NIS2 dans les transports : quels opérateurs aériens, ferroviaires, maritimes, fluviaux et routiers sont concernés et ce qui s'applique

NIS2 s’applique aux opérateurs de transport d’un type énuméré à l’annexe I : transporteurs aériens, aéroports, contrôle de la circulation aérienne, gestionnaires de l’infrastructure et entreprises ferroviaires, sociétés de transport par voie d’eau, ports, services de trafic maritime (STM/VTS), autorités routières et exploitants de systèmes de transport intelligents (STI). Les grands opérateurs sont des entités essentielles, ceux de taille moyenne des entités importantes, et les plus petits sont en général hors champ. Les transporteurs routiers de marchandises et les entreprises d’autobus ne sont pas visés.

Ce guide présente les types d’entités par sous-secteur, ce qui n’est pas couvert, le statut d’entité essentielle ou importante, les règles sectorielles qui s’appliquent en parallèle de NIS2, ce qu’exige la conformité, la chaîne d’approvisionnement et les technologies opérationnelles (OT) en pratique, et une liste de contrôle.

Sous-secteur	Types d’entités de l’annexe I	Définis dans	Règles sectorielles en parallèle de NIS2
Aérien	Transporteurs aériens utilisés à des fins commerciales ; entités gestionnaires d’aéroports, aéroports et entités exploitant les installations annexes qui s’y trouvent ; opérateurs du contrôle de la circulation aérienne	Règl. (CE) 300/2008, dir. 2009/12/CE, règl. (CE) 549/2004	Part-IS de l’EASA ; sûreté aérienne, règl. d’exéc. (UE) 2015/1998, point 1.7
Ferroviaire	Gestionnaires de l’infrastructure ; entreprises ferroviaires, y compris les exploitants d’installations de service	Dir. 2012/34/UE	CLC/TS 50701 (une norme, pas une loi)
Par eau	Sociétés de transport par voie d’eau intérieure, maritime et côtier (hors navires pris individuellement) ; entités gestionnaires des ports, installations portuaires et entités exploitant des infrastructures et des équipements dans les ports ; services de trafic maritime	Règl. (CE) 725/2004, dir. 2005/65/CE, dir. 2002/59/CE	Sûreté des navires et des installations portuaires (ISPS) ; OMI MSC.428(98)
Routier	Autorités routières chargées du contrôle de la gestion de la circulation, sauf les entités publiques pour lesquelles c’est une partie non essentielle de leur activité générale ; exploitants de STI	Règl. délégué (UE) 2015/962, dir. 2010/40/UE	Cadre STI (pas une loi de cybersécurité)

Quels opérateurs de transport relèvent de NIS2 ?

Les transports sont l’un des 11 secteurs hautement critiques de l’annexe I. Le critère est le type d’entité, et la plupart des types sont définis par renvoi à un autre acte de l’UE. Lisez cette définition, pas votre propre description de votre activité.

Transport aérien

• Les transporteurs aériens utilisés à des fins commerciales, au sens du règlement (CE) n° 300/2008 relatif à la sûreté de l’aviation civile.
• Les entités gestionnaires d’aéroports et les aéroports au sens de la directive 2009/12/CE, y compris les aéroports du réseau central énumérés en vertu du règlement (UE) n° 1315/2013, ainsi que les entités exploitant les installations annexes se trouvant dans les aéroports.
• Les opérateurs de contrôle de la gestion du trafic qui fournissent des services de contrôle de la circulation aérienne, au sens du règlement (CE) n° 549/2004.

Seul le contrôle de la circulation aérienne est visé, pas l’ensemble des prestataires de services de navigation aérienne. Les organismes de maintenance, les CAMO et les organismes de formation ne sont pas non plus des types de l’annexe I, bien qu’ils relèvent tous de la Part-IS de l’EASA.

Transport ferroviaire

• Les gestionnaires de l’infrastructure au sens de la directive 2012/34/UE.
• Les entreprises ferroviaires au sens de la même directive, y compris les exploitants d’installations de service.

Transport par voie d’eau

• Les sociétés de transport par voie d’eau intérieure, maritime et côtier de passagers et de fret, telles que définies pour le transport maritime à l’annexe I du règlement (CE) n° 725/2004, sans inclure les navires qu’elles exploitent, pris individuellement.
• Les entités gestionnaires des ports au sens de la directive 2005/65/CE, y compris leurs installations portuaires, ainsi que les entités exploitant des infrastructures et des équipements à l’intérieur des ports.
• Les exploitants de services de trafic maritime au sens de la directive 2002/59/CE.

