Cybersécurité OT, NIS2 et résilience des sites chimiques : audit, conseil, formation et assistance technique pour la chimie

Le cadre de la cybersécurité des systèmes industriels

NIS 2 : un texte européen, une transposition française en cours

La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, fixe des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'Union. Elle succède à la première directive NIS (Network and Information Security, sécurité des réseaux et des systèmes d'information) et élargit le nombre de secteurs concernés. D'après la présentation de l'ANSSI, la fabrication, la production et la distribution de produits chimiques font partie des « autres secteurs critiques ». L'ANSSI distingue deux catégories d'entités : les entités essentielles, qui comptent au moins 250 salariés ou dépassent 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de bilan, et les entités importantes, à partir de 50 salariés ou de plus de 10 millions d'euros de chiffre d'affaires ou de bilan, avec des exceptions selon les types d'entités.

La transposition française n'est pas achevée : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est en cours d'examen au Parlement. Nous n'annonçons donc aucune date d'application et nous ne présentons aucune obligation de droit français comme acquise. Le classement exact d'une entreprise chimique, entité essentielle ou importante, dépendra du texte final et se vérifie au cas par cas. Ce qui est stable, c'est la direction de la directive : les mesures de gestion des risques qu'elle énumère portent sur l'analyse de risques, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, la gestion des vulnérabilités, l'hygiène informatique et la formation, le contrôle des accès et l'authentification renforcée. La directive prévoit aussi que les organes de direction approuvent ces mesures et en supervisent la mise en œuvre.

L'ANSSI met en ligne une version de travail du Référentiel Cyber France (ReCyF), destinée à devenir la base de la réglementation française et susceptible d'évoluer selon les débats parlementaires. C'est un document utile pour préparer une organisation, à condition de le lire comme un projet.

Les guides de l'ANSSI et la méthode EBIOS Risk Manager

L'ANSSI publie deux guides complémentaires consacrés aux systèmes industriels : une méthode de classification, qui range un système dans une classe, et un guide de mesures détaillées, qui associe des mesures techniques et organisationnelles à chaque classe. Les versions 2 datent de 2025. Sauf disposition réglementaire contraire, ces recommandations ne sont pas normatives : elles constituent une référence reconnue et non une obligation.

Pour apprécier les risques, l'ANSSI propose la méthode EBIOS Risk Manager, organisée en cinq ateliers : socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. Elle s'applique aussi bien à un système d'information de gestion qu'à un système industriel, à condition d'y associer les automaticiens, qui connaissent les conséquences réelles d'une perte de contrôle sur le procédé.

IEC 62443 et les normes de management de l'ISO

La série ISA/IEC 62443 est la référence internationale de la cybersécurité des systèmes d'automatisation et de contrôle industriels. Ses parties s'adressent à des acteurs différents : l'ISA/IEC 62443-2-1 décrit le programme de sécurité d'un propriétaire d'installation, la 3-2 l'appréciation des risques pour la conception d'un système, la 3-3 les exigences de sécurité d'un système et les niveaux de sécurité, la 4-1 le cycle de développement sécurisé des produits et la 4-2 les exigences techniques applicables aux composants, selon le catalogue de l'ISA. Le découpage en zones et en conduits, utile pour segmenter un réseau, relève de cette série.

Côté management, l'ISO/IEC 27001 porte sur le système de management de la sécurité de l'information, l'ISO/IEC 27005 sur la gestion des risques et l'ISO (International Organization for Standardization, Organisation internationale de normalisation) 22301 sur la continuité d'activité. Une certification relève toujours d'un organisme tiers. Un point mérite attention : un système de management certifié sur le système d'information de gestion ne couvre pas pour autant les systèmes industriels, dont le périmètre doit être inscrit explicitement.

Ce qu'attendent un exploitant et ses donneurs d'ordre

Les enjeux d'un exploitant de site chimique

Un système industriel ne se gère pas comme un parc bureautique. Les automates et les systèmes de supervision restent en service pendant de nombreuses années, la disponibilité passe avant tout, les arrêts sont rares et planifiés, un correctif doit souvent être validé par le constructeur avant d'être appliqué, et certains protocoles n'ont pas été pensés pour la sécurité. Les mesures venues de l'informatique de gestion ne s'y transposent donc pas telles quelles.

Sur une installation classée, l'enjeu dépasse la donnée. Une perte de supervision, une modification non voulue d'une consigne ou l'indisponibilité d'un poste de conduite touchent la sécurité des personnes, l'environnement et la continuité de fabrication. Les directions de site reçoivent par ailleurs des questionnaires de cybersécurité de leurs donneurs d'ordre et de leurs assureurs, auxquels il faut répondre avec des éléments vérifiables : inventaire à jour, plan réseau, gestion des accès distants, sauvegardes testées.

Le prestataire qui se connecte au site

Constructeurs d'automates, intégrateurs, entreprises de maintenance et laboratoires intervenants se connectent aux équipements, sur place ou à distance. La directive NIS 2 cite la sécurité de la chaîne d'approvisionnement parmi les mesures attendues : un exploitant est donc fondé à poser des conditions à ses prestataires. Le plan de prévention prévu par le code du travail pour les entreprises extérieures, présenté par l'INRS, traite des risques d'interférence entre les activités ; la même logique de coordination s'applique au numérique.

En pratique, les bonnes conditions d'accès sont simples à énoncer : compte nominatif, passage par un point d'entrée unique, journalisation des sessions, contrôle des supports amovibles et des ordinateurs portables avant branchement, consigne de déconnexion en fin d'intervention. Elles se négocient mieux lorsque le prestataire les connaît avant le premier chantier.

