Exigences de cybersécurité pour les fournisseurs du spatial : NIS2, la proposition d'EU Space Act, l'ESA et les maîtres d'œuvre

Pour la plupart des fournisseurs du spatial, les exigences de cybersécurité arrivent par les clients, pas par les régulateurs. NIS2 oblige les opérateurs d’infrastructures spatiales terrestres à gérer la sécurité de leurs fournisseurs directs, et les contrats de l’ESA, du programme spatial de l’UE et des maîtres d’œuvre y inscrivent des clauses de sécurité. Les fabricants et les fournisseurs de services gérés de taille moyenne ou plus grande peuvent aussi relever directement de NIS2.

Ce guide examine si NIS2 s’applique à vous, la proposition d’EU Space Act, les règles de l’ESA et des programmes de l’UE, ce que demandent les maîtres d’œuvre, ce qui arrive en premier, ce qu’il faut construire une seule fois et ce que les règles laissent ouvert, puis propose une liste de contrôle.

Régime	Qui il oblige	Statut, septembre 2026	Comment il atteint un fournisseur
NIS2, annexe I espace	Opérateurs du segment sol, au moins de taille moyenne	S’applique via le droit national	Obligation de l’article 21 sur la chaîne d’approvisionnement : questionnaires, clauses
NIS2, annexe II et MSP	Fabricants des divisions 26 et 30 de la NACE, fournisseurs de services gérés	S’applique via le droit national	Directement, si au moins de taille moyenne
EU Space Act	Opérateurs spatiaux, y compris les petits	Proposition COM(2025) 335, non adoptée	Gestion des risques de la chaîne d’approvisionnement des opérateurs
ESA et programme spatial de l’UE	Contractants de l’ESA et des programmes	En vigueur	Clauses contractuelles, homologation de sécurité, habilitations
Maître d’œuvre ou opérateur	Vous, par votre signature	Dès maintenant	Annexe de sécurité, questionnaire, droits d’audit

NIS2 s’applique-t-elle aux fournisseurs du spatial ?

Par l’une de trois portes. La plupart des fournisseurs entrent par la troisième.

Annexe I : le secteur spatial, c’est le segment sol

L’annexe I classe l’espace parmi les secteurs hautement critiques. Les entités visées sont les opérateurs d’infrastructures terrestres, détenues, gérées et exploitées par des États membres ou par des parties privées, qui soutiennent la fourniture de services spatiaux, à l’exclusion des fournisseurs de réseaux de communications électroniques publics. Le considérant 37 précise que les infrastructures détenues, gérées ou exploitées par ou au nom de l’Union dans le cadre de son programme spatial ne sont pas couvertes.

C’est le segment sol, pas l’orbite. Une entreprise qui exploite un téléport, un réseau de stations sol ou une infrastructure de contrôle de mission est dedans. Une entreprise qui fabrique une roue de réaction ne l’est pas, du moins pas par cette porte.

La taille décide du reste. Un opérateur plus grand qu’une moyenne entreprise est une entité essentielle, un opérateur de taille moyenne une entité importante (articles 2(1) et 3). Les petits opérateurs et les microentreprises restent en dehors, sauf si l’un des cas indépendants de la taille prévus à l’article 2(2) s’applique.

Fabricants et fournisseurs de services gérés

L’annexe II couvre la fabrication d’autres matériels de transport (division 30 de la NACE), dont la classe 30.30 comprend les engins spatiaux, les lanceurs et les satellites. Elle couvre aussi les produits informatiques, électroniques et optiques (division 26), y compris les équipements de communication comme les antennes (classe 26.30) et les instruments de navigation et de guidage (classe 26.51). Un fabricant de taille moyenne ou plus grande dans ces divisions est, en règle générale, une entité importante.

Les services peuvent aussi vous faire entrer. Un fournisseur de services gérés (article 6(39)) assure l’installation, la gestion, l’exploitation ou l’entretien de produits, réseaux ou systèmes TIC, dans les locaux du client ou à distance. Si vous exploitez ou maintenez les systèmes sol d’un opérateur et êtes au moins de taille moyenne, vous pouvez relever vous-même du champ, avec des règles détaillées dans le règlement d’exécution (UE) 2024/2690. Le programme complet se trouve sur notre page NIS2.

