NIS 2 : quelles entreprises alimentaires sont concernées

Une entreprise de distribution alimentaire est concernée par NIS 2 lorsqu’elle exerce la distribution en gros ou la production et la transformation industrielles de denrées, et qu’elle atteint au moins la taille d’une moyenne entreprise. Elle devient alors en principe une entité importante, avec des obligations de sécurité, de continuité et de notification des incidents.

Pourquoi un grossiste alimentaire entre dans le radar

La directive (UE) 2022/2555, dite NIS 2, a élargi la cybersécurité réglementaire bien au-delà des opérateurs d’énergie ou de télécommunications. Son annexe II liste sept « autres secteurs critiques », et l’un d’eux s’intitule production, transformation et distribution des denrées alimentaires. La logique est simple : une panne informatique chez un grand distributeur de gros prive des restaurants, des cantines et des magasins de leurs approvisionnements en quelques jours.

Le texte ne vise pas tout le secteur. Il retient les entreprises du secteur alimentaire, au sens du règlement européen de 2002 sur la sécurité des aliments, qui exercent la distribution en gros ou la production et la transformation industrielles. Le commerce de détail et la petite production artisanale restent en dehors. Un grossiste qui livre la restauration collective, une plateforme qui éclate des palettes pour des supérettes ou un transformateur qui conditionne des plats cuisinés sont donc dans la cible. Pour ces entreprises concernées, la question n’est plus de savoir si la cybersécurité les regarde, mais de prouver qu’elles la gèrent.

Les autres portes d’entrée à vérifier

Ta société peut aussi relever de NIS 2 par une autre activité que l’alimentaire. Trois cas reviennent souvent dans la distribution :

une activité d’expédition de colis ou de messagerie, que l’annexe II range dans les services postaux et d’expédition ;
une place de marché en ligne ouverte à d’autres vendeurs, rattachée aux fournisseurs numériques ;
une activité de fabrication couverte par la directive, par exemple de certains équipements.

Le transport routier de marchandises, lui, n’est pas visé en tant que tel. L’annexe I cible dans ce sous-secteur les autorités routières et les exploitants de systèmes de transport intelligents. Ton prestataire de transport en chaîne du froid reste un maillon à sécuriser, mais par le contrat plutôt que par la loi.

Le test de taille : entité importante ou hors champ

Le secteur ne suffit pas, il faut franchir un seuil. D’après l’ANSSI, une organisation atteint le niveau d’une entité importante à partir de 50 personnes, ou d’un chiffre d’affaires et d’un bilan annuels supérieurs à 10 millions d’euros. Dans l’alimentaire, qui relève de l’annexe II, une grande entreprise reste en principe une entité importante : la catégorie des entités essentielles concerne avant tout les grandes structures des secteurs hautement critiques de l’annexe I.

Deux subtilités piègent les dirigeants de PME. La première tient au périmètre du calcul : la directive renvoie à la recommandation européenne de 2003 sur la définition des PME, qui intègre dans certains cas les effectifs et les chiffres des entreprises partenaires ou liées. Une filiale de 40 salariés adossée à un groupe peut ainsi dépasser le seuil. La seconde tient aux activités mixtes : une société qui fait du gros et du détail doit isoler ce qui relève de l’une et de l’autre.

Ce raisonnement se documente, parce qu’il sera la première chose que l’autorité demandera. Quand la réponse n’est pas évidente, entre activité mixte, groupe à plusieurs sociétés et prestations logistiques pour compte de tiers, un cabinet nis2 réalise d’abord un diagnostic d’assujettissement, puis un plan d’action priorisé sur les écarts constatés. L’intérêt tient moins à l’étiquette qu’à la trace : une conclusion argumentée, datée, que la direction peut défendre.

L’ANSSI propose aussi un simulateur en ligne, « Suis-je concerné ? », sur son espace dédié à NIS 2. Il donne une première orientation, utile avant d’engager le travail de fond.

Ce que NIS 2 regarde dans un entrepôt

La directive ne parle ni de palettes ni de préparateurs de commandes. Elle parle de réseaux et de systèmes d’information dont dépend la fourniture de ton service. Dans une entreprise de distribution, la liste est plus longue qu’il n’y paraît.

Les systèmes qui font tourner les flux

Commence par recenser ce qui, en tombant, arrête les expéditions :

le logiciel de gestion d’entrepôt, qui pilote les emplacements, les préparations et les expéditions ;
l’ERP ou la gestion commerciale, où vivent les tarifs, les commandes et la facturation ;
les flux d’échange avec les clients et les fournisseurs, EDI ou connecteurs applicatifs ;
les portails où tes clients commandent et où tes fournisseurs publient leurs catalogues ;
les terminaux de préparation, scanners et imprimantes d’étiquettes.

Chaque connexion supplémentaire ouvre une porte. Les échanges EDI et API avec tes partenaires B2B en sont le meilleur exemple : un message falsifié ou un accès partenaire compromis se propage d’un système à l’autre sans que personne relise.

La chaîne du froid connectée

Les sondes de température, les enregistreurs et les alarmes des chambres froides sont de plus en plus reliés au réseau, parfois à une plateforme externe du fabricant. Ils conditionnent la conformité sanitaire des lots. Un équipement de ce type, jamais mis à jour et joignable depuis Internet, relève pleinement de la gestion des risques attendue par la directive.

Autre point : les accès physiques. Badges, vidéosurveillance et contrôle des quais sont souvent gérés par des logiciels. L’approche « tous risques » de NIS 2 couvre aussi ces dépendances, ainsi que les événements physiques comme un incendie ou une coupure de courant qui priveraient l’entrepôt de ses serveurs.

Continuité d’activité : le WMS tombe un lundi à 5 heures

La continuité d’activité figure parmi les mesures minimales que la directive impose, avec la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. Dans la distribution, la question se pose concrètement : que se passe-t-il si le logiciel d’entrepôt est chiffré par un rançongiciel à l’ouverture des quais ?

Trois éléments font la différence entre une journée perdue et trois semaines de désordre. Des sauvegardes isolées du réseau et restaurées au moins une fois pour de vrai, pas seulement lancées chaque nuit. Un mode dégradé écrit, qui décrit comment préparer et livrer les commandes prioritaires avec des listes papier et un stock connu. Enfin, une liste des clients sensibles, restauration collective, établissements de santé, à prévenir en premier.

Ce plan se teste. Un exercice d’une demi-journée, avec l’équipe d’exploitation et le service client, révèle plus de failles qu’une politique de vingt pages. Les travaux déjà engagés pour optimiser la gestion de l’entrepôt fournissent souvent la cartographie des flux dont ce plan a besoin.

Fournisseurs et prestataires : le maillon que la directive surveille

NIS 2 demande aux entités de sécuriser leur chaîne d’approvisionnement, c’est-à-dire leurs relations avec leurs fournisseurs directs et leurs prestataires de services. Pour un distributeur, cela concerne l’éditeur du logiciel d’entrepôt, l’hébergeur, l’infogérant, l’opérateur EDI, le fabricant des sondes, mais aussi le transporteur qui accède à ton portail pour récupérer ses bons de livraison.

Le levier est contractuel. Plusieurs clauses méritent d’être relues ou ajoutées dans les contrats de ces prestataires :

l’obligation de te prévenir sans délai d’un incident qui touche tes données ou ton service ;
la gestion des accès à distance, avec comptes nominatifs et authentification renforcée ;
les conditions de sauvegarde, de restitution des données et de réversibilité ;
le droit d’obtenir des preuves, rapport d’audit ou attestation de sécurité ;
l’encadrement de la sous-traitance en cascade.

La même logique joue dans l’autre sens. Si tes clients sont eux-mêmes assujettis, de grandes enseignes ou des groupes de restauration par exemple, ils t’adresseront des questionnaires de sécurité et des clauses comparables. Mieux vaut préparer tes réponses que les improviser au moment d’un renouvellement d’appel d’offres.

La direction signe, et se forme

Dans une PME de distribution, la tentation consiste à confier le dossier au prestataire informatique et à passer à autre chose. La directive ferme cette porte. Elle prévoit que les organes de direction approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et peuvent être tenus responsables des manquements de l’entité. L’ANSSI le formule sans détour : le dirigeant exécutif est responsable de la sécurité numérique.

