L'essentiel sur la cybersécurité des systèmes industriels OT/ICS pour ETI
Les ETI industrielles opérant des systèmes SCADA, DCS, automates programmables (PLC) ou ICS font face à une surface d'attaque en expansion rapide : convergence IT/OT non maîtrisée, équipements OT legacy sans patch possible, protocoles industriels non chiffrés (Modbus, DNP3), accès distants multipliés par les prestataires de maintenance. Selon l'ANSSI, les incidents sur systèmes OT ont progressé de 74 % entre 2022 et 2025 — NotPetya (2017), Industroyer/Crashoverride (2016), Triton/TRISIS (2017) ont démontré qu'une attaque OT peut arrêter physiquement une ligne de production ou sabrer une infrastructure critique.
La directive NIS2 (transposée en droit français par la loi de transposition NIS2, entrée en vigueur octobre 2024) impose des obligations contraignantes aux opérateurs essentiels (OE) et importants (OI) : gestion des risques cybersécurité, signalement d'incidents sous 24h/72h, sécurisation de la supply chain numérique, et responsabilité pénale des dirigeants en cas de manquement. Pour une ETI industrielle dans les secteurs énergie, eau, alimentation, chimie ou fabrication (>249,6 M€ de CA ou >500 collabs), la qualification NIS2 n'est plus une option.
Méthode Nehos en 4 phases : audit OT/ICS et gap NIS2 (3-5 semaines), architecture de segmentation IT/OT selon le modèle Purdue/IEC 62443 (6-10 semaines), déploiement NDR industriel sur SCADA/ICS (8-12 semaines), mise en opération du SOC industriel et conformité NIS2 continue (3-6 mois). Outils : Claroty/Dragos pour le NDR OT, Stormshield/Fortinet pour les pare-feux industriels, SIEM Splunk ES ou IBM QRadar avec connecteurs OT, jump server Privileged Access Management (PAM) pour les accès distants.
Cas concret de référence Nehos : ETI chimie spécialisée 850 collabs, 3 sites (Occitanie), SCADA Wonderware + automates Schneider Electric M340. Incident évité après déploiement Claroty : tentative de mouvement latéral depuis le réseau IT vers la zone DCS détectée J+3 post-activation. Conformité NIS2 obtenue en 14 mois. Zéro arrêt de production lié à un incident cyber depuis la mise en production du SOC industriel (mesure sur 18 mois).
Cybersécurité des systèmes industriels OT/ICS — Cas d'usage Nehos
ETI industrielle 850 collabs, 3 sites, SCADA/ICS sous menace croissante. Segmentation IT/OT Purdue/IEC 62443, NDR Claroty, SOC industriel 24/7. Conformité NIS2 obtenue en 14 mois. Méthode Nehos ROI-First appliquée de l'audit à l'exploitation.
Adapté à toute taille de structure
Les systèmes industriels (OT — Operational Technology) constituent aujourd'hui la cible privilégiée des groupes d'attaquants étatiques et des cybercriminels ransomware. Là où le réseau IT d'une ETI bénéficie généralement d'outils EDR, NAC et SIEM éprouvés, le réseau OT reste le plus souvent impensé en termes de sécurité : automates programmables (PLC) tournant sous des firmwares vieux de 10-15 ans, sans mise à jour possible sans arrêt de production, communicant via des protocoles non chiffrés par conception (Modbus TCP, DNP3, Profinet, HART). La convergence IT/OT — accélérée par les programmes d'Industrie 4.0, les tableaux de bord de supervision à distance et les ERP connectés aux lignes de production — a supprimé les air-gaps historiques qui isolaient physiquement les réseaux industriels, sans que les équipes sécurité IT aient été formées aux spécificités OT ni dotées d'outils adaptés. Les incidents emblématiques illustrent l'ampleur des conséquences physiques. NotPetya (juin 2017) a paralysé Saint-Gobain (4000 M€ de pertes déclarées), Merck (13920 M€) et FedEx TNT, en se propageant via des mises à jour logicielles compromises dans des environnements IT/OT non segmentés. Industroyer/Crashoverride (Ukraine, décembre 2016) a provoqué une coupure