Tous les autres : l’article 21, paragraphe 2, point d)

L’article 21(2)(d) impose aux entités concernées de traiter les aspects liés à la sécurité des relations entre chaque entité et ses fournisseurs directs ou prestataires de services. L’article 21(3) les oblige à tenir compte, pour chaque fournisseur direct, de ses vulnérabilités, de la qualité de ses produits et de ses pratiques de cybersécurité, y compris le développement sécurisé.

Leur obligation devient votre clause contractuelle. La façon dont les opérateurs mènent cette évaluation est décrite dans sécurité de la chaîne d’approvisionnement NIS2, et ce qu’ils vérifient avant d’accorder un accès dans sécurité du segment sol.

La transposition a été inégale : en juillet 2026, la Commission a saisi la Cour de justice contre quatre États membres qui n’avaient pas notifié leur loi NIS2. Deux clients dans deux pays peuvent citer des exigences différentes pour la même directive.

Si vous vendez des produits matériels ou logiciels sur le marché de l’UE, le règlement sur la cyberrésilience (CRA) s’applique aussi. Ses obligations de signalement s’appliquent depuis le 11 septembre 2026, le reste à partir du 11 décembre 2027.

Que changerait l’EU Space Act pour les fournisseurs ?

La Commission a présenté le 25 juin 2025 la proposition de règlement sur l’espace (EU Space Act), COM(2025) 335, un règlement relatif à la sécurité, à la résilience et à la durabilité des activités spatiales. Ce n’est encore qu’une proposition. La commission compétente au fond du Parlement n’a pas voté son projet de rapport du 3 mars 2026, et le rapport sur l’état d’avancement des travaux du Conseil du 8 mai 2026 ne fait état d’aucune orientation générale. Les trilogues n’ont pas commencé.

Trois volets de la proposition atteindraient les fournisseurs par l’intermédiaire de leurs clients :

• Actifs critiques. Des évaluations des risques au niveau du segment, du système et du composant, couvrant des actifs comme les systèmes d’ingénierie, le logiciel de vol, la télémesure et la télécommande, et les centres de contrôle de mission ou d’engin spatial (considérant 74).
• Tests. Les opérateurs testeraient régulièrement leurs systèmes, ce qui peut inclure des tests de pénétration fondés sur la menace (considérant 79). Le fournisseur du logiciel testé entre dans ce périmètre.
• Chaîne d’approvisionnement. Un cadre de gestion des risques de la chaîne d’approvisionnement, avec des clauses de sécurité dans les contrats avec les fournisseurs (article 92), des contrôles d’intégrité et d’authenticité des logiciels, des critères de choix des produits logiciels, et une attention particulière aux systèmes interconnectés temporairement, par exemple dans le cadre d’une prestation de maintenance ou d’assistance (considérant 80). C’est exactement la session de maintenance à distance d’un fournisseur.

Côté NIS2, l’article 75(1) ferait de l’EU Space Act un acte juridique sectoriel pour les opérateurs spatiaux qui sont des entités essentielles ou importantes, uniquement en ce qui concerne les mesures de gestion des risques de l’article 21 (considérant 72 : lex specialis). La notification d’incidents prévue à l’article 23 de NIS2 continuerait de s’appliquer (article 93(4), considérant 87). La proposition ajoute sa propre notification d’incidents, y compris pour les actifs du programme spatial de l’UE détenus par l’Union (article 93, considérant 86). Au Conseil, le texte de compromis de la présidence du 5 décembre 2025 supprime le considérant sur la lex specialis et demande des exigences synchronisées et coordonnées avec NIS2. Le rapport sur l’état d’avancement de mai 2026 laisse les articles sur la cybersécurité inchangés, dans l’attente d’un alignement avec le régime de notification d’incidents proposé dans l’omnibus numérique.

Le champ s’étendrait aux opérateurs de taille inférieure à la moyenne ainsi qu’aux établissements de recherche et d’enseignement, avec une gestion des risques simplifiée, limitée aux actifs et fonctions critiques et aux risques essentiels comme la perte de contrôle (article 79, considérants 68 et 75). De petits opérateurs clients que NIS2 n’a jamais touchés commenceraient à poser les mêmes questions.

Dans sa version proposée, il s’appliquerait à partir du 1er janvier 2030 (article 119), avec une période transitoire jusqu’au 1er janvier 2032 pour certains actifs (article 118). Ne construisez pas en fonction des numéros d’articles, qui peuvent changer. Construisez en fonction de la forme : une sécurité testée plutôt que déclarée, et des obligations de chaîne d’approvisionnement qui vous arrivent par votre client.

