Il y a dix ans, on me répondait encore : nos systèmes industriels sont sur un réseau isolé, pas de souci. Aujourd'hui, cette phrase me fait froid dans le dos. La convergence OT/IT est une réalité opérationnelle dans 90 % des sites industriels que j'audite — et dans 80 % des cas, personne n'a réfléchi aux implications sécurité de cette connexion. Les attaques iraniennes sur les stations d'eau américaines en août 2026 ne sont pas une surprise. C'est l'aboutissement logique d'une tendance que les spécialistes OT alertent depuis 2019.

Ce que convergence OT/IT signifie vraiment sur le terrain

La convergence OT/IT désigne l'interconnexion progressive entre les systèmes informatiques d'entreprise traditionnels (IT : bureautique, ERP, messagerie, cloud) et les systèmes de contrôle industriel (OT : automates programmables PLC, superviseurs SCADA, interfaces homme-machine HMI, capteurs et actionneurs). Cette convergence n'est pas un choix idéologique — c'est une réponse à des besoins opérationnels réels, légitimes, et souvent impératifs pour la compétitivité.

Les raisons sont multiples et concrètes. La supervision à distance des installations industrielles réduit les coûts d'exploitation et permet une réactivité accrue aux incidents techniques. L'intégration des données de production dans les ERP améliore la planification et la traçabilité. La maintenance prédictive, basée sur l'analyse des données temps réel des capteurs, nécessite une connectivité vers des plateformes cloud ou des serveurs d'analyse centraux. L'optimisation énergétique des processus industriels implique des échanges de données entre les systèmes de pilotage et les systèmes de gestion de l'énergie.

Résultat : les PLC qui pilotaient autrefois des processus physiques depuis des réseaux totalement isolés sont aujourd'hui connectés, directement ou indirectement, à des réseaux accessibles depuis l'extérieur. Lors de mes audits, je retrouve systématiquement le même schéma : un technicien a, à un moment, ouvert un accès VPN pour la télémaintenance d'un équipement, un ERP s'est interfacé avec le SCADA pour récupérer des données de production, ou un appareil de monitoring réseau a été installé sur le réseau OT et remonte ses données vers un SIEM central. Chacune de ces connexions, prise isolément, est justifiée. Leur accumulation crée un maillage que personne n'a cartographié de manière exhaustive.

Le rapport Dragos ICS/OT Cybersecurity 2026 illustre l'ampleur du problème : 79 % des réseaux OT audités présentaient des connexions directes ou indirectes non documentées vers des réseaux IT ou Internet. Parmi ceux-ci, 31 % exposaient des services OT sur des ports accessibles depuis Internet sans authentification. Ces chiffres ne sont pas des anomalies — ils décrivent la réalité opérationnelle de l'industrie mondiale en 2026.

La distinction fondamentale entre IT et OT qu'il faut garder en tête : en IT, les priorités sont la confidentialité, l'intégrité puis la disponibilité (triade CIA classique). En OT, l'ordre est inversé — la disponibilité prime sur tout, car un arrêt de production peut coûter des millions d'euros par heure, et dans les secteurs critiques (eau, énergie, santé), une défaillance peut mettre des vies en danger. Cette différence de priorités crée des tensions fondamentales avec les pratiques de sécurité IT standard et explique pourquoi les solutions IT ne se transposent pas directement en OT.

Pourquoi les systèmes industriels sont-ils si faciles à compromettre ?

La réponse honnête est que les systèmes OT n'ont jamais été conçus pour être sécurisés contre des attaquants. Ils ont été conçus pour être fiables, précis et déterministes dans des environnements réseau fermés. Cette réalité de conception se traduit par un ensemble de caractéristiques qui deviennent des vulnérabilités critiques une fois exposées à un réseau hostile.

