NIS2 et systèmes industriels : comment votre GMAO devient un maillon de votre conformité OT

Un incident cyber sur une vanne de pilotage, un automate de traitement des eaux ou une ligne de conditionnement — et c’est la continuité opérationnelle entière qui s’effondre, pas seulement le réseau bureautique. La directive NIS2, entrée en vigueur le 16 janvier 2023, a précisément acté ce que les responsables maintenance savent depuis longtemps : les systèmes OT sont en première ligne.

Ce que beaucoup n’ont pas encore mesuré, c’est que la conformité NIS2 sur le périmètre industriel ne se joue pas uniquement dans la DSI ou dans les équipes cybersécurité. Elle commence dans la GMAO — dans la qualité de votre inventaire d’équipements, dans la traçabilité de vos ordres de travail, dans la documentation de vos procédures d’intervention. Des données que vous produisez déjà, à condition d’avoir une GMAO réellement exploitée.

Cet article n’est pas un guide juridique sur NIS2 : pour vos obligations précises, l’ANSSI et son portail MonEspaceNIS2 restent votre référence incontournable. Il s’agit ici d’un éclairage opérationnel : comprendre quelles exigences de la directive touchent directement vos systèmes industriels, identifier les fonctions de votre GMAO qui y répondent, et saisir pourquoi la qualité de votre outil de maintenance est désormais une question de conformité autant que de performance.

Vous opérez dans l’énergie, l’eau, les transports, la gestion des déchets, la fabrication industrielle ou l’agroalimentaire ? Alors ce qui suit vous concerne directement.

1. Ce que NIS2 change concrètement pour vos systèmes industriels

1.1 Un périmètre élargi qui englobe l’OT, pas seulement l’IT

La directive (UE) 2022/2555 ne s’intéresse pas qu’aux serveurs et aux postes de travail. Elle vise explicitement les systèmes OT — automates industriels (ICS), SCADA, MES, RTU — au même titre que les systèmes d’information classiques. Pour une direction technique ou un responsable maintenance, ce point est décisif : votre réseau de production, vos capteurs connectés et vos équipements pilotés numériquement entrent dans le champ des systèmes à sécuriser et à documenter.

NIS2 remplace la directive NIS 1 (2016/1148) en portant le nombre de secteurs concernés de 7 à 18. Les secteurs hautement critiques — énergie, transports, eau, secteur bancaire, santé — sont classés à l’annexe I. Les secteurs importants — dont la fabrication, la chimie, la gestion des déchets et l’agroalimentaire — figurent à l’annexe II. La distinction entre entités essentielles et entités importantes détermine l’intensité des obligations, mais dans les deux cas, les systèmes OT sont dans le scope.

1.2 Les seuils d’application : qui est réellement concerné ?

En règle générale, une entité est classée essentielle si elle opère dans un secteur de l’annexe I et dépasse 250 salariés ou 50 millions d’euros de chiffre d’affaires. En deçà de ces seuils, mais au-dessus des seuils PME, on parle d’entité importante. Des cas particuliers existent : certaines entités de taille plus réduite peuvent être incluses sur décision de l’autorité compétente si leur activité est jugée critique.

À l’échelle nationale, l’ANSSI estime que la France passe de moins de 300 entités régulées sous NIS1 à un nombre compris entre 10 000 et 15 000 entités concernées. Ce bond illustre à lui seul l’ambition de la directive : des milliers d’ETI industrielles, de collectivités gestionnaires d’infrastructures et d’opérateurs de services essentiels entrent dans le périmètre pour la première fois. Pour savoir précisément où se situe votre entité, le questionnaire d’auto-évaluation disponible sur MonEspaceNIS2 (cyber.gouv.fr) est le point de départ officiel.

