Si vous dirigez une entreprise de transport routier, de commission de transport ou de logistique n’importe où dans l’UE, la directive NIS2 (Network Information and Security Directive 2) n’est pas un texte que vous pouvez vous permettre de regarder de loin. Les lois nationales arrivent en ce moment même – le délai belge pour les entités essentielles est déjà passé, la Cyberbeveiligingswet néerlandaise est entrée en vigueur le 15 août 2026 sans période de grâce, et la France finalise encore sa version.
Le transport est explicitement désigné comme secteur couvert, et le champ d’application de NIS2, basé sur la taille, englobe la plupart des transporteurs et commissionnaires de taille moyenne, que vous ayez ou non déjà considéré votre entreprise comme une « infrastructure critique ». Voici ce que NIS2 exige réellement, où en est chaque marché, et comment prendre les devants avant que cela ne devienne une course contre la montre.
Qu’est-ce que NIS2 ?
La directive NIS2 (Network Information and Security Directive 2) est une directive européenne sur la cybersécurité. Elle remplace NIS, avec de nouveaux secteurs concernés et des règles basées sur la taille plutôt qu’une liste fixe d’infrastructures critiques. Si votre entreprise relève d’un secteur couvert, vous devrez probablement appliquer les exigences NIS2 dès que vous comptez 50 salariés et plus et 10 millions d’euros de chiffre d’affaires ou plus.
Les différents pays de l’UE ont des calendriers variables pour l’entrée en vigueur de NIS2. Les entreprises enregistrées dans plusieurs pays devront donc rester attentives à plusieurs échéances, par exemple :
Belgique – transposition la plus précoce (loi du 26 avril 2024) ; cadre CyFun ; le délai d’auto-évaluation pour les entités essentielles (18 avril 2026) est déjà passé.
Pays-Bas – Cyberbeveiligingswet approuvée par le Parlement et le Sénat en 2026, en vigueur depuis le 15 août 2026, sans période de grâce.
France – loi retardée par un différend sur le chiffrement, saisine de la Cour de justice de l’UE en juillet 2026, adoption attendue vers septembre 2026 ; des clauses contractuelles de sécurité apparaissent toutefois déjà en amont de la loi.
Pourquoi le transport routier est explicitement concerné
Le transport était déjà un secteur visé sous NIS, mais il manquait de cohérence entre les États membres, chacun définissant à sa façon les opérateurs de services essentiels (OSE). Avec NIS2, les critères d’inclusion sont bien plus précis.
La distinction entre entités essentielles et importantes demeure toutefois. Pour le transport routier, cela se présente généralement ainsi :
Essentielles : autorités routières, et (selon le pays) certains grands opérateurs de transport
Importantes : entreprises de transport routier, commissionnaires de transport, prestataires logistiques/d’entreposage
Les petites entreprises de transport qui ne remplissent pas les critères NIS2 peuvent malgré tout devoir démontrer leur conformité. Cela s’explique par la nature interconnectée de la logistique : les grandes entités essentielles répercutent leurs exigences de sécurité sur leur chaîne de fournisseurs (appels d’offres, questionnaires de sécurité, clauses contractuelles).
Ce que la directive NIS2 signifie pour les entreprises de transport
Les principales exigences de NIS2 relèvent de quelques grands axes : gouvernance, mesures de gestion des risques et obligations de signalement.
Cela peut sembler intimidant, mais vous avez probablement déjà mis en place une bonne partie de ces mesures de cybersécurité.
En pratique, pour les opérateurs de transport, cela implique de mettre en œuvre :
- Les bases de la gestion des risques – contrôle d’accès, authentification multifacteur (MFA), journalisation/surveillance, plan de réponse aux incidents
- Des délais de signalement des incidents – alertes précoces à 24 h, notifications à 72 h, rapport final à un mois, sans entrer dans le détail des numéros de règlement
- La responsabilité de la direction – instaurer une culture où la cybersécurité n’est pas qu’un « problème informatique » ; la direction peut être personnellement tenue responsable en cas de manquement
- La diligence raisonnable sur la chaîne d’approvisionnement – attendez-vous à davantage de questionnaires de sécurité de la part de vos clients et partenaires, et à devoir répondre sur vos propres systèmes, y compris votre TMS
Comment prendre les devants sur NIS2
La première étape consiste à vérifier si vous atteignez les seuils de taille et de secteur dans chaque pays où vous opérez. Même si vous n’atteignez pas ces seuils, il reste utile de mettre en place des mesures, car vous pourriez à terme y être soumis, ou vos grands partenaires de la chaîne d’approvisionnement pourraient exiger des mesures de cybersécurité strictes.
Chaque pays dispose de son propre processus d’auto-évaluation, comme CyFun en Belgique, MesServicesCyber en France, et le portail Cyberbeveiligingswet aux Pays-Bas. Utilisez-les pour évaluer votre sécurité numérique et identifier des outils et prestataires certifiés.
Pour vos fournisseurs de logiciels existants, demandez des preuves de leurs propres mesures de sécurité – et soyez prêts à fournir les mêmes informations à vos clients.
Si vous ne l’avez pas encore fait, renforcez le contrôle d’accès et l’authentification multifacteur (MFA) sur les systèmes que vous utilisez quotidiennement. Votre TMS est un bon point de départ, car c’est souvent là que se joue une grande partie de ce travail de contrôle d’accès au quotidien.
Vérifiez si votre fournisseur propose des permissions basées sur les rôles, le SSO, et une authentification multifacteur (MFA) que les administrateurs peuvent imposer – pas seulement une option que chaque utilisateur active de son côté – ainsi que des journaux d’audit sur lesquels vous pouvez vous appuyer en cas de demande d’un client ou d’un auditeur. Et plutôt que de remplir un nouveau questionnaire de sécurité chaque fois qu’un partenaire le demande, vérifiez si votre fournisseur publie déjà ces informations.
Qargo, par exemple, tient à jour un Trust Centre public comportant son certificat ISO 27001 et la liste de ses sous-traitants, ainsi que des FAQ détaillées et sa politique de confidentialité – pour ne pas repartir de zéro à chaque questionnaire reçu.
Conclusion
La conformité NIS2 dans le transport routier n’est pas une formalité administrative facultative : elle devient une attente de base des clients et partenaires à travers l’UE – et régler les points essentiels dès maintenant permet d’éviter une course contre la montre plus tard.
Chez Qargo, nous avons récemment mené notre propre mise en conformité ISO 27001 / NIS2 – en nous enregistrant comme entité importante, en formalisant notre processus de réponse aux incidents, et en restant prêts à répondre aux questionnaires de sécurité – afin que nos clients puissent présenter leur TMS comme un atout dans leur propre démarche de conformité, plutôt que comme une lacune. En pratique, cela signifie que le chiffrement au repos et en transit, le contrôle d’accès basé sur les rôles, le SSO, l’authentification multifacteur (MFA) et la journalisation d’audit sont déjà intégrés à la plateforme, appuyés par un plan de réponse aux incidents documenté avec un engagement de notification de violation en 72 heures.
Des fonctionnalités comme l’authentification multifacteur (MFA) imposable au niveau administrateur existent précisément parce que nos clients en avaient fait la demande pour répondre aux exigences NIS2 – la configuration de notre plateforme facilite la mise en conformité.
Vous souhaitez en savoir plus sur les fonctionnalités de sécurité et de conformité de Qargo ? Contactez-nous.