Le premier problème est l'absence d'authentification sur les protocoles industriels standards. Modbus, le protocole de communication industrielle le plus répandu au monde, développé en 1979, ne comporte aucun mécanisme d'authentification natif : n'importe quel équipement capable de parler Modbus peut lire et écrire des registres sur un PLC sans présenter la moindre preuve de son identité. EtherNet/IP, DNP3, Profibus, BACnet — la majorité des protocoles industriels standards partagent cette caractéristique. Ils ont été développés à une époque où la sécurité réseau n'était tout simplement pas une préoccupation pertinente pour des réseaux physiquement isolés.

Le deuxième problème est la longévité extrême des équipements industriels. Un PLC déployé en 2005 pour contrôler une ligne de production ou une station de pompage peut rester en service 20 à 30 ans sans remplacement. Pendant ce temps, le constructeur peut avoir cessé de publier des mises à jour de sécurité, la documentation peut être perdue, et les techniciens qui connaissaient l'équipement peuvent avoir quitté l'organisation. Ces équipements vieillissants fonctionnent souvent sur des systèmes d'exploitation obsolètes — Windows XP Embedded, Windows CE — pour lesquels aucun patch de sécurité n'est disponible.

Le troisième problème est la contrainte de disponibilité qui rend le patch management quasi impossible dans les conditions normales d'exploitation. Patcher un PLC ou un superviseur SCADA nécessite généralement un arrêt de production planifié — une opération complexe, coûteuse et souvent impossible à réaliser en dehors de fenêtres de maintenance saisonnières. Dans certains secteurs (centrales électriques, production chimique, traitement de l'eau en continu), une interruption de quelques heures est inacceptable opérationnellement. Résultat : les vulnérabilités connues restent non corrigées pendant des mois ou des années.

Quatrième problème : les mots de passe par défaut. Lors de chaque audit OT que je réalise, je trouve invariablement des équipements avec leurs credentials d'usine non modifiés. Parfois parce que le technicien d'installation ne l'a pas fait, parfois parce que le constructeur a rendu le changement difficile ou risqué, parfois parce que le mot de passe d'usine est documenté dans des advisory publics. Des bases comme SCADAPASS référencent les credentials par défaut de centaines d'équipements industriels.

Cinquième problème : la visibilité quasi nulle. Les équipes IT disposent généralement de SIEM, d'EDR, de solutions de monitoring réseau. Dans les réseaux OT, cette visibilité est souvent absente : pas de logs centralisés, pas de détection d'intrusion, pas de baseline du comportement réseau normal. Quand un attaquant se promène dans un réseau OT, il peut rester invisible pendant des semaines ou des mois. Les incidents post-mortem révèlent systématiquement des durées de présence de l'attaquant mesurées en semaines, parfois en mois, avant détection.

Ce que les attaquants font vraiment quand ils entrent dans un réseau OT

La représentation populaire d'une cyberattaque OT — un attaquant qui prend le contrôle d'une centrale et déclenche une explosion spectaculaire — est largement inexacte. Dans la réalité des incidents documentés, les attaquants ont des objectifs plus nuancés, et souvent plus dévastateurs à long terme.

Le premier objectif est la persistance et la reconnaissance. Avant toute action destructive ou perturbatrice, un attaquant sophistiqué passe du temps à cartographier le réseau OT, identifier les équipements présents, comprendre les processus industriels contrôlés, et établir des mécanismes de persistance discrets. Cette phase peut durer des semaines. Le groupe Sandworm, acteur étatique russe responsable de l'attaque sur le réseau électrique ukrainien en 2016, avait été présent sur les réseaux de sa cible pendant plusieurs mois avant de déclencher la panne volontaire.

Le deuxième objectif fréquent est l'exfiltration de propriété intellectuelle industrielle. Les fichiers de projet PLC contiennent les paramètres de processus industriels qui peuvent représenter des années de recherche et développement : formulations chimiques, procédés de fabrication, paramètres de calibration. Ces données ont une valeur commerciale considérable et sont la cible d'acteurs étatiques pratiquant l'espionnage économique industriel.

