NIS2 pour les entreprises de logistique et de transport
NIS2 couvre des types d'entités de transport précis à l'annexe I et les services postaux et de courrier à l'annexe II. Les transporteurs routiers, les commissionnaires de transport et les exploitants d'entrepôts n'en font pas partie. Voici qui est dans le champ, qui n'y est pas, et ce qui atteint les autres en tant que fournisseurs.
À quelles entreprises de logistique NIS2 s'applique-t-il ?
La logistique est l'épine dorsale de l'économie physique. Une cyberattaque qui arrête un grand prestataire logistique n'affecte pas qu'une seule entreprise : elle perturbe les chaînes d'approvisionnement de dizaines, voire de centaines de clients. L'UE classe le transport à l'annexe I (secteurs hautement critiques), mais seulement certains types d'entités qui s'y trouvent, pas la logistique dans son ensemble.
NIS2 ne couvre pas le transport en général. Il énumère des types d'entités précis : transporteurs aériens, aéroports et contrôle du trafic aérien ; gestionnaires d'infrastructure ferroviaire et entreprises ferroviaires ; compagnies de transport par voie navigable intérieure, maritime et côtier, exploitants de ports et services de trafic maritime ; autorités routières responsables de la gestion du trafic et exploitants de systèmes de transport intelligents (annexe I, secteur 2) ; et services postaux et de courrier (annexe II, secteur 1). Les entreprises de fret ferroviaire et de transport maritime sont donc dans le champ, le fret routier ne l'est pas. Une entreprise de transport routier, un commissionnaire de transport ou un exploitant d'entrepôt ne fait pas partie de ces types, et n'est donc pas dans le champ pour cette activité, quelle que soit sa taille. Elle peut tout de même recevoir des exigences NIS2 en tant que fournisseur : les clients qui sont dans le champ doivent gérer la sécurité de leurs fournisseurs directs (article 21(2)(d) NIS2, § 30 Abs. 2 Nr. 4 BSIG) et répercutent souvent les exigences par leurs contrats. Cela ne fait pas du fournisseur une entité. Pour les types énumérés, les entreprises atteignant le seuil de taille (50 salariés ou plus, ou chiffre d'affaires et total du bilan chacun supérieurs à 10 millions d'euros) sont dans le champ. Les grandes entreprises (250 salariés ou plus) d'un type de l'annexe I sont classées comme entités essentielles. Les entreprises moyennes (50 à 249 salariés) sont des entités importantes (wichtige Einrichtungen), et les services postaux et de courrier comptent comme entités importantes à toute taille supérieure au seuil. Les deux sont soumises à l'ensemble des obligations NIS2.
Les entreprises de logistique modernes fonctionnent sur des systèmes informatiques interconnectés. Les systèmes de gestion du transport (TMS) orchestrent les expéditions. La gestion de flotte suit les véhicules en temps réel. Les systèmes de gestion d'entrepôt (WMS) pilotent les stocks et la préparation de commandes. Les unités télématiques des camions transmettent position, vitesse, température et données conducteur. Si l'un de ces systèmes tombe en panne, l'exploitation s'arrête ou devient dangereusement inefficace. Si votre entreprise fait partie des types d'entités énumérés, NIS2 vous impose d'identifier ces dépendances et de gérer systématiquement les risques de cybersécurité.
Système de gestion du transport (TMS)
Le système central pour la planification des expéditions, la gestion des transporteurs, l'optimisation des itinéraires et la facturation du fret. Les systèmes courants comprennent SAP TM, Oracle Transportation Management, Transporeon ou CargoWise. Si le TMS tombe en panne, vous ne pouvez plus planifier ni répartir les expéditions. Une entrée d'actif.
Gestion de flotte et télématique
Suivi GPS, diagnostic des véhicules, enregistrement des heures de conduite (intégration du tachygraphe numérique), gestion du carburant et suivi des itinéraires. Les unités télématiques de chaque véhicule transmettent des données en continu. Des systèmes comme Webfleet, Trimble, Samsara ou des solutions spécifiques à la flotte. Une compromission pourrait entraîner une perte de visibilité des véhicules, une manipulation des registres conducteur ou un suivi non autorisé. À regrouper en un seul actif.
Système de gestion d'entrepôt (WMS)
Gestion des stocks, optimisation de la préparation de commandes, réception et expédition des marchandises, et intégration avec le TMS et l'ERP. Peut inclure des scanners code-barres/RFID, des systèmes automatisés de stockage et de récupération, et des commandes de convoyeurs. Des systèmes comme SAP EWM, Manhattan Associates ou Korber. Si le WMS tombe en panne, l'exploitation de l'entrepôt revient à des processus manuels à une fraction du débit normal.
