NIS2 et les transports : là où les règles aériennes, ferroviaires et maritimes croisent l'article 21

Un commissionnaire de transport régional de 180 salariés nous a expliqué que son avocat l'avait déclaré hors du champ de NIS2. Son raisonnement : il n'est ni compagnie aérienne, ni port, ni entreprise ferroviaire. Six semaines plus tard, son plus gros client — une autorité portuaire — lui a envoyé un questionnaire fournisseur de 40 questions de sécurité et une clause contractuelle renvoyant à l'article 21(2)(d).

Le transport est le secteur NIS2 où le périmètre est le plus souvent mal évalué. Non parce que le texte est flou, mais parce que le « transport » de l'annexe I regroupe quatre univers réglementaires distincts en une seule entrée, chacun doté d'un régime de sécurité préexistant dont les clients supposent qu'il les couvre déjà.

Ce n'est pas le cas.

L'annexe I traite le transport comme quatre secteurs, pas un

L'annexe I de NIS2 classe le transport parmi les secteurs hautement critiques, puis le divise en quatre sous-secteurs, chacun avec sa propre liste de types d'entités.

Aérien. Transporteurs aériens utilisés à des fins commerciales. Entités gestionnaires d'aéroports, y compris les aéroports du réseau central, et entités exploitant des installations annexes dans les aéroports. Opérateurs de contrôle de la gestion du trafic assurant le contrôle du trafic aérien.

Ferroviaire. Gestionnaires de l'infrastructure. Entreprises ferroviaires, y compris les exploitants d'installations de service.

Maritime et fluvial. Compagnies de transport de passagers et de fret par voie d'eau intérieure, maritime et côtière. Entités gestionnaires de ports, y compris les installations portuaires et les entités exploitant des ouvrages et équipements dans les ports. Exploitants de services de trafic maritime.

Routier. Autorités routières responsables de la gestion et du contrôle du trafic. Exploitants de systèmes de transport intelligents.

Deux conséquences découlent de cette liste, et les deux échappent aux consultants.

Premièrement, le transport routier est bien plus étroit que ce que les clients imaginent. Une entreprise de transport routier de marchandises ne relève pas du transport routier de l'annexe I. Une autorité publique gérant le contrôle du trafic, si. Un exploitant STI, également. L'entreprise de camionnage n'est concernée que si elle atterrit ailleurs — par exemple comme fournisseur au sein des obligations de chaîne d'approvisionnement de l'article 21(2)(d) d'une autre entité. C'est exactement ce qui est arrivé au commissionnaire ci-dessus.

Deuxièmement, le transport par voie d'eau est bien plus large que prévu. « Les entités exploitant des ouvrages et équipements dans les ports » englobe les opérateurs de terminaux, les exploitants de grues et de portiques et les entreprises de maintenance qui ne se sont jamais considérées comme des infrastructures réglementées.

La NIS2 s'applique-t-elle à votre organisation ?
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui▼
Non▼
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
✗
La NIS2 ne s'applique pas directement à votre organisation.
Oui▼
Non▼
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui▼
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui ↓Non →
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
Oui ↓Non →
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui ↓Non →
✗
La NIS2 ne s'applique pas directement à votre organisation.
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
S'applique
Possiblement applicable
Ne s'applique pas

La taille détermine le régime de supervision, et le transport connaît une dérogation

La règle par défaut est mécanique. Dans un secteur de l'annexe I, une grande entreprise — 250 salariés ou plus, ou un chiffre d'affaires supérieur à 50 millions d'euros et un bilan supérieur à 43 millions d'euros — est une entité essentielle. Une entreprise moyenne, à partir de 50 salariés ou 10 millions d'euros de chiffre d'affaires, est une entité importante.

Essentielle signifie supervision proactive : inspections sur site, audits réguliers, scans de sécurité et demandes de preuves sans qu'aucun incident ne se soit produit. Importante signifie supervision réactive, déclenchée par un incident ou une plainte. Les amendes atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes.

Le transport est là où la dérogation compte. L'article 2(2) permet aux États membres d'inclure des entités sous les seuils de taille quel que soit l'effectif, et le transport en est le cas classique : un exploitant de service de trafic maritime de 30 personnes, ou un petit exploitant STI dont la défaillance perturberait un corridor national, peut être désigné parce qu'il est le seul fournisseur d'un service essentiel à une activité sociétale.