Le troisième objectif est la perturbation ou la destruction physique. C'est la catégorie qui fait les manchettes : manipulation de valeurs de capteurs pour induire des réponses automatiques inadaptées, modification des paramètres de contrôle pour provoquer des défaillances mécaniques, effacement de configurations PLC pour mettre des installations à l'arrêt forcé. L'attaque Triton/TRISIS découverte en 2017 dans une usine pétrochimique saoudienne reste l'exemple le plus avancé : les attaquants avaient réussi à compromettre les systèmes de sécurité instrumentés (SIS), les dernières barrières de protection contre les accidents industriels graves, avec le potentiel de déclencher des explosions physiques.

En 2026, les attaques OT les plus documentées — la centrale polonaise compromise via APN privé (juillet 2026, premier vecteur OT/IT documenté au monde sur ce vecteur spécifique), les systèmes hydrauliques américains ciblés par l'IRGC (août 2026) — confirment que l'objectif principal des acteurs étatiques n'est pas forcément la destruction immédiate, mais la démonstration de capacité et la création d'incertitude stratégique. Prouver qu'on peut toucher les infrastructures critiques d'un adversaire est en soi un message politique fort, même sans provoquer de dégâts physiques réels.

Ce qui me frappe dans les incidents récents, c'est la sophistication croissante du living off the land dans les réseaux OT. Plutôt que d'apporter des outils malveillants facilement détectables, les attaquants utilisent les outils natifs présents dans l'environnement OT : les logiciels de programmation des PLC du constructeur, les interfaces de gestion SCADA légitimes, les protocoles industriels standards. Cette approche rend la détection par signature quasi impossible et exige des capacités de détection comportementale spécifiques au contexte OT.

Les secteurs les plus exposés en France et en Europe en 2026

Tous les secteurs industriels sont concernés par la convergence OT/IT, mais certains présentent des facteurs aggravants qui les placent en tête des priorités pour les attaquants.

Le secteur de l'eau et de l'assainissement est particulièrement vulnérable en raison de la fragmentation extrême des opérateurs (plusieurs milliers de collectivités de taille très variable en France), de la disparité des moyens financiers alloués à la maintenance et à la sécurité, et de la dépendance à des équipements anciens déployés lors d'investissements réalisés dans les années 1990 ou 2000. La directive NIS2 impose désormais des obligations à ces opérateurs, mais la mise en conformité est un processus long et coûteux qui ne se traduit pas encore en protection réelle dans de nombreuses collectivités.

Le secteur de l'énergie — électricité, gaz, pétrole — est à la fois le plus critique et le mieux défendu, sous l'impulsion des régulateurs (ANSSI, ACER en Europe) et des opérateurs historiques qui ont investi massivement en cybersécurité OT depuis 2016. Cela ne signifie pas qu'il est imperméable : les sous-traitants et fournisseurs de la chaîne d'approvisionnement industrielle représentent le maillon faible. Un équipementier livrant des composants à une centrale peut devenir le vecteur d'une supply chain attack ciblant l'infrastructure finale.

L'industrie manufacturière est probablement le secteur le plus hétérogène. Les grands groupes industriels ont généralement une maturité cyber acceptable. En revanche, les PME et ETI industrielles qui représentent l'essentiel du tissu productif français et européen sont souvent dans une situation préoccupante : elles ont connecté leurs systèmes OT au réseau IT pour des raisons opérationnelles légitimes, sans avoir les ressources pour en gérer les implications sécurité.

Le secteur de la santé, avec ses équipements médicaux connectés (imagerie, monitoring patients, pompes à perfusion), présente une convergence OT/IT médicale souvent appelée IoMT qui cumule les problèmes : équipements à longue durée de vie, impossibilité de les patcher sans validation réglementaire, contraintes de disponibilité absolues, et données médicales particulièrement sensibles. L'ANSSI a publié en 2025 un guide spécifique sur la sécurité des systèmes d'information de santé qui reste insuffisamment appliqué dans les établissements de taille intermédiaire.

Les infrastructures de transport — ports, aéroports, réseaux ferroviaires — présentent des systèmes OT embarqués dans des équipements dont la durée de vie se mesure en décennies et dont la mise à jour sécurité est soumise à des contraintes réglementaires et de certification complexes. ENISA a identifié ce secteur comme l'une des priorités de renforcement dans son rapport 2025 sur les menaces aux infrastructures critiques européennes.

