La cybersécurité OT désigne l’ensemble des mesures qui protègent les technologies opérationnelles, c’est-à-dire les équipements et logiciels qui pilotent ou surveillent des processus physiques : automates programmables, systèmes SCADA, capteurs, robots, régulation de bâtiments. Là où la sécurité informatique classique protège d’abord les données, la sécurité OT protège la continuité de la production et la sécurité des personnes. Elle repose sur l’inventaire des équipements, la séparation des réseaux bureautique et industriel, le contrôle des accès à distance et des plans de reprise adaptés aux machines.
Une ligne de conditionnement qui s’arrête, un four dont la température dérive, une station de pompage qui ne répond plus : ces scénarios ne relèvent plus seulement de la panne mécanique. Depuis que les ateliers sont connectés au réseau de l’entreprise, aux outils de télémaintenance et parfois au cloud, ils sont exposés aux mêmes attaquants que la messagerie ou la comptabilité. La cybersécurité OT répond à cette exposition. Ce guide, à jour en novembre 2026, s’adresse aux dirigeants de PME, aux responsables de site et aux sous-traitants industriels qui veulent comprendre le sujet sans jargon, puis savoir par où commencer.
Qu’est-ce que la sécurité OT et que recouvre la technologie opérationnelle ?
OT est l’abréviation anglaise d’Operational Technology, traduite par technologie opérationnelle. Le terme regroupe tout ce qui agit sur le monde réel : une vanne qui s’ouvre, un moteur qui accélère, une presse qui descend, une alarme incendie qui se déclenche. On parle aussi de systèmes de contrôle industriel (ICS en anglais) ou d’informatique industrielle.
Concrètement, un environnement OT se compose de plusieurs couches :
- Les capteurs et actionneurs, au plus près du procédé : sondes de température, débitmètres, vérins, variateurs.
- Les automates programmables (API ou PLC), qui exécutent la logique de commande en temps réel.
- La supervision (SCADA, IHM, postes opérateurs), qui affiche l’état des installations et permet d’agir dessus.
- Les serveurs d’historisation et de gestion de production, qui font le lien avec le système d’information de gestion.
- Les accès de maintenance, souvent assurés à distance par le fabricant ou l’intégrateur de la machine.
La sécurité OT consiste à protéger ces couches contre les actions malveillantes ou les erreurs qui pourraient perturber le procédé. Elle ne se limite pas aux grandes usines : une boulangerie industrielle, un atelier d’usinage, une exploitation agricole équipée de robots de traite ou un immeuble dont le chauffage est piloté par une GTB (gestion technique du bâtiment) disposent eux aussi d’OT.
IT et OT : des priorités de cybersécurité inversées
La confusion la plus courante consiste à appliquer aux machines les règles prévues pour les ordinateurs de bureau. Or les deux univers n’ont ni les mêmes contraintes ni les mêmes priorités. En informatique de gestion, la confidentialité des données passe souvent en premier. Dans un atelier, la disponibilité et la sûreté des personnes dominent : un équipement doit fonctionner sans interruption et ne jamais se mettre dans un état dangereux.
| Critère | Informatique de gestion (IT) | Technologie opérationnelle (OT) |
|---|---|---|
| Priorité principale | Confidentialité et intégrité des données | Disponibilité du procédé et sécurité physique |
| Durée de vie du matériel | 3 à 5 ans en moyenne | 15 à 30 ans, parfois davantage |
| Mises à jour | Fréquentes, souvent automatiques | Rares, à planifier lors d’arrêts de production |
| Redémarrage d’un équipement | Gêne limitée | Peut casser un lot, abîmer une machine ou créer un danger |
| Protocoles réseau | Standards et chiffrés le plus souvent | Protocoles industriels anciens, rarement authentifiés (Modbus, Profinet, etc.) |
| Interlocuteurs | Service informatique ou prestataire infogéré | Maintenance, production, fabricants de machines, intégrateurs |
Cette différence explique pourquoi un scan de vulnérabilités lancé sans précaution peut suffire à figer un automate ancien, ou pourquoi l’installation d’un antivirus sur un poste de supervision doit être validée avec le fournisseur du logiciel. La cybersécurité OT emprunte les principes de l’IT, mais les adapte au rythme de l’atelier.
