Retrouvez-nous à l’Espace Startups, et à notre atelier mercredi 7 octobre à 16h30. Grimaldi Forum, un pitch de dix minutes.
Réserver l’atelierNotre atelier aux AssisesPAR SECTEUR · INDUSTRIE
Le RSSI groupe n’a aucune autorité sur l’atelier, le directeur d’usine possède la production, le groupe est une entité importante au sens de NIS2 et la R&D livre des produits sous CRA. Mindlapse consolide l’image sans prétendre voir les automates.
Entité importante NIS2 · CRA sur les produits livrés · Les usines comme entités · Fournisseurs dans les deux sens
| Entité | Score | Analyse de risques | Tiers | Dérogations | Impact métier | Remédiation |
|---|---|---|---|---|---|---|
| Usine de Lyon | 82 | 4.4 | 4.1 | 3.9 | 4.3 | 4.0 |
| Usine de Gdańsk | 74 | 4.0 | 3.7 | 3.3 | 3.9 | 3.6 |
| Centre R&D | 69 | 3.7 | 3.4 | 3.2 | 3.5 | 3.4 |
| Usine de Monterrey | 61 | 3.4 | 3.1 | 2.4 | 3.3 | 2.9 |
| Acquisition récente | 43 | 2.8 | 1.2 | 2.1 | 2.6 | 2.3 |
| Moyenne groupe | · | 3.7 | 3.1 | 3.0 | 3.5 | 3.2 |
Les dérogations s’accumulent sur l’usine aux lignes les plus anciennes ; l’acquisition arrive avec presque rien dans la colonne des tiers.
LA SITUATION
Le RSSI groupe conseille ; la ligne s’arrête quand le directeur d’usine le dit, et pas avant.
MES, SCADA et IHM sur des systèmes non maintenus, sous contrôle de l’éditeur, sous des exceptions qui survivent à tous ceux qui les ont signées.
Une usine rachetée l’an dernier, trois outils, aucun registre, et l’auditeur du groupe le mois prochain.
Traitement des vulnérabilités, périodes de support et un SBOM que l’ingénierie n’a jamais produit.
QUI EST CONCERNÉ
Les fabricants de dispositifs médicaux, d’électronique, d’équipements électriques, de machines, de véhicules et autres matériels de transport, de produits chimiques et de denrées alimentaires relèvent des secteurs de l’annexe II de NIS2, le plus souvent comme entités importantes. Les fabricants de produits comportant des éléments numériques relèvent du CRA, dont les obligations de notification arrivent en premier et les obligations complètes ensuite ; les constructeurs de machines relèvent aussi du règlement Machines. Certains groupes français sont opérateurs d’importance vitale au titre du Code de la défense, un régime dans lequel la plateforme n’entre pas. La page CRA porte les dates ; la page NIS2, le test d’entité.
Écrite pour
CE QUE MINDLAPSE CHANGE
Surface: Organization Map
Chaque usine est une entité avec son registre, ses échelles et ses responsables ; le groupe lit l’image consolidée et descend vers les enregistrements de l’usine, jamais vers un inventaire de site.
En savoir plus
Surface: Value Chain Map
Les lignes de production et les systèmes qui les font tourner sont modélisés comme des activités avec leur impact, et les bulletins sont rapprochés des systèmes que vous déclarez. Mindlapse ne voit pas les automates et ne prétend pas les voir.
En savoir plus
Surface: Mindlapse Trust Grade
Le rang un avec accès distant et l’intégrateur sur la ligne portent un Trust Grade calculé depuis leur évaluation, l’impact métier et les notations externes, réévalué sur événement.
En savoir plus
Surface: Security by Design
Un nouveau contrôleur ou une machine connectée entre comme une initiative avec des exigences de sécurité rattachées dès la conception, orientée selon sa criticité ; le dossier CRA grandit à partir de là.
En savoir plus
Surface: Derogation lane
L’IHM impossible à patcher obtient une dérogation avec des mesures compensatoires, un approbateur et une échéance qui rouvre la décision au prochain arrêt.
En savoir plus
LA CARTE DES OBLIGATIONS
Les lignes européennes d’abord ; chaque cellule « vérifie » est une affirmation produit au niveau du registre, aucune cellule ne porte de date, et la phrase française sous le tableau est la seule source datée du site.
| Réglementation | Obligation | Ce que Mindlapse vérifie | Surface |
|---|---|---|---|
| NIS2 | Art. 21(2)(d) · sécurité de la chaîne d’approvisionnement | Évaluations fournisseurs proportionnées et contextualisées, réévaluation sur événement, contradictions signalées avec la preuve | Supplier Hub |
| NIS2 | Art. 21(2)(e) · acquisition et développement sécurisés, traitement des vulnérabilités | Exigences de sécurité rattachées aux initiatives dès la conception ; bulletins rapprochés chaque matin des systèmes déclarés | Security by Design |
| CRA | Art. 13 et annexe I · analyse de risque produit et exigences essentielles | Exigences portées dans votre jeu de contrôles par correspondance inter-référentiels ; l’analyse de risque produit en enregistrements vivants | Control Atlas |
| CRA | Art. 14 · obligations de notification | Vulnérabilités activement exploitées et incidents graves enregistrés comme risques et actions avec responsables ; le dossier de notification rédigé par la cascade et journalisé ; vous le déposez | Risk Register |
| NIS2 | Art. 20 · responsabilité à travers les usines | Posture consolidée par entité, les usines comme entités, l’organe de direction lisant une seule image | Organization Map |
| Règlement Machines | La cybersécurité parmi les exigences essentielles de santé et de sécurité | Les éléments numériques de la machine évalués dans la même analyse de risque produit ; preuves datées | Risk Register |
NIS2 devait être transposée dans toute l’UE avant le 17 octobre 2024. En septembre 2026, la loi française de transposition (le projet de loi résilience, qui refond aussi le régime OIV) est encore devant le Parlement, et la Commission européenne a saisi la Cour de justice contre la France en juillet 2026.
