Solutions · Industrie et construction mécanique
En construction mécanique, les exigences viennent le plus souvent du client : un système de management de la qualité selon ISO 9001, un questionnaire sur la sécurité de l’information, une clause dans le contrat-cadre. S’y ajoute NIS2 pour les fabricants de taille moyenne et grande. Sightadel regroupe tout cela dans une seule plateforme, répartit les tâches entre qualité, informatique et production, et consigne ce qui est prouvé.
Situation de départ
Beaucoup de fabricants de taille moyenne sont certifiés ISO 9001 depuis des années. Le management de la qualité est rodé, le manuel tenu à jour, l’audit de surveillance une routine. La sécurité de l’information, en revanche, a longtemps été traitée en marge. Le service informatique s’occupe du pare-feu, des sauvegardes et des comptes utilisateurs, la production de ses automates. Une vue d’ensemble commune existe rarement.
Cela change aujourd’hui sous trois angles. Les grands clients, surtout dans l’industrie automobile, exigent de leurs fournisseurs des preuves en matière de sécurité de l’information et envoient des questionnaires volumineux. Depuis décembre 2025, la loi allemande de transposition de NIS2 (NIS2UmsuCG) couvre aussi les fabricants de machines, de pièces automobiles et d’électronique à partir d’une taille moyenne. Et le Cyber Resilience Act ajoute des obligations pour les produits comportant des éléments numériques, c’est-à-dire pour les machines connectées et leurs logiciels.
La bonne nouvelle : une entreprise dont le management de la qualité est réellement appliqué dispose déjà des bases. Maîtrise des documents, audit interne, revue de direction et actions correctives fonctionnent selon le même schéma pour la sécurité de l’information. En pilotant les deux dans un seul système, on n’entretient ces processus qu’une seule fois.
Pourquoi maintenant
Un constructeur (OEM) ou un grand équipementier envoie un questionnaire sur la sécurité de l’information ou exige une évaluation selon une norme sectorielle. Les réponses doivent pouvoir être prouvées, et l’échéance est généralement déjà fixée.
La construction mécanique, la construction automobile et l’électronique font partie de l’industrie manufacturière figurant à l’annexe 2 de la loi allemande sur le BSI (BSIG). À partir de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires annuel et de total du bilan, les fabricants sont en règle générale des entités importantes. L’enregistrement, la gestion des risques et les obligations de notification en découlent.
Un logiciel malveillant paralyse les postes de conception ou la salle de supervision, la fabrication est à l’arrêt. Ensuite, l’assureur, les clients et la direction demandent quelles mesures existaient et pourquoi les réseaux bureautique et de production n’étaient pas séparés.
Une nouvelle version de l’ISO 9001 est parue en septembre 2026. Les entreprises certifiées disposent d’une période de transition. C’est le bon moment pour désencombrer le management de la qualité et y intégrer en même temps la sécurité de l’information.
Les machines dotées de télémaintenance, d’applications ou d’une connexion au cloud sont considérées comme des produits comportant des éléments numériques. Le Cyber Resilience Act impose à leurs fabricants des exigences spécifiques. Les premières obligations de notification s’appliquent déjà.
Dans les entreprises familiales, les acheteurs et les banques examinent désormais aussi la sécurité de l’information et les risques de la chaîne d’approvisionnement. Un état des preuves bien tenu évite les questions supplémentaires et les décotes.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Non imposée par la loi, mais dans l’industrie le plus souvent une condition préalable aux contrats-cadres et à l’homologation des fournisseurs. La nouvelle version de 2026 conserve la structure habituelle. Les certificats existants restent valables pendant la période de transition ; le passage se fait lors d’un audit de l’organisme de certification.
Voir le framework →Le certificat de sécurité de l’information reconnu à l’international. Beaucoup de clients l’acceptent comme preuve ou comme base. Les évaluations sectorielles que les constructeurs automobiles exigent de leurs fournisseurs reposent sur le contenu de l’ISO 27001. Un SMSI selon ISO 27001 en constitue une base solide, sans toutefois remplacer une telle évaluation.
Voir le framework →Les fabricants de machines, de véhicules, de pièces automobiles, d’équipements électriques et d’électronique figurent à l’annexe 2 de la BSIG. À partir d’une taille moyenne, ils sont considérés comme des entités importantes. C’est l’activité réelle qui compte, et non l’inscription au registre du commerce. Les petits fabricants sont souvent tout de même concernés par les exigences, car leurs clients assujettis doivent évaluer leur chaîne d’approvisionnement.