Système ERP et finance
Gestion des clients, administration des contrats, facturation, achats et reporting financier. Couramment SAP, Microsoft Dynamics ou Sage. En logistique, l'ERP s'intègre souvent étroitement au TMS pour la facturation et les portails clients. Une compromission affecte le chiffre d'affaires, les relations clients et le reporting financier. Une entrée d'actif.
Infrastructure réseau
Le réseau reliant les bureaux, les entrepôts et la télématique des véhicules. Comprend les liaisons WAN entre sites, les connexions VPN pour les travailleurs mobiles et les conducteurs, le Wi-Fi dans les entrepôts et les connexions cellulaires pour la télématique de flotte. Les entreprises de logistique ont souvent des réseaux répartis sur de nombreux sites : l'infrastructure de chaque site devrait être documentée. À regrouper par type de site.
Terminaux et appareils mobiles
PC de bureau, terminaux d'entrepôt, scanners portatifs, tablettes conducteur et smartphones. La logistique compte une proportion d'appareils mobiles et durcis plus élevée que la plupart des secteurs. Incluez la gestion des appareils mobiles (MDM) si elle est utilisée. Grundschutz autorise le regroupement : « 60 scanners portatifs d'entrepôt » constituent une entrée. Incluez aussi les tablettes conducteur comme entrée regroupée distincte.
1. S'enregistrer auprès du BSI
Effectuez votre enregistrement au titre de l'article 33 BSIG si votre entreprise fait partie des types d'entités énumérés. Le transport est un secteur de l'annexe I, de sorte que les grandes entreprises d'un type énuméré font l'objet d'une supervision proactive du BSI. Enregistrez-vous sur le BSI-Portal (portal.bsi.bund.de). Vous vous connectez avec un certificat d'organisation ELSTER de « Mein Unternehmenskonto » (MUK). L'enregistrement est une obligation à part entière, avec un délai de trois mois à compter du moment où vous comptez pour la première fois comme une entité (§ 33(1) BSIG).
2. Constituer votre inventaire des actifs
Cartographiez votre TMS, votre gestion de flotte, votre WMS, votre ERP et l'infrastructure de support. Pour chaque système, documentez ce qu'il fait, où il s'exécute, qui le gère et ce qui se passe s'il est indisponible pendant 4 heures (la logistique est sensible au temps). Accordez une attention particulière à la télématique : des dizaines ou des centaines d'appareils connectés sur le terrain constituent une surface d'attaque unique.
3. Mettre en place la notification d'incidents
La logistique fonctionne selon des plannings serrés. Une cyberattaque qui retarde les expéditions de quelques heures seulement peut avoir des conséquences contractuelles et financières. Définissez ce qui constitue un incident important, établissez la chaîne de notification au BSI (24 h / 72 h / 1 mois) et créez des procédures internes d'escalade qui tiennent compte du caractère 24/7 de l'exploitation logistique. Incluez les scénarios de week-end et d'équipe de nuit.
4. Documenter les relations fournisseurs
Les entreprises de logistique dépendent fortement de l'informatique tierce : TMS hébergé dans le cloud, fournisseurs de télématique en SaaS, partenaires EDI et plateformes de transporteurs. Documentez chaque fournisseur informatique, les données auxquelles il accède et les mesures de sécurité auxquelles il s'engage. Votre fournisseur de TMS a probablement plus d'accès à vos données d'exploitation que n'importe quel salarié. Incluez-le dans votre évaluation de la sécurité de la chaîne d'approvisionnement au titre de l'article 30(2)(4) BSIG.
5. Réviser les contrôles d'accès
La logistique dispose d'une main-d'œuvre répartie : personnel de bureau, employés d'entrepôt, conducteurs et répartiteurs, chacun ayant besoin d'un accès différent aux systèmes. Mettez en place des contrôles d'accès fondés sur les rôles, imposez la MFA pour l'accès distant et administratif, et veillez à ce que les comptes des conducteurs et des travailleurs temporaires soient désactivés sans délai à la fin de l'emploi. Les comptes partagés sur les terminaux d'entrepôt sont courants, mais devraient être remplacés par des identifiants individuels lorsque c'est réalisable.
Les entreprises de logistique exploitent l'un des environnements informatiques les plus distribués de tous les secteurs. Les actifs ne sont pas dans un seul bâtiment : ils sont répartis entre bureaux, entrepôts, centres de distribution et des centaines de véhicules sur la route. Chaque camion équipé d'une unité télématique est un terminal connecté. Chaque scanner d'entrepôt est un appareil sur votre réseau. Cette empreinte distribuée rend la sécurité périmétrique traditionnelle moins efficace et accroît l'importance de la gestion des appareils, de la segmentation du réseau et des contrôles d'accès fondés sur l'identité.