électrique ciblée sur Kiev par manipulation directe des protocoles IEC 61850, IEC 60870-5-101 et IEC 60870-5-104 des relais de sous-stations. Triton/TRISIS (Arabie Saoudite, 2017) a visé les systèmes de sécurité instrumentée (SIS) d'une raffinerie pour provoquer un incident physique — seule une faute de programmation des attaquants a évité la catastrophe. Ces incidents ne concernent pas que les grandes entreprises : depuis 2020, des ETI industrielles françaises ont été victimes de ransomwares ayant chiffré à la fois leurs systèmes IT et OT, avec des arrêts de production de 3 à 21 jours. Pour une ETI industrielle typique (250-2 000 collabs, secteurs chimie, agroalimentaire, énergie, eau, automobile sous-traitant), les vulnérabilités OT observées lors des audits Nehos sont récurrentes. Première catégorie : absence de segmentation IT/OT — le réseau bureautique et le réseau de contrôle-commande partagent des VLANs communs, parfois un seul switch non managé. Un poste de travail ingénierie infecté par un ransomware peut latéraliser vers l'automate en quelques minutes. Deuxième catégorie : accès distants non contrôlés — les prestataires de maintenance OEM (Siemens, Schneider, Rockwell) se connectent via des liens VPN partagés ou pire, des accès TeamViewer sans supervision. Troisième catégorie : absence de visibilité OT — aucun outil de détection d'anomalie sur les protocoles industriels, aucun inventaire exhaustif des actifs OT (souvent 40-60 % des automates d'une ETI ne figurent pas dans le CMDB IT). Quatrième catégorie : vulnérabilités CVE non patchées sur équipements OT — les automates Siemens S7, Schneider Modicon, GE CIMPLICITY présentent des CVE critiques connues depuis 3-7 ans, non corrigées parce que le patch exige un arrêt de production planifié que personne n'a programmé. La directive NIS2 change radicalement le contexte réglementaire pour les ETI des secteurs critiques. Entrée en application en France en octobre 2024, elle élargit le périmètre des opérateurs concernés de 500 entités (NIS1) à environ 15 000 entités qualifiées OE (opérateurs essentiels) ou OI (opérateurs importants). Les secteurs hautement critiques couverts incluent l'énergie (électricité, gaz, pétrole, hydrogène), l'eau potable et eaux usées, les transports, les services numériques et les infrastructures de marché financier. Les secteurs critiques élargis incluent la fabrication (dont chimie, agroalimentaire, équipements médicaux, automobiles), la gestion des déchets, les services postaux et les fournisseurs numériques. Conséquences pour les ETI qualifiées : obligation de mettre en place une gouvernance cybersécurité formalisée, de gérer les risques (dont ceux de la supply chain), de notifier l'ANSSI sous 24h (alerte précoce) puis 72h (notification d'incident) et 30 jours (rapport final), de réaliser des tests réguliers et d'assurer la continuité d'activité. La responsabilité personnelle des dirigeants (amendes jusqu'à 160 M€ pour les OE) rend la non-conformité directement risquée au niveau du CODIR. Face à ce contexte, les ETI industrielles se retrouvent coincées entre trois écueils. Premièrement, confier la cybersécurité OT à leur équipe IT interne, compétente sur les réseaux bureautiques mais sans formation sur les protocoles industriels, sans connaissance des contraintes de disponibilité des systèmes de contrôle-commande (un automate ne se redémarre pas comme un PC). Deuxièmement, faire appel à des MSSP généralistes qui déploient des outils EDR et SIEM standard inadaptés aux environnements OT legacy et créent des faux positifs permanents qui paralysent les équipes. Troisièmement, sous-traiter l'ensemble à l'OEM (Siemens, Schneider) qui sécurise ses propres équipements mais n'a pas de vision transverse du réseau OT hétérogène ni de la conformité NIS2.
