Documentation

NIS2 et accès distant OT : télémaintenance conforme

La télémaintenance est souvent la porte la plus fragile d’un site industriel : des accès prestataires accumulés au fil des années, des outils hétérogènes, des comptes partagés, peu de traces. La directive européenne NIS2 élargit les obligations de cybersécurité à de nombreux secteurs — dont une large part de l’industrie — et met précisément ces accès sous les projecteurs. Cette page explique, à haut niveau, ce que NIS2 attend des accès distants OT, comment IEC 62443 aide à structurer la réponse technique, et comment VIGIL-MESH outille point par point la brique « accès distant » : contrôle par identité, MFA, journalisation, chiffrement de bout en bout, moindre privilège machine par machine.

Ce que NIS2 attend des accès distants

NIS2 est une directive européenne : elle impose aux entités concernées des mesures de gestion des risques de cybersécurité et des obligations de signalement, transposées dans le droit de chaque État membre. Sans citer d’article, les attentes qui touchent directement la télémaintenance se résument bien :

Gérer les risques, pas seulement les incidents. Savoir quels accès existent, qui les détient, ce qu’ils permettent — et pouvoir le démontrer.
Contrôler et journaliser les accès — y compris ceux des prestataires. La chaîne d’approvisionnement fait partie du périmètre : l’accès du constructeur ou du mainteneur externe doit être maîtrisé au même titre que celui d’un salarié.
Authentifier fortement. L’authentification multifacteur fait partie des mesures attendues pour les accès sensibles.
Appliquer le moindre privilège. Un intervenant ne devrait atteindre que ce que sa mission exige — pas le site entier parce que « le VPN donne accès à tout ».
Connaître ses actifs. Un inventaire à jour de ce qui est raccordé, et de ce qui est joignable à distance, est le préalable de tout le reste.

IEC 62443 : le cadre technique des zones et des conduits

Là où NIS2 fixe des obligations de haut niveau, la série IEC 62443 fournit le vocabulaire technique que l’OT utilise pour y répondre : découper l’installation en zones (des groupes d’actifs partageant le même besoin de sécurité) reliées par des conduits (des canaux de communication contrôlés entre zones). Un accès de télémaintenance est exactement cela : un conduit qui traverse les zones — depuis le poste d’un technicien, souvent hors site, jusqu’à un équipement au cœur de l’installation.

Vu comme un conduit, l’accès distant doit être authentifié (qui est à l’autre bout), chiffré (personne ne lit en chemin), cadré (il ne mène qu’aux actifs prévus) et journalisé (on peut rejouer qui a fait quoi). C’est là que les approches historiques pèchent : le VPN « site entier » ouvre un conduit vers toute une zone, le modem ou l’outil de prise en main installé par un prestataire crée un conduit que personne ne gouverne, et les comptes partagés rendent la journalisation invérifiable.

Attente par attente : comment VIGIL-MESH outille la réponse

VIGIL-MESH construit un réseau privé chiffré entre les machines autorisées — l’agent s’installe sur Windows, Linux, Android, Jetson, et le navigateur peut devenir un nœud éphémère. Aucun port entrant n’est ouvert nulle part, et l’automate nu est joint via une passerelle du site, machine par machine. Sur cette base, chaque attente de haut niveau trouve une réponse concrète :

Attente (à haut niveau)	Réponse VIGIL-MESH
Contrôle des accès fondé sur l’identité	ACL à refus par défaut : des règles par identités, groupes et étiquettes — jamais par adresses. Ce qui n’est pas explicitement autorisé est interdit. Voir les politiques d’accès.
Journalisation des accès et des opérations	Le journal d’audit de la console trace les opérations : qui, quoi, quand — par identité nominative, exploitable en revue périodique.
Authentification multifacteur	La MFA est exigée sur les opérations sensibles du compte et de la console.
Chiffrement des communications	Sessions QUIC/TLS 1.3 chiffrées de bout en bout, échange de clés hybride post-quantique ; les relais sont structurellement aveugles et une vigie privée peut être auto-hébergée. Détail dans le modèle de sécurité.
Moindre privilège	L’accès est accordé machine par machine — jamais un sous-réseau entier : le prestataire ne voit que la machine et le port que sa mission exige, et rien d’autre n’est joignable.
Inventaire des actifs raccordés	L’inventaire de la console liste chaque machine enrôlée, son état et sa dernière connexion ; suspension et révocation sont immédiates.

Inventaire de la console : une machine active avec son adresse overlay, sa dernière connexion et son menu d’actions. — L’inventaire n’est pas un tableur à tenir à jour : c’est l’état réel du réseau — ce qui n’y figure pas n’est pas joignable.

Mettre en conformité les accès des prestataires de maintenance

Le constat, presque toujours le même d’un site à l’autre : les accès des mainteneurs externes se sont accumulés sans gouvernance.

Un VPN « site entier » partagé avec plusieurs prestataires — chacun voit toute la zone, pas seulement sa machine.
Des comptes génériques (« maintenance », « sav ») utilisés par des personnes qui changent — la journalisation ne prouve plus rien.
Des outils de prise en main installés au fil des dépannages, sans MFA ni traces centralisées.
Aucun inventaire fiable de ce qui est joignable depuis l’extérieur — la question « qui peut atteindre cet automate ? » n’a pas de réponse démontrable.

Le panorama complet du cas d’usage — parcs de machines, constructeurs, zones réseau — est décrit dans Télémaintenance industrielle.

Questions fréquentes

Un outil peut-il nous rendre conformes à NIS2 ?

Non. La conformité s’évalue au niveau de l’organisation : gouvernance, analyse de risques, gestion des incidents, formation, continuité. Un outil comme VIGIL-MESH couvre la brique « accès distant » de ce programme — contrôle par identité, MFA, journalisation, chiffrement, moindre privilège — et vous aide à en démontrer la maîtrise, rien de plus, rien de moins.

Sommes-nous concernés par NIS2 ?

Cela dépend de votre secteur, de votre taille et de la transposition nationale applicable — le périmètre est sensiblement plus large que celui de la première directive NIS, et il inclut une grande partie de l’industrie manufacturière. La réponse fiable vient de votre conseil juridique et de votre autorité nationale de cybersécurité (en France, l’ANSSI).

Quel rapport entre NIS2 et IEC 62443 ?

NIS2 est une obligation légale de haut niveau : gérer les risques, contrôler et tracer les accès, notifier les incidents. IEC 62443 est un référentiel technique OT — zones, conduits, niveaux de sécurité — que beaucoup d’industriels utilisent pour structurer leur réponse. Les deux se complètent : la directive dit quoi, le référentiel aide à décider comment.

Comment gérer proprement l’accès d’un prestataire de maintenance ?

Une identité nominative par technicien (jamais de compte partagé), la MFA, des ACL au moindre privilège — sa machine, son port, rien d’autre —, chaque session tracée dans le journal d’audit, et une révocation immédiate à la fin de la mission. C’est exactement le pas-à-pas de cette page.

Les sessions de télémaintenance transitent-elles par vos serveurs ?

Les sessions sont chiffrées de bout en bout (QUIC/TLS 1.3, hybride post-quantique) : quand un relais est nécessaire, la vigie fait transiter des paquets dont elle ne détient pas les clés, et vous pouvez auto-héberger une vigie privée. Le détail est dans le modèle de sécurité.

Lire ensuiteModèle de sécurité →