Pourquoi les réseaux industriels attirent désormais les attaquants
Pendant longtemps, les installations industrielles étaient isolées physiquement. Ce cloisonnement a disparu sous l’effet de trois tendances : la remontée des données de production vers les outils de gestion, la généralisation de la télémaintenance par les constructeurs et l’arrivée d’objets connectés peu sécurisés dans les ateliers.
Pour un attaquant, un site industriel présente un intérêt évident : chaque heure d’arrêt coûte cher, ce qui augmente la pression pour payer une rançon. Dans la majorité des incidents touchant des PME, l’OT n’est d’ailleurs pas visée directement. Le rançongiciel chiffre d’abord le réseau bureautique, puis se propage aux postes de supervision qui partagent le même réseau. La production s’arrête alors faute de pouvoir piloter les machines, même si les automates eux-mêmes sont intacts.
Les secteurs financiers occupent souvent le devant de la scène médiatique, comme le rappelle notre dossier Cyberattaque banques françaises, mais l’industrie figure parmi les cibles régulières des rançongiciels en Europe. Les petites structures y sont exposées précisément parce qu’elles disposent rarement d’une équipe dédiée.
Les principales menaces sur les systèmes de contrôle industriel
Les risques qui pèsent sur un environnement OT se répartissent en quelques grandes catégories. Les connaître aide à prioriser les efforts plutôt qu’à tout traiter en même temps.
- Propagation d’un rançongiciel depuis l’IT : le scénario le plus fréquent, favorisé par un réseau unique pour les bureaux et l’atelier.
- Accès distant mal protégé : un logiciel de prise en main à distance laissé ouvert en permanence, avec un mot de passe partagé entre plusieurs techniciens.
- Clé USB ou ordinateur portable d’intervenant : un prestataire branche son matériel pour mettre à jour un programme et introduit un code malveillant sans le savoir.
- Modification non autorisée d’un programme automate : plus rare, mais aux conséquences lourdes sur la qualité ou la sécurité.
- Compromission d’un fournisseur : l’intégrateur ou l’éditeur d’un logiciel de supervision est piraté, et ses accès servent de porte d’entrée chez ses clients.
- Erreur humaine : suppression accidentelle d’une configuration, absence de sauvegarde à jour du programme d’une machine.
Le risque fournisseur mérite une attention particulière. Notre analyse Atos cyberattaque montre combien un prestataire de services numériques peut devenir un point de fragilité pour toute sa clientèle. Côté industriel, la question se pose dans les mêmes termes pour les sociétés de maintenance qui disposent d’accès permanents aux machines.
Sécuriser un atelier connecté : les mesures prioritaires de cybersécurité OT
Une PME n’a pas besoin de transformer son usine en forteresse pour réduire nettement son exposition. Quelques chantiers bien menés apportent l’essentiel du bénéfice. Les guides publiés par l’ANSSI sur les systèmes industriels et la série de normes IEC 62443 servent de référence aux professionnels, mais la démarche peut démarrer de façon pragmatique.
Dresser l’inventaire des équipements industriels connectés
Impossible de protéger ce que l’on ne connaît pas. La première étape consiste à lister les automates, postes de supervision, interfaces opérateurs, routeurs et modems de télémaintenance, avec leur version logicielle, leur emplacement et la personne qui en est responsable. Beaucoup de dirigeants découvrent à cette occasion un modem 4G installé par un fournisseur des années plus tôt, jamais déclaré au service informatique.
Séparer le réseau industriel du réseau bureautique
La segmentation est la mesure la plus rentable. Un pare-feu placé entre les bureaux et l’atelier, avec des règles qui n’autorisent que les flux strictement nécessaires, empêche un rançongiciel arrivé par e-mail de gagner les machines. Dans les sites plus complexes, on découpe aussi l’atelier en zones (une ligne, un îlot, un bâtiment) pour limiter la propagation.