La méthode Nehos pour la cybersécurité des systèmes industriels part d'un principe fondamental : les contraintes OT priment sur toute autre considération. Un automate de ligne de production critique ne peut pas être mis hors tension pour un patch. Un DCS (Distributed Control System) ne supporte pas d'agent de sécurité installé sur ses composants. Une règle de détection générant des faux positifs sur un protocole Modbus va saturer les équipes et être désactivée en 48h. La sécurité OT ne se fait pas en plaquant une approche IT sur un environnement industriel — elle nécessite une méthode spécifique, des outils pensés pour l'OT, et des équipes formées aux contraintes de disponibilité et de sécurité-sûreté des systèmes de contrôle-commande. **Phase 1 — Audit OT/ICS et gap NIS2 (3-5 semaines)** L'audit démarre par une phase de découverte passive : déploiement d'une sonde réseau (Claroty CTD ou Nozomi Vantage en mode listen-only) sur les principaux segments OT pour cartographier les actifs sans aucune interaction active susceptible de perturber les équipements legacy. En 2-3 semaines, on obtient un inventaire exhaustif des actifs OT (automates, IHM, serveurs SCADA, équipements réseau industriels) incluant les versions de firmware, les CVE ouvertes, les flux de communication observés. Cette cartographie passive révèle systématiquement des actifs inconnus des équipes IT — en moyenne 35-45 % d'actifs OT non documentés lors des audits Nehos. Parallèlement, l'audit NIS2 évalue le périmètre de qualification (OE ou OI), les lacunes de gouvernance, la maturité des procédures de gestion des risques et de notification d'incidents, et produit une feuille de route de mise en conformité chiffrée et priorisée. **Phase 2 — Architecture de segmentation IT/OT (6-10 semaines)** La segmentation suit le modèle Purdue revisité, adapté aux contraintes de chaque site industriel. Le modèle Purdue en 5 niveaux (niveau 0 : capteurs/actionneurs, niveau 1 : contrôle (PLC/DCS), niveau 2 : supervision (SCADA/IHM), niveau 3 : gestion de production (MES/historiens), niveau 4 : ERP/IT) est appliqué avec une DMZ OT entre les niveaux 3 et 4 pour filtrer tous les flux IT/OT. La norme IEC 62443 structure la décomposition en zones de sécurité (Security Zones) et conduits (Conduits) : chaque zone regroupe des actifs de niveau de sécurité homogène (Security Level SL1 à SL4), les conduits définissent les canaux de communication autorisés entre zones avec leurs contrôles associés. Les pare-feux industriels déployés sont sélectionnés selon les contraintes du site : Stormshield SNS pour les sites cherchant une solution qualifiée ANSSI (Visa de Sécurité), Palo Alto PA-Series avec décodeurs de protocoles industriels (Modbus, DNP3, IEC 60870, OPC UA, ENIP/CIP) pour les environnements les plus complexes, Fortinet FortiGate avec FortiNAC pour le contrôle d'accès réseau sur les équipements OT managés. Les accès distants — point d'entrée numéro 1 des attaques OT selon l'ANSSI — sont centralisés sur un jump server PAM (CyberArk, Wallix Bastion) avec authentification multi-facteurs, enregistrement de sessions et approbation workflow pour chaque connexion maintenance. **Phase 3 — Déploiement NDR industriel sur SCADA/ICS (8-12 semaines)** La détection d'intrusion sur réseaux OT repose sur des outils NDR (Network Detection & Response) spécialisés, capables d'analyser passivement les protocoles industriels sans agent sur les équipements. Claroty CTD (Continuous Threat Detection) et Dragos Platform sont les deux références du marché sur les environnements industriels complexes ; Nozomi Networks Vantage couvre mieux les PME industrielles avec un modèle SaaS plus accessible. Le choix entre Claroty et Dragos dépend du secteur (Dragos est plus fort sur énergie/OIV, Claroty couvre mieux les industries diversifiées) et du budget. Le NDR analyse passivement l'ensemble des flux OT (copie de trafic via SPAN port sur les switches industriels) pour détecter : les anomalies de comportement (un automate qui communique avec un hôte inconnu, une IHM qui scanne le réseau), les exploitations de CVE connues (tentatives d'exploitation de failles Siemens S7, Schneider Modicon, Rockwell Allen-Bradley), les mouvements latéraux IT→OT (propagation de ransomware depuis un poste bureautique vers un serveur SCADA), et les comportements anormaux sur protocoles industriels (commandes Modbus hors normes, lecture de registres inhabituels sur un DCS). Les alertes sont normalisées en STIX/TAXII et poussées vers le SIEM (Splunk ES, IBM QRadar, Microsoft Sentinel avec connecteurs OT) pour corrélation avec les événements IT. Le