Vos terminaux partagés : le point d'audit prioritaire de NIS2
Vos opérateurs de magasin, d'entrepôt ou de production se relaient sur les mêmes terminaux, souvent avec le même compte. Sous la directive NIS2, cette pratique historique devient un risque de conformité mesurable, et vérifiable par un contrôle ANSSI.
Ce que NIS2 change vraiment sur les accès
Depuis sa transposition en droit français en 2025, la directive NIS2 impose aux entités essentielles et importantes un socle de mesures techniques et organisationnelles publié par l'ANSSI. Ce référentiel technique compte 152 exigences réparties en 20 objectifs de sécurité. Trois de ces objectifs concernent directement la gestion des accès sur vos terminaux mutualisés.
Protection contre les codes malveillants
Seuls les terminaux et badges enregistrés doivent pouvoir se connecter. Toute ressource non identifiée doit être bloquée.
Gestion des identités et des accès
Compte individuel non partagé pour chaque opérateur, accès limité aux ressources nécessaires à sa mission, traçabilité nominative complète.
Identification et réaction aux incidents
Journaux immuables horodatés, procédures de réaction, collecte et conservation des preuves d'incident.
Le message est clair : un terminal partagé sans traçabilité utilisateur cumule des expositions sur trois objectifs distincts du référentiel.
Pourquoi les terminaux partagés sont le point aveugle
Dans le retail, la logistique, l'industrie pharmaceutique ou agroalimentaire, la mutualisation des terminaux durcis (Zebra, Honeywell, Datalogic, Samsung Rugged) est une norme opérationnelle. Elle offre agilité et productivité : un opérateur prend un terminal en début de shift, le repose en fin de journée, un autre prend le relais.
Le problème n'est pas la mutualisation. C'est la façon dont l'authentification est gérée. Pour éviter que chaque opérateur perde 30 à 45 secondes à se logger avec un mot de passe complexe (avec des gants, sous pression, sur un écran tactile de 5 pouces), la réponse historique a été le compte générique : « Magasin01 », « Entrepot17 », voire des mots de passe collés au dos du terminal.
Cette pratique produit deux vulnérabilités majeures. Aucune imputabilité individuelle : si un incident survient, vous ne pouvez pas identifier qui était derrière le clavier. Aucune revue d'accès possible : le compte générique reste actif après un départ, ses droits ne sont jamais révoqués.
C'est précisément ce que les mesures NIS2 interdisent.
Les cinq mesures NIS2 qui vous exposent
Sur le référentiel ANSSI, cinq mesures précises méritent une attention immédiate quand vous exploitez des terminaux partagés.
Chaque utilisateur doit disposer d'un compte individuel.
Un compte individuel est réservé à la personne à qui il a été attribué.
Quand des raisons techniques ou opérationnelles empêchent la création de comptes individuels, l'entité doit réduire le risque lié aux comptes partagés et assurer la traçabilité de leur utilisation.
Chaque utilisateur ne doit avoir accès qu'aux ressources nécessaires à sa mission.
La mesure 10.A.3 mérite une lecture attentive. Elle reconnaît que le compte partagé est parfois inévitable, mais elle exige alors une traçabilité de son utilisation. Traduction concrète : vous devez pouvoir dire, pour chaque session ouverte, quelle personne physique l'a démarrée, à quelle heure, et pour combien de temps.
Sans dispositif technique dédié, cette traçabilité n'existe pas. Et c'est ce que le contrôle ANSSI vérifiera en priorité, parce que c'est facile à auditer.
Un enjeu qui touche des dizaines de milliers d'entreprises
En Allemagne, 29 000 entités sont désormais concernées par NIS2, contre 4 500 sous la directive précédente. L'ordre de grandeur pour la France est équivalent.
Source : Wallix, ENISA 2025
À la différence près que les deux tiers des organisations concernées n'avaient toujours pas commencé leur mise en conformité à mi-2025. Cette inertie s'explique : les dirigeants attendent des sanctions concrètes pour agir. Elles arriveront. Autant anticiper le sujet sur le point le plus visible et le plus facile à corriger : vos terminaux partagés.
Comment y répondre concrètement
Répondre à cette exigence ne signifie pas supprimer tous les terminaux partagés. Cela signifie casser le lien historique entre partage matériel et anonymat de la session. Trois axes structurants.
Le terminal reste partagé physiquement, mais chaque session ouverte dessus est nominative. L'opérateur badge son identifiant en début de shift, la session lui est propre, et les logs conservent cette nominativité.
Quand l'opérateur A rend le terminal et que l'opérateur B le prend, la session de A doit être fermée et purgée. Pas de fichier temporaire résiduel, pas de cookie de session persistant, pas d'application encore ouverte.
Chaque authentification et chaque déconnexion doivent être enregistrées dans un journal résistant à l'altération, exportable vers votre SIEM pour investigation et opposable en audit.
La démarche progressive à privilégier
Face à un parc de milliers de terminaux, la mise en conformité NIS2 ne se fait pas en une nuit. La démarche recommandée par les praticiens tient en trois temps.
Cartographier
Recenser tous les terminaux partagés, les applications qu'ils utilisent, les comptes actuellement associés, les annuaires d'identités déjà en place.
Deux à quatre semainesPiloter
Choisir un site pilote (magasin, entrepôt, atelier) sur un périmètre limité de 50 à 200 terminaux. Tester la solution retenue, mesurer la réduction du temps de connexion, valider la traçabilité produite.
30 à 60 joursGénéraliser
Déployer par vagues sur l'ensemble du parc. Documenter les évidences pour l'audit ANSSI. Intégrer les journaux au SIEM existant.
Par vaguesL'erreur classique est de vouloir couvrir 100 % du parc dès le départ. La bonne approche est le POC ciblé, dont les résultats chiffrés convaincront ensuite les métiers et les opérationnels.
Comment YMAO peut vous accompagner
YMAO est un orchestrateur d'accès conçu pour les terminaux partagés Android et Windows. Il permet à chaque opérateur d'ouvrir sa session personnelle par badge NFC en moins de deux secondes, en s'appuyant sur votre annuaire d'identités existant. À la déconnexion, la session s'efface complètement. Les journaux nominatifs produits sont directement exploitables pour un audit NIS2.
Nous accompagnons les DSI et RSSI dans leur démarche de conformité sur ce périmètre précis, de la cartographie à la généralisation.
À lire aussi : Pourquoi les comptes génériques survivent aux politiques de sécurité.
Et aussi : Votre MDM gère vos terminaux, pas vos identités.
Suivez-nous sur LinkedIn pour recevoir nos analyses régulières sur la conformité NIS2, le référentiel ANSSI et les bonnes pratiques d'orchestration des accès sur terminaux partagés.