- Accueil
- Alarme/Contrôle d'accès
- Contrôle d'accès
- Directive NIS 2 et contrôle d'accès : la mise en conformité cybersécurité obligatoire pour les entreprises
Directive NIS 2 et contrôle d'accès : la mise en conformité cybersécurité obligatoire pour les entreprises
Depuis janvier 2023, la directive NIS 2 (Network and Information Security) impose de nouvelles obligations de cybersécurité aux entreprises européennes. Cette directive couvre les systèmes informatiques, mais aussi les accès physiques aux sites sensibles. Si vous entrez dans le périmètre NIS 2, vous allez devoir sérieusement renforcer votre contrôle d'accès.
Les entreprises concernées par NIS 2
NIS 2 vise plusieurs secteurs jugés critiques. L'énergie d'abord : électricité, gaz, pétrole. Les transports : aérien, ferroviaire, maritime. La santé : hôpitaux, laboratoires d'analyses. Le numérique : fournisseurs cloud, data centers, hébergeurs. Et aussi l'eau potable, les eaux usées, les services postaux, les infrastructures télécoms.
La taille de l'entreprise compte. Si vous avez plus de 50 salariés ou un chiffre d'affaires au-delà de 10 millions d'euros, vous êtes probablement concerné. Mais attention : même en dessous de ces seuils, vous pouvez tomber dans le périmètre si votre activité est jugée critique pour les services essentiels.
Vous ne savez pas trop où vous en êtes ? L'ANSSI met à disposition des outils d'auto-évaluation en ligne. Prenez le temps de vérifier, parce que les sanctions font mal : jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial. Autant dire qu'on ne rigole pas.
Ce que NIS 2 change pour le contrôle d'accès
NIS 2 ne se contente pas de parler d'informatique. La directive impose aussi de sécuriser les accès physiques aux sites sensibles. Concrètement, vous devez pouvoir prouver que seules les personnes autorisées peuvent accéder à vos salles serveurs, vos locaux techniques, vos zones de production critiques.
Cela passe par plusieurs mesures. D'abord, un contrôle d'accès électronique avec traçabilité complète. Fini les clés mécaniques qu'on se prête. Chaque accès doit être enregistré : qui, quand, quelle porte. Vous devez pouvoir produire un historique détaillé en cas d'audit ou d'incident.
Ensuite, l'utilisation de badges cryptés. Les badges RFID classiques, facilement clonables, ne suffisent plus. Vous devez passer à des badges cryptés AES128 (type MIFARE DESFire) qui ne peuvent pas être copiés. Cela évite qu'un badge volé ou cloné serve à accéder à vos zones sensibles.
La directive impose aussi une gestion rigoureuse des droits d'accès. Chaque personne doit avoir accès uniquement aux zones nécessaires à son activité, et uniquement pendant ses horaires de travail. Un technicien de maintenance externe ne doit pas pouvoir accéder aux bureaux administratifs. Un employé qui quitte l'entreprise doit voir ses accès révoqués immédiatement.
Double authentification et accès aux zones critiques
Pour les zones les plus sensibles (salles serveurs, data centers, salles de contrôle), NIS 2 recommande fortement la double authentification. Le badge seul ne suffit pas. Vous ajoutez un code PIN, une reconnaissance biométrique (empreinte digitale, reconnaissance faciale) ou un second badge.
Cette double authentification empêche qu'un badge volé suffise à pénétrer dans une zone critique. Même si quelqu'un récupère votre badge, il lui faut aussi votre code PIN ou votre empreinte pour ouvrir la porte.
Certaines installations vont plus loin avec le sas d'accès. Vous entrez dans un premier sas avec votre badge, la première porte se ferme derrière vous, puis vous validez votre identité avec un second facteur avant que la seconde porte ne s'ouvre. Cela crée une zone tampon où toute tentative d'intrusion peut être détectée et bloquée.
Traçabilité et conservation des logs
NIS 2 impose de conserver les journaux d'accès pendant au moins 12 mois. Vous devez pouvoir retrouver qui est entré dans telle salle à telle date, combien de temps la personne y est restée, et par quelle porte elle est ressortie.
Ces logs doivent être protégés contre la modification. Impossible pour un administrateur ou un utilisateur de supprimer ou d'altérer un événement enregistré. Les systèmes modernes comme Paxton Net2 chiffrent les logs et les horodatent de manière infalsifiable.
En cas d'incident de sécurité (intrusion, tentative d'accès non autorisé, badge cloné), vous devez pouvoir fournir ces logs aux autorités compétentes dans les 24 heures. Si vous ne les avez pas, ou s'ils sont incomplets, vous êtes en infraction.
Gestion des prestataires et des visiteurs
Les prestataires externes (maintenance, nettoyage, livraison) posent un problème particulier. Ils doivent accéder à certaines zones, mais vous ne voulez pas leur donner un accès permanent. NIS 2 impose de tracer aussi ces accès temporaires.
La solution passe par des badges visiteurs ou des accès temporaires via smartphone. Vous créez un accès valide uniquement pour la durée de l'intervention (par exemple, mardi de 14h à 17h). À la fin de la plage horaire, l'accès expire automatiquement. Le prestataire ne peut plus entrer, même s'il garde le badge.
Chaque visite doit être enregistrée et justifiée. Qui a autorisé la visite ? Pour quelle raison ? Dans quelles zones ? Combien de temps ? Toutes ces informations doivent être traçables.
Audits et mises à jour régulières
NIS 2 impose des audits de sécurité réguliers. Au minimum une fois par an, vous devez vérifier que votre système de contrôle d'accès fonctionne correctement. Cela passe par des tests (tentatives d'accès avec des badges désactivés, vérification des logs, contrôle des droits attribués).
Vous devez aussi maintenir votre système à jour. Les fabricants publient régulièrement des correctifs de sécurité pour leurs logiciels et leurs équipements. Si vous ne les appliquez pas, vous créez des failles que des attaquants peuvent exploiter. Un système de contrôle d'accès obsolète est aussi dangereux qu'un système mal configuré.
ASAP Network vous accompagne dans la mise en conformité NIS 2
Chez ASAP Network, nous accompagnons les entreprises dans leur mise en conformité NIS 2 pour le contrôle d'accès physique. Audit de votre installation existante, migration vers des badges cryptés AES128, mise en place de la double authentification, configuration de la traçabilité et des logs, formation de vos équipes à la gestion conforme des accès. Nous intervenons dans toute la région Sud, notamment à Marseille, Aix-en-Provence et Salon-de-Provence.
Membre du réseau Convergence (www.groupe-convergence.com), nous bénéficions d'une veille réglementaire nationale et d'un support technique spécialisé pour garantir votre conformité aux exigences NIS 2.
Pour un audit de conformité et un devis, contactez-nous au 04 84 900 904.
Contrôle d'accès professionnel pour entreprises : sécurité et gestion intelligente des entrées
Test de pénétration Paxton : audit de sécurité approfondi pour systèmes de contrôle d'accès
Badge RFID crypté AES128 : sécurité maximale pour contrôle d'accès professionnel en entreprise
