Conformité 10 CFR : cybersécurité nucléaire et preuves de la supply chain

Conformité 10 CFR : Pourquoi la cybersécurité et la supply chain du nucléaire exigent des preuves, pas seulement des politiques

Les titulaires de licences nucléaires s’apprêtent à vivre le plus grand bouleversement réglementaire en matière d’autorisation de réacteurs depuis près de soixante-dix ans, et la plupart d’entre eux ne sont pas encore en mesure de prouver les engagements en cybersécurité que leurs programmes de conformité affichent déjà sur le papier. Cet écart entre la documentation et la preuve tangible est au cœur du 10 CFR, le corpus de réglementations fédérales qui encadre l’autorisation, la sûreté, la sécurité et la radioprotection de chaque réacteur commercial, réacteur de recherche et opérateur de matières radioactives aux États-Unis.

Le 25 mars 2026, la Nuclear Regulatory Commission a approuvé la Partie 53 du 10 CFR, le premier nouveau cadre d’autorisation de réacteurs depuis l’introduction de la Partie 52 en 1989. Elle est entrée en vigueur le 29 avril 2026. La Partie 53 est fondée sur l’analyse des risques, axée sur la performance et ouverte à toutes les technologies. Elle s’accompagne d’une proposition connexe de la NRC, publiée le 2 avril 2026, permettant aux développeurs de valoriser les travaux antérieurs du Department of Energy ou du Department of War lors de l’examen NRC. Ces deux mesures visent clairement à accélérer le déploiement des petits réacteurs modulaires et des réacteurs avancés, alors que la demande énergétique portée par l’IA relance l’intérêt pour le nucléaire.

Cela ne change rien aux exigences actuelles du 10 CFR envers les titulaires de licences, fournisseurs et sous-traitants en matière de conformité des données, de cybersécurité et de responsabilité dans la supply chain. Au contraire, une phase de croissance accroît l’enjeu de ces obligations, car davantage d’organisations rejoignent le secteur alors que les menaces sur les technologies opérationnelles s’intensifient. Cet article détaille les exigences qui accentuent cette pression, le fossé en matière de gouvernance des données révélé par les propres études du secteur, et la façon dont une architecture de partage sécurisé de données gouvernée doit être conçue pour le combler.

Résumé des points clés

1. La Partie 53 est la plus grande évolution de l’autorisation nucléaire depuis 1989. Le cadre technologique inclusif de la NRC, en vigueur depuis le 29 avril 2026, attire une nouvelle vague de développeurs de réacteurs qui doivent bâtir une architecture de preuves de conformité dès le départ, plutôt que de l’ajouter a posteriori.
2. Le 10 CFR 73.54 exige une cybersécurité prouvée, pas seulement de la documentation. Les titulaires de licences doivent garantir une « haute assurance », conformément au NIST SP 800-53, que les systèmes numériques liés à la sûreté, à la sécurité et à la gestion des situations d’urgence sont protégés contre les cyberattaques.
3. Les organisations du secteur de l’énergie et des services publics sont en avance sur la gouvernance mais en retard sur l’application. Le rapport Kiteworks Data Security and Compliance Risk : 2026 Forecast a montré que le secteur suit un modèle « piloté par la politique », c’est-à-dire que la sensibilisation réglementaire devance la mise en place de contrôles techniques effectifs.
4. La Partie 21 fait de la supply chain nucléaire une responsabilité partagée en matière de conformité. Les fournisseurs, sous-traitants et titulaires de licences doivent évaluer et signaler ensemble les défauts des composants critiques pour la sûreté. Des études indépendantes montrent que le risque fournisseur se concentre de plus en plus à l’échelle du secteur.
5. Une couche de gouvernance unifiée comble le fossé des preuves. Le partage sécurisé de données Kiteworks offre aux titulaires de licences une piste d’audit unique et exportable couvrant le partage de fichiers, les e-mails, le transfert sécurisé de fichiers et l’accès des agents IA.

