Cybersécurité OT IEC 62443, IIoT, jumeaux numériques et maintenance prédictive : audit, conseil, formation et assistance technique pour le génie électrique

Cadre normatif et réglementaire de la cybersécurité industrielle

La série IEC 62443 et ses rôles

La série ISA/IEC 62443 est le référentiel international de la sécurité des systèmes d'automatisation et de contrôle industriels (IACS). Elle est publiée conjointement par l'IEC (Commission électrotechnique internationale) et l'ISA (International Society of Automation, société internationale d'automatisation) et se lit par rôle. La partie 2-1 décrit le programme de sécurité de l'exploitant, propriétaire de l'installation, et la partie 2-4 celui des prestataires de services. La partie 3-2 traite de l'évaluation du risque pour la conception d'un système et du découpage en zones et conduits, la partie 3-3 des exigences de sécurité du système et des niveaux de sécurité. Les parties 4-1 et 4-2 s'adressent aux fournisseurs de produits : cycle de développement sécurisé pour la première, exigences techniques des composants pour la seconde. Le site de l'ISA présente l'ensemble de la série.

Ces textes sont des normes, non des lois : ils s'imposent par contrat, par exigence d'un client ou par choix de l'entreprise. Une exigence « niveau de sécurité 2 » ou « niveau 3 » n'a de sens que rattachée à un système, à ses zones et à une évaluation. Elle ne se déclare pas sur la foi d'une prestation de conseil ou d'une formation.

Les textes européens et français

Le règlement (UE) 2024/2847, dit Cyber Resilience Act (CRA), impose aux fabricants de produits comportant des éléments numériques des exigences de sécurité dès la conception, de gestion des vulnérabilités et de mises à jour. Il est entré en vigueur le 10 décembre 2024. Ses obligations de notification, prévues à l'article 14, s'appliquent depuis le 11 septembre 2026, et son application complète est fixée au 11 décembre 2027, comme le rappelle la synthèse de la Commission européenne. Il concerne donc le fabricant d'un équipement ou d'un logiciel connecté, y compris un intégrateur qui met sur le marché un produit sous son nom. Le classement de certains produits industriels, comme les automates, fait encore l'objet d'analyses divergentes : il se vérifie produit par produit.

La directive (UE) 2022/2555, dite NIS2 (directive européenne sur la sécurité des réseaux et des systèmes d'information), vise des entités dites essentielles et importantes dans de nombreux secteurs. Sa transposition en droit français est en cours à la date de rédaction de cette page (octobre 2026) et son état se vérifie à la date de chaque projet : nous n'écrivons jamais qu'une entreprise y est soumise ou en règle. Pour les opérateurs d'importance vitale, la loi de programmation militaire 2024-2030 (loi n° 2023-703 du 1er août 2023) comporte des obligations propres. Enfin, le règlement (UE) 2023/1230 sur les machines s'applique à partir du 20 janvier 2027 et ajoute des dispositions relatives aux logiciels et aux systèmes de commande liés à la sécurité. Jusqu'à cette date, la directive 2006/42/CE reste applicable aux machines mises sur le marché.

Les guides de l'ANSSI et la méthode EBIOS RM

En France, l'ANSSI publie des guides spécifiques aux systèmes industriels. La méthode de classification, en version 2.0, date de mars 2025 et fait l'objet d'une traduction de courtoisie. Le guide des mesures détaillées, en version 2.0 lui aussi, a été publié en novembre 2025. Ces guides ne sont pas normatifs, sauf disposition réglementaire contraire, et leurs recommandations doivent être validées par les responsables du système avant mise en œuvre.

La méthode EBIOS Risk Manager (EBIOS RM), publiée par l'ANSSI en 2018 avec le Club EBIOS, organise l'analyse de risque en cinq ateliers, du cadrage et du socle de sécurité jusqu'au traitement du risque. Sa présentation et son guide sont publics sur le site de l'ANSSI. Elle se combine avec l'évaluation de risque de la partie 3-2 de l'IEC 62443 : l'une part des missions et des scénarios de menace, l'autre du découpage technique en zones et conduits.