Encadrer la télémaintenance et les intervenants
Les accès distants doivent être nominatifs, protégés par une authentification forte, activés uniquement pendant l’intervention et tracés. Pour les interventions sur site, une station de décontamination ou au minimum une analyse systématique des supports amovibles limite le risque lié aux clés USB.
Sauvegarder les programmes et préparer la reprise
Les sauvegardes ne concernent pas que les serveurs. Il faut conserver hors ligne une copie à jour des programmes automates, des configurations de supervision et des paramètres machines, puis vérifier qu’on sait les restaurer. Un plan de fonctionnement dégradé (production manuelle, priorisation des commandes) complète utilement le dispositif.
Surveiller sans perturber
Des sondes passives capables de lire les protocoles industriels permettent de repérer un comportement anormal sans interférer avec le procédé. Les petites structures peuvent confier cette veille à un service externalisé : notre article sur le MDR cybersécurité détaille le fonctionnement de ces offres de détection et réponse, à condition de vérifier que le prestataire maîtrise aussi l’environnement industriel. Pour structurer l’ensemble de la démarche et identifier les financements mobilisables, un Accompagnement cybersécurité peut servir de point de départ avant d’investir dans des équipements.
Sous-traitants, exploitations agricoles, bâtiments techniques : situations spécifiques
Le sous-traitant industriel fait face à une double contrainte. Ses donneurs d’ordre, notamment dans l’automobile, l’aéronautique ou la défense, intègrent de plus en plus d’exigences de sécurité dans leurs cahiers des charges et leurs questionnaires fournisseurs. Ne pas pouvoir y répondre peut coûter un référencement. À l’inverse, un incident chez le sous-traitant peut se propager chez le client si les échanges de fichiers ou les accès ne sont pas cloisonnés.
Les exploitations agricoles automatisées (robots de traite, serres pilotées, silos connectés) dépendent souvent entièrement du constructeur pour la maintenance. La priorité y est de connaître les accès distants existants et de disposer d’une procédure manuelle en cas de panne.
Pour les gestionnaires de bâtiments et les commerces dotés de systèmes de chauffage, de climatisation, de contrôle d’accès ou de froid commercial pilotés à distance, la GTB constitue un environnement OT à part entière. Une chambre froide qui dérive pendant un week-end représente une perte de marchandise immédiate.
Enfin, certaines entreprises entrent dans le champ de la directive européenne NIS 2, qui élargit les obligations de cybersécurité à de nombreux secteurs (énergie, eau, transport, fabrication de certains produits, agroalimentaire). Sa transposition en droit français et le calendrier d’application précis doivent être vérifiés auprès de l’ANSSI ou d’un conseil spécialisé, car le périmètre dépend de la taille et de l’activité exacte de l’entreprise.
Risque OT et assurance cyber : les garanties à examiner de près
Un incident sur un environnement industriel touche à la fois le numérique et le physique, ce qui complique la lecture des contrats. Plusieurs points méritent une vérification attentive avec votre courtier ou assureur :
- La perte d’exploitation : le contrat cyber couvre-t-il l’arrêt de production consécutif à une attaque, et à partir de quel délai de carence (souvent quelques heures) ?
- Les dommages matériels : si une attaque endommage une machine, la prise en charge relève-t-elle du contrat cyber, de la multirisque ou du bris de machine ? Certains contrats excluent expressément les dommages physiques d’origine cyber.
- Les frais de reconstitution : la remise en état des programmes automates et des configurations est-elle incluse ?
- La responsabilité vis-à-vis des clients : retard de livraison, pénalités contractuelles, contamination d’un donneur d’ordre.
Les assureurs s’intéressent de plus en plus aux mesures OT lors de la souscription : séparation des réseaux, encadrement des accès distants, sauvegardes hors ligne. Documenter ces mesures facilite la discussion et peut conditionner l’acceptation du risque. Les conditions varient fortement d’un contrat à l’autre, d’où l’intérêt de faire relire les exclusions par un professionnel avant tout sinistre.