Transport routier

• Les autorités routières au sens du règlement délégué (UE) 2015/962, chargées du contrôle de la gestion de la circulation, à l’exclusion des entités publiques pour lesquelles la gestion de la circulation ou l’exploitation de systèmes de transport intelligents est une partie non essentielle de leur activité générale.
• Les exploitants de systèmes de transport intelligents au sens de la directive 2010/40/UE : les technologies de l’information et de la communication appliquées au transport routier, y compris la gestion de la circulation et de la mobilité.

Les exploitants d’autoroutes ne sont concernés que s’ils répondent à l’une de ces définitions, par exemple en tant qu’exploitants de STI. L’exclusion compte pour les communes et les autres organismes publics qui assurent le contrôle de la circulation parmi de nombreuses autres missions. Vérifiez comment votre droit national l’applique.

Qu’est-ce qui ne relève pas du secteur des transports ?

• Le transport routier de marchandises, la logistique et l’exploitation d’autobus ou d’autocars ne sont pas des types de l’annexe I. Une telle entreprise peut toutefois relever de NIS2 par un autre type, comme les services d’expédition de l’annexe II.
• Les transports publics urbains ne sont pas visés. Un opérateur n’entre dans le champ que si son État membre le recense comme entité critique au titre de la directive CER (UE) 2022/2557, qui couvre les transports publics ; le recensement devait intervenir au plus tard le 17 juillet 2026. Il est alors une entité essentielle, quelle que soit sa taille (articles 2(3) et 3(1)).
• Les fabricants de véhicules et de matériels de transport relèvent de la fabrication, à l’annexe II : véhicules automobiles, remorques et semi-remorques (NACE C29) et autres matériels de transport (C30), qui couvrent les navires, le matériel ferroviaire roulant et les aéronefs. S’ils sont de taille moyenne ou plus grands, ce sont normalement des entités importantes.

Le vérificateur de périmètre NIS2 donne une première réponse. La méthode complète, exclusions comprises, figure dans le guide du champ d’application de NIS2.

Les opérateurs de transport sont-ils des entités essentielles ou importantes ?

Pour les types de l’annexe I, la taille décide, selon la recommandation 2003/361/CE :

• Grande entreprise (250 personnes ou plus, ou chiffre d’affaires supérieur à 50 millions d’euros et total du bilan supérieur à 43 millions d’euros) : entité essentielle.
• Moyenne entreprise (50 personnes ou plus, ou chiffre d’affaires et total du bilan tous deux supérieurs à 10 millions d’euros) : entité importante.
• Petite entreprise ou microentreprise : hors champ, sauf si l’État membre identifie l’entité, par exemple comme seul fournisseur d’un service essentiel, ou si elle est une entité critique au titre de CER.

La taille inclut les entreprises liées et partenaires : une petite filiale portuaire d’un grand groupe peut donc compter comme grande entreprise. Les quatre sous-secteurs des transports, routier compris, figuraient déjà dans NIS1. Si l’État membre le prévoit, les opérateurs de services essentiels identifiés au titre de NIS1 avant le 16 janvier 2023 sont des entités essentielles (article 3(1)(g)).

Les deux catégories ont les mêmes obligations. La supervision et les amendes diffèrent : amende maximale d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et d’au moins 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Le détail figure dans entités essentielles et entités importantes. La proposition COM(2026) 13 ferait en principe des petites entreprises à moyenne capitalisation de l’annexe I des entités importantes ; ce n’est pas du droit en vigueur.

Comment NIS2 s’articule-t-elle avec les règles aériennes, ferroviaires, maritimes et routières ?

Aviation : la Part-IS et la sûreté aérienne

La Part-IS de l’EASA impose un système de gestion de la sécurité de l’information pour les risques susceptibles d’avoir une incidence sur la sécurité aérienne. Elle s’applique depuis le 16 octobre 2025 aux aérodromes et aux organismes de conception et de production, et depuis le 22 février 2026 aux exploitants aériens, aux organismes de maintenance et aux prestataires de services de navigation aérienne.

Selon l’EASA, la Part-IS n’est pas une lex specialis au sens de l’article 4 de NIS2 : une compagnie aérienne ou un aéroport soumis aux deux régimes applique les deux. La reconnaissance joue dans les deux sens, mais elle n’est pas automatique. L’article 5 du règlement d’exécution (UE) 2023/203 et l’article 4 du règlement délégué (UE) 2022/1645 considèrent le respect d’exigences de sécurité NIS équivalentes, désormais lues comme NIS2 (article 44), comme valant respect de la Part-IS. Selon le considérant 29 de NIS2, le respect des exigences de sécurité des règlements (CE) n° 300/2008 et (UE) 2018/1139 « pourrait » être considéré par les autorités compétentes comme le respect des exigences correspondantes de NIS2.

