KRITIS et NIS2 en Allemagne: pourquoi ce sujet concerne aussi les fournisseurs de caméras ANPR
En bref : Depuis décembre 2025, le paysage de la cybersécurité pour les infrastructures critiques a été redéfini en Allemagne. Les fournisseurs d'opérateurs du secteur des transports (parkings, systèmes de péage, aéroports, transports publics) seront de plus en plus interrogés sur la sécurité réelle de leur matériel et de leurs logiciels. Nous expliquons ce qui a changé et ce que cela implique pour les achats de systèmes de reconnaissance de plaques d'immatriculation (ANPR ou LPR).
Deux nouvelles lois, une même exigence
L'Allemagne a adopté deux textes majeurs qui redéfinissent le niveau de sécurité exigé des infrastructures critiques :
- Le NIS2-Umsetzungsgesetz (NIS2UmsuCG), publié au Journal officiel fédéral (BGBl. 2025 I n° 301) le 5 décembre 2025, entré en vigueur le 6 décembre 2025. Il transpose la directive européenne NIS2 en droit allemand et refond en profondeur la loi sur le BSI, sans période transitoire.
- Le KRITIS-Dachgesetz, en vigueur depuis le 17 mars 2026, qui encadre la résilience physique des installations critiques (transposition de la directive européenne REC).
Ensemble, ces deux lois concernent environ 29 500 entreprises en Allemagne, réparties sur 18 secteurs. Point clé pour comprendre la logique du dispositif : les opérateurs KRITIS forment un sous-ensemble des "entités importantes", elles-mêmes un sous-ensemble de l'ensemble des entités NIS2. Être qualifié d'opérateur KRITIS entraîne automatiquement l'application des obligations NIS2 les plus strictes, en plus du KRITIS-Dachgesetz.
Cela concerne-t-il aussi les fabricants de matériel comme Survision ?
Réponse claire : pas directement, mais bien indirectement, et c'est là tout l'enjeu.
KRITIS et le NIS2UmsuCG s'adressent aux opérateurs d'infrastructures critiques : gestionnaires d'aéroports, sociétés autoroutières et de péage, opérateurs de transport public, énergéticiens. Un fabricant de caméras comme Survision n'est pas lui-même soumis aux obligations d'enregistrement, de notification ou de responsabilité prévues par ces textes.
Mais ces opérateurs sont précisément nos clients ou les clients de nos clients. Et l'un des piliers de NIS2 est la sécurité de la chaîne d'approvisionnement (art. 21 de la directive NIS2). Les opérateurs devront démontrer qu'ils évaluent et gèrent activement les risques cyber liés à leurs fournisseurs, y compris les systèmes de caméras, le firmware et les logiciels. Concrètement, cela se traduit par :
KRITIS et le NIS2UmsuCG s'adressent aux opérateurs d'infrastructures critiques : gestionnaires d'aéroports, sociétés autoroutières et de péage, opérateurs de transport public, énergéticiens. Un fabricant de caméras comme Survision n'est pas lui-même soumis aux obligations d'enregistrement, de notification ou de responsabilité prévues par ces textes.
Mais ces opérateurs sont précisément nos clients ou les clients de nos clients. Et l'un des piliers de NIS2 est la sécurité de la chaîne d'approvisionnement (art. 21 de la directive NIS2). Les opérateurs devront démontrer qu'ils évaluent et gèrent activement les risques cyber liés à leurs fournisseurs, y compris les systèmes de caméras, le firmware et les logiciels. Concrètement, cela se traduit par :
- des questionnaires de sécurité de plus en plus présents dans les appels d'offres allemands du secteur transport ;
- des preuves sur les processus de mise à jour du firmware, la gestion des vulnérabilités et le traitement des données, devenant des prérequis à l'attribution des marchés ;
- des clauses contractuelles de notification d'incident répercutées par les opérateurs sur leurs fournisseurs de matériel ;
- des exigences de robustesse physique des installations liées au KRITIS-Dachgesetz, pertinentes par exemple pour les boîtiers de caméras aux péages ou dans les parkings.
Pourquoi le secteur du transport est particulièrement concerné
La route, les transports publics et les aéroports comptent parmi les secteurs NIS2 hautement critiques. C'est précisément là que Survision est présente avec ses systèmes de reconnaissance de plaques : péages, parkings aéroportuaires, gestion du stationnement urbain, contrôle d'accès aux transports publics. Les opérateurs allemands de ces secteurs font très probablement partie des quelque 29 500 entités régulées, et devront sécuriser leur base fournisseurs en conséquence.
