Kit cyber ANSSI agroalimentaire : le retour terrain d'une ETI qui a choisi de ne pas déléguer sa souveraineté

Quand le guide ANSSI devient un outil de désintoxication numérique

Une ETI industrielle de 800 salariés, active dans la transformation agroalimentaire, quelque part entre la Bretagne et les Pays-Bas. Deux sites de production, une direction informatique de cinq personnes, un RSSI nommé depuis dix-huit mois. Et un DSI qui, jusqu'en début d'année, reconnaissait volontiers que la cybersécurité de son infrastructure tenait surtout à la bonne volonté de ses équipes et à quelques abonnements SaaS dont personne n'avait vraiment lu les conditions générales.

Le secteur agroalimentaire est entré dans le périmètre élargi de NIS2 en France à l'automne 2025. La désignation officielle a eu l'effet d'un électrochoc. Le kit cyber ANSSI publié pour les filières critiques — dont l'agroalimentaire — est arrivé au bon moment : un document structuré, lisible par une équipe sans armée de consultants, et surtout ancré dans la réalité des contraintes opérationnelles d'une ETI.

Mais mettre en œuvre ce kit, c'est aussi, presque malgré soi, se poser des questions que beaucoup de DSI préfèrent différer.

Ce que le kit force à regarder en face

Le guide ANSSI n'est pas un catalogue de solutions. C'est une grille de lecture. Et c'est précisément là que son intérêt — et son inconfort — réside.

Lorsque le RSSI de cette ETI a commencé le diagnostic préliminaire recommandé par le kit, il a cartographié les actifs numériques critiques : systèmes de supervision des lignes de production (SCADA), ERP central, messagerie, outils de collaboration, sauvegardes. Résultat : une part significative de ces actifs reposait sur des services hébergés par des prestataires américains ou leurs filiales européennes. Des contrats signés sans que personne n'ait vraiment évalué les implications du Cloud Act américain.

Le Cloud Act, rappelons-le, autorise les autorités fédérales américaines à requérir l'accès aux données détenues par des entreprises américaines, y compris lorsque ces données sont physiquement hébergées en Europe. Cette réalité juridique n'est pas une vue de l'esprit souverainiste : elle est documentée, reconnue par la Commission européenne, et constitue un risque extraterritorial concret pour toute entreprise dont les données transitent par des infrastructures soumises au droit américain.

Le kit ANSSI ne cite pas nommément les acteurs américains. Mais il demande explicitement d'identifier les dépendances critiques et d'évaluer les risques liés à la chaîne de sous-traitance numérique. Pour cette ETI, l'exercice a produit une liste inconfortable.

La mise en œuvre, phase par phase

Le kit structure la démarche en plusieurs niveaux de maturité. L'ETI a fait le choix pragmatique de ne pas tout traiter en même temps. Trois priorités ont été définies en comité de direction, avec un horizon de douze mois.

Premier chantier : la messagerie et la collaboration. C'est le poste le plus exposé en termes de données sensibles — échanges avec les donneurs d'ordre de la grande distribution, formulations produits, données RH. L'ETI a engagé une migration vers une solution d'un éditeur européen certifié SecNumCloud. Ce n'est pas une décision neutre : elle implique une période de transition, une conduite du changement auprès des équipes, et un coût de migration réel. Mais elle supprime un risque extraterritorial documenté sur un périmètre où la confidentialité est critique.

Deuxième chantier : les sauvegardes et le plan de continuité. Le kit ANSSI insiste sur la règle du 3-2-1 et sur l'isolation des sauvegardes du réseau principal. Plus significatif pour la souveraineté numérique : il recommande d'évaluer où sont physiquement stockées les sauvegardes et sous quelle juridiction. L'ETI a rapatrié ses sauvegardes critiques vers une infrastructure hébergée en France, chez un opérateur qualifié par l'ANSSI. Ce choix réduit mécaniquement la surface d'exposition au Cloud Act.

