Énergie & Utilities

Une précision utile d'abord : NIS 2 s'applique à vous, entité régulée, pas à nous. Un prestataire ne peut pas rendre une conformité « native », il peut la rendre démontrable. Concrètement, nous concevons la segmentation en zones et conduits selon l'IEC 62443, nous produisons le registre d'incidents et l'analyse de risques attendus, et nous éprouvons le plan de continuité plutôt que de le documenter. L'ANSSI recense environ quinze mille entités concernées en France sur dix-huit secteurs, contre cinq cents sous NIS 1 : les décrets d'application et la liste officielle arrivent courant 2026, et les premiers contrôles suivront.

Par la trace, pas par la promesse. Chaque décision conserve ses variables d'entrée, la contribution de chacune au score, la justification métier et l'identité de qui a validé quoi. REMIT impose cinq ans de conservation des enregistrements de transactions, ce qui fixe notre horizon par défaut, et les journaux sont exportables pour la CRE comme pour l'ACER. Côté règlement européen sur l'IA, le calendrier a changé : le règlement 2026/1744 du 24 juillet 2026 a reporté les obligations « haut risque » au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour l'IA intégrée à un produit réglementé. Ce délai sert à construire la documentation, pas à l'attendre.

Il dépend de deux choses que nous mesurons avant de nous engager : l'écart actuel entre votre prévision et le réalisé, et la part de vos capteurs déjà exploitable sans reprise. Nous cadrons donc par un diagnostic court qui chiffre le gain attendu sur votre portefeuille, puis nous livrons un premier périmètre en production dont l'écart est mesuré chaque semaine. Un chiffre annoncé avant ce diagnostic ne vaudrait rien : il porterait sur le portefeuille d'un autre.

En lecture d'abord, sans rien remplacer. Nous nous raccordons par les protocoles que vos systèmes exposent déjà, IEC 61850 et OPC UA, et par les interfaces des principaux éditeurs de conduite du marché. La couche d'analyse tourne dans votre périmètre ou en cloud souverain selon la criticité de la donnée. Ce qui prend du temps n'est pas le protocole : c'est de faire correspondre vos référentiels d'actifs entre l'EMS, le DMS et la GMAO, qui nomment rarement le même équipement de la même façon.

Le cadrage prend 2 à 6 semaines selon le périmètre, le secteur et le niveau de conformité exigé. Un premier sous-portefeuille orchestré en environnement réel suit en 4 à 10 semaines, selon la complexité des systèmes et le nombre d'intégrations. L'extension au portefeuille complet, avec la formation des équipes de conduite, se compte en 3 à 6 mois. Ces fourchettes sont celles que nous appliquons partout, et elles sont suivies de ce qui les fait varier : une durée annoncée sans sa variable ne sert qu'à être dépassée.

Première question à trancher : y êtes-vous encore soumis. La directive Omnibus du 18 mars 2026 a relevé les seuils à mille salariés et quatre cent cinquante millions d'euros de chiffre d'affaires, faisant sortir une large part des entreprises initialement concernées, et les vagues suivantes ont été reportées à 2028. Pour celles qui restent dans le périmètre, nous automatisons la collecte et le calcul, de la donnée capteur jusqu'à l'empreinte par MWh produit. Nous n'automatisons pas le rapport lui-même : il passe par une assurance externe, et une chaîne qui prétendrait la remplacer vous exposerait au lieu de vous couvrir.