La Partie 53 et le plus grand reset réglementaire du nucléaire depuis 1989

La Partie 53 ne remplace pas la Partie 50 ni la Partie 52. Elle est optionnelle, et les deux voies précédentes restent pleinement accessibles aux titulaires de licences qui les préfèrent. La Partie 50 a instauré le processus d’autorisation par étapes, avec un rapport préliminaire d’analyse de sûreté et un permis de construire, suivis d’un rapport final d’analyse de sûreté et d’une licence d’exploitation. Elle a permis d’autoriser la grande majorité des réacteurs commerciaux actuellement en service aux États-Unis. La Partie 52, introduite en 1989, a fusionné les autorisations de construction et d’exploitation en une seule licence combinée, complétée par des permis de site anticipés et des certifications de conception permettant de traiter les questions de sûreté et d’environnement avant le dépôt d’une demande spécifique.

La Partie 53 se distingue non seulement par son processus, mais aussi par sa nature. Elle s’applique largement aux centrales nucléaires commerciales, et non plus seulement aux conceptions « avancées », et introduit de la flexibilité sur l’implantation, le personnel, la sécurité physique et la gestion des urgences, en contrepartie d’une démonstration plus rigoureuse de la sûreté basée sur des métriques de risque et des obligations de gestion des changements tout au long du cycle de vie. Ce compromis est crucial pour les équipes conformité : un cadre fondé sur des métriques de risque et la gestion des changements implique la production continue de preuves, et non un simple dossier ponctuel.

Pour les développeurs de petits réacteurs modulaires et de réacteurs avancés qui bâtissent aujourd’hui un programme Partie 53, c’est autant une opportunité qu’une contrainte. En partant de zéro, ils peuvent concevoir les contrôles d’accès, la journalisation des audits et le modèle de gouvernance des données que le cadre exigera, au lieu de les greffer sur un ensemble de solutions ponctuelles déjà obsolètes. Appliquer dès le départ des règles de classification des données à la conformité nucléaire — en étiquetant les données techniques, dossiers de conception et rapports d’analyse de sûreté selon leur sensibilité et leur catégorie réglementaire — offre aux équipes conformité une base structurée qui rend la production continue de preuves réalisable, plutôt que de devoir l’assembler a posteriori. Les titulaires de licences renouvelant sous la Partie 50 ou 52 affrontent la même tâche, mais dans des conditions plus complexes ; la direction à suivre reste cependant la même.

Partie 73.54 : la norme cybersécurité alignée NIST 800-53 que les titulaires doivent prouver, pas seulement documenter

L’article 73.54 de la Partie 73 impose aux titulaires de licences de garantir une « haute assurance » que les systèmes informatiques et de communication liés à la sûreté, à la sécurité et à la gestion des urgences sont protégés contre les cyberattaques. La norme précise ce que signifie « haute assurance » en pratique : les titulaires doivent analyser leurs actifs numériques, adopter une architecture de défense en profondeur et mettre en œuvre des contrôles de sécurité documentés conformes au NIST 800-53, comme détaillé dans le guide réglementaire NRC 5.71. Ce guide a été mis à jour en 2023, pour la première fois en treize ans, afin de s’aligner sur les standards actuels du NIST et de l’AIEA en matière de cybersécurité.

Le mot clé dans « haute assurance » est bien assurance, pas intention. Un inspecteur NRC qui évalue le programme 73.54 d’un titulaire ne demande pas si un plan cybersécurité existe, mais si le titulaire peut démontrer que ses contrôles d’accès, la surveillance et les capacités de réponse aux incidents appliquent effectivement ce plan, de façon continue, sur tous les systèmes concernés. Ce niveau de preuve est radicalement différent de la plupart des programmes de conformité, car il exige une preuve exportable en temps réel, et non une attestation périodique. Les analyses de risques menées sur les familles de contrôles NIST 800-53 — mappées sur les systèmes numériques et canaux de communication couverts par l’article 73.54 — fournissent aux équipes conformité l’inventaire priorisé des écarts à combler avant qu’une inspection ne vienne poser la question.