Troisième chantier : la supervision des systèmes industriels. C'est le point le plus sensible pour une ETI agroalimentaire dont les lignes de production tournent en continu. Le kit recommande une segmentation stricte entre les réseaux IT et OT. Pour cette entreprise, cela a signifié un audit complet de l'architecture SCADA, la mise en place de sondes de détection d'anomalies sur le réseau industriel, et la définition d'une procédure de réponse à incident qui ne dépende pas d'un prestataire dont le support technique est localisé hors d'Europe.

Ce que le kit ne dit pas — et qu'il faut combler

Le guide ANSSI est un excellent point de départ. Il ne prétend pas être exhaustif. Deux angles restent à la charge du DSI.

Le RGPD et NIS2 ne suffisent pas à couvrir le Cloud Act. C'est le paradoxe que cette ETI a mis plusieurs semaines à pleinement intérioriser. Vous pouvez être parfaitement conforme RGPD, avoir signé des contrats avec des clauses contractuelles types approuvées par la CNIL, et rester exposé à une injonction américaine si votre prestataire est soumis au droit américain. La conformité réglementaire européenne et la souveraineté numérique sont deux choses distinctes. Le kit ANSSI aide à progresser sur les deux axes, mais c'est au DSI de faire le lien explicitement dans ses arbitrages.

La gouvernance des tiers reste un angle mort. Le kit aborde la sécurité de la chaîne d'approvisionnement numérique, mais la mise en œuvre concrète d'une politique de qualification des prestataires — avec des critères de souveraineté explicites — reste à construire en interne. Cette ETI a commencé à intégrer des questions spécifiques dans ses appels d'offres : localisation des données, juridiction applicable, capacité à produire les journaux d'accès en cas d'incident, absence de sous-traitance vers des entités soumises à une législation extraterritoriale. Ce n'est pas complexe. Mais ça demande d'avoir posé le cadre.

Ce que le DSI en retire, dix mois après

Le retour est sans ambiguïté sur un point : le kit ANSSI a fourni un levier de conviction interne que le RSSI n'avait pas jusqu'alors. Présenter un guide sectoriel officiel, avec une méthodologie structurée et un lien explicite avec les obligations NIS2, a permis de débloquer des arbitrages budgétaires qui stagnaient depuis des mois. La direction générale a accepté le plan de mise en conformité sans que le DSI ait à jouer sa crédibilité sur des arguments purement techniques.

Sur le fond, cette ETI n'est pas encore souveraine numériquement parlant. Elle ne le sera peut-être jamais complètement — et ce n'est pas l'objectif. Mais elle a réduit de façon mesurable sa dépendance à des acteurs dont les obligations légales ne sont pas alignées avec les intérêts européens. Elle a documenté ses risques résiduels. Et elle a posé les bases d'une politique de qualification des tiers qui survivra aux rotations d'équipes.

C'est probablement la définition opérationnelle la plus honnête de ce que peut accomplir une ETI de taille moyenne en douze mois, avec une équipe restreinte et un guide sectoriel comme boussole.

Ce qu'il faut retenir pour votre propre démarche

Le kit cyber ANSSI agroalimentaire est transférable, dans sa logique, à d'autres secteurs désignés NIS2. La mécanique est identique : cartographie des actifs, identification des dépendances critiques, priorisation par niveau de risque, plan de remédiation séquencé.

Ce que cette ETI a appris, et qui vaut pour n'importe quel DSI engageant cette démarche : ne traitez pas la souveraineté numérique comme un bonus optionnel que vous ajouterez une fois la conformité réglementaire bouclée. La conformité NIS2 sans audit de la juridiction de vos prestataires, c'est une maison avec une alarme reliée à une centrale dont vous ne lisez pas les conditions générales. Le cadre légal européen vous protège sur le papier. Il ne vous protège pas d'une injonction américaine à laquelle votre prestataire est légalement obligé de répondre.

Le kit ANSSI vous donne les outils pour poser les bonnes questions. Les réponses, elles, sont entre vos mains.