Un automate qui pilote une ligne d’embouteillage, un capteur de température relié au réseau de l’usine, un poste opérateur sous Windows XP jamais mis à jour : voilà le quotidien de nombreux sites de production français. Ces équipements, longtemps isolés du monde extérieur, sont désormais connectés aux systèmes informatiques de l’entreprise. Et cette convergence entre réseaux industriels et réseaux bureautiques ouvre des portes que les attaquants exploitent déjà.
Convergence IT-OT : la faille que les industriels découvrent trop tard
Dans une usine, deux mondes cohabitent. Le premier, appelé IT (Information Technology), gère les e-mails, la comptabilité, les bases de données clients. Le second, l’OT (Operational Technology), pilote les machines, les automates programmables et les systèmes de contrôle industriel (ICS ou SCADA).
Pendant des décennies, ces deux réseaux vivaient séparés. L’OT fonctionnait en circuit fermé, sans connexion à Internet. Pas de risque de piratage, pas besoin de pare-feu.
Avec l’industrie 4.0, cette séparation a volé en éclats. Les capteurs IoT remontent des données de production vers le cloud. Les logiciels de maintenance prédictive interrogent les automates en temps réel. Chaque pont entre IT et OT crée un chemin d’accès potentiel pour un attaquant.
Le problème est concret : un ransomware qui entre par un poste bureautique peut se propager jusqu’à un automate de production. La ligne s’arrête, non pas à cause d’une panne mécanique, mais parce qu’un logiciel malveillant a chiffré le système qui commande les vannes ou les convoyeurs.
Ransomware sur site industriel : ce qui se passe réellement quand une usine est touchée
Vous imaginez peut-être un écran noir avec un message de rançon. La réalité est plus brutale. Quand un rançongiciel atteint les systèmes de production, les opérateurs perdent la visibilité sur les paramètres critiques : température, pression, cadence.
L’arrêt de production est souvent immédiat et non planifié. Les équipes passent en mode manuel, quand c’est encore possible. Sur certaines lignes fortement automatisées, le mode dégradé n’existe tout simplement pas.
Le coût dépasse largement la rançon elle-même. Il faut compter les jours d’arrêt, la perte de matières premières en cours de transformation, les pénalités contractuelles envers les clients, et la reconstruction complète des systèmes compromis. L’ANSSI a traité plus de 4 386 événements de sécurité en 2024, dont 144 compromissions par rançongiciel portées à sa connaissance.
La tendance actuelle aggrave le tableau : la double extorsion combine le chiffrement des données et la menace de les publier. Même une sauvegarde récente ne suffit plus à résoudre la crise, puisque la fuite de données sensibles (recettes de fabrication, plans techniques, données clients) reste un levier de pression.
Directive NIS2 et sites de production : les obligations réglementaires concrètes
La directive européenne NIS2 (UE 2022/2555) a changé la donne pour les industriels. Pour la première fois, le secteur manufacturier figure explicitement dans le périmètre réglementaire, via l’annexe II qui classe l’industrie manufacturière parmi les entités importantes.
Qui est concerné ? Le critère principal est la taille de l’entreprise :
- Les entités employant 50 salariés ou plus entrent automatiquement dans le champ d’application.
- Les structures de moins de 50 salariés sont aussi concernées si elles dépassent simultanément 10 millions d’euros de chiffre d’affaires et 10 millions d’euros de total de bilan.
- Les secteurs couverts incluent les machines, l’automobile, les dispositifs médicaux, la chimie, l’agroalimentaire et l’électronique.
La directive s’applique depuis le 18 octobre 2024, même dans les États membres en retard de transposition. Les obligations ne sont pas théoriques.
Notification d’incident et responsabilité des dirigeants
NIS2 impose un calendrier strict en cas d’incident significatif : alerte initiale sous 24 heures, notification détaillée sous 72 heures, rapport final sous un mois. Pour un directeur de site habitué à gérer des pannes mécaniques en interne, ce rythme impose une organisation nouvelle.
La directive introduit aussi la responsabilité personnelle des dirigeants en cas de manquement aux obligations de cybersécurité. Ce n’est plus seulement l’entreprise qui est exposée aux sanctions, mais les personnes physiques qui la dirigent.
La sécurité de la chaîne d’approvisionnement fait partie des exigences. Un site de production doit évaluer la cybersécurité de ses fournisseurs et sous-traitants, pas uniquement la sienne.
Protéger un site de production : par où commencer concrètement
L’erreur classique consiste à acheter un pare-feu industriel et considérer le sujet traité. La protection d’un site de production passe d’abord par la compréhension de ce qui est connecté et de ce qui communique avec quoi.
Cartographier avant de protéger
La première étape est un inventaire complet des équipements OT connectés au réseau. Beaucoup d’usines découvrent à cette occasion des automates reliés à Internet dont personne ne connaissait l’existence. Sans cette cartographie, toute mesure de protection reste partielle.
Segmenter les réseaux IT et OT
La segmentation réseau consiste à créer des zones étanches entre l’informatique de gestion et les systèmes industriels. Si un poste bureautique est compromis, l’attaque ne doit pas pouvoir atteindre les automates de production. Des passerelles contrôlées (DMZ industrielle) filtrent les échanges entre les deux mondes.
Les mesures qui réduisent réellement le risque
- Supprimer les accès distants non sécurisés aux équipements de production, notamment les connexions VPN sans authentification forte.
- Mettre en place des stations de décontamination pour les clés USB, vecteur fréquent d’infection sur les postes opérateurs isolés d’Internet.
- Former les opérateurs de production aux réflexes de base : ne pas brancher un périphérique personnel, signaler un comportement anormal d’un poste de commande.
- Tester régulièrement un plan de continuité d’activité en mode dégradé, pour vérifier que la production peut redémarrer sans les systèmes numériques.
La cybersécurité industrielle ne se résume pas à un projet informatique. C’est un sujet de continuité d’exploitation qui concerne autant le directeur de site que le responsable maintenance. NIS2 formalise ce que les incidents récents ont démontré : un site de production non protégé met en danger l’ensemble de la chaîne de valeur, des fournisseurs jusqu’aux clients finaux. Les entreprises manufacturières qui n’ont pas encore engagé cette démarche disposent de peu de marge avant que les contrôles ne s’intensifient.