Ce que NIS2 change concrètement pour votre organisation

La directive NIS2, transposée en France au second semestre 2024, représente un changement de paradigme significatif pour la sécurité des systèmes industriels. Contrairement à sa prédécesseure NIS1 qui se concentrait sur un nombre limité d'opérateurs d'importance vitale, NIS2 élargit considérablement le périmètre des organisations soumises à des obligations renforcées.

La directive introduit deux catégories : les entités essentielles (EE), soumises aux obligations les plus strictes, et les entités importantes (EI), soumises à des obligations légèrement allégées mais substantielles. Des secteurs comme l'eau, l'énergie, les transports, la santé, l'infrastructure numérique et l'industrie manufacturière dans certaines tailles et sous-secteurs sont explicitement couverts. L'ANSSI est chargée de l'application en France et peut procéder à des audits et imposer des sanctions financières significatives — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles.

Concrètement, NIS2 impose plusieurs obligations directement pertinentes pour la sécurité OT : la gestion des risques avec des mesures de sécurité proportionnées incluant les systèmes de contrôle industriel ; la notification des incidents significatifs à l'ANSSI dans des délais stricts (alerte initiale dans les 24h, rapport complet dans les 72h) ; la sécurité de la chaîne d'approvisionnement incluant la vérification des pratiques sécurité des fournisseurs et sous-traitants ; et la formation et la sensibilisation à la cybersécurité jusqu'au niveau de la direction générale.

Ce que je constate en pratique : beaucoup d'organisations dans le scope NIS2 ne savent pas encore qu'elles y sont soumises. Le périmètre est large et les critères de classification ne sont pas toujours évidents. Si vous opérez dans l'eau, l'assainissement, l'énergie, la santé, les transports ou l'industrie dans des tailles significatives, vous êtes très probablement concerné. Ne pas le savoir n'est pas une protection — c'est une aggravation du risque réglementaire.

La bonne nouvelle : les obligations NIS2, bien qu'exigeantes, sont aussi une opportunité de structurer enfin une approche cyber cohérente incluant les systèmes OT. Beaucoup d'organisations que j'accompagne n'auraient jamais eu les arguments internes pour investir dans la sécurité OT sans cette pression réglementaire. NIS2 donne aux RSSI et aux DSI les leviers pour intégrer les systèmes industriels dans le périmètre de la cybersécurité de l'entreprise — là où ils auraient toujours dû être.

Comment construire une vraie résilience OT : ce qui fonctionne vraiment

La sécurité OT ne s'aborde pas comme la sécurité IT. Les méthodologies, les outils et les priorités sont différents. Voici ce que l'expérience terrain m'a appris sur ce qui fonctionne réellement.

La première étape, et de loin la plus importante, est la cartographie exhaustive. Vous ne pouvez pas protéger ce que vous ne connaissez pas. Dans un réseau OT mature, des équipements ont été ajoutés sur des décennies par des équipes successives, souvent sans documentation rigoureuse. Des outils de découverte passive spécifiques OT comme Claroty, Dragos Platform ou Nozomi Networks permettent de cartographier les équipements présents sans risquer de perturber les équipements fragiles par des scans actifs. L'objectif est un inventaire exhaustif : chaque PLC, chaque HMI, chaque switch industriel, avec ses protocoles de communication, ses versions de firmware et ses connexions réseau documentées.

La deuxième priorité est la segmentation réseau rigoureuse. La frontière IT/OT doit être formalisée et contrôlée. Une architecture correcte comprend une zone IT, une DMZ industrielle (zone tampon avec des règles de flux strictement définies et un proxy applicatif si nécessaire), et une ou plusieurs zones OT segmentées selon les niveaux de criticité des processus. Les flux doivent être définis par whitelist : seules les communications explicitement autorisées et justifiées sont permises. Tout flux non prévu est bloqué par défaut.