Enjeux des exploitants, des intégrateurs et des fabricants

Disponibilité du procédé et sécurité des personnes

Dans un système de conduite, l'ordre des priorités n'est pas celui d'un système d'information : disponibilité, intégrité, puis confidentialité. Une analyse active du réseau, un correctif imposé ou un redémarrage de poste peuvent perturber un procédé, voire créer une situation dangereuse. Les décisions de sécurité se prennent donc avec l'exploitation, en fonction des fenêtres d'arrêt et des conséquences d'un incident sur les personnes, le produit et l'installation.

La cybersécurité n'entre pas dans le périmètre des normes de sécurité fonctionnelle des machines, qui renvoient sur ce point à des documents dédiés, comme l'IEC TR 63074. Un système peut être sûr au sens de la sécurité fonctionnelle et vulnérable au sens cyber. Les deux démarches se coordonnent, sans se confondre ni se remplacer.

IIoT, passerelles IT/OT et télémaintenance

L'IIoT relie capteurs, automates et plateformes de données. Chaque liaison ajoute une surface d'exposition : protocoles de messagerie légers, serveurs de connectivité, passerelles entre l'informatique et l'industrie, modules de calcul en périphérie, comptes de service. La sécurité se joue dans les choix d'architecture : sens des flux, authentification des échanges, segmentation, journalisation, gestion des correctifs sur des équipements dont la durée de vie se compte en dizaines d'années.

La télémaintenance concentre les risques de tiers : un accès distant d'un fournisseur ouvre une porte dans l'installation. Les bonnes pratiques sont connues : accès initié ou validé par l'exploitant, comptes nominatifs avec authentification forte, point d'entrée unique, enregistrement des sessions, coupure par défaut. Il reste à écrire qui est responsable en cas d'incident, au contrat et dans les procédures.

Jumeaux numériques et maintenance prédictive : l'angle électrique et électronique

Les jumeaux numériques et la maintenance prédictive relèvent de l'industrie 4.0, que ce site ne traite pas pour elle-même. Nous les abordons sous l'angle du génie électrique et électronique : signaux de courant et de tension des moteurs et des variateurs, capteurs de vibration et de température, qualité de la chaîne de mesure (échantillonnage, étalonnage, synchronisation horaire), architecture de remontée des données et sécurité de ces flux. Les modèles statistiques et l'organisation de la maintenance appartiennent à d'autres domaines de compétence.

Deux précautions s'imposent. Un jumeau numérique est un modèle : il aide à simuler et à décider, il ne prouve pas la conformité d'une installation. Et lorsque des capteurs concernent des opérateurs, par exemple par des données de localisation ou d'activité, le règlement général sur la protection des données et la CNIL encadrent le traitement.

Rôles et responsabilités

L'exploitant reste responsable de la sécurité de son installation, de ses accès et de ses décisions d'arrêt. L'intégrateur répond de ce qu'il réalise et de la documentation qu'il livre. Le fabricant d'un produit connecté répond des exigences qui lui incombent au titre du CRA. Une modification importante d'un système existant peut déplacer ces responsabilités : elle se traite par contrat, avant les travaux.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous réalisons des analyses de risque (EBIOS RM, partie 3-2 de l'IEC 62443), des cartographies d'actifs et de flux, des audits d'écarts par rapport aux parties 2-1, 3-3 ou 4-1 et aux guides de l'ANSSI, des spécifications de durcissement et de segmentation, des cahiers des exigences cyber pour vos fournisseurs et des architectures d'IIoT sécurisées. Nous déployons des mesures par lots avec votre exploitation, sensibilisons et formons vos équipes, et préparons vos dossiers pour un client, une autorité ou un tiers.

Notre assistance technique est une mission au forfait, réalisée sous la responsabilité et l'encadrement d'Optédif. Elle se définit par un lot (une analyse de risque, une proposition de segmentation, un durcissement documenté), des livrables, une échéance et une recette, avec une charge exprimée en jours par lot ou, au plus, par mois. Optédif ne détache pas de personnel chez ses clients : le client commande un lot et sa recette. Les données de conception et d'exploitation restent confidentielles, et la propriété des livrables est fixée par contrat.

