Cybersécurité Industrie 4.0 : Un pacte de géants

Cybersecurity · 19. Februar 2026 · Joseph Flesh

La nouvelle alliance d'Indra et Leonardo transforme la cybersécurité pour l'Industrie 4.0. Ce que les PME doivent savoir sur la sécurité OT.

La semaine dernière, un vieil ami m'a appelé, le directeur général d'une entreprise de découpage de taille moyenne dans le Sauerland. 'Klaus', a-t-il dit, et sa voix sonnait comme si on lui avait arraché l'âme, 'nous sommes à l'arrêt. Depuis trois jours. Pas une seule pièce ne quitte l'atelier. Un vaurien a piraté nos systèmes et demande une rançon.' Il ne parlait pas de son serveur de messagerie ou de son logiciel de comptabilité. Non. Il parlait des contrôleurs de ses presses et de la cellule robotisée qu'il avait acquise l'année dernière pour un demi-million d'euros. Ces choses étaient soudainement devenues de la ferraille coûteuse.

Ce n'est pas un cas isolé. C'est la nouvelle et amère réalité de la fabrication allemande. Alors que nous philosophons dans des brochures glacées sur les bienfaits de l'IA dans l'optimisation des processus et sur les jumeaux numériques, beaucoup oublient le fondement sur lequel repose tout ce château de cartes de l'Industrie 4.0 : la sécurité. Nos usines – autrefois des forteresses isolées aux murs épais – sont devenues des manufactures de verre avec des centaines de fenêtres et de portes numériques. Et c'est précisément ici, au talon d'Achille des PME allemandes, que le jeu est en train d'être redistribué.

L'appel de Rome : Pourquoi la cybersécurité pour l'Industrie 4.0 est désormais une affaire de direction

Deux grands acteurs se sont donc associés – les Espagnols d'Indra et les Italiens de Leonardo. José Vicente de los Mozos et Roberto Cingolani se sont serré la main à la mi-février à Rome. Le communiqué de presse officiel parle d'un 'protocole d'accord' pour renforcer la 'cyberdéfense' européenne. Cela sonne comme l'armée, l'espionnage, la grande politique, n'est-ce pas ? C'est le cas. Mais il s'agit de bien plus. Il s'agit de l'atelier de mon ami dans le Sauerland. Et du vôtre.

Car ce que les deux groupes prévoient, c'est au fond une tentative de forger une sorte de bouclier numérique pour les infrastructures critiques de l'Europe. Et qu'est-ce qu'une usine hautement connectée, produisant juste-à-temps, sinon une infrastructure critique ? L'époque où la 'sécurité' signifiait que le portier faisait sa ronde la nuit est définitivement révolue. Le partenariat vise des centres d'opérations connectés, l'échange de données sur les menaces en temps réel et des environnements de formation communs. C'est la tentative désespérée, mais absolument nécessaire, de reprendre enfin un pas d'avance technologique sur les attaquants. Indra, par exemple, met sur la table son initiative 'IndraMind' – une IA souveraine développée précisément pour de telles tâches de défense dans des environnements complexes. Ce n'est plus de la science-fiction. C'est la nouvelle réalité.

Le danger est réel, et il ne se limite plus au bureau, où il ne fait qu'encrypter des données comptables. Non, il a fait le saut vers le niveau de production – dans ce qu'on appelle la technologie opérationnelle (OT). C'est le monde des contrôleurs de machines (PLC), des systèmes de contrôle (SCADA) et des robots industriels. Un monde qui a fonctionné pendant des décennies selon le principe 'ne jamais toucher un système qui fonctionne'. Une mise à jour ? Un correctif de sécurité ? Trop risqué, cela pourrait perturber la production. Cette erreur fatale se retourne maintenant contre beaucoup.

