L'authentification multifacteur — souvent abrégée en MFA, un contrôle supplémentaire en plus du mot de passe, par exemple un code sur le téléphone — n'est pas explicitement énoncée comme une obligation dans la directive NIS2 ou la loi néerlandaise sur la cybersécurité. Ce qui figure dans l'obligation de diligence de l'article 21, c'est que les organisations prennent des mesures techniques et organisationnelles appropriées pour, entre autres, l'authentification d'accès. Pour la plupart des systèmes de bureau, des applications cloud et de l'accès externe dans l'industrie métallurgique et manufacturière, cela signifie en pratique : oui, l'authentification multifacteur en fait généralement partie. Pour les machines et les systèmes de commande en atelier, la situation est plus nuancée, et cet article l'aborde plus en détail.
La différence réside dans ce qu'un système peut techniquement faire et quel est le risque si un mot de passe seul s'avère insuffisant. Un portail de connexion pour le télétravail ou une administration cloud peut presque toujours ajouter une étape de vérification supplémentaire. Une console PLC vieille de vingt ans en atelier de production souvent pas, et la question se transforme alors de « MFA ou pas » en « quelle autre mesure compense cela ».
Ce que l'obligation de diligence attend de vous
L'obligation de diligence n'énumère pas une liste fixe de produits ou de marques. Les autorités de surveillance et la directive elle-même parlent de mesures qui correspondent aux risques, à l'état de la technique et aux coûts de mise en œuvre. L'authentification d'accès est l'un des sujets récurrents : qui peut accéder à quoi, comment cela est-il contrôlé, et que se passe-t-il si un mot de passe est volé ou deviné. L'authentification multifacteur est actuellement l'une des façons les plus courantes de répondre à cette question, et c'est pourquoi elle réapparaît dans pratiquement toutes les applications de cette mesure que nous rencontrons — y compris chez les autorités de surveillance d'autres États membres. Comment cela a été précisément transposé dans votre pays, et quelle explication supplémentaire l'autorité de surveillance en donne, vous pouvez le vérifier via passer en revue la transposition par sujet.
Où l'authentification multifacteur est généralement attendue
Dans une entreprise métallurgique ou manufacturière, les endroits où cela est le plus évident sont souvent les mêmes : l'accès à l'environnement cloud et à l'administration, la boîte de réception des collaborateurs, l'accès externe via VPN pour ceux qui travaillent à distance, et surtout les comptes disposant de droits d'administration — l'administrateur informatique, l'administrateur système du progiciel de gestion intégré, celui qui peut accéder aux sauvegardes. Ce sont précisément ces comptes administrateur qui sont attrayants pour un attaquant, car un seul mot de passe volé donne immédiatement accès à bien plus qu'une seule boîte aux lettres. Les donneurs d'ordre qui envoient un questionnaire de sécurité posent presque toujours explicitement cette question, et une réponse vide à cette question est généralement plus difficile à justifier qu'une honnête « pas encore partout, selon ce calendrier ».
Où les systèmes de production demandent une approche différente
L'atelier est une autre histoire. Une machine CNC, un système SCADA ou un automate qui dure des décennies n'a souvent pas été conçu avec un écran de connexion qui supporte une deuxième étape de vérification. Ici, l'obligation de diligence ne remplace pas l'impossible par une obligation, mais déplace l'attention vers d'autres mesures supplémentaires : isoler le système dans un segment réseau distinct, limiter l'accès physique à la salle de commande, et bien documenter qui pouvait accéder à quelle machine et quand. La segmentation — la séparation du réseau de production par rapport au réseau de bureau — est dans ces cas souvent la mesure qui comble l'écart que l'authentification multifacteur ferme ailleurs. Où une machine est néanmoins connectée au réseau d'entreprise, par exemple pour la surveillance à distance ou les mises à jour logicielles, cette connexion elle-même compte comme un risque qui demande de l'attention, même si cela ne change rien à la technologie de la machine.
Comment faire cette distinction dans la pratique
Une première étape utile consiste à dresser un inventaire de tous les systèmes qui donnent accès aux données métier ou aux processus de production, en vous posant pour chaque système la question suivante : cette solution peut-elle techniquement mettre en œuvre l'authentification multifacteur, et si ce n'est pas le cas, qu'en est-il de notre alternative. Cet inventaire est précisément l'endroit où un dossier vivant prouve sa valeur, car une réponse d'aujourd'hui peut être invalidée par une mise à jour logicielle de demain. Que votre organisation soit elle-même soumise à l'obligation de diligence, ou que vous receviez cette question parce qu'un donneur d'ordre vous la pose, vous pouvez découvrez en cinq questions où vous en êtesSi vous hésitez encore sur des notions telles que la segmentation ou les comptes administrateurs, vous trouverez également des réponses aux questions fréquemment posées à votre disposition.
L'authentification multifacteur n'est donc pas une simple case à cocher qui se présente de manière identique partout, mais une mesure qui reçoit une configuration différente selon chaque système. Pour votre situation propre et pour la question de savoir si une exception spécifique à vos machines est tenable face à un donneur d'ordre ou une autorité de contrôle, les conseils juridiques ou la consultation de l'autorité de contrôle restent la voie appropriée — secria.eu décrit ce qui s'applique et aide à l'enregistrer, mais ne se prononce pas sur votre situation individuelle.
Souhaitez-vous que cet inventaire soit présenté pour votre propre entreprise, y compris les systèmes qui vous concernent ou non ? Effectuez l'audit rapide gratuit ou consultez d'abord les rubriques.