Ce que cela signifie concrètement pour les achats de systèmes ANPR
Pour les décideurs achats et sécurité IT des opérateurs d'infrastructures allemands, quatre points méritent une attention particulière :
- Origine et fabrication du matériel : la transparence sur la chaîne d'approvisionnement réduit les risques et facilite la documentation NIS2 de l'opérateur.
- Gestion des mises à jour et des correctifs : comment une vulnérabilité dans le firmware de la caméra est-elle détectée, signalée et corrigée ?
- Souveraineté des données : où sont traitées et stockées les données de plaques d'immatriculation collectées ? Un hébergement européen facilite le respect simultané du RGPD et des exigences de sécurité nationales.
- Capacité de coopération en cas d'incident : le fournisseur peut-il collaborer rapidement et de façon structurée avec l'opérateur et le BSI en cas de problème ?
Pourquoi choisir Survision est un gage de sécurité au regard de KRITIS
C'est précisément à ce niveau que le fournisseur lui-même devient un facteur de risque, ou un atout. Quatre caractéristiques de Survision répondent directement aux exigences que NIS2 et KRITIS imposent aux opérateurs vis-à-vis de leur chaîne d'approvisionnement :
- Une fabrication européenne, entièrement traçable.
- Notre matériel est conçu et fabriqué en Europe, avec des sites en France (Paris, Angers, Bordeaux, Lyon), et plusieurs de nos sous-traitants sont basés en Allemagne (Regensburg, fabrication des LED à titre d'exemple). Pour un opérateur devant documenter sa chaîne d'approvisionnement et évaluer ses risques dans le cadre de NIS2, cela signifie une chaîne courte, transparente et auditable, à l'opposé d'un réseau de sous-traitants mondial et opaque.
- Déjà conforme au NDAA Section 889.
- Survision a déjà pleinement mis en œuvre les exigences du NDAA Section 889 américain (l'un des régimes d'achat les plus stricts au monde pour le matériel sensible), avec une fabrication partielle en propre aux États-Unis et l'absence de tout composant provenant des sociétés explicitement visées par le NDAA américain (Hikvision, Dahua, Huawei, ZTE, Hytera). Un fournisseur qui satisfait déjà un régime d'achat extra-européen aussi exigeant apporte un niveau de confiance immédiat face aux exigences européennes de type KRITIS.
- Une infrastructure cloud souveraine.
- Nos systèmes s'appuient sur une infrastructure cloud européenne (OVHcloud) plutôt que sur les hyperscalers américains. Cela réduit l'exposition à des régimes d'accès extraterritoriaux comme le CLOUD Act américain, et facilite pour les opérateurs le respect simultané du RGPD et des exigences de sécurité nationales. C'est un point directement pertinent dans l'évaluation du traitement des données au titre de NIS2.
- Tout en interne : matériel, logiciel et IA.
- Contrairement à de nombreux concurrents qui assemblent caméras, logiciels de reconnaissance et modèles d'IA provenant de fournisseurs distincts, parfois extra-européens, Survision développe intégralement en interne le matériel, le firmware, le logiciel de reconnaissance et les algorithmes d'IA. Concrètement : aucun composant tiers inconnu, aucune dépendance cachée, aucune ambiguïté sur la responsabilité en matière de gestion des vulnérabilités. En cas de signalement d'une faille, il existe un interlocuteur unique et directement responsable, et non une chaîne de sous-traitants.
- Au final, travailler avec Survision, c'est travailler avec un fournisseur qui n'a pas besoin de préparer ses réponses à un questionnaire de sécurité NIS2 (origine, maîtrise de la chaîne d'approvisionnement, souveraineté des données, capacité de réaction en cas d'incident), car son organisation est structurée dès le départ pour que ces réponses soient les bonnes.
- Nous suivons ce sujet de près depuis l'adoption de la directive NIS2 au niveau européen, dans le même esprit que nos précédentes publications sur la souveraineté numérique et sur des exigences réglementaires comme le NDAA Section 889 aux États-Unis.
Questions fréquentes
Survision est-elle elle-même une entité KRITIS ?
Non. Survision est fabricant, pas opérateur d'infrastructure critique. Les obligations directes du NIS2UmsuCG et du KRITIS-Dachgesetz concernent nos clients, pas nous.
En quoi le monde du stationnement et du parking est-il concerné ?