L'illusion du réseau de machines 'sécurisé'

J'entends toujours la même chose lorsque je visite des entreprises : 'Nos machines ne sont même pas connectées à Internet.' C'est l'une des phrases les plus dangereuses qu'un PDG puisse prononcer aujourd'hui. La séparation entre l'IT (réseau de bureau) et l'OT (réseau de production) n'est souvent qu'une illusion. Soyons honnêtes : comment les nouveaux programmes de fraisage arrivent-ils sur la machine ? Via une clé USB depuis le poste de programmation. Comment le technicien de service du fabricant effectue-t-il le diagnostic à distance ? Via un tunnel VPN. Et voilà, vous avez construit un pont sur lequel les attaquants aiment se promener. Le tableau suivant devrait ouvrir les yeux de tout le monde.

De nombreuses entreprises de taille moyenne croient encore que leurs systèmes OT sont sécurisés parce qu'ils 'ne sont pas directement connectés à Internet'. C'est une erreur fatale. Un seul ordinateur portable de maintenance infecté ou un accès à distance non sécurisé suffit aujourd'hui à paralyser toute une ligne de production pendant des jours ou des semaines. Nous constatons une augmentation des attaques contre l'industrie manufacturière de près de 200 % au cours des deux dernières années.

— Dr. Eva Lindner, Responsable de la sécurité OT chez CyberProtect GmbH

Souveraineté européenne : Plus qu'un simple mot d'ordre

Quand Indra et Leonardo parlent de 'capacités souveraines, ouvertes et interopérables', ce n'est pas seulement de la communication pour Bruxelles. Derrière cela se cache la dure réalité que nous, en Europe, ne pouvons pas nous permettre de dépendre de fournisseurs américains ou chinois pour une technologie aussi critique que la cybersécurité. Il s'agit de s'assurer que 'les connaissances critiques et la propriété technologique restent sous le contrôle de l'UE'. Lors de ma dernière visite à l'usine Siemens d'Erlangen, j'ai ressenti exactement cette attitude. La 'Charte de confiance' y est appliquée, une initiative pour une meilleure cybersécurité à laquelle de nombreux acteurs mondiaux ont adhéré. Les grands ont compris les signes du temps. Ils savent qu'un 'Made in Germany' devra bientôt inclure un 'Secured in Germany'.

Mais qu'en est-il du constructeur de machines classique à Balingen ou du fournisseur automobile à Lippstadt ? Ils n'ont pas leur propre cyber-armée dans leur sous-sol. Ils n'ont souvent même pas de responsable dédié à la sécurité OT. Selon une enquête récente du VDMA, 58 % des constructeurs de machines de taille moyenne déclarent ne pas avoir de personne spécialisée pour la sécurité de leurs installations de production. La responsabilité se situe généralement quelque part entre l'informatique et la maintenance – et tombe donc souvent entre les chaises. C'est précisément cette lacune que les attaquants exploitent avec plaisir.

La dure vérité : Les PME sont-elles distancées ?

C'est bien beau, ce pacte de géants. Mais soyons clairs : est-ce que quelque chose de tout cela arrive aux PME allemandes ? Ou est-ce juste une autre alliance stratégique au niveau du conseil d'administration, dont seuls Airbus, Rheinmetall et les opérateurs de réseaux électriques bénéficieront au final ? Je doute que les 'capacités souveraines et interopérables' dont on parlait à Rome protègent demain la fraiseuse CNC vieille de 10 ans de M. Schmidt du Sauerland. On met un peu la charrue avant les bœufs ici.

Tant que les directeurs généraux des PME ne traiteront pas le sujet avec la même priorité que le taux d'utilisation de leurs machines ou la marge sur une nouvelle commande, toutes ces initiatives de haut niveau ne seront qu'un coup d'épée dans l'eau. Il reste à voir si les solutions complexes de groupes comme Indra ou Leonardo peuvent être facilement transférées au paysage de machines hétérogène et évolutif d'une PME typique. D'après mon expérience, beaucoup surestiment massivement leur propre résilience. L'idée 'Il n'y a rien à gagner chez nous' est le premier clou de votre cercueil numérique.

