Cybersécurité OT, systèmes embarqués et conformité NIS 2 : audit, conseil, formation et assistance technique pour le naval et le ferroviaire

Cadre normatif de la cybersécurité industrielle et embarquée

Un cadre en couches : IEC 62443, ISO 27001, ISO 22301 et EBIOS RM

La cybersécurité des systèmes industriels ne relève pas d'un texte unique. Elle s'appuie sur des normes, des méthodes et des exigences contractuelles qui se superposent. La série IEC 62443 est la référence pour les systèmes d'automatisation et de contrôle industriels : la partie 2-1 décrit le programme de sécurité de l'exploitant, la partie 2-4 les exigences applicables aux prestataires de services, la partie 3-2 l'appréciation des risques et le découpage en zones et conduits, la partie 3-3 les exigences de sécurité du système et ses niveaux de sécurité, la partie 4-1 le cycle de développement sécurisé des produits et la partie 4-2 les exigences techniques des composants.

La norme ISO/IEC 27001 spécifie un système de management de la sécurité de l'information, et la norme ISO 22301 un système de management de la continuité d'activité. Ces deux normes peuvent faire l'objet d'une certification par un organisme accrédité (en France, par le Cofrac) : cette certification relève de l'organisme certificateur, jamais de nous. La méthode EBIOS Risk Manager, publiée par l'ANSSI avec le Club EBIOS (Expression des besoins et identification des objectifs de sécurité), structure l'analyse de risque en cinq ateliers, du socle de sécurité au traitement du risque.

Ferroviaire : CLC/TS 50701 et sécurité ferroviaire

Dans le ferroviaire, la spécification technique CLC/TS 50701 du CENELEC donne aux exploitants, intégrateurs et fournisseurs des lignes directrices pour gérer la cybersécurité dans le cycle de vie RAMS de l'EN 50126-1. Elle s'applique à la signalisation, au matériel roulant et aux installations fixes, s'appuie sur la série IEC 62443 et ne traite pas la sécurité fonctionnelle elle-même : elle traite les exigences supplémentaires issues des menaces et des vulnérabilités.

Cette distinction compte. La sécurité ferroviaire (safety) est encadrée par le décret n° 2019-525 du 27 mai 2019 et par les autorisations délivrées par l'Établissement public de sécurité ferroviaire (EPSF) ou l'Agence de l'Union européenne pour les chemins de fer. Une mesure de cybersécurité qui modifie un équipement concourant à la sécurité entre dans le processus de gestion des modifications et d'évaluation des risques applicable, dont la méthode de sécurité commune du règlement d'exécution (UE) n° 402/2013 modifié. La spécification technique d'interopérabilité du contrôle-commande et de la signalisation (STI CCS) prévoit en outre une gestion des clés pour l'ETCS (European Train Control System, système européen de contrôle des trains).

Naval : OMI, code ISM et exigences unifiées de l'IACS

Dans le naval, la résolution MSC.428(98) de l'Organisation maritime internationale demande que le risque cyber figure dans le système de gestion de la sécurité du code ISM (International Safety Management, code international de gestion de la sécurité), au plus tard à la première vérification annuelle du document de conformité après le 1er janvier 2021. Les lignes directrices MSC-FAL.1/Circ.3 (révision 4) accompagnent cette exigence. La page de l'OMI sur la cybersécurité maritime en donne le cadre.

Pour les navires neufs, l'association internationale des sociétés de classification (IACS) a publié les exigences unifiées UR E26, sur la cyber-résilience des navires, et UR E27, sur celle des systèmes et équipements de bord. Les versions révisées s'appliquent aux navires contractés à partir du 1er juillet 2024, avec une application obligatoire ou non selon le type et la taille. C'est la société de classification qui vérifie : un navire n'est jamais déclaré conforme par nous.

Directive NIS 2, cyber-résilience et chaîne d'approvisionnement

Directive NIS 2, en cours de transposition en France

La directive (UE) 2022/2555, dite NIS 2, renforce les obligations de gestion des risques et de signalement d'incidents pour des entités essentielles et importantes dans de nombreux secteurs, dont le transport. Pour le transport par eau, elle vise notamment les transporteurs maritimes, les entités gestionnaires de ports et les exploitants de services de trafic maritime. Le transport ferroviaire figure aussi parmi ses secteurs.

La directive est en cours de transposition en France. À la date de rédaction, le texte de transposition n'est pas définitivement adopté, et nous ne présentons donc aucune obligation comme applicable en droit français. L'ANSSI est l'autorité nationale en matière de cybersécurité. Notre conseil est de ne pas attendre : l'inventaire des actifs, l'analyse de risque, la segmentation et la gestion des accès sont utiles quel que soit le périmètre final. Pour savoir si votre entité est concernée, demandez une analyse juridique.

Règlement sur la cyber-résilience et nomenclature logicielle

Le règlement (UE) 2024/2847, dit règlement sur la cyber-résilience, impose des exigences de cybersécurité aux produits comportant des éléments numériques mis sur le marché de l'Union. Selon la Commission européenne, les obligations de signalement des vulnérabilités activement exploitées et des incidents graves s'appliquent depuis le 11 septembre 2026, et les principales obligations à partir du 11 décembre 2027.

Certains produits en sont exclus, notamment ceux conçus exclusivement pour la défense ou la sécurité nationale, ou déjà couverts par une législation sectorielle : l'analyse se fait produit par produit, avec votre juriste. Dans tous les cas, un fabricant doit connaître les composants de ses produits. La nomenclature logicielle, ou SBOM (Software Bill Of Materials, nomenclature des composants logiciels), liste les composants logiciels, y compris ceux de tiers, et permet de savoir quels produits sont touchés lorsqu'une vulnérabilité est publiée.

