Qui devrait lire ceci : directeurs des opérations de l’industrie alimentaire, responsables de la chaîne d’approvisionnement, responsables de la conformité dans les entreprises alimentaires, coordinateurs des infrastructures critiques dans le secteur alimentaire.
L’inclusion des entreprises alimentaires dans la directive NIS2 marque un changement important dans la manière dont l’UE régule la cybersécurité dans l’agriculture et la production alimentaire. Pendant des décennies, le secteur alimentaire a fonctionné en grande partie en dehors du champ d’application de la réglementation européenne en matière de cybersécurité. La directive NIS précédente (2016) ne couvrait pas les entreprises alimentaires ; elles n’étaient pas considérées comme des prestataires de services essentiels au même titre que les services publics d’énergie ou les opérateurs de télécommunications. NIS2 modifie cette classification fondamentale. Les entreprises alimentaires engagées dans la distribution en gros et la production et transformation industrielles sont désormais classées comme entités importantes, ce qui signifie qu’elles doivent mettre en œuvre des mesures complètes de gestion des risques de cybersécurité et signaler les incidents significatifs à leur CSIRT national.
Ce changement reflète une évaluation réaliste des risques du secteur alimentaire. La production alimentaire moderne est entièrement numérisée. Des systèmes de gestion agricole qui surveillent les conditions des cultures et automatisent l’irrigation, aux installations de transformation alimentaire dotées de systèmes de surveillance et de contrôle qualité en réseau, en passant par les réseaux de distribution et de logistique qui gèrent l’intégrité de la chaîne du froid et le suivi des expéditions, le secteur alimentaire dépend des réseaux et des systèmes d’information. Une cyberattaque perturbant une installation de transformation alimentaire pourrait affecter la sécurité et la disponibilité des aliments. Une compromission de la logistique de distribution alimentaire pourrait perturber l’approvisionnement alimentaire des grands centres de population. L’inclusion réglementaire des entreprises alimentaires dans NIS2 reconnaît ces réalités.
Champ d’application de la couverture des entreprises alimentaires
L’annexe II, secteur 4 de NIS2 précise le champ d’application : « Les entreprises alimentaires telles que définies à l’article 3, point 2), du règlement (CE) n° 178/2002 du Parlement européen et du Conseil qui sont engagées dans la distribution en gros et la production et transformation industrielles. » Cette définition nécessite de comprendre à la fois la classification NIS2 et la définition de « entreprise alimentaire » dans le droit alimentaire de l’UE.
Au titre du règlement (CE) n° 178/2002, une entreprise alimentaire est « toute entreprise, qu’elle soit à but lucratif ou non et qu’elle soit publique ou privée, exerçant l’une quelconque des activités liées à toute étape de la production, de la transformation et de la distribution d’aliments ». Cette définition est intentionnellement large et englobe les organisations à travers toute la chaîne d’approvisionnement alimentaire. Toutefois, NIS2 la restreint uniquement à celles engagées dans « la distribution en gros et la production et transformation industrielles ».
La distribution en gros signifie la distribution d’aliments en grande quantité aux détaillants, à d’autres entreprises alimentaires ou à des consommateurs institutionnels tels que les hôpitaux ou les écoles. Cela exclut les entreprises alimentaires de détail (supermarchés, épiceries, restaurants) qui vendent directement aux consommateurs. La production et la transformation industrielles désignent la fabrication alimentaire à grande échelle : usines de transformation de la viande, installations de transformation laitière, opérations de meunerie, activités de préparation et de conservation des aliments. Cela exclut les petits producteurs et les producteurs artisanaux qui ne mènent pas d’opérations à l’échelle industrielle.
L’intention est claire : NIS2 cible les opérations à grande échelle les plus critiques pour la sécurité alimentaire et la continuité de l’approvisionnement alimentaire. Un petit fromager artisanal n’est pas une entité importante au titre de NIS2. Une grande installation de transformation laitière dotée de systèmes automatisés sophistiqués l’est. Un marché fermier local n’est pas concerné. Un centre de distribution en gros approvisionnant des centaines de points de vente de détail l’est.
Au sein du champ d’application des entreprises alimentaires couvertes, quelles entités spécifiques doivent se conformer ? Une entreprise effectuant la distribution en gros ou la production et transformation industrielles d’aliments doit se conformer à NIS2 si elle relève du champ d’application économique (échelle de gros ou industrielle) et si elle transforme les aliments d’une manière soumise au droit alimentaire. Cela inclut la production primaire (avec certaines limitations), la transformation (transformation de matières premières en produits alimentaires) et la distribution (transport, stockage et manipulation des aliments transformés).