De l'espoir à l'action : 5 étapes concrètes pour votre production

Il ne sert à rien d'attendre la grande solution européenne. Vous devez agir aujourd'hui. Voici cinq étapes que toute entreprise de production peut et doit prendre immédiatement :

1. 1. Inventaire au lieu de la politique de l'autruche : Savez-vous quels appareils communiquent dans votre réseau de production ? Établissez une liste complète de tous les contrôleurs, panneaux, capteurs et passerelles. Chaque appareil est une porte d'entrée potentielle. Sans visibilité, vous naviguez à l'aveugle.
2. 2. IT et OT ? Deux mondes strictement séparés ! : Assurez une segmentation propre de vos réseaux. L'imprimante de la comptabilité ne doit en aucun cas se trouver sur le même réseau que le contrôle de votre installation de peinture. Utilisez des pare-feu de manière ciblée pour contrôler strictement la communication entre les segments.
3. 3. Activez le 'pare-feu humain' : La plus grande vulnérabilité reste l'être humain. Formez vos employés – et pas seulement ceux du bureau, mais aussi ceux de la production ! Un opérateur de machine qui branche une clé USB étrangère à son terminal de commande peut causer plus de dégâts qu'un incendie. Des formations régulières sur le phishing et l'ingénierie sociale sont obligatoires.
4. 4. Établissez une gestion des correctifs pour la production : Oui, c'est fastidieux et oui, cela comporte des risques. Mais faire fonctionner un contrôleur vieux de 15 ans avec une faille de sécurité connue, c'est comme jouer à la roulette russe. Établissez un plan pour quand et comment appliquer les correctifs de sécurité sans compromettre la production. Parlez-en à vos fabricants de machines.
5. 5. Préparez un plan d'urgence (et testez-le !) : Que faites-vous si cela arrive ? Qui est informé ? Comment les systèmes sont-ils déconnectés ? Comment restaurez-vous les sauvegardes ? Développer un tel plan seulement en cas de crise est négligent. Simulez le scénario pour que chacun sache quoi faire en cas d'urgence.

Votre Playbook pour le Profil Client Idéal (ICP) Identifiez les bons clients industriels qui comprennent la valeur de la cyber-résilience et sont prêts à investir. Définissez votre Profil Client Idéal avec notre Playbook et ciblez les entreprises qui ont vraiment besoin de vos solutions.

Questions fréquentes sur la sécurité OT dans les PME

La cybersécurité est-elle pertinente pour nous ? Nous ne fabriquons que des pièces métalliques simples.

Absolument. Les attaquants ne visent souvent pas vos données produit, mais la perturbation de vos opérations. Chaque jour où vos machines sont à l'arrêt à cause d'une attaque de rançongiciel vous coûte de l'argent et nuit à votre réputation de fournisseur fiable. La complexité de votre produit n'a aucune importance.

Nos machines sont vieilles. Peuvent-elles être protégées ?

Les systèmes plus anciens (Legacy Systems) sont particulièrement risqués car ils n'ont souvent pas de fonctions de sécurité modernes et ne sont plus pris en charge par le fabricant. Ici, la segmentation du réseau est cruciale : isolez ces machines dans un segment de réseau propre et strictement contrôlé, de sorte qu'elles soient séparées du reste du réseau de l'entreprise. Surveillez particulièrement attentivement le trafic réseau vers et depuis ces machines.

Qui va faire tout ça chez nous ? Nous n'avons pas le personnel.

C'est la question cruciale. Si vous n'avez pas l'expertise en interne, procurez-vous-la à l'extérieur. Il existe des prestataires de services spécialisés en sécurité OT qui peuvent vous aider dans l'analyse, la conception et la mise en œuvre. C'est un investissement, pas de simples coûts. Un investissement dans la survie de votre entreprise.

Soyons honnêtes : le partenariat entre Indra et Leonardo n'est pour l'instant qu'un communiqué de presse. Un signal. Mais c'est le bon signal au bon moment. Cela montre que le sujet est arrivé au plus haut niveau. Le temps de la connectivité naïve et de la confiance aveugle dans le monde numérique est révolu. L'usine intelligente a besoin de murs de forteresse intelligents – et surtout robustes. Celui qui ne le comprend pas aujourd'hui ne produira peut-être plus rien demain. Et je parie que dans trois ans, nous ne parlerons plus seulement de temps de cycle et d'OEE, mais de 'Mean Time to Recovery' après une cyberattaque. Ce sera la nouvelle monnaie forte dans la fabrication. Il n'y a pas d'autre solution.