f97.beL’ATELIER D’ERIK SCHMIDT
← Tous les termes

Glossaire · Secteur de l’énergie & transition énergétique

Cybersécurité

Cybersécurité Sécurité informatique sécurité OT infrastructure critique NIS2 résilience système électrique système de contrôle-commande

La cybersécurité désigne la protection des systèmes numériques, des données, des réseaux, des voies de communication et des fonctions de commande contre les accès non autorisés, la manipulation, les perturbations et les défaillances. Dans le système électrique, cela va bien au-delà des ordinateurs de bureau ou des données d'entreprise. Cela comprend aussi la technique de conduite, la télécommande et la téléconduite, les dispositifs de protection du réseau, les systèmes de comptage, les onduleurs, les commandes de stockage, l'infrastructure de recharge, les plateformes de négoce, les services cloud, les accès de télémaintenance et l'informatique des exploitants d'infrastructures critiques.

La particularité technique du système électrique tient à ce que des opérations numériques peuvent avoir des conséquences physiques. Une valeur de consigne modifiée, un accès à distance bloqué, une mesure manipulée ou une panne de communication peuvent affecter des installations réelles. Dans le secteur de l'énergie, la cybersécurité est donc plus que la sécurité de l'information. Elle est aussi une condition d'une exploitation sûre du réseau, de processus de marché fiables et d'un rétablissement ordonné après des perturbations.

Objectifs de protection : disponibilité, intégrité, confidentialité

Les objectifs de protection classiques sont la disponibilité, l'intégrité et la confidentialité. La disponibilité signifie que les systèmes et les données sont utilisables lorsqu'on en a besoin. L'intégrité signifie que les données, les programmes et les ordres de commande restent inchangés et traçables. La confidentialité signifie que seuls les personnes et les systèmes autorisés peuvent accéder aux informations. Ces trois objectifs sont aussi cités par la Bundesnetzagentur comme finalité de son futur catalogue de sécurité informatique pour les secteurs de l'électricité et du gaz. Dans de nombreux domaines d'entreprise, la confidentialité passe au premier plan. Dans le système électrique, c'est en revanche souvent la disponibilité qui pèse davantage, car les systèmes de conduite, de protection et de communication doivent fonctionner en exploitation courante. L'intégrité est tout aussi critique : une grandeur mesurée disponible mais manipulée peut être plus dangereuse qu'une défaillance clairement identifiable, parce que le personnel et les automatismes lui font confiance.

Délimitations : IT, OT et protection des données

La cybersécurité est souvent assimilée à la sécurité informatique. On perd alors de vue les différences entre IT et OT. L'IT désigne les systèmes informatiques tels que serveurs, postes de travail, bases de données, messagerie, facturation et logiciels d'entreprise. L'OT désigne la technique opérationnelle, c'est-à-dire les systèmes qui surveillent et commandent des processus physiques. Cela inclut les systèmes de conduite, les automates programmables, les dispositifs de protection, les capteurs, les actionneurs et les installations de téléconduite. En OT, les priorités diffèrent de celles de l'informatique de bureau. Une mise à jour ne peut pas être installée n'importe quand en exploitation si le redémarrage de la commande peut déconnecter une installation du réseau. Un mécanisme de sécurité ne doit pas retarder une fonction de protection. Une règle de pare-feu qui ne serait qu'une gêne au bureau peut devenir déterminante pour l'exploitation dans un poste de transformation. S'y ajoutent les longues durées de vie : les appareils de terrain restent souvent en service de nombreuses années, plus longtemps que les fabricants ne fournissent des mises à jour de sécurité pour les logiciels standard.

La protection des données doit elle aussi être distinguée de la cybersécurité. La protection des données protège les données à caractère personnel et veille à leur traitement licite. La cybersécurité protège les systèmes et les informations contre les attaques ou perturbations techniques et organisationnelles. Les deux domaines se recoupent, par exemple pour les données de compteurs intelligents, les portails clients ou les contrats de recharge, mais poursuivent des objectifs différents. Un système peut être conçu de manière conforme à la protection des données et pourtant être mal protégé contre les attaques. Inversement, un système très sécurisé peut traiter des données à caractère personnel d'une manière problématique au regard de la protection des données.

Rapport avec la sécurité d'approvisionnement

Dans le système électrique, la cybersécurité est étroitement liée à la sécurité d'approvisionnement, sans être la même chose. La sécurité d'approvisionnement décrit la capacité à fournir de l'électricité de manière fiable. La cybersécurité protège les conditions numériques de cette capacité. Une cyberattaque n'entraîne pas automatiquement une panne d'électricité de grande ampleur. De nombreuses installations disposent de fonctions de protection locales, de voies de communication redondantes ou de procédures d'exploitation manuelles. Une attaque réussie peut néanmoins compliquer la conduite de l'exploitation, interrompre des processus de marché, prolonger le rétablissement ou provoquer des commandes erronées coordonnées. Les conséquences dépendent des systèmes touchés, des procédures de secours disponibles et de la qualité de la coopération entre exploitants, prestataires et autorités. Au niveau de l'UE, le code de réseau sur la cybersécurité part expressément du principe qu'une cyberattaque peut provoquer une crise de l'approvisionnement en électricité, y contribuer ou coïncider avec elle.

Numérisation et installations décentralisées

Avec la numérisation du système énergétique, la notion gagne en importance. Autrefois, le système électrique était organisé de manière largement centralisée : peu de grandes centrales, des réseaux hiérarchiques et relativement peu d'installations pilotables. Aujourd'hui s'ajoutent des millions d'installations et d'appareils décentralisés dotés d'une interface numérique. Les installations photovoltaïques, les batteries de stockage, les pompes à chaleur, les bornes de recharge murales, les installations industrielles flexibles et les systèmes de comptage intelligents doivent être mesurés, prévus, pilotés ou intégrés au marché. Cette mise en réseau ouvre de nouvelles possibilités de flexibilité. Elle rend en même temps le système plus dépendant des logiciels, de la qualité des données et de communications sécurisées.

Avec l'électrification, ces dépendances continuent de croître. Les pompes à chaleur, les véhicules électriques, les électrolyseurs, les batteries de stockage et les charges industrielles flexibles doivent réagir davantage aux signaux du réseau, aux prix ou aux ordres de commande. Cette pilotabilité peut aider à limiter les pointes de charge et à mieux intégrer la production renouvelable. Mais elle crée de nouvelles surfaces d'attaque lorsque de grands groupes d'appareils réagissent de manière identique ou sont gérés de façon centralisée. Un appareil isolé compromis n'est généralement pas un problème systémique. En revanche, de nombreux appareils configurés de la même manière et pilotés via la même plateforme peuvent devenir pertinents pour l'exploitation. Un exemple : si un attaquant, via un portail commun d'un fabricant, déconnecte ou connecte simultanément des dizaines de milliers d'onduleurs ou de points de recharge, de nombreuses petites puissances s'additionnent en un saut que l'exploitation du réseau doit compenser. Ce qui compte n'est donc pas seulement la puissance de chaque appareil, mais la simultanéité, la répétabilité et la pilotabilité centralisée. Le fait que le droit allemand intègre depuis décembre 2025 également les agrégateurs et les services énergétiques numériques dans la surveillance de la sécurité informatique du secteur énergétique tient compte de cette idée.

Malentendus fréquents

Premier malentendu : la cybersécurité serait un problème technique spécialisé qui se résoudrait avec de meilleurs pare-feu, des antivirus ou du chiffrement. Ces mesures sont nécessaires, mais insuffisantes. Les attaques exploitent souvent des faiblesses organisationnelles : droits d'accès trop larges, journalisation absente, responsabilités floues, parcs d'installations obsolètes, télémaintenance non sécurisée ou accès de prestataires mal contrôlés. Ces lacunes naissent rarement de la seule négligence. Elles reposent souvent sur des incitations : un exploitant minimise les coûts de maintenance, les fournisseurs ont de longs cycles de mise à jour, et les exigences réglementaires n'interviennent que tardivement.

Deuxième malentendu : l'idée d'un système complètement cloisonné. De nombreuses installations énergétiques ont été conçues comme des réseaux d'exploitation largement isolés. Sous une forme pure, cette séparation existe de moins en moins. La télémaintenance, les exports de données, les raccordements au cloud, les centres de conduite centralisés, les centrales virtuelles, la commercialisation directe et les passerelles de compteurs intelligents (smart-meter-gateways) relient la technique opérationnelle à d'autres environnements numériques. Même les réseaux segmentés comportent des points de passage. La cybersécurité doit donc examiner, outre les appareils individuels, les chemins de communication, les modèles d'autorisation et la dépendance à l'égard des prestataires.

Troisième malentendu : la recherche d'une sécurité absolue. Aucun système numérique complexe ne peut être entièrement protégé contre les erreurs, les erreurs de configuration et les attaques. La cybersécurité comprend donc la protection, la détection, la réaction et le rétablissement. Les mesures de protection doivent rendre les attaques plus difficiles. Les systèmes de détection d'attaques doivent rendre visibles les anomalies. Les processus de réaction doivent éviter qu'un incident local ne devienne un dommage plus important. Rétablir signifie reconstruire des systèmes à partir d'états sauvegardés, vérifier les bases de données et poursuivre l'exploitation de manière contrôlée. C'est là que la cybersécurité rejoint la notion de résilience : la résilience ne signifie pas qu'aucune perturbation ne survient. Elle désigne la capacité de rester opérationnel en cas de perturbation et de revenir de manière ordonnée à l'exploitation normale.