Quelles règles de sécurité fixent l’ESA et le programme spatial de l’UE ?

ESA

Le règlement de sécurité de l’ESA s’applique à l’Agence, à ses États membres et à son personnel et, sous certaines conditions, au personnel de ses contractants et à ses contractants.

La norme d’ingénierie est ECSS-E-ST-80C, Space engineering: Security in space systems lifecycles, publiée le 1er juillet 2024. Elle couvre les segments spatial, sol, lancement et soutien sur l’ensemble du cycle de vie, et peut être adaptée à chaque projet. En pratique, elle atteint un fournisseur lorsqu’un contrat la cite comme document applicable.

Le programme spatial de l’UE

Galileo, EGNOS, Copernicus, GOVSATCOM et la connaissance de l’environnement spatial forment le programme spatial de l’Union établi par le règlement (UE) 2021/696, en dehors de NIS2. Le conseil d’homologation de sécurité au sein de l’EUSPA est l’autorité d’homologation de sécurité pour toutes ses composantes. Y travailler implique des exigences d’homologation et souvent des habilitations de sécurité : même l’appel d’offres de l’EUSPA pour un soutien en tests de pénétration au profit de ce conseil exigeait du personnel habilité.

Le droit spatial national

Le droit national soumet l’activité elle-même à autorisation : le service de recherche du Parlement européen a recensé au moins 13 lois relatives aux activités spatiales en vigueur dans les pays de l’UE fin 2024. Elles lient l’opérateur autorisé, pas vous. En pratique, ce qu’un opérateur promet à l’autorité qui lui délivre son autorisation devient une clause de ses contrats fournisseurs.

Que demandent les maîtres d’œuvre et les opérateurs aux fournisseurs du spatial ?

La répercussion contractuelle n’attend pas la loi, et elle pose des questions plus précises que tout ce que contient NIS2 :

• comment les liaisons de commande sont authentifiées ;
• comment le logiciel de vol est signé et vérifié ;
• qui a un accès physique au site d’intégration ;
• combien de temps la télémesure est conservée et qui peut la lire ;
• ce que devient l’accès d’un sous-traitant à la fin de la sous-traitance.

Les clauses sont décortiquées dans l’annexe de sécurité, clause par clause, et la méthode pour les questionnaires dans comment répondre à un questionnaire de sécurité. Le questionnaire ne demande pas vraiment si vous êtes sécurisé. Il demande si vous pouvez le démontrer, ce qui est une autre capacité, et généralement celle qui manque.

Quelle exigence arrive en premier chez un fournisseur du spatial ?

En pratique, pour la plupart des fournisseurs :

1. Le questionnaire du client, joint à un appel d’offres, à renvoyer sous deux semaines.
2. L’annexe de sécurité du contrat, à la signature ou au renouvellement.
3. NIS2 directement, si votre fabrication entre dans le champ ou si vous gérez les systèmes d’un client.
4. Les règles de sécurité de l’ESA ou des programmes, lorsque vous soumissionnez pour ces travaux.
5. L’EU Space Act, au plus tôt en 2030 dans sa version proposée.

Construire pour la réglementation la plus lointaine, c’est se tromper d’ordre. Construisez pour le prochain questionnaire, de façon à satisfaire aussi la réglementation plus tard.

Que doit construire une seule fois un fournisseur du spatial ?

Les régimes posent des questions qui se recoupent, avec des mots différents. Le socle est réduit :

• Un inventaire des actifs qui inclut le segment sol, là où la plupart des inventaires s’arrêtent.
• Un registre des fournisseurs avec clauses de sécurité et dates de revue, car vous êtes aussi le client de quelqu’un.
• Un contrôle d’accès avec une discipline d’expiration, en particulier pour les prestataires et les sites d’intégration.
• Une journalisation dont la durée de conservation tient face à une enquête, et pas une conservation qui se contente du réglage par défaut.
• Un processus de gestion des incidents répété face aux délais de notification de vos clients, qui doit tenir dans leur propre alerte précoce NIS2 de 24 heures.
• Des preuves qui se régénèrent, produites par les systèmes plutôt qu’assemblées à la main à chaque fois.