L’article 73.77, ajouté en 2015, renforce encore cette exigence. Il impose aux titulaires de notifier la NRC en cas de cyberattaque qualifiée dans des délais précis, puis de soumettre un rapport écrit. Quand le compte à rebours démarre, la qualité de la politique n’est presque jamais déterminante. Ce qui compte, c’est la capacité du titulaire à rassembler rapidement un dossier défendable et précis de ce qui s’est passé, sur quel système et à quel moment. Une organisation qui doit reconstituer ce dossier en extrayant des logs de cinq outils distincts part déjà avec un handicap avant même de rédiger la notification. Un plan de réponse aux incidents documenté, qui anticipe la séquence de récupération des preuves — quelles sources de logs, quels paramètres de requête, quels formats de sortie répondent à l’exigence du rapport écrit 73.77 — permet de passer d’une reconstruction en plusieurs jours à quelques heures.

Pourquoi les organisations énergie et utilities sont en avance sur la gouvernance mais en retard sur l’application

Des études indépendantes sur le secteur élargi de l’énergie et des utilities, auquel appartient le nucléaire, confirment ce fossé entre politique documentée et contrôle effectif. Le rapport Kiteworks Data Security and Compliance Risk : 2026 Forecast a montré que les organisations énergie et utilities affichent le score de maturité de gouvernance IA le plus élevé de tous les secteurs sondés, et le deuxième score de maturité en sécurité des données, deux résultats portés par les exigences de sécurité des technologies opérationnelles, à l’image de l’effet réglementaire observé dans la finance.

Pourtant, le schéma comportemental dominant du secteur, selon la même étude, est « piloté par la politique », avec une occurrence environ 1,86 fois supérieure à la moyenne. Ce modèle décrit des organisations dont les cadres de gouvernance et la sensibilisation réglementaire devancent largement les contrôles techniques réellement appliqués, à l’inverse du modèle « Fortifié » observé dans la santé, où des contrôles techniques robustes existent sans maturité de gouvernance équivalente. En clair, les organisations énergie et utilities savent à quoi ressemble une bonne conformité. Mais transformer ce savoir en contrôle effectif et auditable reste leur principal point faible.

D’autres études aboutissent à la même conclusion sous un autre angle. Le Black Kite Third-Party Breach Report 2026 a révélé que, parmi environ 200 000 organisations suivies, la note moyenne de cyber-risque est de 90,27, soit un A sur l’échelle Black Kite. Pourtant, 53,77 % de ces mêmes organisations présentent au moins une vulnérabilité critique active. Un bon score de conformité et une faille exploitable ne s’excluent pas mutuellement. C’est précisément la distinction qu’un inspecteur NRC, un auditeur interne ou un avocat adverse retiendra lors d’un incident, et c’est celle qu’un programme de conformité axé sur la documentation aura le plus de mal à justifier. Une fuite de données chez un titulaire ou un fournisseur nucléaire, due à une vulnérabilité que la documentation de conformité prétendait maîtriser, entraîne des conséquences réglementaires et réputationnelles qui dépassent largement l’incident immédiat.

Dragos tire une conclusion similaire côté technologies opérationnelles. Son rapport OT Cybersecurity 2026 a recensé 119 groupes de ransomware distincts ayant touché plus de 3 300 organisations industrielles en 2025, contre 80 groupes l’année précédente, soit une hausse d’environ 49 %. Près de la moitié des missions de Dragos ont mis en évidence des faiblesses dans la configuration des accès distants sécurisés, précisément le type de point d’accès numérique couvert par l’article 73.54 pour les titulaires nucléaires. L’application d’une architecture Zero trust à l’accès distant — imposant une vérification continue plutôt que de faire confiance à une session VPN une fois établie — cible directement la vulnérabilité OT la plus répandue identifiée par Dragos.

