Les ports commerciaux concentrent des flux physiques et numériques dont l’interdépendance s’accentue chaque année. Grues automatisées, systèmes de gestion du trafic maritime, automates de contrôle d’accès aux zones restreintes : ces équipements industriels fonctionnent sur des réseaux opérationnels (OT) historiquement isolés, désormais connectés aux systèmes d’information classiques. Cette convergence IT/OT expose les infrastructures portuaires à des menaces qui ne relèvent plus uniquement du sabotage physique, mais aussi du ransomware, du phishing ciblé et de l’exploitation de protocoles industriels obsolètes.
Arrêté du 8 juillet 2026 : ce que change le nouveau cadre de sûreté portuaire en France
Un texte réglementaire récent redéfinit les obligations des exploitants portuaires français. L’arrêté du 8 juillet 2026 impose aux exploitants de zones portuaires à accès contrôlé et d’installations portuaires de déposer sous quatre mois un plan de sûreté actualisé auprès du préfet. Ce plan doit intégrer les nouvelles dispositions, notamment le renforcement des contrôles et des exercices de sûreté.
A lire en complément : Comment convertir facilement grammes, millilitres et cuillères dans vos recettes
Le changement le plus notable concerne l’obligation d’intégrer la menace cyber dans les scénarios d’entraînement. Jusqu’ici, les exercices de sûreté portuaire portaient principalement sur les intrusions physiques, les colis suspects ou les actes de malveillance traditionnels. Désormais, un scénario de cyberattaque visant les systèmes industriels (automates programmables, SCADA, systèmes de positionnement des portiques) doit figurer parmi les exercices planifiés.
L’arrêté précise aussi le rôle de l’agent de référence sûreté portuaire, désigné par le préfet, qui devient le point de coordination entre les autorités et les exploitants pour la mise en conformité. Renforcer la sécurité des systèmes industriels portuaires passe donc par une traduction opérationnelle de ces exigences, avec des délais serrés et des plans vérifiables.
A lire aussi : Quel accompagnement pour un cake aux courgettes et chèvre : nos meilleures idées
Signalement obligatoire des incidents cyber : le précédent canadien
La France n’est pas seule à durcir son cadre. Le bulletin opérationnel de sûreté maritime BOSM 2026-003 de Transports Canada impose désormais aux intervenants réglementés (ports, installations maritimes, traversiers) de signaler toutes les menaces et incidents de cybersécurité liés aux interfaces port/navire. Ce signalement doit être adressé simultanément aux forces de l’ordre, à Transports Canada et au centre national de cybersécurité.
Cette approche tranche avec la pratique habituelle dans le secteur maritime, où les incidents cyber restaient largement sous-déclarés. Les retours terrain divergent sur ce point : certains acteurs portuaires considèrent que la déclaration systématique permettra de mieux cartographier les menaces, tandis que d’autres redoutent une surcharge administrative sans gain opérationnel immédiat.
Le modèle canadien pose une question ouverte pour les ports européens. La directive NIS 2, qui s’applique aux opérateurs de services dans le secteur du transport maritime, prévoit des obligations de notification, mais les modalités pratiques varient d’un État membre à l’autre. Les données disponibles ne permettent pas encore de mesurer l’effet réel du signalement obligatoire sur la réduction des attaques, mais le principe de transparence progresse.
Convergence IT/OT dans les ports : où se situent les failles concrètes
La numérisation des ports crée des points de vulnérabilité spécifiques que les approches de cybersécurité classiques ne couvrent pas toujours. Les systèmes OT portuaires présentent des caractéristiques qui compliquent leur protection.
- Les automates programmables et les systèmes SCADA qui pilotent les grues, portiques et écluses utilisent souvent des protocoles industriels anciens, conçus sans mécanisme d’authentification ni de chiffrement. Leur remplacement suppose des arrêts d’exploitation coûteux.
- Les interfaces entre le système d’information portuaire (Port Community System) et les équipements de terrain multiplient les surfaces d’attaque. Un accès compromis côté IT peut se propager vers les automates de manutention.
- Les prestataires externes (maintenanciers, éditeurs de logiciels, opérateurs de terminaux) disposent fréquemment d’accès distants aux réseaux OT, parfois avec des identifiants partagés et sans journalisation des connexions.
Ce scénario de prise de contrôle à distance n’est pas théorique : plusieurs ports ont subi des interruptions d’exploitation liées à des ransomwares ces dernières années.
Exercices de sûreté cyber : structurer l’entraînement au-delà de la conformité
Disposer d’un plan de sûreté ne suffit pas si les équipes ne savent pas réagir à une attaque en temps réel. La menace cyber intégrée aux exercices de sûreté constitue l’avancée la plus concrète de l’arrêté de juillet 2026, mais sa mise en œuvre pose des difficultés pratiques.
Un exercice cyber portuaire efficace doit simuler l’indisponibilité simultanée de plusieurs systèmes : gestion du trafic, contrôle d’accès, communication VHF. Les équipes doivent basculer sur des procédures dégradées, souvent manuelles, dont la maîtrise se perd à mesure que l’automatisation progresse. La coordination entre les acteurs (autorité portuaire, opérateurs de terminaux, capitainerie, services de l’État) complique l’organisation de ces exercices.
Quelques principes structurants se dégagent des retours d’expérience internationaux :
- Tester la détection d’une intrusion sur le réseau OT en conditions réalistes, pas uniquement sur le réseau bureautique
- Impliquer les prestataires de maintenance industrielle dans le scénario, puisqu’ils disposent d’accès privilégiés aux automates
- Mesurer le temps de bascule vers les procédures dégradées et identifier les points de blocage opérationnels
- Documenter chaque exercice pour alimenter la mise à jour du plan de sûreté portuaire
Le cadre réglementaire français et les initiatives internationales convergent vers une même exigence : la cybersécurité des systèmes industriels portuaires ne peut plus rester un sujet technique traité en silo. Les délais imposés par l’arrêté de juillet 2026 obligent les exploitants à passer de la sensibilisation à la mise en œuvre opérationnelle, avec des plans actualisés et des chaînes de signalement identifiées.
Les ports qui n’ont pas encore cartographié leurs interdépendances IT/OT disposent de peu de marge avant les premières échéances de conformité.