N'appliquez pas le test d'effectif pour vous arrêter là. Vérifiez d'abord la liste nationale de désignation. Dans plusieurs États membres, les désignations du transport ont été publiées séparément des orientations générales d'enregistrement, et si votre client y figure, le test de taille est sans objet. L'autorité qui publie cette liste dépend du lieu d'établissement — nous avons traité les règles de compétence dans Article 26 : quel régulateur supervise réellement votre client.

Le Part-IS aéronautique ne désactive pas NIS2

C'est aujourd'hui le malentendu le plus coûteux en conformité transport.

Depuis le 16 octobre 2025, le Part-IS de l'AESA — règlement délégué (UE) 2022/1645 — s'applique aux exploitants d'aérodromes, aux organismes de conception et de production et aux prestataires de services de gestion d'aire de trafic. Le règlement d'exécution (UE) 2023/203 a étendu le cadre à d'autres types d'organismes à partir de février 2026. Les clients du secteur aérien en concluent que NIS2 est réglé.

L'article 4 de NIS2 prévoit effectivement ce mécanisme. Lorsqu'un acte juridique sectoriel de l'Union impose des mesures de gestion des risques de cybersécurité ou des obligations de notification d'incident au moins équivalentes dans leurs effets, les dispositions correspondantes de NIS2 ne s'appliquent pas. C'est une véritable exclusion.

Mais elle est plus étroite que le discours commercial ne le laisse entendre. DORA est le cas net : l'article 1(2) du règlement (UE) 2022/2554 précise dans son propre texte qu'il vaut acte sectoriel aux fins de l'article 4. Rien d'équivalent ne figure dans les règlements Part-IS. Les orientations de la Commission sur l'application de l'article 4(1) et (2) énumèrent les actes qu'elle considère comme relevant du champ, et la position aéronautique fait l'objet d'un débat ouvert depuis — y compris sur le forum communautaire de l'AESA.

La position pratique pour un consultant : supposez que les deux s'appliquent tant que l'autorité nationale compétente du client n'a pas dit le contraire par écrit.

C'est moins douloureux qu'il n'y paraît, car les cadres ne s'opposent pas. Le Part-IS vise les risques de sécurité de l'information susceptibles d'affecter la sécurité aérienne. L'article 21 de NIS2 vise les risques pesant sur les réseaux et systèmes d'information qui soutiennent le service. Le recouvrement est large mais les bords diffèrent — le Part-IS ne vous demandera pas de démontrer la sécurité de la chaîne d'approvisionnement sur votre parc informatique commercial, et NIS2 ne vous demandera pas de relier chaque constat à un résultat de sécurité aérienne.

Cartographiez les deux, marquez une seule fois les contrôles communs et documentez l'écart. Les auditeurs acceptent un contrôle cartographié servant deux régimes. Ils n'acceptent pas « nous sommes couverts par le Part-IS » comme réponse à une demande de preuve au titre de l'article 21.

Le maritime présente la même structure sous d'autres noms. Le code ISPS et les orientations de l'OMI sur la gestion des cyberrisques maritimes coexistent avec NIS2, ils ne s'y substituent pas. Les autorités portuaires produisent systématiquement leur plan de sûreté d'installation portuaire ISPS quand on leur demande des preuves NIS2. C'est un bon document. Ce n'est pas une politique de gestion des risques au sens de l'article 21(2)(a).

Les mesures de l'article 21 atterrissent différemment en environnement opérationnel

Les dix mesures sont identiques dans tous les secteurs. Ce qui change, c'est l'endroit où se trouvent les preuves.

Dans le transport, trois d'entre elles génèrent systématiquement des constats.

Article 21(2)(c), continuité d'activité et gestion de crise. Les opérateurs de transport disposent d'excellents plans de continuité — pour les perturbations physiques. Météo, grèves, corridors bloqués. Presque aucun n'a testé un scénario où le système de planification ou de répartition est chiffré et indisponible pendant quatre jours. C'est ce scénario que le régulateur évoquera.