Obligations de gestion des risques de cybersécurité
Les entreprises alimentaires classées comme entités importantes au titre de NIS2 doivent mettre en œuvre les mesures de gestion des risques de cybersécurité de l’article 21. Pour le secteur alimentaire, plusieurs de ces mesures revêtent une importance particulière.
Premièrement, l’analyse des risques et les politiques de sécurité des systèmes d’information sont critiques. Les entreprises alimentaires doivent comprendre quels réseaux et systèmes d’information sont essentiels à leurs opérations, à quels risques ces systèmes sont confrontés et quelles mesures de sécurité sont nécessaires. Pour une installation de transformation alimentaire, cela inclut les systèmes de contrôle de la production, les systèmes de surveillance de l’assurance qualité, les systèmes de réfrigération et de chaîne du froid, la gestion des stocks et les systèmes logistiques. La perturbation de l’un d’entre eux peut affecter la sécurité, la qualité et la disponibilité des aliments.
Deuxièmement, la gestion des incidents est essentielle. Une entreprise alimentaire doit disposer de procédures pour détecter, signaler, enquêter et répondre aux incidents de cybersécurité. Ces procédures doivent tenir compte des implications spécifiques des incidents dans les environnements de transformation alimentaire. Un incident affectant un système de contrôle de la production pourrait affecter la sécurité alimentaire ; la réponse doit en tenir compte.
Troisièmement, la continuité d’activité et la reprise après sinistre sont particulièrement importantes dans la production alimentaire. La chaîne d’approvisionnement alimentaire est sensible au temps. Les perturbations peuvent entraîner des détériorations, du gaspillage alimentaire et des pénuries d’approvisionnement. Les entreprises alimentaires doivent disposer de plans de continuité d’activité garantissant que les fonctions critiques de production et de distribution peuvent continuer ou être rapidement restaurées si les systèmes sont compromis.
Quatrièmement, la sécurité de la chaîne d’approvisionnement est importante dans le secteur alimentaire. Les entreprises alimentaires dépendent de fournisseurs pour les matières premières, l’emballage, l’équipement et les services. Chaque fournisseur introduit un risque potentiel de cybersécurité. La compromission des systèmes d’un fournisseur pourrait entraîner la diffusion d’informations contaminées sur les approvisionnements ou de produits falsifiés. L’article 21(3) exige que les entreprises alimentaires prennent en compte les vulnérabilités de chaque fournisseur et évaluent la qualité de leurs pratiques de cybersécurité.
Cinquièmement, le développement sécurisé et la gestion des vulnérabilités sont pertinents si une entreprise alimentaire produit des logiciels ou des contrôles dans le cadre de ses opérations. De nombreuses installations modernes de transformation alimentaire comprennent des systèmes de contrôle et des logiciels de surveillance développés sur mesure. Ces systèmes doivent être développés de manière sécurisée et les vulnérabilités doivent être gérées de manière responsable.
Sixièmement, la formation et la sensibilisation sont essentielles. Le personnel de production alimentaire doit comprendre les pratiques de base en matière de cybersécurité pertinentes pour son rôle. Le personnel de contrôle de la production, le personnel d’assurance qualité et le personnel logistique doivent comprendre comment la cybersécurité affecte leur travail et quelles sont leurs responsabilités.
Convergence de la sécurité alimentaire et de la cybersécurité
Un aspect important de la conformité NIS2 pour les entreprises alimentaires est de comprendre comment le risque de cybersécurité chevauche le risque de sécurité alimentaire. La réglementation de la sécurité alimentaire est une priorité dans le droit de l’UE depuis des décennies. Les entreprises alimentaires doivent se conformer à des exigences étendues au titre du règlement (CE) n° 178/2002 et d’autres textes de droit alimentaire régissant l’hygiène, l’identification des dangers, la traçabilité et les procédures de rappel.
Les cyberattaques contre les systèmes de production alimentaire peuvent créer des risques pour la sécurité alimentaire. Si les systèmes de surveillance de la qualité d’une installation de transformation alimentaire sont compromis, l’installation pourrait ne pas détecter de contamination ou de risques pour la sécurité. Si la surveillance de la température des aliments réfrigérés est compromise, l’installation pourrait perdre la visibilité sur le maintien des aliments à des températures sûres. Si les systèmes de traçabilité sont compromis, l’installation pourrait ne pas être en mesure d’identifier et de rappeler rapidement les produits concernés en cas de problème de sécurité.
