul texte, les obligations dépendent du droit national. État des lieux en septembre 2026 :

• France. Pas encore de loi de transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025 et reste devant l''Assemblée nationale. L''ANSSI a publié son référentiel ReCyF le 17 mars 2026. La France a par ailleurs été renvoyée devant la Cour de justice de l''UE.
• Belgique. Les entreprises alimentaires wallonnes relèvent de la loi belge NIS2 et du Centre pour la Cybersécurité Belgique, avec le cadre CyFun comme référence pratique. Voir notre article sur le cadre belge CyFun.
• Allemagne. La loi de transposition a modifié la BSIG. Les fabricants de taille moyenne sont des entités importantes selon le § 28, alinéa 2 BSIG, et le BSI tient le registre. Les clients ayant un site allemand doivent s''y enregistrer séparément.
• Finlande. Le Cybersecurity Act 124/2025 s''applique depuis le 8 avril 2025, sous la supervision de l''autorité alimentaire finlandaise.
• Pays-Bas, Pologne, Italie, Espagne. Les Pays-Bas, la Pologne et l''Italie ont transposé. L''Espagne ne l''a pas fait et a été renvoyée devant la Cour de justice.

Que faire ce mois-ci avec un client de l''alimentaire

Faites d''abord le test de périmètre, par écrit : activité, taille y compris le groupe, et pays. Consignez le résultat même s''il est « hors périmètre », car un régulateur demandera comment vous en avez décidé.

Si le client est concerné, vérifiez l''enregistrement, puis inventoriez les actifs OT qui arrêtent la production. Identifiez qui dispose d''un accès distant, testez une restauration d''automate et formalisez la chaîne d''alerte des 24 heures avec un nom en face.

Un readiness assessment met en évidence les écarts par rapport à l''article 21 de façon structurée, et vous pouvez le démarrer avec le quick scan NIS2Certify. Les industriels de l''alimentaire manquent rarement d''efforts. Il leur manque une cartographie documentée des systèmes qui comptent, et c''est la première chose qu''un superviseur demande à voir.