8 Min. temps de lecture<\/p>\n
La s\u00e9curit\u00e9 OT conna\u00eet en 2026 une impulsion r\u00e9glementaire que beaucoup de fabricants sous-estiment encore. Le Cyber Resilience Act de l’UE exige \u00e0 partir de juin 2026 un reporting des vuln\u00e9rabilit\u00e9s pour tous les produits num\u00e9riques. L’obligation de gestion du cycle de vie entre en vigueur en d\u00e9cembre 2027. La norme IEC 62443 est le seul standard largement r\u00e9pandu qui fournit le cadre technique n\u00e9cessaire. Pour les \u00e9quipes de s\u00e9curit\u00e9 dans la construction m\u00e9canique, l’\u00e9nergie et l’industrie des proc\u00e9d\u00e9s, cela signifie : les zones, les conduits et la segmentation bas\u00e9e sur les risques ne sont plus des options.<\/strong><\/p>\n L’essentiel en bref<\/p>\n En relation<\/span>DORA apr\u00e8s 15 mois : enseignements des premiers audits<\/a> \/<\/span> Windows Defender : BlueHammer et RedSun actifs<\/a><\/p>\n Qu\u2019est-ce que l\u2019IEC 62443 ?<\/strong> La s\u00e9rie IEC 62443 est une norme internationale d\u00e9di\u00e9e \u00e0 la cybers\u00e9curit\u00e9 des syst\u00e8mes industriels d\u2019automatisation et de contr\u00f4le (IACS). Elle d\u00e9finit des r\u00f4les (propri\u00e9taire d\u2019actifs, int\u00e9grateur, fabricant de produits), quatre niveaux de s\u00e9curit\u00e9 (SL 1 \u00e0 SL 4), des concepts de zones avec des conduits entre elles, ainsi qu\u2019un cycle de vie complet allant de l\u2019analyse des risques \u00e0 l\u2019exploitation. Pour les entreprises soumises au CRA, elle constitue le guide technique sur lequel peuvent \u00eatre projet\u00e9es les obligations du CRA.<\/p>\n Le c\u0153ur pratique de la norme repose sur deux concepts. Premi\u00e8rement : les zones. Une zone est un groupe logique d\u2019actifs partageant les m\u00eames exigences de s\u00e9curit\u00e9. Elle ne doit pas n\u00e9cessairement s\u2019aligner sur des fronti\u00e8res physiques, mais s\u2019oriente en fonction du profil de risque. Un robot sur la ligne de production A et un robot sur la ligne de production B peuvent appartenir \u00e0 la m\u00eame zone s\u2019ils pr\u00e9sentent les m\u00eames besoins de protection. Deuxi\u00e8mement : les conduits. Toute communication entre les zones passe par un conduit d\u00e9fini, o\u00f9 sont appliqu\u00e9s authentification, filtrage et inspection. Sans conduits, aucune communication autoris\u00e9e entre les zones.<\/p>\n Les niveaux de s\u00e9curit\u00e9 s\u2019embo\u00eetent les uns dans les autres. Le SL 1 couvre les menaces accidentelles, le SL 2 les attaques intentionnelles avec des moyens simples, le SL 3 les attaques utilisant des techniques sophistiqu\u00e9es et des ressources mod\u00e9r\u00e9es, et le SL 4 les attaquants financ\u00e9s par des \u00c9tats avec des moyens \u00e9lev\u00e9s. Chaque actif se voit attribuer un niveau SL cible, d\u00e9riv\u00e9 de l\u2019analyse des risques. L\u2019\u00e9cart entre le SL actuel et le SL cible d\u00e9finit la feuille de route des investissements.<\/p>\n Le Purdue Enterprise Reference Architecture Model (PERA) a domin\u00e9 les discussions sur la s\u00e9curit\u00e9 OT pendant des d\u00e9cennies. Cette vision hi\u00e9rarchique, avec ses niveaux 0 \u00e0 5 (processus, contr\u00f4le, supervision, op\u00e9rations, entreprise), constituait un mod\u00e8le pratique tant que les environnements de production \u00e9taient clairement s\u00e9par\u00e9s verticalement. En 2026, cette logique ne correspond plus tout \u00e0 fait \u00e0 la r\u00e9alit\u00e9. Les capteurs IIoT envoient des donn\u00e9es directement dans le cloud, sautant plusieurs niveaux. Les acc\u00e8s de maintenance \u00e0 distance connectent des techniciens externes \u00e0 des syst\u00e8mes de niveau 1. Les plateformes de jumeaux num\u00e9riques extraient des donn\u00e9es brutes des couches inf\u00e9rieures pour les agr\u00e9ger dans des syst\u00e8mes d\u2019analyse sup\u00e9rieurs.