Les entreprises alimentaires mettant en œuvre les mesures de l’article 21 devraient intégrer les considérations de cybersécurité dans leurs cadres existants de sécurité alimentaire. Les évaluations d’analyse des dangers et points critiques pour leur maîtrise (HACCP) devraient prendre en compte les dangers de cybersécurité affectant les points critiques de contrôle. L’évaluation des risques pour la sécurité alimentaire devrait inclure les défaillances des systèmes d’information et les incidents de cybersécurité comme facteurs de risque. Les procédures d’urgence pour la gestion des urgences de sécurité alimentaire devraient tenir compte de la possibilité que les systèmes d’information soient indisponibles.
Cette convergence de la sécurité alimentaire et de la cybersécurité est relativement nouvelle. Les professionnels de la sécurité alimentaire possèdent une expertise approfondie dans la gestion des risques de sécurité alimentaire mais peuvent avoir des connaissances limitées en cybersécurité. Les RSSI et les professionnels de la sécurité de l’information peuvent comprendre la cybersécurité mais peuvent manquer de compréhension des processus de production alimentaire. Une mise en œuvre réussie de NIS2 dans les entreprises alimentaires nécessite une collaboration entre ces domaines traditionnellement séparés.
Défis sectoriels spécifiques
Les entreprises alimentaires sont confrontées à des défis particuliers pour mettre en œuvre les obligations NIS2. Le premier est l’hétérogénéité du secteur. « Alimentaire » englobe la transformation de la viande, la production laitière, la meunerie, la boulangerie, la production de boissons, la transformation des fruits et légumes, la fabrication d’aliments préparés et de nombreux autres sous-secteurs. Chacun a des systèmes de production différents, des risques différents et des normes applicables différentes. Un cadre réglementaire qui fonctionne pour un sous-secteur peut ne pas fonctionner bien pour un autre.
Le deuxième est la prévalence des systèmes anciens. Une grande partie de l’infrastructure de production alimentaire a des décennies. Les systèmes de transformation plus anciens peuvent avoir été conçus avant que la cybersécurité ne devienne une préoccupation importante. La modernisation des anciens systèmes avec des mesures modernes de cybersécurité peut être techniquement difficile et coûteuse. Le principe de proportionnalité de NIS2 est pertinent ici ; les organisations doivent mettre en œuvre des mesures proportionnées, ce qui peut impliquer d’accepter certains risques liés aux systèmes anciens plutôt que de les remplacer prématurément.
Le troisième est la complexité de la chaîne d’approvisionnement. Les chaînes d’approvisionnement alimentaire sont mondiales et impliquent de nombreux fournisseurs à chaque étape. Un transformateur alimentaire peut s’approvisionner en ingrédients auprès de dizaines de fournisseurs, dont beaucoup dans d’autres pays. L’évaluation des pratiques de cybersécurité de tous ces fournisseurs prend du temps et exige beaucoup de ressources. Toutefois, l’article 21(3) exige que les entreprises alimentaires tiennent compte des vulnérabilités des fournisseurs, rendant obligatoire l’évaluation de la cybersécurité de la chaîne d’approvisionnement.
Le quatrième est l’interconnexion transfrontalière. Le secteur alimentaire en Europe est très intégré. Les produits franchissent les frontières plusieurs fois, de la matière première au consommateur final. Cela signifie qu’un incident de cybersécurité affectant une installation peut avoir des effets en aval dans plusieurs pays. Cela signifie également que les menaces pour la sécurité alimentaire dans un État membre peuvent rapidement devenir des menaces pour plusieurs États membres.
Signalement des incidents dans le contexte alimentaire
Les entreprises alimentaires doivent signaler les incidents significatifs à leur CSIRT national. L’article 23 définit les incidents significatifs comme ceux causant ou susceptibles de causer une perturbation opérationnelle ou une perte financière grave, affectant la qualité ou la sécurité des services, affectant plusieurs États membres, ou affectant la santé ou la sécurité des personnes.
Pour les entreprises alimentaires, la dimension santé et sécurité est particulièrement importante. Un incident qui compromet la capacité d’une installation à garantir la sécurité alimentaire atteint clairement le seuil de signification. Un incident affectant un grand centre de distribution alimentaire qui approvisionne plusieurs États membres atteint clairement le seuil transfrontalier. Les entreprises alimentaires devraient établir des critères de signalement des incidents qui reconnaissent ces déclencheurs spécifiques.