Ce que nous ne faisons pas

Optédif n'est pas prestataire d'audit de la sécurité des systèmes d'information qualifié par l'ANSSI (PASSI) et ne l'emploie pas à ce titre. Optédif n'est pas non plus organisme de certification IEC 62443 et n'emploie pas de personnel certifié à ce titre. Nous ne délivrons ni certification, ni qualification, ni habilitation, ni agrément, et nous n'engageons ni la conformité d'un produit ou d'une installation à une norme ou à un texte, ni la réception d'un ouvrage.

Nous ne déclarons pas qu'un niveau de sécurité est atteint, qu'une entreprise est en règle au regard de NIS2 ou de la loi de programmation militaire, ni qu'une installation est à l'abri d'un incident : aucune architecture ne supprime ce risque. Nous ne conduisons aucun essai d'intrusion ni analyse active sur un système en production sans autorisation écrite, périmètre et fenêtre définis : l'accès non autorisé à un système de traitement automatisé de données est puni par les articles 323-1 et suivants du code pénal. Nous ne remplaçons pas non plus l'évaluation de sécurité fonctionnelle, qui relève d'un autre domaine et, selon le niveau visé, d'un tiers compétent.

Les tiers qui décident

Plusieurs décisions appartiennent à d'autres acteurs. La qualification d'un prestataire d'audit est prononcée par l'ANSSI, selon un référentiel qui distingue des niveaux d'exigence. La certification IEC 62443 relève de schémas dédiés : le schéma ISASecure propose par exemple des certifications de produits, de systèmes, de composants, de processus de développement et d'installations, délivrées par des organismes de certification accrédités selon la norme ISO/IEC 17065. En France, l'accréditation est assurée par le Cofrac. Nous préparons ces échéances : état des lieux, dossier de preuves, entraînement des équipes. La décision revient toujours au tiers.

Nous restons clairs sur les marques d'outils : nous travaillons avec les plateformes IIoT, les serveurs de connectivité, les solutions de supervision et de gestion des droits que vous utilisez, sans dépendre d'un éditeur ni en promouvoir un.

Les prestations utiles en cybersécurité industrielle

Audit, conseil et conception

Un audit commence par ce qui existe réellement : inventaire des actifs, flux observés, comptes, accès distants, sauvegardes. Il compare cet état à un référentiel choisi avec vous et classe les écarts par risque. Le conseil aide à arbitrer : périmètre de départ, répartition des rôles, exigences à imposer aux fournisseurs, lecture des textes européens. La conception transforme ces décisions en architecture : zones, conduits, matrice de flux, durcissement, journalisation, traitement de la télémaintenance.

Ces trois prestations produisent des livrables écrits, relisibles par votre donneur d'ordre ou par un tiers. Elles ne se substituent ni à l'audit d'un prestataire qualifié lorsqu'il est exigé, ni à la responsabilité de l'exploitant.

Déploiement et assistance technique

Le déploiement installe les mesures par lots, en commençant par un périmètre pilote, avec sauvegardes, fenêtres convenues, plans de retour arrière et recette. L'assistance technique prend la forme d'un lot borné, par exemple une analyse de risque sur un atelier, un découpage en zones et conduits, la documentation du durcissement d'un parc de postes ou la spécification d'une chaîne de mesure. Le contrat fixe le périmètre, les livrables, l'échéance et la recette, et le prix est un forfait par lot. Un référent désigné chez vous valide la recette, et un point d'avancement a lieu au plus une fois par mois.

Dans les deux cas, nous cherchons à rendre vos équipes autonomes : procédures, formation courte, passation écrite, et reprise des dossiers par vos équipes à la recette du lot. Nous visons un système que vos équipes exploitent elles-mêmes, et non un système qui dépend de son prestataire.

Formation

La formation donne les repères de la série IEC 62443, des guides de l'ANSSI et de la sécurité des systèmes connectés. Elle se construit à partir de vos installations, en intra-entreprise, avec des exercices sur des architectures réalistes. Elle ne vaut ni qualification ni certification, et les formations labellisées, comme celles à la méthode EBIOS RM, relèvent de leurs propres référentiels. Elle peut accompagner un audit ou une mission de conception sur le même périmètre.