Cette extension du périmètre implique aussi de repenser la chaîne de sous-traitance numérique, car nombre d’entités nouvellement régulées s’appuient sur des solutions SaaS ou des hébergements cloud pour gérer leurs actifs industriels, notamment leur GMAO. Or, le contexte réglementaire européen évolue simultanément sur ce terrain : la Commission vient de poser de nouvelles exigences de souveraineté sur les infrastructures d’hébergement. Pour anticiper les impacts concrets sur vos outils de maintenance, le cadre européen Cloud and AI Development Act mérite une attention particulière.

1.3 Les obligations de l’article 21 qui touchent directement vos opérations terrain

L’article 21 de NIS2 liste les mesures techniques et organisationnelles que les entités doivent mettre en œuvre. Plusieurs d’entre elles résonnent immédiatement avec le quotidien d’une direction maintenance :

• Analyse des risques et sécurisation des systèmes : identifier, évaluer et traiter les risques sur l’ensemble du parc — y compris les actifs OT.
• Gestion des incidents : disposer de procédures documentées et testées, avec une alerte précoce à l’ANSSI dans les 24 heures, une notification intermédiaire sous 72 heures et un rapport détaillé sous un mois (article 23).
• Continuité d’activité : plans de sauvegarde et de reprise, procédures de crise.
• Sécurité de la chaîne d’approvisionnement : audit des fournisseurs critiques — MES, ERP, intégrateurs, fournisseurs cloud (article 21(d)).
• Contrôle d’accès et authentification multifacteur : politique de gestion des habilitations sur les systèmes sensibles.

Et en cas de manquement, l’article 20 engage la responsabilité personnelle des dirigeants, avec des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Ce n’est plus une question de conformité théorique gérée par le RSSI : c’est une responsabilité de direction générale.

2. Pourquoi la GMAO est un actif de conformité sous-estimé

2.1 L’inventaire des actifs OT : une obligation que la GMAO remplit nativement

Les référentiels ANSSI associés à NIS2 imposent aux entités industrielles de tenir un inventaire précis de leurs automates, RTU et autres actifs connectés. Segmentation IT/OT, gestion des vulnérabilités adaptée aux contraintes de disponibilité, procédures de réponse aux incidents OT distinctes — autant d’exigences qui présupposent que vous savez ce que vous avez et où vous l’avez.

C’est exactement ce qu’une GMAO produit : un référentiel structuré d’équipements, avec leurs caractéristiques techniques, leur localisation, leurs fournisseurs, leur historique d’interventions. Une GMAO bien tenue est, de facto, le registre des actifs OT que NIS2 vous demande de constituer. La nuance importante est dans « bien tenue » : un référentiel obsolète, rempli à moitié ou non réconcilié avec les évolutions terrain, ne vaut rien comme preuve de conformité. Sur ce point, l’expérience de terrain est sans appel — la donnée la plus problématique n’est pas celle qui manque, c’est celle qui est fausse parce que jamais mise à jour.

Pour aller plus loin sur ce que recouvrent inventaire des actifs et traçabilité des interventions dans les différentes approches GMAO, EAM et APM, la distinction est utile à maîtriser avant de calibrer votre réponse NIS2.

2.2 La traçabilité des interventions comme preuve documentaire

L’article 23 impose un processus en trois temps : une alerte précoce sous 24 heures, une notification intermédiaire sous 72 heures et un rapport final sous un mois. Pour respecter le premier délai, il faut être capable de reconstituer rapidement la chronologie des événements sur un équipement : dernière intervention, technicien intervenant, pièces remplacées, anomalies constatées. Sans GMAO opérationnelle, cette reconstitution se fait dans l’urgence, à partir d’emails, de notes papier et de mémoire individuelle — un scénario que tout responsable maintenance reconnaît et redoute.

Un historique d’ordres de travail complet dans la GMAO transforme ce moment de crise en exercice structuré. L’enquête post-incident exigée par NIS2 — identifier la cause, évaluer l’impact, documenter les mesures correctives — s’appuie directement sur cette matière brute. C’est ce qui différencie une organisation qui subit l’incident de celle qui le gère.