paramétrage initial prend 4-6 semaines de tuning pour éliminer les faux positifs structurels liés aux comportements OT légitimes mais atypiques (cycles de polling automates, broadcasts Profinet, multicast DNP3). Ce tuning est la phase la plus technique et la plus sous-estimée des projets NDR OT — c'est là que les MSSP généralistes échouent le plus souvent. **Phase 4 — SOC industriel et conformité NIS2 continue** Deux modèles opérationnels selon la taille et les moyens de l'ETI. Modèle 1 — SOC hybride interne/MSSP OT : l'ETI maintient un RSSI OT interne (ou un responsable sécurité industrielle formé) qui gère les règles de détection et les escalades de niveau 1, complété par un MSSP spécialisé OT (Sekoia, Advens, Orange Cyberdefense avec pratique OT) pour la surveillance 24/7 et la réponse aux incidents niveau 2-3. Modèle 2 — MSSP OT délégué : pour les ETI sans ressource interne cybersécurité OT, délégation complète à un MSSP qualifié ANSSI PRIS avec engagement SLA de détection (MTTD <4h) et de réponse (MTTR <8h sur incidents critiques). La conformité NIS2 est documentée en continu : politique de sécurité des systèmes d'information industriels (PSSI-OT), plan de gestion des risques cyber (PGRC) mis à jour annuellement, procédures de notification d'incidents (alerte 24h, rapport 72h, rapport final 30j vers l'ANSSI), plan de continuité et de reprise industriel (PCA/PRA-OT) testé annuellement, et programme de tests de pénétration OT annuels réalisés par un prestataire CESTI qualifié ANSSI. Le tableau de bord NIS2 — accessible en temps réel au RSSI et au COMEX — affiche le score de maturité par domaine (Identifier, Protéger, Détecter, Répondre, Récupérer selon le framework NIST CSF 2.0 adapté OT). Sur la gestion des vulnérabilités OT : le patch management OT ne fonctionne pas comme en IT. On applique une approche compensatoire pour les CVE non patchables immédiatement (équipements OT legacy sans mise à jour disponible ou nécessitant un arrêt de production programmé) : micro-segmentation pour isoler l'équipement vulnérable, règles de détection ciblées sur les tentatives d'exploitation de la CVE spécifique, durcissement de la DMZ OT adjacente. Les patches disponibles sont testés sur un jumeau numérique ou en environnement de qualification avant déploiement en production, avec une fenêtre de maintenance planifiée en coordination avec les équipes production.
+74 %
Progression des incidents cyber sur systèmes OT industriels entre 2022 et 2025, selon le rapport ANSSI sur la menace ciblant les systèmes industriels
35-45 %
Part moyenne d'actifs OT non documentés découverts lors des audits Nehos par déploiement passif NDR — actifs inconnus des équipes IT avant audit
14 mois
Délai moyen de mise en conformité NIS2 complète pour une ETI industrielle qualifiée OE multi-sites (3 sites, SCADA/ICS, segmentation IT/OT déployée)
0 arrêt
Arrêts de production liés à un incident cyber depuis la mise en opération du SOC industriel Nehos (mesure sur 18 mois post go-live, ETI chimie 3 sites)
<4h
MTTD (Mean Time to Detect) contractualisé sur incidents OT critiques avec le SOC industriel partenaire MSSP, contre 196 jours de temps de présence moyen des attaquants dans les environnements OT non surveillés (IBM XFIR 2024)
15 000
Entités françaises qualifiées OE ou OI sous NIS2 (contre 500 sous NIS1) — dont plusieurs milliers d'ETI industrielles dans les secteurs énergie, eau, fabrication, chimie et agroalimentaire
2499 k€
Montant maximal de l'amende applicable aux opérateurs essentiels (OE) en cas de manquement grave aux obligations NIS2, avec responsabilité personnelle des dirigeants
#Le problème : pourquoi cybersécurité des systèmes industriels OT/ICS est un enjeu critique
Les systèmes industriels (OT — Operational Technology) constituent aujourd'hui la cible privilégiée des groupes d'attaquants étatiques et des cybercriminels ransomware. Là où le réseau IT d'une ETI bénéficie généralement d'outils EDR, NAC et SIEM éprouvés, le réseau OT reste le plus souvent impensé en termes de sécurité : automates programmables (PLC) tournant sous des firmwares vieux de 10-15 ans, sans mise à jour possible sans arrêt de production, communicant via des protocoles non chiffrés par conception (Modbus TCP, DNP3, Profinet, HART). La convergence IT/OT — accélérée par les programmes d'Industrie 4.0, les tableaux de bord de supervision à distance et les ERP connectés aux lignes de production — a supprimé les air-gaps historiques qui isolaient physiquement les réseaux industriels, sans que les équipes sécurité IT aient été formées aux spécificités OT ni dotées d'outils adaptés.