<\/p>\n L\u2019IEC 62443 r\u00e9pond \u00e0 ces enjeux avec le mod\u00e8le des zones. Les actifs sont regroup\u00e9s en fonction de leurs besoins de protection, et non selon leur niveau hi\u00e9rarchique. Cela permet des structures flexibles : une station d\u2019ing\u00e9nierie peut se trouver dans une zone diff\u00e9rente de celle du poste HMI voisin si leurs exigences de s\u00e9curit\u00e9 diff\u00e8rent. Une passerelle cloud peut rester au sein de la zone r\u00e9seau de production, \u00e0 condition que ses conduits soient clairement d\u00e9finis. La mise en \u0153uvre est plus exigeante, mais elle refl\u00e8te mieux la r\u00e9alit\u00e9 actuelle.<\/p>\n De nombreuses PME ont, ces derni\u00e8res ann\u00e9es, construit un m\u00e9lange de terminologie Purdue et d\u2019analyses de risques ponctuelles, par manque de ressources. Avec le CRA et la NIS2, cette approche hybride deviendra un obstacle \u00e0 la conformit\u00e9 en 2026. Les \u00e9changes avec les autorit\u00e9s de surveillance porteront sur des d\u00e9finitions claires de zones, et non sur des diagrammes de niveaux. Sans une cartographie des zones, des faiblesses document\u00e9es appara\u00eetront dans les rapports d\u2019audit.<\/p>\n La bonne nouvelle : la transition du mod\u00e8le Purdue vers les zones IEC 62443 ne n\u00e9cessite pas un recommencement complet. Les segments r\u00e9seau existants peuvent \u00eatre traduits en zones d\u00e8s lors que les besoins de protection par actif sont document\u00e9s. Le changement conceptuel r\u00e9side dans la mani\u00e8re de penser : au lieu de regrouper par hi\u00e9rarchie, on regroupe par profil de risque. C\u2019est cette approche qui fait la diff\u00e9rence lors des audits et dans la r\u00e9action aux incidents concrets, car les attaquants ne proc\u00e8dent que rarement de mani\u00e8re hi\u00e9rarchique. Ils cherchent des vuln\u00e9rabilit\u00e9s l\u00e0 o\u00f9 elles se trouvent.<\/p>\n La promesse de l’air gap s’est \u00e9vapor\u00e9e ces cinq derni\u00e8res ann\u00e9es dans la plupart des usines de production allemandes. Les raisons sont claires : la maintenance pr\u00e9dictive n\u00e9cessite des flux de donn\u00e9es vers le cloud. Le support \u00e0 distance des fabricants exige un acc\u00e8s aux installations. Le contr\u00f4le qualit\u00e9 num\u00e9rique extrait les donn\u00e9es de mesure des lignes. Et la comptabilit\u00e9 industrielle a besoin des donn\u00e9es de consommation et de production en temps r\u00e9el. Chacune de ces connexions dissout un peu plus l’air gap.<\/p>\n La r\u00e9alit\u00e9 est que les r\u00e9seaux OT modernes sont connect\u00e9s aux syst\u00e8mes informatiques et aux partenaires externes via de nombreuses interfaces. La ligne de d\u00e9marcation ne passe plus entre l’IT et l’OT, mais entre diff\u00e9rentes zones de risque au sein d’un r\u00e9seau commun. La mission des \u00e9quipes de s\u00e9curit\u00e9 consiste \u00e0 d\u00e9finir explicitement ces zones, \u00e0 surveiller les conduits entre elles et \u00e0 d\u00e9tecter pr\u00e9cocement les attaques qui traversent ces zones.