La troisième priorité est la visibilité et la détection comportementale. Une fois la cartographie établie et la segmentation en place, il faut déployer une capacité de monitoring des communications OT pour détecter les anomalies : un PLC qui commence à scanner le réseau, une connexion vers une adresse IP inconnue, une modification de paramètres en dehors des fenêtres de maintenance habituelles. Les solutions spécialisées (Claroty, Dragos, Nozomi, Darktrace Industrial) établissent une baseline du comportement normal et alertent sur les déviations.

La gestion des accès distants est un point critique souvent mal traité. Les accès de télémaintenance des constructeurs et des sous-traitants doivent être gérés via des solutions dédiées avec enregistrement de session, authentification forte et principe du moindre privilège. Des solutions comme CyberArk, Claroty xDome ou Wallix appliquent ces contrôles spécifiquement pour les environnements OT. L'accès d'un prestataire externe au réseau OT ne devrait jamais passer par un simple VPN partagé avec l'accès IT général.

Sur le patch management, la réalité est qu'on ne peut pas patcher tous les systèmes OT avec la même fréquence qu'en IT. Il faut prioriser : identifier les équipements dont la compromission aurait l'impact le plus élevé, et concentrer les efforts de mise à jour sur ces équipements en priorité. Pour les équipements qui ne peuvent pas être patchés, des compensating controls sont indispensables : isolement réseau renforcé, monitoring spécifique, systèmes de détection d'anomalies comportementales.

Enfin, le plan de réponse aux incidents OT doit être distinct du plan IT. Les procédures de confinement, de basculement en mode dégradé, de remise en service des équipements industriels sont spécifiques et doivent être documentées, testées et maîtrisées par les équipes opérationnelles. La coordination entre les équipes cybersécurité et les équipes process industrielles lors d'un incident est critique — et elle ne s'improvise pas au moment de la crise. Les exercices de simulation (tabletop exercises) incluant des scénarios OT sont indispensables pour préparer les équipes à cette coordination.

Mon avis d'expert

La convergence OT/IT est irréversible. Les bénéfices opérationnels sont trop importants pour y renoncer. Mais nous avons collectivement commis l'erreur de connecter ces systèmes sans concevoir la sécurité en parallèle. Les attaques de 2026 — eau potable aux États-Unis, centrale polonaise, ransomwares sur des hôpitaux singapouriens — ne sont pas des accidents. Ce sont les conséquences prévisibles d'une dette sécurité accumulée depuis des années dans les environnements industriels.

Ce qui me frappe le plus dans mes missions terrain, c'est l'écart entre la perception du risque et la réalité. Beaucoup de responsables industriels pensent encore que leurs systèmes OT sont isolés. Ils ont tort — souvent, ils le découvrent lors de l'audit. La bonne nouvelle, c'est que sécuriser un réseau OT n'exige pas de tout remplacer. Ça exige de comprendre précisément ce qu'on a, de le segmenter correctement, et de se donner les moyens de détecter les anomalies. C'est accessible, même pour des organisations avec des budgets limités — à condition de commencer.

Conclusion

La convergence OT/IT n'est plus un horizon lointain — c'est le présent de l'industrie mondiale. Les attaques de l'été 2026 contre les infrastructures hydrauliques américaines, les centrales industrielles et les établissements de santé asiatiques envoient un message sans ambiguïté : les systèmes industriels connectés sont des cibles actives, et les attaquants ont les capacités pour les exploiter. La question n'est plus de savoir si votre organisation sera ciblée, mais si vous serez en mesure de détecter l'intrusion et d'y répondre avant qu'elle ne cause des dommages irréversibles.

NIS2 donne enfin un cadre réglementaire pour aborder la sécurité OT sérieusement. Utilisez-le comme levier — non pas comme une contrainte supplémentaire, mais comme l'argument qui permet enfin de mettre la sécurité industrielle au niveau de priorité qu'elle mérite depuis des années. Et si vous ne savez pas par où commencer, commencez par cartographier ce que vous avez. Tout le reste découle de cette première étape.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact