Qui devrait lire ceci : une entreprise de moins de deux cent cinquante personnes qui construit des sous-systèmes, du logiciel de charge utile ou de segment sol, des équipements de test ou des prestations d’ingénierie pour des opérateurs satellitaires, des lanceurs ou des agences spatiales, et qui voit apparaître des clauses de sécurité dans les appels d’offres.
Le spatial est le seul secteur où un fournisseur peut se trouver simultanément hors du périmètre de la directive dont tout le monde parle, à l’intérieur d’un règlement qui n’existe pas encore, licencié par une loi nationale que personne n’a lue hors du pays, et déjà recalé à la revue de sécurité d’un client. Les quatre sont vrais en même temps et arrivent dans un ordre précis.
Quatre régimes, pas un
La plupart des analyses traitent le sujet comme une question NIS2. Ce n’en est pas une. Un fournisseur du spatial relève de quatre obligations distinctes, avec des auteurs, des calendriers et des mécanismes de sanction différents.
- NIS2, en vigueur, transposée à des rythmes différents selon les États.
- Le règlement spatial européen, proposé en juin 2025, encore en négociation.
- La loi nationale d’autorisation des activités spatiales, qui licencie l’activité elle-même.
- Le contrat du maître d’œuvre ou de l’opérateur, qui porte une date et n’est pas négociable.
Ils se recouvrent, mais imparfaitement, et celui qui vous coûtera réellement un marché cette année est le quatrième.
Régime un : NIS2, déjà applicable
NIS2 nomme le spatial à l’annexe I. Les entités visées sont les exploitants d’infrastructures au sol, détenues, gérées et exploitées par les États membres ou par des acteurs privés, qui soutiennent la fourniture de services spatiaux. Notez ce que cela dit et ne dit pas. Il s’agit du segment sol, pas de l’orbite. Une entreprise qui exploite un téléport, un réseau de stations sol ou une infrastructure de contrôle de mission est dedans. Une entreprise qui fabrique une roue à réaction ne l’est pas, du moins pas par cette porte.
La taille intervient ensuite. Les exploitants de segment sol au-dessus du seuil de l’entreprise moyenne sont des entités essentielles, les plus petits des entités importantes, avec les différences pratiques exposées dans entités essentielles et importantes comparées. En cas de doute sur le côté de la ligne où vous vous situez, le guide du périmètre NIS2 et le vérificateur de périmètre NIS2 répondent plus vite qu’un avis juridique.
Les fabricants relèvent d’une autre logique. Si vous construisez des véhicules spatiaux, des équipements électroniques ou de communication, ou les machines associées, vous êtes atteint par les rubriques de fabrication de l’annexe II plutôt que par la rubrique spatiale de l’annexe I, en tant qu’entité importante et non essentielle.
Et si aucune des deux portes ne s’applique, la troisième s’applique en général. L’article 21, paragraphe 2, point d) impose aux entités dans le périmètre de maîtriser le risque de leur propre chaîne d’approvisionnement, ce qui signifie que leurs obligations vous parviennent par contrat, que la directive vous nomme ou non. C’est le mécanisme décrit pour les fournisseurs télécoms, et le détail figure dans sécurité de la chaîne d’approvisionnement et risque fournisseur.
Une remarque pratique sur le calendrier. La transposition a pris du retard presque partout : en novembre 2024, la Commission a adressé des lettres de mise en demeure à vingt-trois États membres, dont le Luxembourg, pour défaut de transposition à l’échéance d’octobre 2024. C’est pourquoi deux clients de deux pays vous citeront des dates différentes pour la même directive, et c’est pourquoi la loi luxembourgeoise de transposition mérite une lecture directe si vous êtes établi ici. Si vous opérez au-delà des frontières, la question de la juridiction compétente détermine l’autorité dont vous relevez.
