NIS2 Industrie de Défense : Obligations des Fournisseurs BITD 2026

L'industrie de défense française occupe une position singulière dans le paysage NIS2 : elle est à la fois soumise directement à la directive (pour les entités essentielles du secteur spatial et défense) et concernée indirectement via les chaînes d'approvisionnement des secteurs critiques adossés (énergie, transports, télécommunications). Pour les PME et ETI de la Base Industrielle et Technologique de Défense (BITD), 2026 marque un tournant : les obligations NIS2 s'accumulent aux exigences DGA existantes (RMC DGA), créant une double contrainte réglementaire dont beaucoup n'ont pas encore mesuré la portée. Ce guide détaille les obligations spécifiques des fournisseurs BITD sous NIS2, l'articulation avec la Loi de Programmation Militaire 2024-2030, et les cas pratiques pour les PME naviguant entre contrats DGA et clients NIS2.

La BITD et NIS2 : qui est concerné

La directive NIS2 liste les secteurs d'activité soumis à ses obligations en deux annexes : l'annexe I pour les entités essentielles (EE) et l'annexe II pour les entités importantes (EI). L'annexe I de NIS2 inclut le secteur "espace" parmi les secteurs critiques soumis aux obligations d'entités essentielles. L'article 2 de la directive précise que les entités du secteur de la défense peuvent être exclues du champ d'application si les États membres le décident pour des raisons de sécurité nationale.

La transposition française a adopté une approche nuancée : les entreprises purement défense travaillant sur des systèmes classifiés sont dans une zone grise réglementaire, tandis que les entreprises BITD qui fournissent des services dans d'autres secteurs NIS2 (énergie, spatial civil, télécommunications) sont pleinement concernées. Cette distinction est fondamentale pour déterminer vos obligations réelles.

Entités essentielles dans le secteur spatial

Les opérateurs d'infrastructures spatiales civiles (satellites de télécommunications, systèmes de navigation comme Galileo, services d'observation de la Terre à usage civil) sont des entités essentielles au sens de NIS2. Les sous-traitants de ces opérateurs entrent dans le périmètre de l'article 21-4 de NIS2 via la supply chain. ArianeGroup, Thales Alenia Space et Airbus Defence and Space, en tant qu'opérateurs d'infrastructures spatiales civiles, sont potentiellement soumis à NIS2 en tant qu'EE et doivent appliquer les exigences supply chain à leurs fournisseurs BITD.

Fournisseurs BITD soumis à NIS2 via la supply chain

Au-delà des opérateurs spatiaux directs, de nombreuses PME BITD sont concernées via leurs clients qui sont eux-mêmes entités essentielles dans d'autres secteurs. Un fabricant de composants électroniques qui fournit à la fois la DGA et un opérateur d'énergie nucléaire classifié EE est soumis à NIS2 supply chain pour la partie de son activité liée à l'opérateur énergétique. La règle est simple : si vous fournissez des services à une EE ou EI, les exigences NIS2 supply chain s'appliquent à cette relation commerciale, indépendamment de vos autres activités défense.

Double contrainte : NIS2 et RMC DGA

Pour les entreprises BITD soumises aux deux régimes, la gestion des exigences croisées NIS2 (via les clients EE) et RMC DGA (via les contrats DGA) est un défi organisationnel majeur. Les deux référentiels partagent des fondamentaux communs mais présentent des exigences spécifiques.

Ce que NIS2 ajoute aux exigences DGA existantes

Les exigences DGA (portées par le RMC DGA et les clauses de sécurité de l'information des contrats) sont axées sur la protection des informations classifiées et des données à diffusion restreinte (DR). NIS2 ajoute des exigences que le cadre DGA ne couvre pas : la notification d'incidents dans des délais très courts (24h/72h/1 mois) à des acteurs non-étatiques (les clients EE), la mise en place d'un processus formel d'évaluation de la maturité de vos propres fournisseurs pour les services liés aux clients NIS2, et la transparence contractuelle sur vos pratiques de sécurité vis-à-vis de clients privés.

Ces exigences créent parfois des tensions avec les habitudes des entreprises défense, peu familières de la transparence contractuelle sur leurs pratiques de sécurité vis-à-vis d'acteurs privés. La culture du secret, légitime dans le contexte défense, doit être réconciliée avec les obligations de transparence NIS2.

Points de friction spécifiques à la BITD

Le premier point de friction est la notification d'incidents. Dans le contexte DGA, la notification d'incidents suit des canaux étatiques classifiés (DRSD, ANSSI). Dans le contexte NIS2, la notification doit aller au client EE dans des délais très courts via un canal sécurisé mais non classifié. Il faut donc mettre en place deux processus parallèles de notification, avec des interlocuteurs différents.

Le deuxième point de friction est le périmètre des évaluations. Un audit de sécurité conduit par un client EE via un prestataire PASSI peut potentiellement toucher des systèmes ou des zones de l'entreprise contenant des informations classifiées. Il est impératif de définir contractuellement le périmètre de ces audits pour s'assurer qu'ils ne compromettent pas les obligations de confidentialité vis-à-vis de la DGA.

Interactions avec la Loi de Programmation Militaire 2024-2030

La LPM 2024-2030, promulguée en juillet 2023, prévoit des dispositions spécifiques pour renforcer la cybersécurité de la BITD. Ces dispositions, entrées en vigueur progressivement depuis 2024, créent une troisième couche réglementaire pour certaines entreprises BITD.

Les obligations cybersécurité de la LPM pour la BITD

La LPM 2024-2030 renforce les obligations de signalement des incidents aux autorités (ANSSI et DRSD) pour les entreprises BITD, avec des délais resserrés. Elle crée également un mécanisme de suivi de la maturité cybersécurité de la BITD par le ministère des Armées, dont les modalités pratiques sont en cours de définition. Enfin, elle prévoit des ressources spécifiques pour accompagner la montée en maturité cyber des PME et ETI BITD, via le programme "Cyber PME BITD" géré par la Direction Générale des Entreprises (DGE) en lien avec l'ANSSI.

Articulation LPM / NIS2 / RMC DGA

L'articulation de ces trois régimes est complexe. La règle pratique est la suivante : les obligations LPM et RMC DGA s'appliquent à l'ensemble de l'entreprise BITD (pour ses activités défense), NIS2 s'applique aux relations avec les clients EE/EI non-défense. Pour les entreprises à la jonction (fournisseurs de systèmes duaux civils/militaires), l'ANSSI recommande d'appliquer le niveau d'exigence le plus élevé et d'isoler les systèmes selon leur destination (défense vs. civil NIS2) lorsque c'est possible.

Secteur spatial : focus sur les obligations spécifiques

Le secteur spatial présente des particularités qui méritent un traitement spécifique. Les opérateurs d'infrastructures spatiales civiles classifiés EE doivent appliquer les mesures de l'article 21 de NIS2, dont l'évaluation de leurs fournisseurs. Les fournisseurs de composants, de logiciels embarqués, de services de lancement et de services de contrôle de satellites sont donc soumis aux exigences supply chain NIS2 via leurs clients opérateurs spatiaux.

Spécificités des systèmes embarqués spatiaux

Les systèmes embarqués spatiaux présentent des contraintes techniques spécifiques qui rendent certaines exigences NIS2 complexes à appliquer : les satellites ne peuvent pas être "patchés" comme des serveurs terrestres une fois mis en orbite, les protocoles de communication sont propriétaires et la gestion des accès distants obéit à des contraintes physiques liées aux fenêtres de communication. Ces spécificités doivent être documentées et justifiées dans le cadre de l'évaluation ReCyF ou des questionnaires fournisseurs : les clients EE spatiaux ont généralement conscience de ces contraintes et acceptent des mesures compensatoires adaptées.

Cas pratiques : PME BITD avec contrats DGA et clients NIS2

Cas 1 : Sous-traitant électronique dual (défense + énergie)

Une PME de 80 salariés fabrique des composants électroniques embarqués vendus à la fois à la DGA (programme de missiles) et à un opérateur d'énergie nucléaire (capteurs de contrôle). Elle est soumise au RMC DGA niveau 2 pour sa filière défense et à NIS2 supply chain pour sa filière énergie. La stratégie recommandée est d'utiliser ISO 27001 comme socle commun, avec deux extensions : les contrôles spécifiques de protection des informations classifiées (RMC DGA) et les contrôles de notification d'incidents NIS2. L'inventaire des actifs doit segmenter clairement les systèmes utilisés dans la filière défense (périmètre DGA) et ceux de la filière énergie (périmètre NIS2).

Cas 2 : PME de maintenance de systèmes de navigation (GPS/Galileo)

Une PME de 150 salariés assure la maintenance de systèmes de navigation embarqués pour des applications civiles (Galileo, aviation civile) et militaires (GPS militaire). Sa filière civile Galileo la place dans la supply chain d'une EE spatiale, soumettant cette filière aux exigences NIS2. Sa filière militaire reste soumise au RMC DGA uniquement. Le point critique est la gestion des équipes qui interviennent sur les deux filières : les techniciens de maintenance peuvent accéder aux deux types de systèmes, et leurs habilitations, leurs accès et leurs pratiques doivent être gérés de façon différenciée selon la filière. Un système d'accès à deux niveaux, avec des audits de ségrégation, est recommandé.

Cas 3 : ETI de cybersécurité BITD fournisseur de SOC

Une ETI de 300 salariés spécialisée en cybersécurité fournit des services de SOC (Security Operations Center) à la fois à des clients défense (sous RMC DGA) et à des opérateurs critiques NIS2 (EE du secteur des télécommunications). Cette entreprise est elle-même potentiellement une entité essentielle si son chiffre d'affaires et son importance systémique la placent dans ce périmètre. Elle doit donc gérer simultanément ses propres obligations NIS2 (en tant qu'EE potentielle), ses obligations RMC DGA (pour ses clients défense), et ses obligations supply chain (vis-à-vis des EE qu'elle équipe en SOC). La gestion de cette triple contrainte passe par une PSSI unifiée avec des annexes sectorielles, un SMSI certifié ISO 27001 comme colonne vertébrale, et des procédures spécifiques par filière pour les points de divergence (notification d'incidents, périmètres d'audit).

Programme Cyber PME BITD : ressources disponibles

Le programme "Cyber PME BITD", lancé dans le cadre de la LPM 2024-2030, propose un accompagnement spécifique pour les PME BITD en matière de cybersécurité. Ce programme, coordonné par la DGE en lien avec l'ANSSI et le CNES, comprend des diagnostics cyber subventionnés, des formations adaptées au contexte défense, un référentiel de bonnes pratiques spécifique à la BITD, et un mécanisme de mise en relation avec des prestataires PASSI ayant une habilitation défense.

Ces ressources sont particulièrement précieuses pour les PME BITD qui n'ont pas les moyens de recruter un RSSI interne qualifié pour gérer la complexité des exigences croisées NIS2 / RMC DGA / LPM.

FAQ : NIS2 et industrie de défense BITD

Mon entreprise de défense est-elle automatiquement exemptée de NIS2 ?

Pas nécessairement. La directive NIS2 prévoit une possibilité d'exemption pour les entités défense pour des raisons de sécurité nationale, mais cette exemption n'est pas automatique et dépend de la transposition nationale. En France, les entités purement défense travaillant sur des systèmes classifiés bénéficient d'un traitement spécifique, mais les entreprises BITD qui fournissent également des secteurs NIS2 (énergie, espace civil, télécoms) sont soumises à NIS2 pour ces activités. Consultez l'ANSSI ou un conseil spécialisé pour déterminer votre situation exacte.

Comment gérer la notification d'incidents quand je dois notifier à la fois le DRSD et un client EE ?

Il faut mettre en place deux procédures de notification parallèles. La notification au DRSD suit les canaux étatiques et les délais spécifiques aux incidents sur des systèmes classifiés. La notification au client EE suit les délais NIS2 (24h/72h/1 mois) via le canal convenu dans le contrat. Ces deux procédures ne s'excluent pas — au contraire, un incident sur un système dual (utilisé à la fois pour un contrat DGA et pour un service fourni à une EE) peut nécessiter les deux notifications simultanément. Votre procédure de gestion des incidents doit prévoir un arbre de décision pour déterminer quels canaux activer selon la nature de l'incident.

Un audit mandaté par mon client EE peut-il accéder à mes zones défense ?

Non, à condition de le prévoir contractuellement. Le contrat avec votre client EE doit définir précisément le périmètre de l'audit autorisé, en excluant explicitement les zones, systèmes et informations relevant de contrats DGA classifiés. Cette clause doit être négociée avant la signature du contrat, pas après. Les prestataires PASSI mandatés par les EE sont familiers de ces contraintes et respectent généralement les périmètres définis contractuellement.

Le programme Cyber PME BITD prend-il en charge les coûts de conformité NIS2 ?

Le programme Cyber PME BITD subventionne des diagnostics cyber et des formations, mais pas directement les coûts d'implémentation des mesures de conformité. Des dispositifs régionaux et des aides BPI peuvent compléter ce dispositif. Pour les coûts de certification ISO 27001 (entre 15 000 et 40 000 euros selon la taille), des co-financements sont parfois disponibles via les conseils régionaux dans le cadre de programmes de soutien à l'industrie défense. Renseignez-vous auprès de votre CCI ou de votre association professionnelle sectorielle.

Où trouver les ressources officielles sur NIS2 pour la BITD ?

L'ANSSI publie des ressources spécifiques BITD sur cyber.gouv.fr, notamment sur l'articulation NIS2 / défense. Le texte officiel de NIS2 est sur EUR-Lex. Pour notre analyse des obligations NIS2 supply chain, consultez notre guide ReCyF NIS2 supply chain et notre page sur la directive NIS2 en France. L'ENISA publie également des guides pratiques sur la supply chain sur enisa.europa.eu.

Accompagnement disponible pour les PME BITD : ressources et dispositifs

Les PME de la BITD confrontées aux obligations NIS2 et RMC DGA ne sont pas seules. Un écosystème d'accompagnement spécifique s'est structuré autour de leurs besoins particuliers, tenant compte des contraintes de confidentialité liées à leur activité défense.