2.3 La documentation technique : le maillon souvent oublié

NIS2 et les référentiels associés insistent sur la disponibilité des procédures opérationnelles en situation de crise. Sur un site industriel, cela signifie : les techniciens d’astreinte doivent pouvoir accéder aux schémas de câblage, aux manuels des automates, aux procédures de redémarrage sécurisé — même quand le réseau bureautique est compromis ou que l’expert qui connaît le dossier est absent.

C’est ici que la dimension documentaire de la GMAO prend une acuité nouvelle. Une solution de gestion électronique des documents intégrée à la GMAO — comme GED by Odexio — ne sert pas uniquement à ranger des fichiers : elle garantit que la bonne procédure, dans sa version validée et à jour, est accessible au bon technicien, au bon moment, depuis son terminal terrain. Dans un contexte NIS2, cette accessibilité documentaire structurée devient une exigence opérationnelle, pas un confort organisationnel.

Le problème, sur le terrain, n’est jamais que les techniciens manquent de compétences. C’est que l’information est dispersée entre la GMAO, des fichiers Excel locaux, des emails, des notes personnelles et des bases documentaires obsolètes — et cette dispersion dégrade le MTTR autant qu’elle fragilise la conformité. La capitalisation du savoir-faire terrain dans votre GMAO est précisément ce qui transforme cet éparpillement en intelligence collective exploitable.

3. Sécurité de la chaîne d’approvisionnement : votre GMAO dans le viseur de l’article 21(d)

3.1 Vos fournisseurs logiciels sont dans le scope — y compris votre éditeur GMAO

L’article 21(d) de NIS2 impose aux entités concernées d’auditer leurs fournisseurs critiques : intégrateurs, éditeurs de MES, fournisseurs cloud, et — point que beaucoup n’ont pas encore intégré — leur éditeur de GMAO. Si votre GMAO est hébergée en SaaS et qu’elle contient des données sur vos actifs industriels critiques, votre fournisseur entre dans le périmètre de votre analyse de la chaîne d’approvisionnement. Vous devez être en mesure de démontrer que ce fournisseur répond à des exigences de sécurité proportionnées.

Concrètement, cela se traduit par des questions très précises lors de l’évaluation de votre solution GMAO : l’hébergement est-il localisé en France ou en Europe ? Le modèle d’architecture garantit-il l’isolation de vos données par rapport à d’autres clients ? Les accès sont-ils tracés et auditables ? Des SLAs de disponibilité et de sécurité sont-ils contractuellement définis ? Ces critères, qui semblaient relever du seul confort opérationnel, deviennent des éléments de votre dossier de conformité NIS2.

3.2 Single Tenant vs SaaS mutualisé : un choix qui a des implications de conformité

Dans un modèle SaaS mutualisé (multi-tenant), plusieurs organisations partagent la même infrastructure. Un incident de sécurité chez un autre client du même hébergeur peut créer des effets de bord sur votre environnement, ou au minimum, rendre difficile la démonstration que vos données n’ont pas été exposées. Dans un contexte NIS2, cette ambiguïté est problématique.

Un modèle Single Tenant, où chaque client dispose d’un environnement dédié et isolé, élimine cette incertitude : les logs sont les vôtres, les accès sont les vôtres, et la démonstration de la sécurité de vos données est directe. C’est l’une des raisons pour lesquelles l’architecture Single Tenant et la souveraineté des données passent du statut d’argument différenciateur à celui d’exigence fonctionnelle pour les entités soumises à NIS2. Odexio opère précisément sur ce modèle, avec un hébergement en France, pour répondre à ces impératifs de traçabilité et d’isolation.

