NIS2 secteur spatial : quelles infrastructures au sol sont visées

Le centre de contrôle d'un opérateur de satellites occupe un bâtiment dans une zone d'activités près de Toulouse. Quarante salariés, un champ d'antennes loué et un infogéreur qui détient les droits d'administrateur de domaine depuis six ans. Le satellite en orbite est hors du champ de NIS2. La salle qui le pilote, non.

C'est là que les consultants se trompent. Le secteur spatial de NIS2 est étroit, et l'essentiel de ce qu'on appelle « spatial » n'y entre pas.

Ce que le secteur spatial de NIS2 couvre vraiment

L'annexe I, point 11 de la directive (UE) 2022/2555 vise un seul type d'entité : les opérateurs d'infrastructures au sol, détenues, gérées et exploitées par des États membres ou par des parties privées, qui soutiennent la fourniture de services spatiaux. Les fournisseurs de réseaux de communications électroniques publics en sont exclus. Ils relèvent des infrastructures numériques.

Le considérant 37 en donne la logique. La directive ne couvre le spatial que dans la mesure où des services dépendent d'infrastructures au sol. Les engins spatiaux eux-mêmes ne sont pas régulés.

En pratique, c'est le segment sol :

• stations sol et sites d'antennes
• contrôle de mission et centres d'opérations satellites
• installations de télémesure, de poursuite et de télécommande (TT&C)
• sites passerelles et centres dédiés au traitement des données de charge utile

Les constructeurs de satellites, les lanceurs et les objets en orbite ne relèvent pas de ce type d'entité. Un constructeur peut être visé par un autre secteur de l'annexe II, mais c'est une autre question.

Taille et classement : entité essentielle ou importante

La règle générale de taille de l'article 2, paragraphe 1 s'applique. Les entreprises moyennes et plus grandes entrent dans le champ. Les petites et micro-entreprises non, sauf si le droit national ou l'article 2, paragraphe 2 les y ramène.

Le spatial figure à l'annexe I. Un grand opérateur est une entité essentielle (article 3, paragraphe 1), un opérateur moyen une entité importante. La différence pèse sur la supervision : contrôles proactifs pour les essentielles, supervision surtout réactive après un incident pour les importantes.

Beaucoup d'acteurs du spatial sont petits. Une station sol de 30 personnes est en général sous le seuil. La même société, rattachée à un groupe qui dépasse les seuils et partageant son réseau, peut en revanche être visée. Vérifiez la structure du groupe avant de rassurer un client.

Les obligations sont le socle standard de NIS2

NIS2 ne prévoit aucune règle propre au spatial. Un opérateur dans le champ doit les mêmes mesures de l'article 21 que tout le monde : analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, développement sécurisé, contrôle d'accès, cryptographie et MFA.

Trois points méritent une attention particulière chez ce type de client :

• Contrôle d'accès sur les liaisons de commande. Les liaisons montantes TT&C sont la cible la plus précieuse. L'accès privilégié aux systèmes de commande exige une MFA résistante à l'hameçonnage et la journalisation des sessions.
• Concentration des fournisseurs. Temps d'antenne, traitement cloud et infogérance viennent souvent de deux ou trois prestataires. L'article 21, paragraphe 2, point d impose de les évaluer chacun.
• Systèmes de type OT. Les contrôleurs d'antenne et les outils de planification tournent sur des logiciels anciens. La segmentation compte plus que la vitesse de correction.

La notification des incidents suit l'article 23 : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Notre guide des délais de notification détaille le déroulé.

Quelle autorité supervise un opérateur spatial

Chaque État membre désigne ses autorités compétentes. Les agences spatiales nationales comme le CNES sont des partenaires de politique publique, pas des superviseurs NIS2. L'ESA est une organisation intergouvernementale sans rôle de supervision NIS2.

Selon l'article 26, paragraphe 1, un opérateur spatial relève de l'État membre où il est établi. Un opérateur avec des sites sol dans plusieurs pays peut donc répondre à plusieurs autorités. Notre article sur quelle autorité supervise votre client explique ces règles. L'enregistrement est une obligation distincte dans la plupart des pays, consultez aussi l'aperçu des échéances d'enregistrement.

France : une loi toujours en attente, l'ANSSI prépare le terrain

La France n'a pas achevé la transposition. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé le 15 octobre 2024, a été adopté par le Sénat en première lecture le 12 mars 2025. L'Assemblée nationale n'a pas terminé sa première lecture et vient de reporter à nouveau son examen. La Commission a annoncé le 8 juillet 2026 saisir la Cour de justice contre la France et l'Espagne.

Tant que la loi n'est pas promulguée, ne présentez à aucun client une obligation comme exigible en droit français. Utilisez ce qui existe : l'ANSSI a publié une version de travail du référentiel ReCyF (disponible depuis le 17 mars 2026) et propose une préinscription sur MesServicesCyber. Les mesures de l'article 21 restent la bonne base de travail, car la loi française les reprendra en substance. Les régimes sectoriels et les autorités finales sont à vérifier dans les textes promulgués.

Pour vos clients ayant des sites à l'étranger : l'Allemagne applique la NIS2UmsuCG depuis le 6 décembre 2025, la Pologne sa loi KSC modifiée depuis le 3 avril 2026, l'Italie le D.Lgs. 138/2024 depuis octobre 2024 et les Pays-Bas la Cyberbeveiligingswet depuis le 15 août 2026.

L'EU Space Act pourrait réécrire les règles de cybersécurité du spatial

La Commission a proposé l'EU Space Act le 25 juin 2025 (COM(2025) 335 final). C'est une proposition, pas une loi. Les trois institutions divergent sur son rapport à NIS2.

La Commission veut une lex specialis. Pour les entités NIS2, son chapitre cybersécurité remplacerait les obligations générales de l'article 21, avec des tests d'intrusion fondés sur la menace avant le lancement puis au moins tous les trois ans, et une alerte précoce sous 12 heures pour les actifs de l'Union.

Le texte de compromis du Conseil va dans l'autre sens. Les entités NIS2 restent soumises à NIS2 ; les obligations du Space Act viseraient surtout les opérateurs hors NIS2, comme les petits opérateurs et ceux de pays tiers. Le projet de rapport de la commission ITRE du Parlement européen (mars 2026) rejette tout régime séparé et ajouterait les activités spatiales à NIS2 elle-même.

Les trilogues n'ont pas commencé. Une analyse de cabinet attend une adoption pas avant fin 2027 et une application vers 2030. Ne bâtissez pas un programme client sur une proposition. Bâtissez-le sur NIS2 et gardez le Space Act en veille.

Que faire avec un client proche du spatial

Commencez par le périmètre, pas par les mesures. Trois questions : le client exploite-t-il des infrastructures au sol soutenant des services spatiaux, atteint-il le seuil de taille groupe compris, est-il fournisseur de communications électroniques ?

Si la réponse est oui, oui, non, le client est dans le champ. Cartographiez le segment sol comme inventaire d'actifs, puis menez une analyse d'écarts sur l'article 21, en commençant par le TT&C et l'accès aux commandes. Pour un état des lieux avant le premier rendez-vous, lancez le quick scan NIS2Certify.

Le Space Act prendra des années. Les obligations d'enregistrement, de notification et d'audit de NIS2 arrivent avant lui.