Le signalement d’incidents impliquant des conséquences pour la sécurité alimentaire peut également nécessiter une notification aux autorités de sécurité alimentaire en plus des CSIRT. Le règlement (CE) n° 178/2002 exige une notification rapide des dangers liés à la sécurité alimentaire. Si une cyberattaque crée un risque pour la sécurité alimentaire, les obligations de notification en matière de cybersécurité et de sécurité alimentaire peuvent toutes deux s’appliquer.
Gouvernance et responsabilité de la direction
L’article 20 exige que les organes de direction des entités importantes approuvent les mesures de cybersécurité et supervisent leur mise en œuvre. Pour les entreprises alimentaires, cela signifie que les conseils d’administration ou les organes de direction équivalents doivent s’approprier la gouvernance de la cybersécurité. Cela peut être difficile dans un secteur qui s’est historiquement concentré sur la sécurité alimentaire, la conformité réglementaire et l’efficacité opérationnelle plutôt que sur la cybersécurité.
Les conseils des entreprises alimentaires devraient recevoir une formation sur les risques de cybersécurité spécifiques au secteur alimentaire, comprendre comment la cybersécurité affecte la sécurité alimentaire et la continuité des activités, et comprendre leurs responsabilités de gouvernance au titre de NIS2. La gestion de la cybersécurité au niveau du conseil devrait être intégrée à la gestion au niveau du conseil de la sécurité alimentaire et des risques opérationnels.
Orientations et soutien sectoriels
Compte tenu de la nouveauté de l’application de NIS2 au secteur alimentaire, de nombreuses entreprises alimentaires recherchent des orientations. La Commission et l’ENISA développeront des actes d’exécution et des orientations sur la mise en œuvre de NIS2. Les autorités compétentes nationales et les CSIRT peuvent fournir des informations sur les attentes réglementaires nationales. Les associations sectorielles dans le secteur alimentaire peuvent aider à développer une compréhension partagée des meilleures pratiques.
Les entreprises alimentaires devraient surveiller les orientations à mesure qu’elles se développent et devraient s’engager avec leur autorité compétente nationale tôt si elles ont des questions sur le champ d’application ou les attentes de conformité. Un engagement précoce contribue à garantir que les mesures de conformité sont appropriées et proportionnées et réduit le risque de découvrir plus tard que les attentes de conformité ne sont pas respectées.
Points clés à retenir
-
Les entreprises alimentaires engagées dans la distribution en gros et la production ou transformation industrielles sont classées comme entités importantes au titre de l’annexe II, secteur 4 de NIS2. Cela inclut les grandes installations de transformation, les centres de distribution en gros et les fabricants alimentaires à grande échelle.
-
Les entreprises alimentaires doivent mettre en œuvre les mesures de gestion des risques de cybersécurité de l’article 21, avec un accent particulier sur la continuité d’activité (protéger l’approvisionnement alimentaire), la sécurité de la chaîne d’approvisionnement (gérer le risque fournisseur) et la gestion des incidents (protéger la sécurité alimentaire).
-
La cybersécurité et la sécurité alimentaire sont des préoccupations convergentes. Les entreprises alimentaires devraient intégrer les considérations de cybersécurité dans les cadres de sécurité alimentaire, reconnaissant que les compromissions de systèmes peuvent affecter la sécurité alimentaire et que les urgences de sécurité alimentaire peuvent impliquer une perturbation des systèmes d’information.
-
Les organes de direction des entreprises alimentaires sont responsables de l’approbation des mesures de cybersécurité et de la supervision de leur mise en œuvre. La gouvernance de la cybersécurité au niveau du conseil devrait être intégrée à la gestion au niveau du conseil de la sécurité alimentaire et des risques opérationnels.
-
Les incidents significatifs affectant la sécurité alimentaire, la continuité opérationnelle ou ayant un impact transfrontalier doivent être signalés au CSIRT national. Des obligations de notification en matière de sécurité alimentaire peuvent également s’appliquer si les incidents créent des risques pour la sécurité alimentaire.
-
Les entreprises alimentaires devraient s’engager avec les autorités compétentes nationales et rechercher des orientations sectorielles à mesure qu’elles se développent. Un engagement précoce contribue à garantir que les mesures de conformité sont appropriées, proportionnées et alignées sur les attentes réglementaires.