La sensibilité au temps de la logistique crée un défi unique pour la réponse aux incidents. Dans une entreprise manufacturière, vous pourriez tolérer une panne de système de 24 heures. En logistique, 4 heures d'indisponibilité du TMS signifient des fenêtres de livraison manquées, des pénalités contractuelles et des retards en cascade. Votre plan de réponse aux incidents doit tenir compte de cela : quelles procédures de repli manuel existent ? Les répartiteurs peuvent-ils router les expéditions par téléphone ? L'exploitation de l'entrepôt peut-elle continuer avec une préparation de commandes sur papier ? Ces questions de continuité d'activité sont aussi importantes que le plan technique de reprise.
Les entreprises de logistique sont aussi profondément intégrées aux systèmes de leurs clients et de leurs transporteurs via l'EDI (échange de données informatisé), des connexions API et des plateformes partagées. Une violation de sécurité dans votre entreprise peut se propager aux clients par ces connexions, et inversement. Votre évaluation de la sécurité de la chaîne d'approvisionnement devrait couvrir non seulement vos fournisseurs informatiques mais aussi les connexions électroniques avec vos partenaires commerciaux. Sécuriser ces interfaces (authentification correcte, transmission chiffrée, validation des entrées) est une exigence NIS2 pour les entreprises dans le champ et une mesure de protection de l'entreprise pour toutes.
Questions fréquentes
Nous sommes une entreprise de fret routier avec 80 camions. Sommes-nous essentielle ou importante ?
Probablement aucune des deux. Le transport routier de marchandises n'est pas un type d'entité au sens de NIS2 ou du BSIG : dans le transport routier, l'annexe I ne couvre que les autorités routières responsables de la gestion du trafic et les exploitants de systèmes de transport intelligents. Vérifiez si vous fournissez aussi des services postaux ou de courrier (annexe II) ou exploitez un système de transport intelligent. Si ce n'est pas le cas, le nombre de camions ou de salariés n'a pas d'importance. Les clients qui sont dans le champ peuvent tout de même vous répercuter des exigences de sécurité par leurs contrats, car ils doivent gérer la sécurité de leurs fournisseurs directs (article 21(2)(d) NIS2). Cela ne fait pas de vous une entité.
Nos unités télématiques de camion sont-elles considérées comme des « actifs » au titre de NIS2 ?
Si votre entreprise fait partie des types d'entités énumérés, oui. Tout système qui soutient vos services de transport critiques est un actif. Les unités télématiques transmettent en temps réel la localisation, la vitesse, la température (pour le transport frigorifique) et les données d'heures de conduite. Ce sont des appareils connectés sur votre réseau. Regroupez-les en une entrée d'actif : par exemple, « 80 unités télématiques Webfleet » plutôt que 80 entrées distinctes. Les risques clés sont : l'accès non autorisé aux données de suivi des véhicules, la manipulation des enregistrements du tachygraphe et l'usage potentiel comme point d'entrée réseau.
Nous utilisons un TMS dans le cloud. Est-ce notre problème ou celui du fournisseur ?
Les deux, mais si votre entreprise est dans le champ, l'obligation légale vous incombe. Au titre de l'article 30 BSIG, vous pouvez externaliser l'exploitation mais pas la responsabilité. Votre fournisseur de TMS cloud est un fournisseur critique au sens de l'article 30(2)(4). Vous devez : documenter le fournisseur dans votre évaluation de la sécurité de la chaîne d'approvisionnement, inclure des exigences de cybersécurité dans le contrat, vérifier que le fournisseur dispose de mesures de sécurité adéquates (certifications, rapports d'audit, engagements de notification d'incident), et disposer d'un plan de contingence si le fournisseur subit une violation ou une panne.
Quel est le rapport entre NIS2 et les règles sur le tachygraphe numérique ?
NIS2 et les règles sur le tachygraphe (règlement (UE) n° 165/2014) sont des textes distincts qui se recoupent sur la sécurité des données. Les règles sur le tachygraphe imposent un enregistrement inviolable des données conducteur. Pour les entités dans le champ, NIS2 ajoute la couche de gestion de la cybersécurité : sécuriser les systèmes informatiques qui traitent et transmettent ces données. La conformité à NIS2 renforce votre position sur les deux, car un environnement informatique bien sécurisé protège l'intégrité des données réglementées.
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