La sûreté aérienne ajoute une troisième couche. Le point 1.7 du règlement d’exécution (UE) 2015/1998, ajouté en 2019, impose aux exploitants d’aéroports, aux transporteurs aériens et aux entités désignées dans le programme national de sûreté de l’aviation civile d’identifier et de protéger les systèmes TIC et les données critiques contre les cyberattaques susceptibles d’affecter la sûreté de l’aviation civile.

Un même incident peut donc être notifié au CSIRT ou à l’autorité NIS2 (24 et 72 heures) et à l’autorité aéronautique au titre de la Part-IS (dans les 72 heures). Les conséquences de la Part-IS pour les fournisseurs sont détaillées dans la Part-IS de l’EASA expliquée.

Ferroviaire : la CLC/TS 50701 est une norme, pas une loi

La référence de cybersécurité propre au ferroviaire est la CLC/TS 50701, une spécification technique du CENELEC publiée pour la première fois en 2021. L’ENISA la décrit comme l’application de l’IEC 62443 aux communications, à la signalisation, au traitement des données, au matériel roulant et aux installations fixes ferroviaires. Ce n’est pas une loi. L’article 21(1) de NIS2 demande seulement que les mesures tiennent compte, s’il y a lieu, des normes européennes et internationales pertinentes.

Maritime : l’ISPS et l’OMI

Le règlement (CE) n° 725/2004 intègre le code ISPS de l’OMI dans le droit de l’UE, et la directive 2005/65/CE couvre la sûreté des ports. Le règlement 725/2004 vise les actes illicites intentionnels en général et n’a pas été rédigé comme une loi de cybersécurité. Les deux comptent ici parce que l’annexe I s’en sert pour définir qui est concerné.

À bord, c’est la voie de l’OMI qui s’applique. La résolution MSC.428(98) de juin 2017 encourage les administrations à veiller à ce que les cyberrisques soient pris en compte dans les systèmes de gestion de la sécurité du code ISM au plus tard lors de la première vérification annuelle du document de conformité de la compagnie après le 1er janvier 2021. Les lignes directrices en vigueur sont celles de la circulaire MSC-FAL.1/Circ.3/Rev.3 du 4 avril 2025.

Routier : les STI et le contrôle de la circulation

La directive 2010/40/UE fixe le cadre du déploiement des systèmes de transport intelligents. C’est un cadre de déploiement, pas une loi de cybersécurité : les obligations de gestion des risques et de notification viennent de NIS2. En pratique, les actifs concernés sont les centres de contrôle de la circulation, la commande des tunnels et de la signalisation, les panneaux à messages variables et les flux de données de trafic.

Qu’exige la conformité à NIS2 dans le secteur des transports ?

La même chose que dans les autres secteurs :

1. Gouvernance (article 20). L’organe de direction approuve et supervise les mesures, suit une formation et peut être tenu responsable.
2. Mesures (article 21). Les dix mesures minimales, selon une approche « tous risques » qui couvre l’environnement physique. Une salle de signalisation inondée compte, comme l’explique l’approche « tous risques ».
3. Notification (article 23). Alerte précoce dans les 24 heures après avoir pris connaissance d’un incident important, notification d’incident dans les 72 heures, rapport final dans un délai d’un mois.
4. Enregistrement (article 3(4)). Coordonnées, plages d’adresses IP, secteur et sous-secteur, avec communication des changements dans un délai de deux semaines.

Les obligations s’appliquent par le droit national, et le 8 juillet 2026, la Commission a saisi la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas pour défaut de communication des mesures de transposition. Vérifiez ce qui est en vigueur là où vous opérez. La vue d’ensemble du programme figure sur la page conformité NIS2.

Chaîne d’approvisionnement, OT et accès des prestataires : ce que NIS2 laisse ouvert

L’article 21(2)(d) et l’article 21(3) exigent une sécurité de la chaîne d’approvisionnement qui tienne compte des vulnérabilités propres à chaque fournisseur direct, de la qualité de ses produits et de ses pratiques en matière de cybersécurité, y compris le développement sécurisé, ainsi que des résultats des évaluations coordonnées des risques menées au niveau de l’UE. Ils ne disent rien de la signalisation, des systèmes de contrôle aérien ni des grues portuaires, et c’est là que l’écart est le plus grand.

En pratique, trois éléments déterminent les programmes dans les transports :

• L’OT fonctionne pendant des décennies. Les systèmes de signalisation, de contrôle de la circulation et de terminal survivent au cycle de correctifs de leur fournisseur, et les modifications peuvent nécessiter une approbation de sécurité. La segmentation, la surveillance et la restriction des accès portent la charge que les correctifs ne peuvent pas assumer.
• Les prestataires détiennent les clés. Les prestataires de maintenance se connectent à distance à l’OT, souvent par des VPN permanents et des comptes partagés. Les politiques de contrôle d’accès (article 21(2)(i)) et l’authentification à plusieurs facteurs (MFA), selon les besoins (article 21(2)(j)), sont difficiles à contester sur ce chemin.
• L’évaluation n’est pas le contrôle. Un questionnaire consigne une politique. Il ne montre pas qui s’est connecté au réseau de signalisation mardi dernier.