<\/p>\n O\u00f9 la s\u00e9curit\u00e9 OT \u00e9chouera en 2026<\/p>\n Ce qui caract\u00e9rise les configurations conformes \u00e0 l’IEC-62443<\/p>\n Le processus de gestion des correctifs sp\u00e9cifique \u00e0 l’OT est l’un des facteurs de succ\u00e8s sous-estim\u00e9s. Les correctifs IT classiques sont d\u00e9ploy\u00e9s \u00e0 un rythme hebdomadaire, ce que les syst\u00e8mes OT ne supportent pas. Une ligne de production en activit\u00e9, patch\u00e9e tous les sept jours, risque des probl\u00e8mes de qualit\u00e9 et de disponibilit\u00e9. L’approche IEC-62443 consiste \u00e0 int\u00e9grer les correctifs dans les fen\u00eatres de maintenance, \u00e0 renforcer les mesures compensatoires (segmentation, surveillance) en cas de vuln\u00e9rabilit\u00e9s critiques et \u00e0 documenter les d\u00e9cisions de gestion des risques. Le contre-exemple est d’appliquer des correctifs urgents sans concertation avec les responsables de production.<\/p>\n Pour les \u00e9quipes s\u00e9curit\u00e9 qui seront soumises en 2026 \u00e0 la pression du CRA ou tenues de s\u2019inscrire au titre de NIS2, un plan en quatre phases s\u2019est impos\u00e9. Premi\u00e8re phase : l\u2019inventaire des \u00e9quipements. Identifier qui poss\u00e8de quels appareils, leurs niveaux de firmware, leurs connexions r\u00e9seau, ainsi que leurs d\u00e9pendances vis-\u00e0-vis de partenaires externes. Sans cette base, toute d\u00e9cision ult\u00e9rieure tombe \u00e0 plat. Deuxi\u00e8me phase : l\u2019analyse des risques par groupe d\u2019actifs. Quels sc\u00e9narios de menace sont r\u00e9alistes ? Quelles pannes auraient un impact sur l\u2019activit\u00e9 ? Quel niveau de s\u00e9curit\u00e9 est requis ? Troisi\u00e8me phase : la conception des zones et la d\u00e9finition des conduits. C\u2019est ici que les concepts IEC-62443 sont appliqu\u00e9s concr\u00e8tement \u00e0 l\u2019environnement propre \u00e0 l\u2019entreprise. Quatri\u00e8me phase : la mise en \u0153uvre technique et l\u2019exploitation continue.<\/p>\n La troisi\u00e8me phase constitue souvent un goulot d\u2019\u00e9tranglement, car elle exige un langage commun entre les sp\u00e9cialistes de la s\u00e9curit\u00e9 IT, les ing\u00e9nieurs OT et les responsables de production. La s\u00e9curit\u00e9 IT pense en termes de pare-feux et de politiques d\u2019acc\u00e8s, l\u2019OT en termes d\u2019interfaces et de rythmes de maintenance. Les responsables de production, eux, pensent disponibilit\u00e9 et d\u00e9bit. Un format d\u2019atelier commun r\u00e9unissant ces trois groupes s\u2019av\u00e8re \u00eatre la m\u00e9thode la plus pratique. Il faut g\u00e9n\u00e9ralement trois \u00e0 cinq jours de travail cibl\u00e9, compl\u00e9t\u00e9s par deux \u00e0 quatre semaines de suivi, pour \u00e9tablir une premi\u00e8re cartographie de zones fiable.<\/p>\n Un \u00e9l\u00e9ment souvent n\u00e9glig\u00e9 dans la troisi\u00e8me phase est la documentation des conduits. Toute communication entre zones doit \u00eatre r\u00e9pertori\u00e9e, avec protocole utilis\u00e9, fr\u00e9quence, \u00e9quipements concern\u00e9s et responsabilit\u00e9s associ\u00e9es. Cette liste est explicitement exig\u00e9e par les auditeurs et constitue la base de toute extension ult\u00e9rieure. Celui qui ne documente pas ses conduits perd le contr\u00f4le de ses surfaces d\u2019attaque d\u00e8s qu\u2019apparaissent de nouvelles connexions. Une liste vivante est plus importante qu\u2019un sch\u00e9ma esth\u00e9tique ponctuel, car la r\u00e9alit\u00e9 OT \u00e9volue en continu et de nouvelles connexions s\u2019ajoutent r\u00e9guli\u00e8rement.