Dans la nuit du 11 au 12 octobre 2026, au moins 300 magasins Intermarché et Netto, moins d'une centaine de magasins du réseau Coopérative U, ainsi que plusieurs supermarchés E.Leclerc et une trentaine de Monoprix ont découvert des chambres froides poussées jusqu'à 50 °C. Les attaquants ont modifié à distance les paramètres de systèmes de régulation fournis par Danfoss. Selon le groupe industriel danois, l'incident concerne des équipements obsolètes ou dont le logiciel n'était pas à jour.

L'épisode rappelle qu'un équipement connecté, fourni et maintenu par un tiers, peut paralyser toute une activité. Et aucun ne fait exception. Les multifonctions, avec leur firmware, leur stockage interne et leur télémaintenance, relèvent de la même catégorie. « Nous avons eu deux ou trois cas d’accès frauduleux à un système via le Wi-Fi d’un système d’impression », rapporte Olivier Iteanu, avocat spécialisé en droit du numérique.

Une loi toujours en suspens

C'est précisément ce que vise NIS 2 au sein de l'Union européenne. « L’objectif est de sécuriser l’ensemble de la chaîne. Et l'impression est dans la chaîne », résume l'avocat. La directive impose aux entités concernées de sécuriser leurs relations avec leurs fournisseurs et leurs prestataires directs.

En France, sa transposition se fait toujours attendre. Le projet de loi Résilience, qui devait être examiné à l'Assemblée nationale à partir du 7 octobre, a été retiré de l'ordre du jour la veille, sine die. L'échéance européenne était fixée au 17 octobre 2024. Le texte concernera plus de 15 000 entités dans 18 secteurs, dont de nombreuses ETI.

Concernées ou non, les ETI en première ligne

Néanmoins, les ETI qui ne sont pas directement soumises au champ d’application de la directive n'y échapperont pas pour autant : dès lors qu'elles travaillent pour des entités régulées, elles en hériteront par contrat. Pour Olivier Iteanu, attendre la loi serait une erreur. « Il faut s'attendre à ce que les ETI et les PME se voient imposer, par leur donneur d'ordre, des obligations ‘‘back-to-back’’, c'est-à-dire que les obligations des grandes entreprises vont nécessairement se reporter sur leurs sous-traitants. »

L'avocat s'appuie sur deux précédents. Le RGPD d'abord : ce report des obligations aux sous-traitants « a été l'un des principaux moteurs de la mise en conformité ». Le règlement DORA, ensuite, applicable au secteur financier depuis janvier 2025 : « Les éditeurs de logiciels, les entreprises de services numériques, etc., ainsi que tous les prestataires des banques sont soumis aux règles, pratiques et obligations techniques, opérationnelles et fonctionnelles imposées par DORA. Cela se passera probablement de la même manière pour NIS 2, notamment pour les prestataires d'impression. »

Le mécanisme est simple. Une entité sanctionnée pour manquement aux obligations issues de la directive se retournera contre son sous-traitant, en invoquant les engagements contractuels qu'il a signés. Et les entreprises ont de bonnes raisons de s'en inquiéter. Selon le baromètre 2026 du Cesin, 34 % d’entre elles ont subi un vol de données lié à une faille de sécurité chez un tiers, et 30 % ont été perturbées par un rançongiciel ciblant un tiers. 35 % ont également subi une attaque indirecte par l'intermédiaire d'un tiers. Chiffre s’élevant à 43 % pour les grandes entreprises.

Savoir ce que l'on peut promettre

Concrètement, à quoi les entreprises doivent-elles s’engager ? L'article 21 de NIS 2 reprend la logique du RGPD : « Les États membres veillent à ce que les entités essentielles et importantes prennent des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui pèsent sur le système de gestion de la sécurité. » Une formule que les donneurs d'ordre sont tentés de recopier telle quelle dans leurs contrats.

Olivier Iteanu met en garde contre ce manque de précision. « Le plus important dans les contrats, pour un prestataire d'impression comme pour n'importe quel prestataire vis-à-vis de son donneur d'ordre, c'est que les clauses soient précisées et caractérisées en pratique. Le donneur d'ordre doit pouvoir déterminer facilement si le prestataire est en mesure de se conformer à cette obligation. » Pour une ETI sous-traitante, une clause précise est aussi une protection : elle sait ce qu'elle peut garantir, et ce qu'elle doit refuser.

L'impression, un exemple de périmètre à couvrir

L'ensemble du système d'information est concerné par ces engagements, y compris les équipements qui ne relèvent pas de sa responsabilité directe. Le parc d'impression en est un bon exemple : souvent loué et maintenu à distance par un prestataire, il peut échapper aux inventaires de sécurité. Une ETI devra donc, à son tour, imposer des exigences précises à ce prestataire. « Pour un prestataire d'impression, cela peut consister à sécuriser le Wi-Fi, à authentifier les mots de passe, à imposer une longueur minimale aux mots de passe, etc. Le détail de ces mesures se retrouve dans certaines normes, telles que l'ISO 27001 et SecNumCloud », précise l'avocat.

Les prestataires d'impression « vont très certainement être touchés. Donc ils doivent anticiper », conclut Olivier Iteanu. Pour les ETI, la priorité est la même : inventorier dès maintenant leurs équipements connectés et les prestataires qui les maintiennent, afin de savoir ce qu'elles peuvent garantir à leurs clients, sans attendre la loi.

Sources :

Le Monde Informatique, « Une cyberattaque perturbe les installations frigorifiques de centaines de supermarchés », 13 octobre 2026

11ᵉ édition du baromètre annuel du CESIN, État des lieux de la cybersécurité des entreprises françaises, réalisé par OpinionWay, janvier 2026