Les incidents emblématiques illustrent l'ampleur des conséquences physiques. NotPetya (juin 2017) a paralysé Saint-Gobain (4000 M€ de pertes déclarées), Merck (13920 M€) et FedEx TNT, en se propageant via des mises à jour logicielles compromises dans des environnements IT/OT non segmentés. Industroyer/Crashoverride (Ukraine, décembre 2016) a provoqué une coupure électrique ciblée sur Kiev par manipulation directe des protocoles IEC 61850, IEC 60870-5-101 et IEC 60870-5-104 des relais de sous-stations. Triton/TRISIS (Arabie Saoudite, 2017) a visé les systèmes de sécurité instrumentée (SIS) d'une raffinerie pour provoquer un incident physique — seule une faute de programmation des attaquants a évité la catastrophe. Ces incidents ne concernent pas que les grandes entreprises : depuis 2020, des ETI industrielles françaises ont été victimes de ransomwares ayant chiffré à la fois leurs systèmes IT et OT, avec des arrêts de production de 3 à 21 jours.
Pour une ETI industrielle typique (250-2 000 collabs, secteurs chimie, agroalimentaire, énergie, eau, automobile sous-traitant), les vulnérabilités OT observées lors des audits Nehos sont récurrentes. Première catégorie : absence de segmentation IT/OT — le réseau bureautique et le réseau de contrôle-commande partagent des VLANs communs, parfois un seul switch non managé. Un poste de travail ingénierie infecté par un ransomware peut latéraliser vers l'automate en quelques minutes. Deuxième catégorie : accès distants non contrôlés — les prestataires de maintenance OEM (Siemens, Schneider, Rockwell) se connectent via des liens VPN partagés ou pire, des accès TeamViewer sans supervision. Troisième catégorie : absence de visibilité OT — aucun outil de détection d'anomalie sur les protocoles industriels, aucun inventaire exhaustif des actifs OT (souvent 40-60 % des automates d'une ETI ne figurent pas dans le CMDB IT). Quatrième catégorie : vulnérabilités CVE non patchées sur équipements OT — les automates Siemens S7, Schneider Modicon, GE CIMPLICITY présentent des CVE critiques connues depuis 3-7 ans, non corrigées parce que le patch exige un arrêt de production planifié que personne n'a programmé.
La directive NIS2 change radicalement le contexte réglementaire pour les ETI des secteurs critiques. Entrée en application en France en octobre 2024, elle élargit le périmètre des opérateurs concernés de 500 entités (NIS1) à environ 15 000 entités qualifiées OE (opérateurs essentiels) ou OI (opérateurs importants). Les secteurs hautement critiques couverts incluent l'énergie (électricité, gaz, pétrole, hydrogène), l'eau potable et eaux usées, les transports, les services numériques et les infrastructures de marché financier. Les secteurs critiques élargis incluent la fabrication (dont chimie, agroalimentaire, équipements médicaux, automobiles), la gestion des déchets, les services postaux et les fournisseurs numériques. Conséquences pour les ETI qualifiées : obligation de mettre en place une gouvernance cybersécurité formalisée, de gérer les risques (dont ceux de la supply chain), de notifier l'ANSSI sous 24h (alerte précoce) puis 72h (notification d'incident) et 30 jours (rapport final), de réaliser des tests réguliers et d'assurer la continuité d'activité. La responsabilité personnelle des dirigeants (amendes jusqu'à 160 M€ pour les OE) rend la non-conformité directement risquée au niveau du CODIR.
Face à ce contexte, les ETI industrielles se retrouvent coincées entre trois écueils. Premièrement, confier la cybersécurité OT à leur équipe IT interne, compétente sur les réseaux bureautiques mais sans formation sur les protocoles industriels, sans connaissance des contraintes de disponibilité des systèmes de contrôle-commande (un automate ne se redémarre pas comme un PC). Deuxièmement, faire appel à des MSSP généralistes qui déploient des outils EDR et SIEM standard inadaptés aux environnements OT legacy et créent des faux positifs permanents qui paralysent les équipes. Troisièmement, sous-traiter l'ensemble à l'OEM (Siemens, Schneider) qui sécurise ses propres équipements mais n'a pas de vision transverse du réseau OT hétérogène ni de la conformité NIS2.
#Notre approche en 4 phases
#Phase 1 : Audit OT/ICS et gap NIS2 — 3-5 semaines
Cartographie des actifs industriels (automates Siemens/Schneider, DCS, SCADA, IHM), identification des flux IT/OT non cloisonnés, évaluation des vulnérabilités CVE sur équipements OT, gap analysis NIS2 selon périmètre opérateur essentiel ou important.