3.3 L’intégration GMAO/SI : un vecteur d’attaque à sécuriser

Une GMAO raccordée à l’ERP, aux systèmes de production et aux outils d’achat multiplie ses points d’entrée potentiels. NIS2 impose une segmentation IT/OT documentée et une politique de contrôle d’accès rigoureuse sur l’ensemble des interfaces. Cela signifie que chaque flux d’intégration — synchronisation des stocks avec l’ERP, remontée des données IoT vers la GMAO, déclenchement d’ordres de travail depuis le MES — doit être inventorié, documenté et sécurisé.

Le sujet de l’intégration de la GMAO à votre système d’information prend une dimension supplémentaire sous l’angle NIS2 : bien intégrer, c’est aussi savoir sécuriser chaque interface et documenter chaque flux pour être en mesure de le défendre en cas d’audit.

4. Construire votre réponse NIS2 à partir de la GMAO : une approche pragmatique

4.1 Auditer l’état réel de votre GMAO avant de construire votre dossier

Avant de prétendre que votre GMAO contribue à votre conformité NIS2, une question s’impose : est-elle réellement à jour ? Un référentiel d’équipements incomplet, des ordres de travail clôturés sans renseignement des causes de panne, une documentation technique non versionnée — autant de lacunes qui transforment un actif potentiel en passif lors d’un audit.

L’audit de la qualité des données GMAO est donc la première étape pragmatique. Il ne s’agit pas d’un projet informatique mais d’un travail terrain : recenser les équipements OT non référencés, corriger les libellés incohérents, s’assurer que les historiques d’intervention sont complets et exploitables. Ce chantier de données est souvent repoussé — à tort — car perçu comme ingrat. Il est pourtant le fondement de tout le reste.

4.2 Définir les KPI de conformité que la GMAO peut alimenter

NIS2 ne définit pas de tableaux de bord imposés, mais la logique de gestion des risques qu’elle prescrit suppose un pilotage continu. Votre GMAO peut naturellement alimenter des indicateurs pertinents pour ce pilotage : taux d’équipements OT avec historique d’intervention à jour, délai moyen de traitement des anomalies signalées, couverture documentaire des procédures de maintenance critique, nombre d’équipements sans plan de maintenance préventive défini.

Ces métriques ne sont pas des KPI de cybersécurité au sens strict, mais ils démontrent le niveau de maîtrise opérationnelle de votre parc — ce que tout auditeur cherche à évaluer. Les KPI GMAO à piloter selon vos objectifs méritent d’être relus à l’aune de ces nouvelles exigences : certains indicateurs de performance maintenance sont aussi, indirectement, des preuves de maturité de gestion des risques.

4.3 Anticiper la fin de support Maximo 7.6 dans votre feuille de route NIS2

Un point de calendrier que les directions techniques ne peuvent plus ignorer : IBM a annoncé la fin de support de Maximo 7.6.1.x au 30 septembre 2025. Opérer sur une version sans support, c’est opérer sur une version sans correctifs de sécurité. Dans un contexte NIS2, où l’obligation de gestion des vulnérabilités est explicite, maintenir un système de GMAO non supporté fragilise directement votre posture de conformité.

La migration vers la Maximo Application Suite (MAS), cloud-native, n’est donc plus seulement une évolution fonctionnelle souhaitable : elle s’inscrit dans la logique de votre plan de conformité NIS2. Retarder cette migration, c’est cumuler un risque opérationnel et un risque de conformité. Odexio accompagne ses clients dans cette transition selon une méthodologie structurée, pour que la montée de version devienne un levier de mise en conformité plutôt qu’un chantier subi.

Questions fréquentes

Ma GMAO elle-même est-elle dans le périmètre NIS2 en tant que logiciel critique ?

Oui, potentiellement. L’article 21(d) de NIS2 impose un audit des fournisseurs critiques, dont les éditeurs de logiciels qui accèdent à vos systèmes d’information ou qui hébergent des données opérationnelles sensibles. Si votre GMAO est hébergée en SaaS, votre fournisseur cloud entre dans le scope de votre analyse de la chaîne d’approvisionnement. C’est précisément pourquoi l’architecture du service (Single Tenant, hébergement en France, SLAs documentés, accès auditables) devient un critère de sélection à part entière, et non plus un simple argument commercial.