La Partie 21 et l’angle mort du signalement des défauts dans la supply chain nucléaire

La Partie 21 impose aux fournisseurs, sous-traitants et titulaires de licences d’évaluer les écarts et défauts des « composants de base » présentant un risque important pour la sûreté, et de signaler les défauts ou non-conformités qualifiés à la NRC. Cette exigence constitue un filet de sécurité transversal en gestion des risques supply chain, couvrant les activités autorisées sous les Parties 30, 40, 50, 52, 60, 61, 63, 70, 71 et 72, et pas seulement les exploitants de réacteurs. Elle ne fonctionne que si les données sous-jacentes à un signalement de défaut — résultats de tests, dossiers de conception, avis de déviation — circulent de façon fiable et traçable entre le fournisseur et le titulaire.

C’est là que l’exposition au risque tiers devient concrète. Le Global Cybersecurity Outlook 2026 du Forum Économique Mondial a montré que les organisations classées comme très résilientes intègrent bien plus souvent la sécurité dans les achats et évaluent formellement la maturité sécurité des fournisseurs. L’étude Black Kite va plus loin : parmi les cinquante fournisseurs les plus présents dans le Forbes Global 2000 (« Elite 50 »), 70 % présentent au moins une vulnérabilité non corrigée déjà listée dans le catalogue CISA des vulnérabilités exploitées, et 52 % ont déjà subi une fuite. La même étude relève un délai médian de 73 jours entre la détection d’une fuite et sa divulgation publique, avec une moyenne à 117 jours — une « fenêtre silencieuse » durant laquelle les organisations aval n’ont aucune visibilité sur ce qui est déjà arrivé à un fournisseur partagé.

Pour un titulaire nucléaire, cette fenêtre silencieuse coïncide exactement avec l’obligation de visibilité de la Partie 21. Un fournisseur victime d’une fuite mais qui ne l’a pas encore révélée reste, pendant cet intervalle, un fournisseur dont les signalements de défauts et données de composants sont utilisés par le titulaire. La propriété intellectuelle et les données techniques critiques échangées dans cette relation — spécifications de conception, résultats de tests, certifications de composants — ont le même poids réglementaire, que la posture sécurité du fournisseur soit intacte ou non. Un échange de données gouverné et journalisé avec les fournisseurs ne supprime pas ce risque, mais il donne au titulaire une preuve traçable et défendable de ce qui a été échangé, quand et par quel canal — la preuve que le régulateur ou l’auditeur demandera réellement.

Comment le partage sécurisé de données Kiteworks contribue à la conformité 10 CFR

Combler le fossé entre politique documentée et contrôle effectif et auditable exige une couche de gouvernance unique couvrant tous les canaux par lesquels transitent les données sensibles de conformité nucléaire, et non cinq outils distincts qui ne couvrent chacun qu’une partie du problème. Le partage sécurisé de données Kiteworks repose sur ce principe, et plusieurs de ses fonctions répondent directement aux exigences décrites ci-dessus.

Le Data Policy Engine applique un contrôle d’accès basé sur les attributs (ABAC) et sur les rôles de façon uniforme sur le partage de fichiers, SFTP, e-mails, API et le Secure MCP Server de la plateforme, et journalise chaque action de politique dans une piste d’audit unique, filtrable par politique, date, utilisateur, appareil, adresse IP et géolocalisation. Un tableau de bord RSSI offre une visibilité en temps réel et historique sur les mouvements de fichiers entrants et sortants, exportable à la demande. Cette combinaison permet de transformer l’exigence de « haute assurance » de l’article 73.54 en une preuve exploitable lors d’une inspection ou d’une notification 73.77.