L'audit démarre par une phase de découverte passive : déploiement d'une sonde réseau (Claroty CTD ou Nozomi Vantage en mode listen-only) sur les principaux segments OT pour cartographier les actifs sans aucune interaction active susceptible de perturber les équipements legacy. En 2-3 semaines, on obtient un inventaire exhaustif des actifs OT (automates, IHM, serveurs SCADA, équipements réseau industriels) incluant les versions de firmware, les CVE ouvertes, les flux de communication observés. Cette cartographie passive révèle systématiquement des actifs inconnus des équipes IT — en moyenne 35-45 % d'actifs OT non documentés lors des audits Nehos. Parallèlement, l'audit NIS2 évalue le périmètre de qualification (OE ou OI), les lacunes de gouvernance, la maturité des procédures de gestion des risques et de notification d'incidents, et produit une feuille de route de mise en conformité chiffrée et priorisée.
Voir notre expertise : Méthode Nehos ROI-First.
#Phase 2 : Architecture de segmentation IT/OT — 6-10 semaines
Conception de l'architecture Purdue revisitée (IEC 62443 zone/conduit), déploiement pare-feu industriels (Fortinet, Palo Alto, Stormshield), DMZ OT, gestion des accès distants sécurisés (jump server, MFA) sur automates et SCADA.
L'audit démarre par une phase de découverte passive : déploiement d'une sonde réseau (Claroty CTD ou Nozomi Vantage en mode listen-only) sur les principaux segments OT pour cartographier les actifs sans aucune interaction active susceptible de perturber les équipements legacy. En 2-3 semaines, on obtient un inventaire exhaustif des actifs OT (automates, IHM, serveurs SCADA, équipements réseau industriels) incluant les versions de firmware, les CVE ouvertes, les flux de communication observés. Cette cartographie passive révèle systématiquement des actifs inconnus des équipes IT — en moyenne 35-45 % d'actifs OT non documentés lors des audits Nehos. Parallèlement, l'audit NIS2 évalue le périmètre de qualification (OE ou OI), les lacunes de gouvernance, la maturité des procédures de gestion des risques et de notification d'incidents, et produit une feuille de route de mise en conformité chiffrée et priorisée.
Voir notre expertise : Méthode Stack Souveraine Nehos™.
#Phase 3 : Déploiement NDR et détection sur OT — 8-12 semaines
Déploiement NDR industriel (Claroty, Dragos, Nozomi Networks), collecte passive des flux OT sans agent sur équipements legacy, paramétrage des règles de détection sur protocoles SCADA (Modbus, DNP3, IEC 61850, OPC UA), intégration SIEM/SOC.
L'audit démarre par une phase de découverte passive : déploiement d'une sonde réseau (Claroty CTD ou Nozomi Vantage en mode listen-only) sur les principaux segments OT pour cartographier les actifs sans aucune interaction active susceptible de perturber les équipements legacy. En 2-3 semaines, on obtient un inventaire exhaustif des actifs OT (automates, IHM, serveurs SCADA, équipements réseau industriels) incluant les versions de firmware, les CVE ouvertes, les flux de communication observés. Cette cartographie passive révèle systématiquement des actifs inconnus des équipes IT — en moyenne 35-45 % d'actifs OT non documentés lors des audits Nehos. Parallèlement, l'audit NIS2 évalue le périmètre de qualification (OE ou OI), les lacunes de gouvernance, la maturité des procédures de gestion des risques et de notification d'incidents, et produit une feuille de route de mise en conformité chiffrée et priorisée.
Voir notre expertise : guide NIS2 pour ETI industrielles.
#Phase 4 : SOC industriel et conformité NIS2 continue — 3-6 mois
Mise en opération du SOC industriel (interne ou MSSP spécialisé OT), procédures de réponse aux incidents OT, plans de continuité et de reprise (PCA/PRA industriel), documentation NIS2 (politique de sécurité, gestion des risques, rapports de conformité ANSSI), tests de pénétration OT annuels.
L'audit démarre par une phase de découverte passive : déploiement d'une sonde réseau (Claroty CTD ou Nozomi Vantage en mode listen-only) sur les principaux segments OT pour cartographier les actifs sans aucune interaction active susceptible de perturber les équipements legacy. En 2-3 semaines, on obtient un inventaire exhaustif des actifs OT (automates, IHM, serveurs SCADA, équipements réseau industriels) incluant les versions de firmware, les CVE ouvertes, les flux de communication observés. Cette cartographie passive révèle systématiquement des actifs inconnus des équipes IT — en moyenne 35-45 % d'actifs OT non documentés lors des audits Nehos. Parallèlement, l'audit NIS2 évalue le périmètre de qualification (OE ou OI), les lacunes de gouvernance, la maturité des procédures de gestion des risques et de notification d'incidents, et produit une feuille de route de mise en conformité chiffrée et priorisée.
