Qui devrait lire ceci : un fournisseur disposant d’une forme quelconque d’accès à une station sol, à un réseau de contrôle de mission, aux systèmes de télémesure et télécommande, ou aux logiciels qui y tournent. Cela inclut les entreprises qui ne vont jamais sur site et ne se connectent que pour la maintenance.
Attaquer un satellite en orbite est difficile. Attaquer le réseau qui le commande est une intrusion ordinaire contre une infrastructure ordinaire, et le chemin le plus court vers ce réseau passe fréquemment par un fournisseur disposant d’un accès distant et de contrôles plus faibles que ceux de l’opérateur. Les opérateurs spatiaux le savent, et c’est pourquoi leur revue d’accès fournisseur est l’une des plus exigeantes qu’une petite entreprise rencontrera.
Les quatre régimes qui atteignent un fournisseur du spatial sont décrits dans fournisseurs du spatial : les quatre régimes sous lesquels vous vous trouvez. Ce texte traite de celui qui arrive en premier et avec une date : la revue de l’opérateur lui-même.
Ce que couvre réellement la revue
Le questionnaire varie. Les préoccupations sous-jacentes, non. Dans les revues que nous voyons, elles se regroupent en six domaines.
Identité et accès. Qui précisément dispose d’un accès, nommément et non par équipe. Authentification multifacteur sur chaque voie d’entrée, y compris celle qu’empruntent vos ingénieurs à deux heures du matin. Pas de comptes partagés, pas d’identifiants partagés dans un gestionnaire intitulé « ops ». Accès à privilèges séparé de l’accès courant. Preuves de gestion des arrivées et des départs avec dates, car la vraie question est de savoir si une personne partie le trimestre dernier peut encore atteindre leurs systèmes.
Comment la connexion est établie. Rebond ou bastion plutôt qu’accès direct. Journalisation des sessions, parfois enregistrement pour les travaux à privilèges. Accès limité dans le temps et demandé plutôt qu’ouvert en permanence. Vos ingénieurs se connectent-ils depuis des postes gérés ou depuis le portable le plus proche.
Cloisonnement de votre côté. L’environnement depuis lequel vous atteignez leurs systèmes est-il séparé de votre réseau bureautique, de votre environnement de développement et de la navigation générale. Un opérateur qui accorde un accès à votre poste de travail a de fait accordé un accès à tout ce que ce poste peut atteindre.
Le logiciel que vous fournissez. Pratiques de développement sécurisé, gestion des dépendances, nomenclature logicielle, comment et à quelle vitesse vous corrigez, comment vous les notifiez d’une vulnérabilité dans un composant déjà en exploitation chez eux. C’est de plus en plus la section la plus longue.
Votre propre chaîne d’approvisionnement. Quels sous-traitants touchent ces travaux, héritent-ils de votre accès, l’opérateur en est-il informé. Les sous-traitants non déclarés avec accès hérité sont un constat récurrent et un moyen rapide de perdre un contrat.
Personnes et juridiction. Vérification des antécédents pour le personnel à privilèges. Où ce personnel est situé, ce qui, dans le spatial, engage aussi le contrôle des exportations et les questions de double usage, sans rapport avec la cybersécurité mais présentes dans le même document.
Si vous avez reçu un tel document sans pouvoir répondre à la moitié, cette expérience a son article : le questionnaire de sécurité auquel vous ne savez pas répondre.
D’où viennent les exigences de l’opérateur
Elles ne sont pas inventées. Trois sources les alimentent.
NIS2, aujourd’hui. Les opérateurs d’infrastructure au sol du secteur spatial figurent à l’annexe I. L’article 21(2)(d) les oblige à gérer le risque dans leur propre chaîne d’approvisionnement, mécanisme qui transforme leur obligation en clause de votre contrat. L’article 21(2)(i) couvre le contrôle d’accès et la gestion des actifs, et le 21(2)(j) l’authentification multifacteur et les communications sécurisées. La liste complète est dans les dix mesures de l’article 21 de NIS2, et la mécanique de répercussion dans la sécurité de la chaîne d’approvisionnement NIS2.
La répercussion du maître d’œuvre ou de l’agence. Les exigences de sécurité de l’ESA et des maîtres d’œuvre précèdent NIS2 et sont souvent plus strictes. Elles arrivent comme clauses contractuelles et non comme loi, ce qui signifie ni argument de proportionnalité ni retard de transposition dont on pourrait profiter.
Le règlement spatial européen, à terme. Proposé en juin 2025 sous la référence COM(2025) 335, il consacre un chapitre substantiel à la cyber-résilience des infrastructures au sol. Tel que proposé : gestion du risque sur tout le cycle de vie, identification des actifs critiques dont les stations sol, les moyens de commande et la télémesure, surveillance continue des anomalies avec chiffrement et gestion des clés, tests d’intrusion guidés par la menace avant lancement puis à intervalles de trois ans au plus, et obligations de chaîne d’approvisionnement imposant des exigences contractuelles de sécurité aux fabricants et prestataires.
Où en est le règlement spatial en 2026
Il faut être exact, car le calendrier est mal rapporté et cela change ce qu’il faut faire maintenant.