Le Comité Richelieu et les associations sectorielles

Le Comité Richelieu, qui représente les PME innovantes fournisseurs de l'État (dont un grand nombre de PME BITD), a développé des ressources spécifiques sur la conformité NIS2 et RMC DGA. Des groupes de travail sectoriels permettent aux PME BITD de partager leurs expériences et d'identifier des approches communes. Le GICAT (Groupement des Industries Françaises de Défense et de Sécurité Terrestres et Aéroterrestres) et le GIFAS (Groupement des Industries Françaises Aéronautiques et Spatiales) proposent également des programmes d'accompagnement cyber spécifiques à leurs adhérents.

ANSSI et prestataires qualifiés défense

L'ANSSI dispose d'une liste de prestataires PASSI (Prestataires d'Audit de la Sécurité des Systèmes d'Information) qualifiés, dont certains ont des habilitations défense permettant d'auditer des environnements contenant des informations classifiées. Pour les PME BITD, il est recommandé de faire appel à des prestataires ayant à la fois la qualification PASSI et une expérience avérée dans le contexte défense. Ces prestataires compréhension les contraintes de confidentialité spécifiques au secteur et peuvent conduire des évaluations ReCyF tout en respectant les restrictions d'accès liées aux informations classifiées.

Perspectives 2027 : évolution des obligations pour la BITD

Le paysage réglementaire pour les entreprises BITD est en évolution constante. Plusieurs développements attendus à l'horizon 2027 méritent d'être anticipés dès maintenant.

Extension du périmètre NIS2 au secteur défense

La Commission européenne a lancé en 2025 une consultation sur l'extension du périmètre de NIS2 au secteur de la défense proprement dit, au-delà des secteurs "espace" civil et des infrastructures civiles critiques. Cette extension, si elle est adoptée, créerait des obligations directes pour les entreprises BITD et non plus seulement indirectes via la supply chain. Les premières estimations font état d'une possible directive sectorielle défense-cyber d'ici 2027-2028, qui viendrait compléter NIS2 avec des exigences adaptées au contexte des informations classifiées et des systèmes d'armes.

Évolution du RMC DGA vers un modèle de certification

La DGA envisage de faire évoluer le RMC DGA vers un modèle de certification tierce partie (sur le modèle du CMMC américain), avec des évaluations conduites par des organismes accrédités plutôt que des auto-évaluations. Si cette évolution se concrétise, les PME BITD qui ont d'ores et déjà engagé des démarches de certification ISO 27001 seront avantagées, cette certification pouvant servir de base reconnue pour le futur RMC certifié. Les entreprises qui ont réalisé des investissements en conformité multi-référentiels dès 2025-2026 seront bien positionnées pour naviguer cette transition avec un surcoût minimal.

Articulation avec le Cyber Resilience Act

Le Cyber Resilience Act (CRA) européen, qui entrera en application progressive entre 2026 et 2028, impose des obligations de sécurité aux produits matériels et logiciels commerciaux mis sur le marché européen. Pour les PME BITD qui fabriquent des équipements comportant des composants logiciels (systèmes embarqués, capteurs connectés, équipements de communication), le CRA créera une quatrième couche d'obligations qui s'articulera avec NIS2 et le RMC DGA. Les entreprises qui auront mis en place une démarche de sécurité du cycle de développement (DevSecOps) dans le cadre de leur conformité NIS2 et ISO 27001 seront les mieux préparées à cette nouvelle exigence.

Synthèse : feuille de route pour une PME BITD confrontée à NIS2 en 2026

Pour une PME BITD de 50 à 200 salariés confrontée simultanément aux obligations NIS2 supply chain et au RMC DGA, voici la feuille de route recommandée pour 2026-2028. En 2026 (trimestres 1-2) : réaliser un diagnostic de la situation réglementaire précise (quels contrats DGA impliquent le RMC DGA, quels clients sont des EE NIS2, quels systèmes sont duaux) et constituer une équipe projet incluant le DG, le responsable IT et un RSSI externe si nécessaire. En 2026 (trimestres 3-4) : démarrer la mise en conformité sur les contrôles communs aux trois référentiels (PSSI, gestion des risques, MFA, patches, sauvegardes), répondre aux premiers questionnaires ReCyF reçus des clients EE. En 2027 (trimestres 1-2) : compléter la mise en conformité avec les contrôles spécifiques à chaque référentiel (protection des informations classifiées pour RMC DGA, cascade fournisseurs pour ReCyF), préparer et passer la certification ISO 27001. En 2027 (trimestres 3-4) et 2028 : atteindre le niveau RMC DGA cible pour les contrats DGA concernés, mettre en place le pilotage continu de la conformité, anticiper les évolutions réglementaires attendues (certification RMC DGA, extension NIS2 défense, CRA).