Approuver suppose de comprendre ce qui est approuvé. Les membres de la direction sont tenus de suivre une formation qui leur donne les connaissances suffisantes pour apprécier les risques, et la directive encourage les entreprises à proposer une formation comparable à leurs salariés. Dans une société de cinquante personnes, le gérant, le directeur administratif et le responsable d’exploitation forment souvent tout l’organe de décision : ce sont eux à former en premier.

Concrètement, trois habitudes suffisent à rendre cette gouvernance visible :

un point sécurité inscrit à l’ordre du jour du comité de direction, au moins chaque trimestre ;
des décisions tracées, avec les risques acceptés et les moyens alloués ;
un compte rendu de chaque incident, même mineur, et des mesures prises ensuite.

Ces traces ne servent pas qu’à l’autorité. Elles rassurent aussi l’assureur au moment de souscrire ou de renouveler une garantie cyber, et les grands clients qui auditent leurs fournisseurs.

Notifier un incident : un calendrier serré pour une PME

La directive organise la notification des incidents importants en trois temps vers l’autorité nationale : une alerte précoce dans les 24 heures qui suivent la prise de connaissance, une notification dans les 72 heures avec une première évaluation, puis un rapport final au plus tard un mois après. Un incident est important lorsqu’il perturbe gravement le service ou cause des pertes financières sérieuses.

Pour une entreprise de distribution sans service informatique étoffé, le délai de 24 heures est court. Il suppose de savoir qui constate, qui décide et qui déclare, y compris un dimanche. Ce circuit s’écrit avant la crise, avec les coordonnées de l’infogérant et de l’assureur à portée de main.

Ce régime s’ajoute au règlement général sur la protection des données. Une attaque qui expose les coordonnées de tes clients professionnels ou les données de tes salariés impose aussi une notification à la CNIL dans un délai de 72 heures, par un canal distinct.

Par où commencer quand il n’y a pas de DSI

Beaucoup d’entreprises de distribution fonctionnent avec un responsable administratif, un prestataire informatique et quelques utilisateurs avancés. NIS 2 ne demande pas de créer un service sécurité. Elle demande une démarche proportionnée, pilotée et prouvée.

Six chantiers donnent une base solide, dans cet ordre :

Désigner un référent interne, rattaché à la direction, qui tient le dossier et rend compte.
Dresser l’inventaire des systèmes, des accès externes et des prestataires critiques.
Activer l’authentification multifacteur sur les messageries, les accès à distance et les portails.
Mettre les sauvegardes hors ligne et chronométrer une restauration complète.
Supprimer les comptes des anciens salariés et des prestataires sortis.
Former les équipes comptables et commerciales aux fraudes au changement de coordonnées bancaires.

Ce dernier point parle à tout grossiste. Un faux courriel de fournisseur qui annonce un nouveau RIB juste avant une échéance importante reste l’une des escroqueries les plus classiques du commerce interentreprises, et aucune technologie ne remplace un contre-appel au numéro habituel. Ces chantiers prolongent naturellement la digitalisation des processus déjà engagée.

Le calendrier français, à suivre sans l’attendre

Au moment où cet article est écrit, en septembre 2026, la loi française de transposition n’est pas promulguée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025 puis par la commission spéciale de l’Assemblée nationale en septembre 2025, et son examen en séance publique reste attendu. L’ANSSI précise que NIS 2 entrera en vigueur en France une fois l’ensemble des textes promulgués, loi, décrets et arrêtés.

L’agence a publié le 17 mars 2026 le Référentiel Cyber France, ou ReCyF, sous forme de document de travail. Il décrit les objectifs de sécurité attendus des futures entités et les mesures recommandées. S’en servir comme grille dès maintenant évite de devoir tout reprendre à la publication des décrets.

Prochaine étape : réunir cette semaine le dirigeant, le responsable d’exploitation et le prestataire informatique pour trancher la question de l’assujettissement, puis lister les cinq systèmes dont l’arrêt bloquerait les livraisons dès le lendemain.