Régime deux : le règlement spatial européen, et pourquoi ce n’est pas simplement plus de NIS2
La Commission a adopté la proposition de règlement spatial le 25 juin 2025. C’est un règlement et non une directive : une fois adopté, il s’applique directement, sans vingt-sept versions nationales. La consultation publique s’est close en novembre 2025 et le texte suit la procédure législative ordinaire entre le Parlement et le Conseil.
Trois éléments de la proposition comptent plus que les autres pour un fournisseur.
Il est conçu comme une lex specialis, pas comme une couche supplémentaire. Le chapitre résilience est destiné à primer sur NIS2 pour les opérateurs spatiaux dans son périmètre, plutôt qu’à s’y ajouter. C’est inhabituel et c’est une bonne nouvelle : l’alternative était deux régimes de notification avec deux horloges différentes.
Le délai est plus court. Tel que proposé, les incidents significatifs se déclarent dans les douze heures suivant la détection, contre vingt-quatre heures pour l’alerte précoce NIS2. Le calendrier de notification NIS2 est la référence de comparaison. Douze heures n’est pas un problème documentaire. C’est un problème de détection, et nous y reviendrons.
La sécurité est testée avant le lancement, pas affirmée. La proposition impose des tests d’intrusion fondés sur la menace, réalisés par des évaluateurs accrédités avant le lancement, ou avant le premier lot pour une constellation, avec un nouveau test tous les trois ans. Celui qui a fourni le logiciel de vol et le segment sol se trouvera dans le périmètre de ce test.
Une proportionnalité est prévue pour les petits opérateurs : les petites entreprises et les organismes de recherche ou d’enseignement appliquent une gestion des risques simplifiée, centrée sur les actifs critiques et les risques principaux. Et le règlement porte au-delà de l’Union, en visant les opérateurs de pays tiers qui fournissent des données ou services spatiaux dans l’UE, de la même manière que le RGPD porte hors d’Europe.
La réserve honnête : il s’agit d’une proposition. Les numéros d’articles, les seuils et le chiffre de douze heures peuvent tous bouger en trilogue, et la date d’application n’est pas fixée. Ne construisez pas sur les numéros d’articles. Construisez sur la forme, car la forme est stable : des délais plus courts, une sécurité testée plutôt que déclarée, et des obligations de chaîne d’approvisionnement qui vous atteignent via votre client.
Régime trois : votre autorisation nationale
L’activité spatiale est licenciée au niveau national, et la licence est un canal distinct de tout ce qui précède. Le Luxembourg applique un régime d’autorisation des activités spatiales administré par son agence spatiale nationale, assorti de conditions de licence pouvant porter sur la sécurité, la continuité et la notification. Ces conditions sont opposables indépendamment de NIS2 et indépendamment de ce que deviendra le règlement spatial.
Pour un fournisseur, cela compte indirectement mais concrètement. Les conditions de licence de votre client deviennent vos clauses contractuelles. Un opérateur licencié qui s’est engagé devant une autorité sur l’intégrité de sa chaîne de commande et de contrôle répercutera cet engagement sur quiconque en fournit une partie.
Régime quatre : le maître d’œuvre, qui arrive le premier
Tout ce qui précède est une obligation future assortie d’un processus législatif. Le régime qui vous coûtera réellement du chiffre d’affaires ce trimestre est un questionnaire de maître d’œuvre ou d’opérateur, joint à un appel d’offres, avec une date de retour à quinze jours.
La répercussion des agences et des maîtres d’œuvre n’attend pas la réglementation. Elle a sa propre filiation normative, son propre vocabulaire, et pose des questions plus précises que tout ce que contient NIS2 : comment les liaisons de commande sont authentifiées, comment le logiciel de vol est signé et vérifié, qui dispose d’un accès physique au hall d’intégration, combien de temps la télémétrie est conservée et qui peut la lire, ce qu’il advient des accès d’un sous-traitant à la fin du sous-contrat.