Voir le framework →S’applique à toute entreprise, même lorsque l’activité porte surtout sur des données techniques. Données du personnel, contacts clients, contrôle d’accès et vidéosurveillance dans l’usine sont les sujets typiques. Les mesures techniques se prouvent avec les mêmes justificatifs que dans le SMSI.
Voir le framework →Pour les fabricants dont des clients ou la maison mère sont aux États-Unis, un langage répandu pour présenter le niveau de maturité en cybersécurité. Ce n’est pas un certificat, mais un cadre utile pour le reporting à la direction.
Voir le framework →Ordre recommandé
Vous vérifiez d’abord si votre entreprise relève de NIS2 au regard de son activité et de sa taille. En parallèle, vous recensez ce que vos principaux clients exigent contractuellement. Vous en déduisez quel objectif passe en premier et pour quelle échéance.
Sites, usines, réseaux de production, conception, vente et service : qu’est-ce qui entre dans le périmètre du SMSI ? Si un système de management de la qualité existe, vous reprenez le contexte, les parties intéressées et la cartographie des processus, et vous ajoutez le point de vue de la sécurité de l’information.
Serveurs, postes de travail et services cloud sont connus de l’informatique. Automates, postes de pilotage, accès de télémaintenance et anciens systèmes sans mises à jour ne sont souvent connus que de la production. Les deux listes vont ensemble, sinon la plus grande surface d’attaque reste non évaluée.
Les contrôles sont renseignés et assortis de justificatifs. Les points ouverts deviennent des mesures avec échéance et responsable. Les gros chantiers typiques sont la séparation des réseaux, la télémaintenance, les tests de restauration et l’évaluation des fournisseurs.
Vous regroupez l’audit interne et la revue de direction avec ceux du management de la qualité. Sous NIS2, la direction approuve en outre, avec une date, la mise en œuvre des mesures, en assure le suivi et se forme.
L’audit de certification est réalisé par un organisme accrédité de votre choix. Ensuite, audits de surveillance, formations et tests se déroulent en cycles récurrents, pour que l’état soit toujours exact au prochain questionnaire client.
Priorité
Trois sujets distinguent la construction mécanique des autres secteurs. Ils méritent dès le départ une place à part dans le système.
Automates et postes de pilotage fonctionnent souvent pendant de nombreuses années, certains avec des systèmes d’exploitation qui ne sont plus pris en charge par leur éditeur. Les remplacer est rarement possible tout de suite. Un SMSI n’exige alors pas un nouvel achat, mais une évaluation réfléchie : séparation des réseaux, accès restreints, exceptions documentées avec justification et date d’expiration.
De nombreuses installations sont maintenues à distance, par votre propre service après-vente ou par le fournisseur d’un composant. Qui peut accéder et quand, comment l’accès est-il autorisé et journalisé ? Ces questions figurent dans presque tous les questionnaires clients et dans les mesures prévues par NIS2.
Vous évaluez vos propres fournisseurs, par exemple pour les logiciels, les services cloud, les composants électroniques et la sous-traitance de fabrication. En même temps, vos clients vous évaluent. Un registre des fournisseurs tenu à jour et un Trust Center répondent aux deux côtés avec les mêmes données.
Le règlement (UE) 2024/2847 concerne les fabricants de produits comportant des éléments numériques. Depuis le 11 septembre 2026, des obligations de notification s’appliquent aux vulnérabilités activement exploitées et aux incidents graves, la plupart des autres obligations à partir du 11 décembre 2027. Sightadel ne comporte pas de module dédié. Les exigences peuvent toutefois être modélisées sous forme de framework personnalisé, et une grande partie du SMSI s’y transpose, par exemple la gestion des vulnérabilités et les circuits de notification.
Comment Sightadel vous aide
ISO 9001, ISO 27001 et NIS2 sont traitées contrôle par contrôle. Là où les exigences se recoupent, par exemple pour la maîtrise des documents, l’audit interne et la revue de direction, une même preuve vaut pour plusieurs frameworks.
En savoir plus →Les écarts deviennent des tâches avec échéance et responsable. Qualité, informatique et production voient leur part. Les prestataires externes, par exemple celui qui gère les réseaux de production, collaborent directement en tant que Contributor.