Un seul registre relie chaque exigence à la mesure qui y répond :

REGISTRE DES EXIGENCES FOURNISSEUR SPATIAL (une ligne par exigence)
Client / contrat :          ...
Source :                    NIS2 répercutée / ESA / programme UE / annexe
Clause ou question :        ex. annexe 4.2, authentification liaison commande
Mesure qui y répond :       ex. MFA sur le bastion, versions signées
Preuve et emplacement :     rapport système, journal, registre, lieu
Responsable :               nom
Dernière vérification :     date, par qui

L’argument général en faveur d’un programme unique au service de plusieurs référentiels se trouve dans ISO 27001 et NIS2, une fois au lieu de deux.

Qu’est-ce que les règles laissent ouvert ?

Chacun de ces régimes fixe un délai et ne dit presque rien de l’instrument qui le déclenche.

NIS2 donne à un opérateur 24 heures après avoir eu connaissance d’un incident important pour envoyer une alerte précoce, et les contrats vous imposent généralement un délai plus court. Les deux supposent que quelque chose détecte. Un fournisseur sans agrégation des journaux, sans alertes sur sa chaîne de build et avec une conservation par défaut sur les systèmes qui touchent le segment sol n’a pas un problème de notification. Il a un problème de découverte.

Cet écart est assez précis pour être comblé : de la télémétrie issue des systèmes qui comptent, une conservation assez longue pour reconstituer une compromission, des alertes réglées sur les quelques événements anormaux d’un petit parc d’ingénierie, et un seul dossier de preuves qu’un client, un régulateur et un auditeur peuvent tous lire. C’est ainsi que fonctionne la plateforme CloudSoul : collecte automatisée des preuves, avec une expertise humaine dans la boucle pour les exceptions. Pour mesurer l’écart avant qu’un client ne le fasse, commencez par un audit de sécurité. La vue sectorielle se trouve sur notre page consacrée au spatial.

La réglementation vous demande de déclarer. Les clients du spatial vous demandent de plus en plus de démontrer. Le travail se situe dans l’écart.

Liste de contrôle cybersécurité pour les fournisseurs du spatial

• Vérifiez si vous relevez directement de NIS2 : segment sol, fabrication ou services gérés.
• Consignez chaque exigence client dans un registre unique, avec la mesure qui y répond.
• Inventoriez les systèmes qui touchent les segments sol de vos clients, pas seulement l’informatique de l’entreprise.
• Liez les départs et les fins de contrat à la révocation des accès, avec des dates.
• Conservez les journaux assez longtemps pour reconstituer un incident, et déclenchez des alertes sur les quelques événements qui comptent.
• Convenez avec chaque client d’un délai de notification qui tient dans ses 24 heures.
• Notez quels contrats rendent applicables ECSS-E-ST-80C ou les règles de sécurité de l’ESA.

Sources

• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 21 et 23, annexes I et II et considérant 37, EUR-Lex.
• Règlement d’exécution (UE) 2024/2690 de la Commission, EUR-Lex.
• NACE Rév. 2, classe 30.30, Construction aéronautique et spatiale, Office des publications de l’UE.
• Commission européenne, directive NIS2 (saisines de juillet 2026) et synthèse du règlement sur la cyberrésilience.
• Commission européenne, proposition de règlement relatif à la sécurité, à la résilience et à la durabilité des activités spatiales dans l’Union (EU Space Act), COM(2025) 335, articles 75, 79, 92, 93, 118 et 119 et considérants 68, 72, 74, 75, 79, 80, 86 et 87, EUR-Lex.
• Service de recherche du Parlement européen (EPRS), note d’information sur l’EU Space Act, septembre 2025 ; Observatoire législatif, procédure 2025/0335(COD).
• Conseil de l’UE, texte de compromis de la présidence 16437/25 du 5 décembre 2025 (considérant 71a), registre du Conseil ; rapport sur l’état d’avancement des travaux 8861/26 du 8 mai 2026, registre du Conseil.
• ESA, principales règles et réglementations de l’ESA (règlement de sécurité).
• ECSS-E-ST-80C, Space engineering: Security in space systems lifecycles, 1er juillet 2024, ECSS.
• Règlement (UE) 2021/696 établissant le programme spatial de l’Union et l’EUSPA, EUR-Lex ; EUSPA, À propos de l’EUSPA et soutien en tests de pénétration pour le conseil d’homologation de sécurité, 21 novembre 2024.

Questions fréquentes