Scanners, imprimantes et terminaux mobiles sont connectés au réseau et dialoguent avec l’ERP. Les gérer comme n’importe quel autre point de terminaison transforme une obligation en avance.
Autrefois, le matériel d’identification était choisi pour sa vitesse de lecture, sa qualité d’impression et sa robustesse. Cela ne suffit plus. Un terminal mobile est aujourd’hui un appareil connecté avec des applications, un accès Wi-Fi et des identifiants pour le système ERP. Une imprimante d’étiquettes dispose d’une interface réseau et d’un firmware. Chacun de ces appareils est un point de terminaison.
Deux réglementations en font une obligation. En Allemagne, la loi de transposition de NIS2 s’applique aux exploitants. Elle transpose la directive européenne NIS2 sur la sécurité des réseaux et des systèmes d’information. Au niveau de l’UE, le Cyber Resilience Act s’applique aux fabricants de produits connectés. Voici ce que les deux signifient pour les appareils de votre entrepôt et de votre production, et ce que vous devriez faire indépendamment de toute réglementation.
Ce qui s’applique, et à partir de quand
Trois dates jalonnent le chemin.
La loi allemande de transposition de NIS2 est entrée en vigueur. Les entités importantes et essentielles doivent gérer les risques, signaler les incidents et tenir compte de la sécurité de leur chaîne d’approvisionnement.
Depuis cette date, les obligations de notification du Cyber Resilience Act s’appliquent aux vulnérabilités activement exploitées dans les produits comportant des éléments numériques.
À partir de cette date, les exigences relatives aux produits du Cyber Resilience Act s’appliquent pleinement. Les fabricants doivent notamment définir une période de support pour les mises à jour de sécurité.
Pourquoi le matériel AutoID est désormais au centre de l’attention
Les appareils connectés sur le terrain sont productifs parce qu’ils saisissent les données exactement là où elles naissent. C’est aussi ce qui les rend vulnérables : chaque appareil qui comptabilise des mouvements dans l’ERP est une voie d’accès à celui-ci.
La question décisive est organisationnelle, pas technique. Qui gère l’imprimante d’étiquettes au quai, qui gère le terminal mobile dans le magasin grande hauteur ? Figurent-ils dans le même inventaire que l’ordinateur portable du bureau, avec version logicielle et cycle de mise à jour ? Là où la réponse est non, le risque ne commence pas avec un attaquant, mais avec l’absence de vue d’ensemble.
Trois niveaux qui vont ensemble
En AutoID, la sécurité ne vient pas d’un produit unique. Elle naît de la planification commune de trois niveaux. Faites défiler les niveaux :
Système d’exploitation, firmware, applications, et la durée pendant laquelle le fabricant livre des mises à jour de sécurité.
Couverture Wi-Fi, séparation des réseaux de bureau et de production, surveillance en exploitation.
Qui comptabilise quoi dans l’ERP, qui peut modifier les modèles d’étiquettes et les configurations d’imprimantes, et est-ce traçable ?
Ce n’est que lorsque ces trois niveaux sont coordonnés qu’apparaît un environnement à la fois efficace et résilient.
Ce que cela signifie pour le matériel, le logiciel, le service et les consommables
Un appareil sans mises à jour de sécurité reste un risque, même s’il scanne encore parfaitement. À l’achat, demandez jusqu’à quand le fabricant s’engage à fournir des mises à jour. Avec le Cyber Resilience Act, cette indication devient une obligation du fabricant.
Avec la gestion des appareils mobiles, applications, systèmes d’exploitation et règles de sécurité sont gérés de manière centralisée. Les appareils peuvent être bloqués à distance si nécessaire. Les modèles d’étiquettes proviennent d’une seule source, avec des droits clairs sur qui peut les modifier.
La surveillance et les mises à jour font partie de l’exploitation courante, pas d’un projet tous les quelques ans. Avec des délais d’intervention définis et un pool d’appareils de remplacement, le processus continue même lorsqu’un appareil doit être retiré du service.
Si des systèmes sont isolés après un incident, l’étiquetage doit continuer. Il faut pour cela un plan qui indique quelles étiquettes et quels rubans sont stockés sur place et quelles imprimantes peuvent imprimer en mode d’urgence sans connexion centrale.
Un auto-test en cinq questions
Chaque question à laquelle vous ne pouvez pas répondre aujourd’hui par un oui assuré est un bon point de départ.
Ce que vous apporte OPAL
Nous recommandons des appareils en fonction de votre processus et de la période de support garantie, pas d’une marque imposée.
Déploiement, mises à jour, règles de sécurité et remplacement sur tout le cycle de vie.
Relevés sur site, planification, installation et surveillance en exploitation.
Maintenance, support, appareils de remplacement, surveillance et mises à jour avec des délais d’intervention convenus par écrit.
Nous ne sommes pas conseillers juridiques et ne remplaçons pas un système de management de la sécurité de l’information. La question de savoir si votre entreprise relève des règles NIS2 est du ressort de votre service juridique ou conformité. En Allemagne, le test d’applicabilité du BSI vous aide. Nous veillons à ce que les appareils sur votre terrain répondent aux exigences qui en découlent.
Questions fréquentes
Les scanners et les imprimantes sont-ils concernés par le Cyber Resilience Act ?
Le matériel et le logiciel connectés mis sur le marché de l’UE sont considérés comme des produits comportant des éléments numériques. Les obligations incombent principalement aux fabricants. Pour vous, en tant qu’exploitant, la période de support garantie devient un critère de sélection ferme.
Notre entreprise n’est pas concernée par NIS2. Cela nous concerne-t-il quand même ?
Éventuellement par l’intermédiaire de vos clients. Les entreprises soumises aux règles doivent tenir compte de la sécurité de leur chaîne d’approvisionnement et interroger leurs fournisseurs à ce sujet.
Que faire des appareils qui ne reçoivent plus de mises à jour de sécurité ?
Commencez par recenser où ils se trouvent et ce qu’ils font. Planifiez ensuite le remplacement et limitez d’ici là l’accès au strict nécessaire. Un remplacement peut être organisé de manière à ce que l’exploitation continue.
Nous faisons l’inventaire de vos appareils et montrons où mises à jour, réseau et droits d’accès ne concordent pas.
Sources, état octobre 2026
BSI : entreprises réglementées par NIS-2 (en allemand)
Cet article est une information générale et ne constitue pas un conseil juridique.