Côté supply chain, le transfert sécurisé de fichiers Kiteworks repose sur une architecture d’appliance virtuelle durcie et permet un transfert direct de coffre à coffre entre déploiements Kiteworks, sans passer par des étapes SFTP intermédiaires qui ajoutent des points de rupture non surveillés sur le chemin des données relevant de la Partie 21. La plateforme journalise chaque exécution de workflow, transfert de fichier et modification de configuration, et prend en charge de nombreux protocoles pour que les fournisseurs puissent se connecter avec leurs systèmes existants, sans obligation de tout remplacer. Le chiffrement validé FIPS 140-3 garantit que les données techniques et dossiers de sûreté en transit respectent les standards cryptographiques exigés par les cadres réglementaires fédéraux et nucléaires.

Le reporting de conformité est intégré, pas ajouté après coup. Le Data Policy Engine propose un rapport de conformité CMMC 2.0 couvrant les 110 pratiques des 14 domaines, une taxonomie qui recoupe largement les familles de contrôles NIST 800-53 référencées par l’article 73.54. Kiteworks détient une autorisation FedRAMP High en cours, avec une autorisation FedRAMP Moderate en place depuis 2017, et garantit un SLA de disponibilité de 99,9 %, un seuil pertinent pour les systèmes liés à la sûreté et à la gestion des urgences. Les contrôles de géofencing et souveraineté des données offrent aux titulaires un reporting intégré pour prouver où les données réglementées sont stockées et acheminées.

Gouverner l’accès humain et agent IA dans le cadre technologique inclusif de la Partie 53

La conception technologique inclusive de la Partie 53 ne mentionne pas explicitement l’intelligence artificielle, mais elle entre en vigueur alors que la demande énergétique portée par l’IA attire de nouveaux projets de réacteurs dans le pipeline d’autorisation, et que l’automatisation touche une part croissante des données circulant dans les systèmes des titulaires et fournisseurs. Une gouvernance centrée uniquement sur les utilisateurs humains crée un angle mort dès que davantage de flux de données passent par des systèmes automatisés ou des agents.

Le bon modèle considère ce changement comme une extension de la gouvernance existante, et non comme un problème distinct. Personnes, machines et systèmes — y compris les agents IA connectés via un canal comme le Secure MCP Server de Kiteworks — doivent relever de la même politique dès le départ : mêmes contrôles d’accès, même journalisation, même reporting de conformité, appliqués de façon cohérente quel que soit le type d’identité à l’origine de la demande. La minimisation des données appliquée au périmètre d’accès des agents IA — en leur attribuant uniquement les types de données et canaux nécessaires à leur tâche — limite directement l’impact en cas de compromission ou de détournement d’un agent via une attaque par injection de prompt. Un modèle d’accès qui gouverne strictement les utilisateurs humains mais laisse l’accès machine ou agent comme une voie moins surveillée ne répond pas à l’exigence de preuve déjà fixée pour l’accès humain par l’article 73.54, et il n’y a aucune raison qu’il en soit autrement pour l’accès automatisé.

Mettre en place ce modèle unifié dès maintenant, alors que la Partie 53 est encore récente et que les développeurs de réacteurs avancés conçoivent leur architecture de conformité à partir de zéro, coûte bien moins cher que de devoir l’ajouter une fois l’automatisation devenue incontournable dans les systèmes des titulaires et fournisseurs.

Pour en savoir plus sur la construction d’une architecture de conformité prête pour l’audit face aux exigences cybersécurité et supply chain du 10 CFR, réservez votre démo sans attendre.

Ressources complémentaires

• Article de blog La bataille autour de vos données : comment les lois CLOUD et SHIELD opposent sécurité et vie privée
• Article de blog Sécurisez vos données sensibles en alignant le DSPM sur vos objectifs de conformité
• Brief Top 3 des violations FERPA et comment les éviter
• Article de blog Executive Order 14117 : protéger les données personnelles sensibles des Américains
• Article de blog Besoin de conformité NIS2 ? Commencez par l’ISO 27001