Si vous en avez reçu un et constaté que vous ne pouviez pas répondre à la moitié, cette expérience est le sujet du questionnaire de sécurité auquel vous ne pouvez pas répondre. La partie inconfortable est que le questionnaire ne demande pas vraiment si vous êtes sécurisé. Il demande si vous pouvez le démontrer, ce qui est une capacité différente et généralement absente.
Lequel vous atteint en premier
Par ordre d’arrivée pour un fournisseur type : le questionnaire du client, puis les clauses contractuelles au renouvellement, puis NIS2 si vous exploitez une infrastructure sol ou fabriquez des équipements, puis les conditions de licence si vous en détenez une, puis le règlement spatial quelque part au-delà.
Cet ordre a une conséquence pratique. Construire pour la réglementation la plus lointaine est la mauvaise séquence. Construire pour le questionnaire qui arrive ensuite, d’une manière qui satisfera aussi la réglementation plus tard, est la bonne.
Ce qu’il faut construire une seule fois
Les quatre régimes posent des questions qui se recouvrent avec des mots différents. Le socle commun est plus petit que le nombre de pages ne le suggère.
- Un inventaire des actifs qui inclut le segment sol, pas seulement le parc bureautique. Chaque régime demande ce que vous avez avant de demander comment vous le protégez, et le segment sol est précisément là où la plupart des inventaires s’arrêtent.
- Un registre des fournisseurs avec clauses de sécurité et dates de revue. Vous êtes dans la chaîne de quelqu’un et quelqu’un est dans la vôtre. Les deux sens sont évalués.
- Un contrôle d’accès avec discipline d’expiration, en particulier pour les sous-traitants et les halls d’intégration, là où les questionnaires spatiaux se concentrent.
- Des journaux dont la rétention survit à une investigation, et non une rétention qui satisfait un réglage par défaut. Un délai de douze heures n’a aucun sens si les preuves disparaissent au bout de sept jours.
- Un processus d’incident répété face au délai le plus court auquel vous êtes exposé, aujourd’hui vingt-quatre heures et peut-être douze demain.
- Des preuves qui se régénèrent. La différence entre réussir un questionnaire et les réussir tous tient à ce que les réponses soient produites par un système plutôt qu’assemblées à la main à chaque fois.
Une entreprise qui construit cela est prête pour un audit NIS2, capable de répondre à un maître d’œuvre, et positionnée pour le règlement spatial sans reconstruire. Une entreprise qui mène quatre chantiers de conformité séparés fera trois fois le même travail en trop. L’argument général figure dans ISO 27001 et NIS2 en une fois plutôt que deux, et le point de départ pratique pour une entreprise sans équipe sécurité est ISO 27001 sans équipe de sécurité.
La réalité technique
Chacun de ces quatre régimes fixe une horloge et ne dit presque rien de l’instrument qui la déclenche.
Douze heures après détection, dit la proposition. Vingt-quatre heures après prise de connaissance, dit la directive. Les deux phrases contiennent une hypothèse cachée : que quelque chose détecte. Un fournisseur sans agrégation de journaux, sans alerte sur sa chaîne de compilation et sans rétention au-delà du réglage par défaut sur ses systèmes de segment sol n’a pas un problème de notification. Il a un problème de découverte, et l’horloge ne démarre jamais parce que personne ne sait.
C’est l’écart que la réglementation laisse ouvert, et il est assez précis pour être comblé. De la télémétrie issue des systèmes qui comptent, une rétention suffisante pour reconstituer une compromission plutôt que pour cocher une case, des alertes réglées sur la poignée de choses réellement anormales dans un petit parc d’ingénierie, et un dossier de preuves qu’un client, une autorité et un auditeur peuvent tous lire sans trois assemblages distincts.
La réglementation vous demande de déclarer. Les clients du spatial, de plus en plus, vous demandent de démontrer. L’écart entre les deux, c’est là que se trouve le travail. Pour le mesurer plutôt que l’estimer, un audit de sécurité indépendant s’en charge, et notre page dédiée au spatial expose les obligations de bout en bout.