La directive NIS2 a-t-elle été transposée en droit français ? Quand entre-t-elle en vigueur en France ?

La date limite de transposition pour les États membres était fixée au 17 octobre 2024. Pour connaître l’état exact de la transposition en droit français et les obligations applicables à votre entité, nous vous recommandons de consulter directement l’ANSSI (Agence nationale de la sécurité des systèmes d’information) et son portail MonEspaceNIS2, qui est la source officielle de référence pour les entités concernées en France.

Une PME industrielle de moins de 250 salariés peut-elle être concernée par NIS2 ?

En règle générale, les critères de taille (plus de 250 salariés ou chiffre d’affaires supérieur à 50 millions d’euros) conditionnent la classification en entité essentielle. Cependant, NIS2 prévoit des cas particuliers : certaines entités de taille plus réduite peuvent être incluses si leur activité est jugée critique pour l’économie ou la société. La directive mentionne explicitement que les autorités compétentes peuvent intégrer des entités plus petites sur décision motivée. Pour savoir si votre entreprise est concernée, le point de départ incontournable reste le questionnaire d’auto-évaluation de l’ANSSI disponible sur MonEspaceNIS2.

En cas d'incident cyber sur un système OT, quel est le délai de signalement à l'ANSSI ?

L’article 23 de NIS2 impose un processus en trois temps : une alerte précoce dans les 24 heures suivant la détection de l’incident, une notification intermédiaire sous 72 heures, et un rapport final détaillé dans le mois qui suit. Ce délai très court rend indispensable la mise en place de procédures de réponse aux incidents documentées et testées avant toute crise — un point sur lequel la GMAO peut jouer un rôle de support en fournissant instantanément l’historique des interventions sur les équipements concernés.

Quelle différence entre la segmentation IT/OT exigée par NIS2 et la simple séparation réseau habituelle ?

La segmentation réseau classique vise à éviter la propagation latérale d’une intrusion. NIS2, via les référentiels ANSSI et la norme IEC 62443, va plus loin : elle exige une segmentation fonctionnelle et documentée, avec des politiques de contrôle d’accès distinctes par zone, des procédures de réponse aux incidents OT séparées de celles du périmètre IT, et un inventaire précis des automates, RTU et autres actifs industriels connectés. La GMAO intervient ici non pas comme outil réseau, mais comme registre de référence pour identifier et documenter ces actifs.

Conclusion

NIS2 n’est pas une directive IT de plus à gérer depuis la DSI. Pour les organisations industrielles, elle redessine le périmètre de la responsabilité opérationnelle : vos systèmes OT, vos actifs de production, vos fournisseurs de logiciels critiques — tout cela entre désormais dans un cadre d’obligations documentées, auditables et sanctionnables. Et au centre de tout ce dispositif, il y a une donnée que vous produisez déjà, ou que vous devriez produire : celle de votre GMAO.

Un inventaire d’actifs rigoureux, un historique d’interventions exploitable, une documentation technique accessible et à jour, une architecture d’hébergement traçable et isolée — ce sont les briques élémentaires de votre réponse NIS2 côté terrain. Elles ne remplacent pas une démarche de cybersécurité OT structurée, mais elles la fondent. Ignorer cette dimension, c’est construire votre conformité sur du sable.

Si vous souhaitez évaluer comment votre GMAO actuelle se positionne face à ces exigences, ou si vous envisagez de passer à une solution GMAO/EAM dont l’architecture répond nativement aux impératifs de souveraineté et de traçabilité de NIS2, l’équipe Odexio peut vous accompagner dans ce diagnostic. Demandez une démo pour en discuter avec nos experts.