Les trois institutions ne s’accordent pas sur la question la plus élémentaire : le rapport du texte à NIS2.
- La Commission l’a proposé comme lex specialis : les opérateurs spatiaux entités essentielles ou importantes au sens de NIS2 appliqueraient les exigences du règlement spatial au lieu des obligations générales de NIS2.
- Le Conseil, dans son texte de compromis de décembre 2025, prend le chemin inverse : les grands opérateurs suivraient les actes d’exécution pris au titre de l’article 21(5) de NIS2, les exigences harmonisées du règlement spatial étant réservées aux opérateurs plus petits et non européens.
- Le projet de rapport du Parlement, de mars 2026, rejette tout régime distinct et propose d’intégrer directement les activités spatiales dans le champ de NIS2.
Le trilogue n’est pas conclu. Une adoption n’est pas réellement attendue avant fin 2027, avec entrée en vigueur et application échelonnées ensuite, et le texte du Conseil envisage des périodes transitoires pouvant atteindre huit ans. Les délais de notification proposés, souvent résumés à douze heures, sont plus précis : douze heures d’alerte précoce pour les actifs détenus par l’Union, vingt-quatre heures pour les autres incidents significatifs, un rapport plus complet à soixante-douze heures, et un rapport final sous un mois. À comparer avec le calendrier de notification NIS2, qui est la référence réellement en vigueur.
La lecture pratique pour un fournisseur est simple. Ce n’est pas le règlement spatial qui vous obligera cette décennie. C’est le contrat client, et il le fait déjà. Construisez pour le contrat et la réglementation arrivera comme une formalité.
L’écart entre le questionnaire et l’audit
Une étape échappe à la plupart des fournisseurs. Dès qu’il s’agit d’un accès permanent à des systèmes opérationnels, le questionnaire est le filtre, pas la ligne d’arrivée.
Les opérateurs enchaînent de plus en plus avec des demandes de preuves, un entretien technique, parfois une visite, et pour un accès durable un droit d’audit inscrit au contrat. À ce moment, les réponses déclaratives rencontrent la réalité. Les échecs courants n’ont rien d’exotique : une liste d’accès qui ne correspond pas aux détenteurs réels de comptes, une MFA présente sur l’annuaire d’entreprise mais contournée sur un rebond hérité, un processus de départ qui révoque la messagerie mais pas le certificat VPN, un sous-traitant que personne n’avait mentionné.
Ce sont des défauts de rapprochement, pas de capacité, ce qui est une bonne nouvelle, car le rapprochement se corrige en quelques semaines.
Quoi construire, dans quel ordre
Pour un fournisseur de trente à cent personnes, la séquence qui passe la plupart des revues :
- Une liste exacte de qui a accès à quoi, rapprochée de la paie et des contrats. Tout le reste en dépend.
- MFA sur chaque voie d’entrée vers les environnements clients, sans exception ni contournement hérité.
- Un environnement séparé pour les travaux clients, même réduit à quelques postes gérés et un rebond.
- Gestion des arrivées et départs avec dates et preuves, car c’est la mesure la plus testée et la plus souvent ratée.
- Journalisation des sessions à privilèges, conservée assez longtemps pour répondre sur le trimestre précédent.
- Un engagement de notification des vulnérabilités que vous pouvez tenir, avec un contact nommé et un délai annoncé.
- Une liste écrite des sous-traitants disposant d’un accès, déclarée plutôt que découverte.
Rien de cela n’exige une équipe sécurité. Tout cela exige un propriétaire, sujet de qui porte la sécurité quand personne ne la porte.
La réalité technique : l’accès est accordé à une identité et révoqué sur un tableur
Voici la défaillance qui provoque réellement des incidents, et ce n’est pas une mesure manquante.
L’accès est accordé avec précision. Une personne est nommée, un compte est créé, un certificat est émis, une entrée apparaît dans une liste. La révocation, elle, fonctionne à la mémoire et à la bonne volonté. Quelqu’un part, quelqu’un change de rôle, un projet s’achève, un sous-traitant est arrêté, et le compte subsiste parce qu’aucun processus ne relie l’événement métier à l’événement technique.
C’est pourquoi l’accès fournisseur est le chemin qu’il est. Les contrôles de l’opérateur sont généralement solides. La liste, chez le fournisseur, de qui détient encore un accès est généralement fausse, et personne ne le découvre avant un audit ou une intrusion. Un questionnaire ne peut pas le détecter, puisqu’il demande si vous avez un processus de départ et que vous répondez oui en toute sincérité.
Le combler suppose que la liste d’accès soit générée par les systèmes plutôt que tenue à la main, rapprochée en continu de votre registre du personnel et des échéances contractuelles, avec remontée des comptes orphelins et dormants comme constats plutôt que découverte annuelle. Même principe que les preuves qui s’assemblent toutes seules : ce qui est généré reste vrai, ce qui est entretenu dérive.
Si vous voulez ce rapprochement mesuré avant qu’un opérateur ne le fasse pour vous, un audit de sécurité indépendant commence là, et la page secteur spatial décrit comment les obligations s’articulent de bout en bout.