Exigences descendantes, défense et contrôle des exportations

Les exigences de cybersécurité d'un donneur d'ordre sont répercutées de rang en rang : clauses contractuelles, questionnaires, exigences sur l'accès aux systèmes, la journalisation, la notification des incidents. Un équipementier répond souvent à des demandes différentes d'un client à l'autre. La tenue d'un dossier de réponse cohérent évite de réécrire chaque fois la même preuve.

Pour les programmes de défense, les exigences d'habilitation et de contrôle des exportations sont fixées par le donneur d'ordre. Nous n'intervenons pas sur des informations classifiées ni sur des données contrôlées sans cadre contractuel et réglementaire défini avec le client.

Pratiques de défense sur les systèmes industriels et embarqués

Segmentation et passerelles IT/OT

Un réseau industriel plat expose tout le système dès qu'un seul poste est atteint. La segmentation découpe le système en zones de criticité homogène, reliées par des conduits dont les flux sont déclarés et filtrés, selon la partie 3-2 de la série IEC 62443. Elle suit les fonctions du système, pas l'organigramme.

La passerelle entre le réseau industriel et le système d'information est le point de passage à soigner : flux minimaux, sens des échanges, zone intermédiaire, journalisation. À bord d'un navire ou sur un matériel roulant, la segmentation doit en outre composer avec des équipements fournis par plusieurs fabricants et des interfaces conçues sans cette contrainte.

Détection et gestion des vulnérabilités

La détection d'intrusion sur un réseau industriel se fait de préférence par observation passive du trafic, sans perturber le contrôle-commande. Elle suppose de connaître le comportement normal du système, donc un inventaire à jour, et un processus pour traiter les alertes : qui les voit, qui décide, qui prévient l'exploitant.

La gestion des vulnérabilités industrielles diffère de celle d'un parc bureautique. On ne corrige pas un automate en service comme un poste de travail : il faut tenir compte des fenêtres d'arrêt, de la qualification du correctif par le fabricant et, pour les équipements concourant à la sécurité, du processus de gestion des modifications. La priorité se décide par l'exposition réelle et l'effet possible sur l'exploitation, avec des mesures compensatoires lorsqu'une correction est impossible.

La continuité d'activité complète la détection. Une ligne, un chantier ou un navire doit savoir comment poursuivre en mode dégradé, quelles sauvegardes de configuration sont à jour, comment restaurer un automate ou un poste de supervision, et qui décide. La norme ISO 22301 aide à formaliser ces plans, à condition qu'ils aient été essayés en exercice avec les équipes d'exploitation.

Télémaintenance et accès des prestataires

La télémaintenance rend service aux fabricants et aux exploitants, et c'est l'un des accès les plus à surveiller. Les bonnes pratiques sont connues : accès par une passerelle dédiée, authentification renforcée, comptes nominatifs, autorisation préalable de chaque session par l'exploitant, durée limitée, enregistrement et revue. La partie 2-4 de la série IEC 62443 décrit ce qu'un exploitant peut attendre d'un prestataire de services.

Un contrat de maintenance doit préciser qui accède à quoi, depuis où, avec quels outils, et comment l'accès est coupé en fin de mission. C'est aussi vrai pour nous : nos propres accès sont nominatifs, limités au périmètre de la mission et soumis aux règles de votre site.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons l'organisation et l'architecture de cybersécurité par revue de documents, entretiens et configurations exportées, nous conseillons sur la gouvernance et la trajectoire de conformité, nous concevons des architectures sécurisées et des politiques, nous déployons des mesures sur un périmètre pilote, nous assurons une assistance technique encadrée et nous formons. Chaque mission produit des livrables définis.

Nos missions d'assistance technique sont réalisées par des intervenants d'Optédif, sous la responsabilité et l'encadrement d'Optédif, au forfait ou en récurrent, avec des livrables définis. Nous ne mettons pas de personnel à la disposition de nos clients.

Ce que nous ne faisons pas

Optédif n'est pas prestataire d'audit qualifié par l'ANSSI, ne propose pas de test d'intrusion comme service qualifié et ne délivre aucune certification, aucune autorisation et aucune attestation de conformité. Nous ne sommes ni organisme notifié ou désigné, ni société de classification, ni organisme de certification. Nous ne classons pas un navire et nous n'attestons pas qu'un navire respecte les exigences UR E26 et E27 : seule la société de classification le vérifie. Nos audits ne valent pas évaluation indépendante.

Nous n'assurons ni supervision continue des systèmes ni réponse à incident d'urgence, et aucune intervention embarquée en mer. Nous n'engageons ni la sécurité d'une circulation, ni la conformité d'un produit ou d'un navire. Un dossier préparé par Optédif est présentable à l'autorité, à l'exploitant, à l'organisme tiers ou au donneur d'ordre, il n'est jamais validé par nous.

Sources et références

Les textes cités sont consultables sur les sites officiels : la directive (UE) 2022/2555 et le règlement (UE) 2024/2847 sur EUR-Lex, qui s'ouvre parfois mal, le site de l'ANSSI pour les guides et la méthode EBIOS RM, et le site de l'EPSF pour la réglementation ferroviaire. Les normes IEC (International Electrotechnical Commission, Commission électrotechnique internationale) et ISO (International Organization for Standardization, Organisation internationale de normalisation) s'achètent auprès des organismes de normalisation.

Pour toute question d'applicabilité réglementaire, faites valider le périmètre par un juriste et, pour la classe d'un navire, par votre société de classification.