Très directement, car de nombreux espaces de stationnement font eux-mêmes partie d'installations critiques, ou en sécurisent l'accès. Les parkings d'aéroports relèvent du secteur des transports, l'un des domaines hautement critiques de NIS2. Les parkings et contrôles d'accès de centrales électriques, de postes de transformation ou d'autres sites de production d'énergie relèvent du secteur de l'énergie. Il en va de même pour les parkings d'hôpitaux, d'usines de traitement de l'eau ou de bâtiments administratifs à caractère KRITIS. Partout où une caméra ANPR contrôle l'accès à un site critique, elle devient partie intégrante du périmètre de sécurité, et donc un élément de la vérification de la chaîne d'approvisionnement que les opérateurs doivent mener au titre de NIS2.
En tant qu'opérateur, dois-je remplacer mes caméras ANPR existantes ?
S'il s'agit de caméras Survision, non : les critères sur lesquels porte KRITIS (fabrication traçable, maîtrise de la chaîne d'approvisionnement, absence de composants sensibles, souveraineté des données) sont intégrés chez Survision depuis toujours. S'il s'agit d'autres équipements, il convient d'évaluer la chaîne d'approvisionnement et les risques associés au matériel installé.
Depuis quand ces obligations s'appliquent-elles ?
Les obligations du NIS2UmsuCG s'appliquent depuis le 6 décembre 2025, sans période transitoire. Le KRITIS-Dachgesetz est en vigueur depuis le 17 mars 2026.
Quelle autorité est compétente ?
Le Bundesamt für Sicherheit in der Informationstechnik (BSI) est l'autorité compétente pour la mise en œuvre de NIS2 en Allemagne.
Pourquoi Survision est-elle un choix sûr du point de vue KRITIS ?
Une fabrication européenne entièrement traçable, une conformité déjà démontrée au NDAA Section 889 américain (l'un des régimes d'achat les plus stricts au monde), une infrastructure cloud souveraine européenne, et un développement entièrement interne du matériel, du logiciel et de l'IA, sans composant tiers inconnu ni dépendance cachée.
Cet article s'inscrit dans notre série consacrée à la souveraineté numérique et à la conformité réglementaire, dans la continuité de nos publications sur le NDAA Section 889 et la souveraineté européenne des données.
Très directement, car de nombreux espaces de stationnement font eux-mêmes partie d'installations critiques, ou en sécurisent l'accès. Les parkings d'aéroports relèvent du secteur des transports, l'un des domaines hautement critiques de NIS2. Les parkings et contrôles d'accès de centrales électriques, de postes de transformation ou d'autres sites de production d'énergie relèvent du secteur de l'énergie. Il en va de même pour les parkings d'hôpitaux, d'usines de traitement de l'eau ou de bâtiments administratifs à caractère KRITIS. Partout où une caméra ANPR contrôle l'accès à un site critique, elle devient partie intégrante du périmètre de sécurité, et donc un élément de la vérification de la chaîne d'approvisionnement que les opérateurs doivent mener au titre de NIS2.
En tant qu'opérateur, dois-je remplacer mes caméras ANPR existantes ?
S'il s'agit de caméras Survision, non : les critères sur lesquels porte KRITIS (fabrication traçable, maîtrise de la chaîne d'approvisionnement, absence de composants sensibles, souveraineté des données) sont intégrés chez Survision depuis toujours. S'il s'agit d'autres équipements, il convient d'évaluer la chaîne d'approvisionnement et les risques associés au matériel installé.
Depuis quand ces obligations s'appliquent-elles ?
Les obligations du NIS2UmsuCG s'appliquent depuis le 6 décembre 2025, sans période transitoire. Le KRITIS-Dachgesetz est en vigueur depuis le 17 mars 2026.
Quelle autorité est compétente ?
Le Bundesamt für Sicherheit in der Informationstechnik (BSI) est l'autorité compétente pour la mise en œuvre de NIS2 en Allemagne.
Pourquoi Survision est-elle un choix sûr du point de vue KRITIS ?
Une fabrication européenne entièrement traçable, une conformité déjà démontrée au NDAA Section 889 américain (l'un des régimes d'achat les plus stricts au monde), une infrastructure cloud souveraine européenne, et un développement entièrement interne du matériel, du logiciel et de l'IA, sans composant tiers inconnu ni dépendance cachée.
Cet article s'inscrit dans notre série consacrée à la souveraineté numérique et à la conformité réglementaire, dans la continuité de nos publications sur le NDAA Section 889 et la souveraineté européenne des données.