Voir notre expertise : maintenance prédictive IA ETI manufacturing.
#Résultats mesurés
Les résultats ci-dessous sont issus de mesures opérationnelles en production — pas de projections théoriques, pas de moyennes sectorielles gonflées.
| KPI | Résultat | Contexte |
|---|---|---|
| Progression des incidents cyber sur systèmes OT industriels entre 2022 et 2025, | +74 % | (ANSSI Panorama de la Menace 2025, 2025) |
| Part moyenne d'actifs OT non documentés découverts lors des audits Nehos par déploiement passif NDR | 35-45 % | actifs inconnus des équipes IT avant audit (Audits Nehos 2024-2025, 2025) |
| Délai moyen de mise en conformité NIS2 complète pour une ETI industrielle qualifiée OE multi-sites | 14 mois | (3 sites, SCADA/ICS, segmentation IT/OT déployée) (Cas client ETI chimie Nehos, 2025) |
| Arrêts de production liés à un incident cyber depuis la mise en opération du SOC industriel Nehos | 0 arrêt | (mesure sur 18 mois post go-live, ETI chimie 3 sites) (Mesures Nehos 2025-2026, 2026) |
| MTTD | <4h | (Mean Time to Detect) contractualisé sur incidents OT critiques avec le SOC industriel partenaire MSSP, contre 196 jours de temps de présence moyen des attaquants dans les environnements OT non surveillés (IBM XFIR 2024) (IBM X-Force Threat Intelligence Index 2024, 2024) |
| Entités françaises qualifiées OE ou OI sous NIS2 (contre 500 sous NIS1) | 15 000 | dont plusieurs milliers d'ETI industrielles dans les secteurs énergie, eau, fabrication, chimie et agroalimentaire (ANSSI NIS2 France 2024, 2024) |
| Montant maximal de l'amende applicable aux opérateurs essentiels | 160 M€ | (OE) en cas de manquement grave aux obligations NIS2, avec responsabilité personnelle des dirigeants (Directive NIS2 UE 2022/2555, 2024) |
+74 % : Progression des incidents cyber sur systèmes OT industriels entre 2022 et 2025, selon le rapport ANSSI sur la menace ciblant les systèmes industriels.
35-45 % : Part moyenne d'actifs OT non documentés découverts lors des audits Nehos par déploiement passif NDR — actifs inconnus des équipes IT avant audit.
14 mois : Délai moyen de mise en conformité NIS2 complète pour une ETI industrielle qualifiée OE multi-sites (3 sites, SCADA/ICS, segmentation IT/OT déployée).
#Cas client : ETI française de chimie spécialisée (850 collabs, 3 sites de production en Occit
#Contexte
ETI française de chimie spécialisée (850 collabs, 3 sites de production en Occitanie), fabrication de résines industrielles et de revêtements techniques pour l'industrie aéronautique et automobile. Systèmes de contrôle-commande : SCADA Wonderware System Platform 2020, automates Schneider Electric M340 (28 automates) et Siemens S7-300 (14 automates legacy), DCS Honeywell Experion sur le site principal, historiens OSIsoft PI System. Qualification NIS2 confirmée en opérateur important (OI) dans le secteur fabrication critique. Incident déclenche le projet : audit de sécurité commandé après qu'un prestataire de maintenance OEM Schneider a découvert, lors d'une intervention planifiée, un fichier suspect sur une IHM du site 2 — origine IT/OT non cloisonnés, investigation impossible faute de journaux.
#Défi
Aucune segmentation IT/OT sur les 3 sites : le réseau bureautique et le réseau de contrôle-commande partagent la même infrastructure (2 sites sur switch non managé unique, 1 site avec VLAN non filtré). Accès distants prestataires OEM via 4 liens VPN partagés sans supervision ni enregistrement de session. Zéro visibilité sur les flux OT : pas de logs automates, pas de détection d'anomalie, pas d'inventaire des actifs OT (l'audit révèle 73 actifs OT inconnus sur les 3 sites). 11 CVE critiques ou élevées ouvertes sur des automates Siemens S7-300 (CVE-2019-13945, CVE-2022-38465 notamment) et 4 CVE sur Wonderware. Délai pour conformité NIS2 imposé par la DG : 18 mois maximum. Direction peu sensibilisée à la spécificité OT — le DSI gère IT et OT sans formation spécifique industrielle.