<\/p>\n Sur le plan technologique, la situation s\u2019est nettement assouplie en 2026. Des pare-feux d\u00e9di\u00e9s \u00e0 l\u2019OT, des syst\u00e8mes de d\u00e9tection d\u2019intrusion r\u00e9seau (NIDS) et des SIEM sont disponibles, souvent compatibles avec les protocoles OT courants (Modbus, OPC UA, PROFINET, EtherNet\/IP). Des \u00e9diteurs comme Claroty, Nozomi Networks, Dragos, Tenable OT ou Cisco Cyber Vision r\u00e9pondent \u00e0 ces besoins. Le choix d\u00e9pend de l\u2019infrastructure existante et de la taille du p\u00e9rim\u00e8tre OT. Pour les PME disposant d\u2019un nombre limit\u00e9 d\u2019installations, une solution int\u00e9gr\u00e9e suffit souvent ; les grands groupes optent g\u00e9n\u00e9ralement pour une strat\u00e9gie multi-fournisseurs.<\/p>\n Les \u00e9ch\u00e9ances du CRA transforment la discussion sur la s\u00e9curit\u00e9 OT d\u2019un simple atout \u00e0 une obligation de march\u00e9. \u00c0 partir de juin 2026, tous les produits num\u00e9riques sur le march\u00e9 de l\u2019UE devront disposer de voies de signalement des vuln\u00e9rabilit\u00e9s et documenter les failles d\u00e9couvertes dans des d\u00e9lais d\u00e9finis. \u00c0 partir de d\u00e9cembre 2027, l\u2019obligation de support tout au long du cycle de vie entrera en vigueur. Les fabricants devront fournir des mises \u00e0 jour pendant une p\u00e9riode d\u00e9termin\u00e9e, tandis que les propri\u00e9taires d\u2019actifs devront prouver qu\u2019ils les d\u00e9ploient. La norme IEC 62443 offre le seul cadre technique largement accept\u00e9 permettant d\u2019op\u00e9rationnaliser ces obligations.<\/p>\n Pour les acheteurs de syst\u00e8mes OT, cela signifie que les appels d\u2019offres \u00e9volueront en 2026. Les certifications IEC 62443 des fabricants seront exig\u00e9es, la conformit\u00e9 au CRA devra \u00eatre d\u00e9montr\u00e9e, et les processus de gestion des vuln\u00e9rabilit\u00e9s devront faire partie de l\u2019offre. Les fabricants incapables de fournir cette documentation seront exclus des appels d\u2019offres. Les propri\u00e9taires d\u2019actifs qui n\u2019exigeront pas ces preuves rencontreront des difficult\u00e9s lors de leurs propres audits, car ils devront compenser ce que le fabricant ne fournit pas.<\/p>\n Un autre aspect concerne le r\u00f4le des prestataires externes. De nombreuses entreprises industrielles allemandes externalisent la maintenance, le support \u00e0 distance et m\u00eame une partie de leur surveillance de s\u00e9curit\u00e9 aupr\u00e8s de tiers. Ces fournisseurs rel\u00e8vent des clauses de la cha\u00eene d\u2019approvisionnement de la directive NIS2 si leurs services sont critiques pour l\u2019exploitation d\u2019installations essentielles. Les propri\u00e9taires d\u2019actifs doivent examiner les pratiques de s\u00e9curit\u00e9 de leurs prestataires et les documenter dans des avenants contractuels. Ceux qui ne le font pas de mani\u00e8re proactive h\u00e9riteront, lors des audits, des vuln\u00e9rabilit\u00e9s de leurs fournisseurs.<\/p>\n Par ailleurs, le paysage des certifications \u00e9volue. Le CRA sera renforc\u00e9 par la European Cybersecurity Certification Group (ECCG) avec ses propres sch\u00e9mas, tandis que la norme IEC 62443 dispose de certifications ISA-Secure pour les produits et les installations. Ces preuves seront exig\u00e9es dans les contrats B2B. Les fabricants qui ne disposeront pas des certifications appropri\u00e9es d\u2019ici fin 2026 perdront des appels d\u2019offres. Les propri\u00e9taires d\u2019actifs qui n\u2019exigeront pas ces certifications prendront des risques de conformit\u00e9 cach\u00e9s.<\/p>\n Un dernier aspect concerne la dimension des cha\u00eenes d\u2019approvisionnement. Les syst\u00e8mes OT se composent de centaines, voire de milliers de composants provenant de diff\u00e9rentes sources. La Software Bill of Materials (SBOM) deviendra un artefact standard en 2026 pour assurer la transparence sur les composants utilis\u00e9s. Les \u00e9quipes de s\u00e9curit\u00e9 qui traitent correctement les SBOM et les comparent aux flux de vuln\u00e9rabilit\u00e9s d\u00e9tecteront plus rapidement les failles dans leur propre parc. Sans une discipline rigoureuse en mati\u00e8re de SBOM, les nouvelles CVE dans les composants OT peuvent rester invisibles pendant des semaines, voire des mois.