Une approche raisonnable consiste à tenir un registre comme celui-ci, revu chaque trimestre. La méthode correspondante est présentée dans la sécurité de la chaîne d’approvisionnement NIS2.

REGISTRE DES ACCÈS PRESTATAIRES, TRANSPORTS (une ligne par chemin d'accès)

Prestataire        : société, référence du contrat, criticité
Système atteint    : ex. signalisation, ATC, terminal portuaire, circulation
Zone               : IT ou OT, segment de réseau atteint
Méthode d'accès    : VPN, serveur de rebond, portail fournisseur, PC sur site
Comptes            : personnes nommées uniquement, aucun compte partagé
Authentification   : MFA oui / non, méthode
Fenêtre d'accès    : permanente / sur demande / limitée (heures)
Approbation        : qui approuve chaque session
Journalisation     : session enregistrée ? où les journaux sont-ils gardés ?
Clause d'incident  : le prestataire vous notifie sous [x] heures
Dernière revue     : date, réviseur, résultat

Tenu à la main, il est obsolète la semaine qui suit la revue. Alimenté par la passerelle d’accès, le fournisseur d’identité et l’outil de tickets, avec une personne qui examine les exceptions, il reste à jour. C’est ainsi que fonctionne la plateforme CloudSoul : automatisée, avec une expertise humaine dans la boucle.

Liste de contrôle NIS2 pour les transports

• Rattachez chaque entité juridique à un type de l’annexe I en utilisant la définition de l’acte de référence.
• Calculez la taille en incluant les entreprises liées et partenaires, et consignez le résultat.
• Vérifiez si vous êtes une entité critique au titre de CER ou si vous étiez un opérateur de services essentiels au titre de NIS1.
• Enregistrez-vous auprès de votre autorité compétente et tenez vos informations à jour.
• Cartographiez tous les circuits de notification d’un même incident : NIS2, Part-IS, sûreté aérienne et autorités de sécurité.
• Listez chaque prestataire disposant d’un accès à distance à l’OT, avec MFA et journalisation sur chaque chemin.
• Intégrez des clauses de sécurité et de notification des incidents dans les contrats avec les fournisseurs critiques.
• Testez la restauration et le mode dégradé manuel pour la circulation, la signalisation ou les opérations portuaires.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 34 et 44, considérant 29, annexes I et II, EUR-Lex. Texte des articles : article 21, considérants 21 à 30.
• Directive (UE) 2016/1148 (NIS1), annexe II, transports, legislation.gov.uk.
• Directive (UE) 2022/2557 (directive CER), articles 2 et 6, EUR-Lex, et règlement délégué (UE) 2023/2450 de la Commission (liste des services essentiels), EUR-Lex.
• Recommandation 2003/361/CE de la Commission (définition des PME), EUR-Lex.
• Règlement délégué (UE) 2022/1645 de la Commission (Part-IS), articles 2, 4 et 8, EUR-Lex, et règlement d’exécution (UE) 2023/203, articles 2, 5 et 16 et point IS.I.OR.230, EUR-Lex ; EASA, réglementation sur la sécurité de l’information et dates d’application et FAQ 139289 sur la Part-IS et NIS2.
• Règlement d’exécution (UE) 2019/1583 de la Commission modifiant le règlement d’exécution (UE) 2015/1998 en ce qui concerne les mesures de cybersécurité, point 1.7, EUR-Lex.
• Règlement (CE) n° 725/2004 relatif à l’amélioration de la sûreté des navires et des installations portuaires, EUR-Lex.
• Directive 2010/40/UE (systèmes de transport intelligents), article 4, EUR-Lex.
• OMI, cyberrisques maritimes : résolution MSC.428(98), OMI, et lignes directrices sur la gestion des cyberrisques maritimes, MSC-FAL.1/Circ.3/Rev.3, 4 avril 2025, OMI.
• ENISA, Railway cybersecurity: good practices in cyber risk management, 25 novembre 2021, ENISA.
• Proposition COM(2026) 13 modifiant la directive (UE) 2022/2555, 20 janvier 2026, Commission européenne.
• La Commission saisit la Cour de justice contre l’Irlande, l’Espagne, la France et les Pays-Bas, 8 juillet 2026, Commission européenne.

Questions fréquentes