En savoir plus →Éditeurs de logiciels, services cloud, sous-traitants de fabrication et partenaires de télémaintenance sont suivis avec leur criticité, leur questionnaire et leurs preuves, date de validité comprise. Les certificats expirés sont repérés avant que le client ne les demande.
En savoir plus →Vos clients voient sur une page dédiée les certificats, les politiques approuvées et les mesures de sécurité. De nombreuses questions des questionnaires fournisseurs trouvent ainsi leur réponse avant même d’être posées.
En savoir plus →Référentiels d’exigences propres à un client, normes internes d’usine ou exigences du Cyber Resilience Act : vous les modélisez sous forme de framework personnalisé, y compris par import depuis Excel ou Word.
En savoir plus →Sightadel examine la surface d’attaque de vos domaines visible de l’extérieur, par exemple le site web, le serveur de messagerie et le portail client. Ce que tout attaquant voit, vous le voyez en premier.
En savoir plus →Regard extérieur
Les questionnaires des constructeurs (OEM) portent de plus en plus souvent sur les scans de vulnérabilités et le traitement des constats. Avec veyrisk, nous examinons vos systèmes accessibles de l’extérieur, par exemple les accès de télémaintenance, le VPN et les portails clients. Vous déposez les résultats comme preuve dans Sightadel et répondez ainsi aux questions correspondantes du questionnaire.
Fabricants de taille moyenne avec télémaintenance, portails clients ou obligations NIS2
Pour séparer les réseaux bureautique et de production, nous proposons en outre des pare-feu matériels Valar. Nous déterminons ensemble lors d’un bref entretien ce qui convient.
Demander un conseilEffort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont le nombre de sites, l’état des réseaux de production et le temps que l’informatique et la production peuvent y consacrer en plus des activités courantes.
Ce que vous souscrivez · généralement Professional
Une PME ou ETI typique pilote ISO 9001 et ISO 27001 ensemble dans l’édition Professional. Elle comprend dix utilisateurs, 25 fournisseurs et trois frameworks personnalisés, de quoi couvrir la qualité, l’informatique, la production et un référentiel client. ISO 9001 et ISO 27001 elles-mêmes restent au prix catalogue. Si vous ajoutez NIS2 au besoin, il bénéficie d’une remise permanente.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Non. Sightadel ne réalise pas d’évaluations sectorielles de l’industrie automobile et n’y prépare pas spécifiquement. Un SMSI selon ISO 27001 couvre toutefois une bonne partie des thèmes examinés par ces évaluations et constitue ainsi une bonne base. Quel contrôle votre client exige concrètement, vous le clarifiez directement avec lui.
Non. Les deux normes partagent la même structure de base. Contexte, leadership, maîtrise des documents, audit interne, revue de direction et amélioration se pilotent en commun. Dans Sightadel, une preuve est rattachée aux deux frameworks. Les nouveautés sont surtout l’analyse de risques en sécurité de l’information et les mesures de l’annexe A.
Si vous fabriquez des machines, des véhicules, des pièces automobiles, des équipements électriques ou de l’électronique et que vous comptez au moins 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires annuel et de total du bilan, c’est très probable. Vous seriez alors une entité importante. Pour les groupes et les activités multiples, l’analyse devient plus fine. La qualification définitive est une question juridique à traiter avec votre conseil.
En les documentant honnêtement. Aucun référentiel n’exige de remplacer immédiatement des installations qui fonctionnent. On attend de vous que vous connaissiez le risque, l’évaluiez et le limitiez, par exemple par la séparation des réseaux et des accès restreints. Dans Sightadel, vous consignez ces exceptions avec justification, responsable et date d’expiration.
Votre certificat reste valable pendant la période de transition. Le passage est vérifié par votre organisme de certification, généralement lors d’un audit de surveillance ou de renouvellement. Vous convenez avec lui des dates exactes. Mieux vaut ne pas attendre la dernière année, car les capacités d’audit deviennent alors rares.
Non, pas actuellement. Vous pouvez créer les exigences sous forme de framework personnalisé et travailler avec des contrôles, des responsables et des preuves comme pour tout autre référentiel. Si et comment vos produits relèvent du règlement, vous le clarifiez avec votre conseil juridique.
Oui. Sightadel connaît six rôles. Les collaborateurs de la production ou un prestataire chargé des réseaux de production travaillent sur leurs tâches en tant que Contributor, la direction suit en tant que Viewer, et votre auditeur reçoit son propre rôle, sans droit de suppression. Le journal d’activité montre qui a fait quoi et quand.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