UN TRIMESTRE, PUIS LE JOUR OÙ LE CLIENT DEMANDE
Quatre moments d’un trimestre ordinaire dans un groupe industriel, et ce que la plateforme avait déjà fait ; puis le jour où un donneur d’ordre demande, en trois temps.
Un trimestre normal
alerte: SEMAINE 1
L’acquisition rejoint la vue groupe.
Sa maturité tiers avait été signalée sur la vue groupe avant que quiconque n’ouvre son registre.
Surface: Organization Map
SEMAINE 4
La dérogation d’accès distant d’un intégrateur de rang un a expiré.
L’échéance a rouvert la décision avec ses mesures compensatoires et son approbateur.
Surface: Derogation lane
SEMAINE 8
L’analyse de risque CRA du nouveau contrôleur est mise à jour.
En enregistrements vivants sur le produit, avec les actions et leurs responsables.
Surface: Risk Register
vérifié: SEMAINE 12
La réponse au donneur d’ordre part.
Le narratif de contrôle de l’usine et le dossier produit, envoyés depuis l’atlas.
Surface: Control Atlas
Le jour où le client demande
LA DEMANDE
Un donneur d’ordre envoie son questionnaire fournisseur et demande la preuve derrière trois réponses.
Les réponses étaient lues depuis les contrôles vérifiés de l’usine, pas rédigées pour l’occasion.
Surface: Control Atlas
CE QUI S’OUVRE
Le Control Atlas vérifié de l’usine, ses dérogations, le dossier produit.
Chaque dérogation avec ses mesures compensatoires et son échéance ; le dossier produit avec son analyse de risque.
Surface: Derogation lane
CE QUI S’EXPORTE
Le jeu de contrôles, les preuves, le dossier produit.
Le jeu de contrôles de l’usine avec ses preuves depuis le mode Audit, et le dossier CRA article 13 en enregistrements vivants.
Surface: Audit mode
Trimestre illustratif : les moments sont fictifs, les surfaces sont celles du produit.
RETOURS DU TERRAIN
CYBER COLLECTIVE LAB · Édition 2
Le risque tiers dans la chimie stratégique : l’édition sur l’évaluation des fournisseurs qu’une usine de process ne peut pas mettre en pause.
CYBER COLLECTIVE LAB · Édition 3
La Security by Design factory dans l’automobile : retours terrain sur des produits sécurisés dès la conception, dans la cadence du donneur d’ordre.
Mesuré avec les RSSI partenaires de conception, chiffres en validation continue.
SOUS LE CAPOT
FAQ
Pas de connecteur OT aujourd’hui. Les lignes et les systèmes qui les font tourner sont modélisés comme des activités avec leur impact, et les flux intégrés rapprochent les bulletins des systèmes que vous déclarez ; rien n’est lu sur les automates.
Oui. IEC 62443 est au catalogue et se rapporte au même jeu de contrôles que NIS2 et le CRA, et TISAX y est pour les équipementiers automobiles ; un contrôle mis en œuvre une fois répond à chacun d’eux.
Le dossier produit : il porte l’analyse de risque et ses actions avec responsables, et la R&D, l’usine et le RSSI groupe lisent le même dossier à leur propre altitude.
Oui. L’autonomie est un modèle de permissions : chaque usine tient son propre registre avec des échelles par organisation, héritées du groupe là où vous le décidez, et le groupe lit la vue consolidée sans modifier les enregistrements de l’usine.
Depuis le Control Atlas vérifié de l’usine, avec la preuve derrière chaque réponse, et, quand le client utilise Mindlapse, par son portail, où réponses et plans d’action se synchronisent des deux côtés.
À lire ensuite
Votre posture du lundi : risques, exceptions, fournisseurs et le pack, depuis un seul registre.
En savoir plus
Le cyber coté comme les autres lignes : méthode, appétence, responsables, revues.
En savoir plus
La sécurité décidée dès le départ, assistée par l’IA, prouvée à la clôture.
En savoir plus
Aussi par résultat
GLOSSAIRE
USINES, CONSOLIDÉES
Une session en direct sur votre structure : usines, rangs, dérogations, la vue groupe.
La mesure d’audience de notre hébergeur (Vercel) n’utilise aucun cookie et n’est pas concernée par ce choix. Google Analytics et les traceurs marketing restent désactivés tant que vous ne les acceptez pas. Lire la politique de cookies