Rôles et responsabilités

La direction du site ou du groupe porte la décision : elle choisit le niveau de risque accepté et finance les mesures. Le RSSI ou le responsable de la cybersécurité industrielle anime la démarche, mais ne peut agir seul : l'automatisme connaît les équipements, l'exploitation connaît les contraintes de marche, la maintenance intervient au quotidien. Les prestataires appliquent les règles du site et signalent ce qu'ils constatent.

La difficulté courante est organisationnelle : la sécurité des systèmes industriels n'appartient ni tout à fait à l'informatique, ni tout à fait à l'automatisme. Une répartition écrite des rôles, un comité commun et un interlocuteur désigné pour chaque unité règlent plus de situations qu'un outil supplémentaire. L'exploitant reste responsable de ses décisions ; un prestataire éclaire ces décisions et ne les prend pas à sa place.

Cybersécurité et sécurité industrielle : où elles se rejoignent

Systèmes instrumentés de sécurité et réseaux

Les systèmes instrumentés de sécurité remplissent des fonctions de protection du procédé, selon l'IEC 61511 pour l'industrie de procédé. Cette norme demande d'apprécier aussi les vulnérabilités d'origine cyber de ces systèmes ; nous renvoyons à un expert pour la lecture précise des exigences. Le principe retenu par la plupart des sites est de séparer ces systèmes du réseau de conduite courant, de limiter strictement les accès et de contrôler toute modification de configuration.

La cybersécurité ne remplace pas l'analyse des risques de procédé, et inversement. Les deux démarches se nourrissent : une analyse de risques de procédé indique quelles fonctions sont les plus critiques, l'appréciation des risques cyber examine comment elles pourraient être altérées. Le niveau d'intégrité de sécurité retenu reste démontré par l'exploitant et le concepteur ; nous n'en signons aucun.

Continuité, reprise et gestion de crise

Une démarche sérieuse prévoit ce qui se passe lorsque les mesures échouent : mode dégradé de conduite, sauvegarde des configurations d'automates et de supervision, ordre de remise en service, personnes à prévenir, échanges avec l'ANSSI et son centre de réponse, le CERT-FR, pour les incidents notables. Ces éléments gagnent à être éprouvés par des exercices, joués avec l'exploitation, y compris les scénarios de perte des moyens numériques de conduite dans l'organisation de crise du site.

L'ISO 22301 propose un cadre pour structurer la continuité d'activité. Dans l'industrie chimique, elle s'articule avec les dispositions de maîtrise des risques propres aux installations classées, que présente le ministère chargé de l'environnement pour les sites Seveso.

Les faiblesses que l'on retrouve le plus souvent

D'un site à l'autre, les mêmes constats reviennent : absence d'inventaire fiable des équipements, comptes partagés sur les postes de supervision, accès distants multiples et mal suivis, postes qui ne reçoivent plus de mises à jour faute de validation, réseaux peu cloisonnés entre le procédé et le système d'information, sauvegardes jamais testées. Aucune de ces faiblesses ne se corrige par une seule action ; elles se traitent par étapes, au rythme des arrêts, en commençant par celles dont l'effet potentiel est le plus lourd.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Optédif intervient en audit, en conseil, en conception, en déploiement, en assistance technique et en formation, sur des périmètres définis avec vous :

• audit de la cybersécurité des systèmes industriels et des accès distants, sous forme d'analyse d'écarts argumentée et traçable ;
• conseil en gouvernance et en préparation de l'organisation aux exigences attendues de NIS 2, avec choix de la méthode d'analyse de risques ;
• conception d'une architecture segmentée, de règles de filtrage et d'un plan de continuité ;
• déploiement de mesures de durcissement, de filtrage et de sondes de détection en écoute passive ;
• assistance technique sur des livrables définis, au forfait ou en récurrent ;
• formation et sensibilisation des équipes d'automatisme, d'exploitation, de maintenance et d'informatique.

Ce que nous ne faisons pas

Optédif n'est pas un prestataire qualifié par l'ANSSI pour l'audit de sécurité, n'est pas une autorité de contrôle et ne délivre ni certification, ni attestation de conformité à NIS 2 ou à l'IEC 62443. Nous ne remplaçons pas le RSSI ni la direction, nous ne signons aucune déclaration à votre place, nous n'exploitons pas de centre de supervision de sécurité et nous ne lançons aucun test intrusif sur un procédé en marche. Nous ne dimensionnons ni ne validons aucun niveau d'intégrité de sécurité. Un audit réglementaire ou une certification éventuels sont confiés à un tiers compétent, et l'exploitant reste responsable de ses décisions.

Intervenir sur un site classé

Nos missions d'assistance technique sont réalisées par des intervenants d'Optédif, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Nous ne plaçons pas de personnel dans votre organisation et nous ne promettons pas de présence permanente sur un site Seveso ou ICPE (installation classée pour la protection de l'environnement). Sur place, nous appliquons le plan de prévention, les consignes de sécurité et les règles d'accès du site. Optédif n'est pas certifié MASE (Manuel d'Amélioration Sécurité Santé Environnement des Entreprises) : une mission sur site qui l'exige est confiée à un partenaire qui détient cette certification, ou réalisée hors site.

Nous répondons sous 48 heures ouvrées, nous établissons le devis après un échange sur votre périmètre, vos contraintes d'arrêt et vos référentiels, et nous précisons dans le devis ce qui est réalisé en lecture, sur maquette ou sur l'installation. Les exemples de nos pages sont des cas construits, jamais des résultats obtenus chez un client.