Erreurs fréquentes en sécurité des installations industrielles
Sur le terrain, les mêmes faiblesses reviennent régulièrement chez les PME qui démarrent sur le sujet :
- Croire que l’atelier est isolé alors qu’un poste de supervision consulte ses e-mails ou qu’un modem de télémaintenance reste branché en permanence.
- Confier le sujet uniquement au service informatique, sans impliquer la maintenance et la production qui connaissent les contraintes des machines.
- Appliquer des mises à jour ou des scans automatiques sur des équipements industriels sans validation préalable du fournisseur.
- Conserver des mots de passe par défaut sur les automates, les IHM ou les routeurs industriels.
- Ne jamais tester la restauration d’un programme automate avant d’en avoir réellement besoin.
- Oublier les opérateurs : un collaborateur qui branche son téléphone en charge sur un poste de supervision ouvre une brèche sans en avoir conscience.
Ce dernier point rappelle que la dimension humaine reste centrale, y compris dans un atelier. Un programme de Sensibilisation cybersécurité adapté aux équipes de production, avec des consignes concrètes sur les supports amovibles et les accès des intervenants, complète efficacement les mesures techniques.
Ingénieur cybersécurité OT : un métier en tension
La demande en compétences de sécurité industrielle dépasse largement l’offre en France. Les plateformes d’emploi affichent plusieurs centaines d’annonces pour des postes de consultant, d’architecte ou d’ingénieur cybersécurité OT. Le profil recherché combine une double culture : connaissance des automatismes et des procédés d’un côté, maîtrise des réseaux et de la sécurité informatique de l’autre.
On y accède généralement par un diplôme d’ingénieur ou un master en informatique, en réseaux ou en automatisme, complété par une spécialisation. Des écoles proposent des cursus Bac +5 orientés systèmes industriels connectés, souvent en alternance, et des éditeurs de solutions comme des organismes de formation délivrent des certifications ciblées. Pour une PME, recruter un tel profil à temps plein reste rarement réaliste : le recours à un prestataire spécialisé ou la montée en compétence d’un technicien de maintenance motivé constitue souvent une voie plus accessible.
Un antivirus classique peut-il être installé sur un poste de supervision industrielle ?
C’est possible dans certains cas, mais pas sans précaution. Un antivirus peut ralentir ou bloquer un logiciel de supervision s’il n’a pas été validé par l’éditeur. La bonne pratique consiste à demander la liste des solutions compatibles au fournisseur, ou à privilégier des mécanismes de liste blanche qui n’autorisent que les programmes connus.
La cybersécurité OT concerne-t-elle une entreprise de production de moins de vingt salariés ?
Oui, dès lors que l’activité dépend de machines pilotées par automate ou accessibles à distance. Le niveau d’effort doit rester proportionné : inventaire, séparation des réseaux, encadrement de la télémaintenance et sauvegardes des programmes couvrent l’essentiel des risques pour une petite structure.
À quoi sert la norme IEC 62443 ?
La série IEC 62443 est le référentiel international de la sécurité des automatismes et systèmes de contrôle industriel. Elle définit des exigences pour les exploitants, les intégrateurs et les fabricants, avec des niveaux de sécurité progressifs. Une PME n’a pas besoin de s’y conformer intégralement, mais elle peut s’en inspirer ou l’exiger de ses fournisseurs de machines.
Une assurance cyber prend-elle en charge l’arrêt d’une chaîne de production après une attaque ?
Beaucoup de contrats cyber proposent une garantie de perte d’exploitation, mais ses conditions varient : délai de carence, plafond, durée d’indemnisation, exclusions éventuelles des dommages matériels. Seule la lecture des conditions générales et particulières permet de répondre pour un contrat donné, idéalement avec l’aide de votre courtier.
Qui doit piloter la sécurité OT dans une PME : l’informatique ou la maintenance ?
Idéalement les deux, sous l’arbitrage de la direction. L’informatique apporte la maîtrise des réseaux et des outils de sécurité, la maintenance connaît les contraintes des machines et les fournisseurs. Désigner un binôme référent évite que chacun considère le sujet comme relevant de l’autre.
