Énergie et industrie : NIS2, ISO 27001 et ISO 50001

L’annexe I de la directive (UE) 2022/2555, dite NIS2, classe l’énergie parmi les secteurs hautement critiques. Elle couvre cinq sous-secteurs.

Une entité de ces sous-secteurs qui dépasse les plafonds de l’entreprise moyenne (au moins 250 salariés, ou plus de 50 millions d’euros de chiffre d’affaires et plus de 43 millions d’euros de bilan) est en principe une entité essentielle. Une entreprise de taille moyenne du même sous-secteur est une entité importante. Le détail des critères figure sur notre page NIS2 : entités concernées.

Le projet de loi français qui transpose NIS2 transpose aussi la directive (UE) 2022/2557 sur la résilience des entités critiques, qui porte sur la résilience physique d’opérateurs désignés, dont une partie relève de l’énergie. Son état d’avancement est présenté dans NIS2 en France : ce que change la transposition.

L’annexe II regroupe les « autres secteurs critiques ». Pour l’industrie, elle vise la fabrication de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro, de produits informatiques, électroniques et optiques, d’équipements électriques, de machines et équipements, de véhicules automobiles, remorques et semi-remorques, et d’autres matériels de transport (divisions 26 à 30 de la NACE). Elle couvre aussi la fabrication et la distribution de produits chimiques, ainsi que la production, la transformation et la distribution de denrées alimentaires.

Les entreprises moyennes et grandes de ces secteurs sont en principe des entités importantes, contrôlées a posteriori (article 33). La différence avec les entités essentielles porte sur la supervision et le plafond des amendes. Les mesures de gestion des risques de l’article 21 s’appliquent aux deux catégories.

Un sous-traitant industriel sous les seuils n’est pas visé directement. Ses clients peuvent en revanche lui imposer des exigences, car l’article 21 leur demande de traiter la sécurité de leur chaîne d’approvisionnement : clauses contractuelles, audits, questionnaires de sécurité fournisseurs.

ISO/IEC 27001:2022 porte sur toute l’information de l’organisation, y compris celle que traitent les systèmes industriels : supervision (SCADA), automates, réseaux d’atelier, postes d’ingénierie. Ces systèmes entrent dans le certificat s’ils figurent dans le périmètre du système de management de la sécurité de l’information (SMSI), défini par l’organisation et vérifié par l’auditeur.

L’auditeur examine alors l’appréciation des risques propre à ces environnements, dont l’indisponibilité peut arrêter un procédé de production, et l’effet de chaque risque sur la confidentialité, l’intégrité et la disponibilité. Il vérifie la déclaration d’applicabilité, qui justifie l’inclusion et l’exclusion de chaque mesure de l’annexe A. Des mesures comme la séparation des réseaux (A.8.22), la gestion des vulnérabilités techniques (A.8.8), la journalisation (A.8.15) ou la sécurité des relations avec les fournisseurs (A.5.19 à A.5.22) y prennent une forme propre au contexte industriel.

La série IEC 62443 traite spécifiquement de la sécurité des systèmes d’automatisation et de commande industriels. Elle porte sur les composants, les systèmes et les intervenants, alors qu’ISO 27001 porte sur le système de management : les deux référentiels peuvent coexister sur un même site.

Certi-Trust réalise la certification ISO 27001 sous accréditation COFRAC n° 4-0612.

ISO 50001:2018, complétée par l’amendement 1:2024, fixe les exigences d’un système de management de l’énergie : politique énergétique, revue énergétique, usages énergétiques significatifs, indicateurs de performance énergétique, situation énergétique de référence, objectifs et plans d’action. L’auditeur vérifie que l’organisation améliore sa performance énergétique et qu’elle le démontre par des données mesurées.

Certi-Trust réalise la certification ISO 50001.

ISO 14001, dont l’édition 2026 a été publiée en avril 2026, encadre le système de management environnemental : aspects environnementaux significatifs, obligations de conformité, perspective du cycle de vie, préparation aux situations d’urgence. ISO 45001:2018 porte sur la santé et la sécurité au travail : identification des dangers, évaluation des risques, consultation et participation des travailleurs, maîtrise des activités externalisées.

Ces normes partagent avec ISO 27001 et ISO 50001 la même structure en chapitres 4 à 10. Une organisation qui vise plusieurs certifications peut donc être évaluée lors d’un audit combiné, chaque norme restant évaluée selon ses propres exigences.

Certi-Trust réalise la certification ISO 14001 et la certification ISO 45001 sous accréditation COFRAC n° 4-0612. Organisme d’évaluation, il ne conseille pas les organisations qu’il certifie, conformément à ISO/IEC 17021-1. Pour préciser le périmètre d’un site ou d’un groupe, vous pouvez échanger avec un auditeur.

Un fournisseur d’électricité est-il une entité essentielle au sens de NIS2 ?
En principe oui, s’il dépasse les plafonds de l’entreprise moyenne, l’électricité relevant de l’annexe I. Une entreprise de taille moyenne du même sous-secteur est une entité importante. Le classement définitif dépend de la loi française de transposition.

Une PME industrielle est-elle concernée par NIS2 ?
Si elle fabrique des produits listés à l’annexe II et atteint la taille d’une entreprise moyenne, elle est en principe une entité importante. En deçà, elle n’est pas visée directement, mais ses clients soumis à NIS2 peuvent lui imposer des exigences de sécurité par contrat.

Peut-on auditer plusieurs normes en même temps ?
Oui. Les normes ISO de systèmes de management partagent la même structure, et un audit combiné couvre plusieurs référentiels lors d’une même intervention. Chaque norme reste évaluée selon ses propres exigences.