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Elles doivent rarement se certifier directement. Mais d\u00e8s qu\u2019elles mettent des produits conformes au CRA sur le march\u00e9 de l\u2019UE ou font partie d\u2019une cha\u00eene d\u2019approvisionnement incluant des op\u00e9rateurs d\u2019infrastructures critiques, les concepts de la norme IEC 62443 seront v\u00e9rifi\u00e9s lors des audits clients. L\u2019application du standard sans certification formelle est souvent la voie pragmatique.<\/p>\n<\/details>\n Les segments r\u00e9seau sont s\u00e9par\u00e9s techniquement, souvent via des VLAN ou des commutateurs physiquement distincts. Les zones sont des groupes logiques partageant un m\u00eame niveau de protection et peuvent se situer dans diff\u00e9rents segments r\u00e9seau. Une zone peut englober plusieurs segments, et inversement. L\u2019affectation se fait sur la base d\u2019une analyse des risques.<\/p>\n<\/details>\n Au minimum une fois par an, et de mani\u00e8re ponctuelle \u00e0 chaque changement majeur en informatique ou en production. Les nouvelles connexions IIoT, les acc\u00e8s distants suppl\u00e9mentaires, les nouvelles installations ou les processus m\u00e9tiers modifi\u00e9s transforment le cadre de risque. Une mise \u00e0 jour sans motif apr\u00e8s plus de deux ans r\u00e9v\u00e8le une gouvernance faible.<\/p>\n<\/details>\n Un r\u00f4le croissant. Les postes de travail HMI classiques en production disposent souvent d\u2019une authentification basique. En 2026, la MFA deviendra la norme pour les acc\u00e8s distants, les stations d\u2019ing\u00e9nierie et les comptes des techniciens de service. Son d\u00e9ploiement est techniquement r\u00e9alisable et constitue un point obligatoire dans les zones IEC 62443 SL-3.<\/p>\n<\/details>\n L\u2019inventaire des actifs et l\u2019audit des acc\u00e8s distants. Sans un inventaire des actifs \u00e0 jour, aucune analyse des risques n\u2019est possible. Sans audit des acc\u00e8s distants, pas de vue d\u2019ensemble sur les surfaces d\u2019attaque existantes. Ces deux actions peuvent \u00eatre r\u00e9alis\u00e9es avec un effort mod\u00e9r\u00e9 en l\u2019espace d\u2019un trimestre et constituent la base de toutes les \u00e9tapes ult\u00e9rieures.<\/p>\n<\/details>\n Plus d’articles du r\u00e9seau MBF Media<\/p>\n\n
Ce que la norme IEC 62443 exige r\u00e9ellement sur le plan technique<\/h2>\n
Pourquoi le mod\u00e8le Purdue atteint ses limites en 2026<\/h2>\n
Ce que signifie l’h\u00e9ritage de l’air gap dans la pratique<\/h2>\n
\n
\n
Comment les \u00e9quipes s\u00e9curit\u00e9 peuvent amorcer le processus d\u00e8s maintenant<\/h2>\n
Ce qui comptera entre le CRA et la pression du march\u00e9 d\u2019ici 2026<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Les PME ont-elles aussi besoin d\u2019une conformit\u00e9 IEC 62443 ?<\/strong><\/summary>\n
Comment distinguer les zones des segments r\u00e9seau classiques ?<\/strong><\/summary>\n
\u00c0 quelle fr\u00e9quence la cartographie des zones doit-elle \u00eatre mise \u00e0 jour ?<\/strong><\/summary>\n
Quel r\u00f4le joue l\u2019authentification multifacteur (MFA) dans les r\u00e9seaux OT ?<\/strong><\/summary>\n
Quel est l\u2019\u00e9tape la plus importante pour les \u00e9quipes de s\u00e9curit\u00e9 dans les six prochains mois ?<\/strong><\/summary>\n