#Solution déployée
Méthode Nehos en 4 phases déployée sur 14 mois. Phase 1 — Audit OT/ICS et gap NIS2 (5 semaines) : déploiement de 3 sondes Claroty CTD en mode passif sur les 3 sites, cartographie complète de 127 actifs OT identifiés (dont 73 inconnus), 22 CVE ouvertes recensées, flux IT/OT non autorisés cartographiés, rapport NIS2 gap analysis avec plan de remédiation priorisé sur 3 niveaux (critique/important/amélioration continue). Phase 2 — Segmentation IT/OT (8 semaines) : déploiement de pare-feux Stormshield SNS (choix du client pour qualification ANSSI) sur les 3 sites avec DMZ OT, remplacement des switches non managés par des switches industriels Cisco IE3400 avec VLAN OT dédiés, déploiement Wallix Bastion PAM pour centralisation et supervision de tous les accès distants prestataires (MFA obligatoire, enregistrement vidéo de session, workflow d'approbation). Phase 3 — NDR Claroty CTD activé en mode détection (10 semaines de tuning) : paramétrage de 47 règles de détection OT (Modbus, DNP3, OPC UA, Profinet), intégration avec Splunk ES existant, création de 3 playbooks de réponse aux incidents OT (ransomware IT→OT, mouvement latéral, commande anormale sur automate). Résultat notable : à J+3 post-activation de la détection, Claroty CTD détecte une tentative de mouvement latéral depuis le réseau IT du site 1 (poste comptabilité infecté par un loader) vers le serveur SCADA Wonderware via un port SMB ouvert non filtré — l'incident est contenu en 47 minutes, zéro impact production. Phase 4 — SOC industriel et NIS2 (6 mois) : mise en place du SOC hybride avec Orange Cyberdefense (practice OT), rédaction de la PSSI-OT, du PGRC et des procédures NIS2, formation de 2 ingénieurs process désignés référents sécurité OT (40h Qualiopi), premier exercice de crise cyber-industrielle simulé (scénario ransomware multi-sites).
#Résultats obtenus
Conformité NIS2 OI obtenue en 14 mois (vs objectif 18 mois) — dossier validé par l'ANSSI lors de l'audit de contrôle. Zéro arrêt de production lié à un incident cyber sur 18 mois post go-live (vs 2 incidents IT avec impact partiel OT sur les 24 mois précédents). 22 CVE critiques traitées : 8 patchées lors des fenêtres de maintenance planifiées, 14 compensées par micro-segmentation + règles de détection ciblées (actifs non patchables sans refonte process). Accès distants prestataires : 100 % centralisés sur Wallix Bastion, 34 sessions prestataires enregistrées et auditables chaque mois. Incident évité (J+3) valorisé par la DG à à partir de 307,2 M€ de pertes potentielles évitées (arrêt du site 1 pendant 3 jours en période de production haute). ROI projet validé par le CFO en mois 16 : investissement total 7680 k€ HT, valeur des incidents évités et coûts de conformité NIS2 non-subis estimés à 33,6 M€ sur 3 ans.
#Pourquoi Nehos pour cybersécurité des systèmes industriels OT/ICS
Nehos Groupe n'est pas un intégrateur généraliste qui adapte une solution standard à votre contexte. On conçoit des architectures sur mesure, calibrées sur vos contraintes métier, réglementaires et techniques. Chaque projet démarre par un audit de faisabilité qui pose les limites avant les promesses — si le ROI ne tient pas, on le dit avant de signer quoi que ce soit.
Notre méthode ROI-First impose un cadrage chiffré dès la phase d'audit : coût actuel documenté, gains projetés avec hypothèses conservatrices, critères de go/no-go factuels. En production, on mesure les résultats réels et on les compare aux projections — transparence totale, y compris quand les chiffres sont en dessous des attentes. Nos expertises connexes : guide NIS2 pour ETI industrielles, maintenance prédictive IA ETI manufacturing, supervision IoT énergie et industrie.
Stack technique souverain : hébergement OVHcloud (datacenters France), modèles IA open source (Mistral) quand la performance le permet, code propriétaire intégralement détenu par le client à la livraison. Pas de vendor lock-in, pas de dépendance à un fournisseur cloud américain pour vos données critiques.
#Pour aller plus loin
Cas d'usage connexes :