Article 21(2)(d), sécurité de la chaîne d'approvisionnement. Le transport fonctionne sur des systèmes opérationnels partagés : systèmes d'exploitation de terminaux, traitement des bagages, fournisseurs de signalisation, éditeurs de télémétrie de maintenance. Chacun est un tiers nommément identifié dont votre client doit pouvoir décrire la posture de sécurité. Faire circuler un questionnaire dans la chaîne ne suffit pas à soi seul — l'obligation est d'évaluer et d'agir sur ce que l'on trouve. Voir pourquoi les contrats fournisseurs font désormais partie de la conformité NIS2.

Article 21(2)(i), contrôle d'accès et gestion des actifs. La technologie opérationnelle du transport est ancienne, dispersée physiquement et souvent maintenue par des techniciens externes disposant d'un accès distant permanent. Un inventaire d'actifs complet incluant les équipements de voie, de quai et de piste est le livrable le plus difficile du secteur, et c'est la première chose qu'un inspecteur demande à voir.

Article 21 — 10 Mesures de Cybersécurité NIS2
🛡️
Article 21
10 Mesures de Cybersécurité
📊
Gouvernance & Stratégie
1Analyse des risques & politiques de sécurité de l'information
6Évaluation de l'efficacité des mesures de sécurité
🚨
Incidents & Continuité
2Gestion des incidents & notification
3Continuité des activités & reprise après sinistre
🔗
Chaîne d'approvisionnement & Systèmes
4Sécurité de la chaîne d'approvisionnement
5Sécurité dans le développement des systèmes d'information
🔐
Contrôles Techniques
8Cryptographie & chiffrement
10Authentification multifacteur & communications sécurisées
👥
Personnel & Actifs
7Cyber-hygiène & formation
9Sécurité RH & contrôle d'accès

Le problème de frontière IT/OT est ici le même que celui cartographié pour les industriels, à une différence près : dans le transport, l'OT n'est souvent pas du tout sur le site de votre client.

Notification d'incident : deux horloges, deux régulateurs

Les opérateurs de transport notifient déjà. L'aérien déclare les événements au titre du règlement (UE) 376/2014. Le ferroviaire déclare aux autorités nationales de sécurité. Le maritime déclare selon son propre régime.

Rien de tout cela ne satisfait l'article 23.

NIS2 exige une alerte précoce au CSIRT ou à l'autorité compétente dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures et un rapport final sous un mois. Les modèles communs adoptés par le groupe de coopération NIS2 en mai 2026 ont supprimé l'excuse du format.

Le mode de défaillance est prévisible : le rapport de sécurité part à temps, le rapport cyber non, parce que personne en salle d'exploitation ne sait que l'horloge des 24 heures existe. Intégrez le déclencheur dans le processus de déclaration d'événements existant plutôt qu'à côté, et ajoutez une question à la checklist de l'officier de permanence — cela peut-il provenir d'un réseau ou d'un système d'information ? Les délais de notification sont détaillés ici.

Que faire dans les 30 prochains jours

Pour chaque client transport, dans cet ordre :

1. Confirmez par écrit le sous-secteur et le type d'entité de l'annexe I, en reprenant le libellé exact de la liste plutôt qu'un résumé.
2. Vérifiez la liste nationale de désignation des entités sous seuil avant d'appliquer le test de taille.
3. En aérien ou maritime, produisez une cartographie des contrôles entre le régime sectoriel et l'article 21 — et marquez les écarts au lieu de présumer la couverture.
4. Sortez l'inventaire des actifs de technologie opérationnelle. S'il n'existe pas, c'est votre premier chantier, pas le dernier.
5. Câblez l'horloge NIS2 de 24 heures dans le processus d'incident opérationnel existant.

Tout le reste relève de la discipline documentaire ; nous avons détaillé ce que les inspecteurs demandent réellement dans la checklist des preuves d'audit de supervision.

Pour un point de départ structuré chez un client transport, lancez un scan rapide NIS2 gratuit — il produit en une dizaine de minutes une analyse d'écart au regard des mesures de l'article 21, suffisante pour savoir si le régime sectoriel sur lequel le client s'appuie porte réellement le poids qu'il lui prête.