Cadre juridique dans l'UE et en Allemagne (état : novembre 2026)

Au niveau européen, la directive NIS2 (UE) 2022/2555 constitue le cadre central. Elle oblige les entités essentielles et importantes, dont les entreprises du secteur de l'énergie, à prendre des mesures de gestion des risques conformément à l'article 21. Cela comprend expressément la gestion des incidents de sécurité, le maintien de l'exploitation et la sécurité de la chaîne d'approvisionnement. L'article 20 place la responsabilité de ces mesures auprès des organes de direction. L'article 23 prévoit une procédure de notification échelonnée pour les incidents de sécurité importants : une alerte précoce sans retard indu, au plus tard dans les 24 heures, une notification dans les 72 heures et, en règle générale, un rapport final au plus tard un mois après cette notification.

Pour le secteur de l'électricité s'ajoute le règlement délégué (UE) 2024/1366, un code de réseau sur les aspects de cybersécurité des flux transfrontaliers d'électricité. Il complète NIS2 pour le secteur de l'électricité et règle des exigences minimales communes, des évaluations des risques aux niveaux de l'Union, régional et des entités, ainsi que le suivi, le rapportage et la gestion de crise. Il s'applique surtout aux entités dont les processus ont des effets importants ou critiques sur les flux transfrontaliers d'électricité. Il ne s'applique donc pas de manière générale aux petites installations.

En Allemagne, NIS2 est transposée par la loi de transposition de NIS2 (NIS-2-Umsetzungsgesetz), entrée en vigueur le 6 décembre 2025. Elle a refondu la loi sur le BSI et transféré les règles spécifiques à l'énergie qui figuraient jusqu'ici au § 11, alinéas 1a à 1g EnWG dans les nouveaux §§ 5c à 5e EnWG. Selon le § 5c EnWG, tous les exploitants de réseaux d'approvisionnement en énergie doivent garantir une protection appropriée contre les menaces, indépendamment de leur taille et du niveau de tension. Les exploitants d'installations énergétiques et les fournisseurs de services énergétiques numériques sont visés lorsqu'ils sont considérés, selon le § 28 BSIG, comme entité particulièrement importante ou importante et que l'installation est raccordée à un réseau d'approvisionnement en énergie. Qu'une entreprise soit concernée dépend donc de son rôle (réseau, installation, service numérique) et de son classement selon le BSIG, et non de la seule puissance de l'installation. La Bundesnetzagentur précise les exigences, en accord avec le BSI, dans un catalogue de sécurité informatique. Jusqu'à la publication du nouveau catalogue, aligné sur ISO/IEC 27001, les catalogues existants pour les exploitants de réseaux (version 2015) et pour les exploitants d'installations énergétiques (version 2018) continuent de s'appliquer à leurs destinataires actuels. Les systèmes de détection d'attaques existants doivent continuer à être exploités. Pour les agrégateurs qui relevaient jusqu'ici de la surveillance du BSI, la norme de sécurité sectorielle B3S Aggregatoren continue de s'appliquer. Il existe en outre des exigences de sécurité propres aux systèmes de comptage intelligents au titre de la loi sur l'exploitation des points de mesure (Messstellenbetriebsgesetz) ainsi que des règles relatives à l'infrastructure critique.

Pour les exploitants, il en résulte que la cybersécurité n'est plus une tâche purement informatique interne, mais fait partie de la gouvernance de l'entreprise. La direction ne peut pas simplement déléguer ces risques au service informatique. Les investissements, le personnel, les achats, le pilotage des prestataires et l'organisation d'urgence exigent des décisions stratégiques.

Chaîne d'approvisionnement et prestataires

La chaîne d'approvisionnement revêt une importance particulière. Les gestionnaires de réseau, les fournisseurs d'énergie, les commercialisateurs directs et les exploitants d'installations utilisent les logiciels, le matériel et les services de nombreux fournisseurs. Des failles de sécurité peuvent se trouver dans des composants que l'exploitant n'a pas développés lui-même. Les accès de télémaintenance, les serveurs de mise à jour, les plateformes cloud ou les services d'identité peuvent devenir des portes d'entrée. La tâche se déplace ainsi de la sécurisation de sites individuels vers le pilotage des dépendances. Les contrats doivent contenir des exigences de sécurité, les mises à jour doivent être disponibles et vérifiables, et les incidents chez les prestataires doivent pouvoir être notifiés et maîtrisés. NIS2 cite expressément la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs et les prestataires de services, comme élément obligatoire de la gestion des risques. Même une installation techniquement bien sécurisée reste vulnérable si l'accès du prestataire associé est mal contrôlé.

Aspect économique

Les mesures de sécurité coûtent de l'argent, mobilisent du personnel et peuvent ralentir les processus d'exploitation. Trop peu de sécurité peut toutefois coûter plus cher : arrêts, rétablissement, pénalités contractuelles, charge de notification, perte de confiance, achats de remplacement ou dommages dus à des commandes erronées. Les coûts et les bénéfices apparaissent souvent à des endroits différents. Un exploitant d'installation isolé économise des efforts s'il garde des accès à distance simples. Mais lorsque de nombreuses installations de même type sont accessibles via la même vulnérabilité, le risque peut aussi toucher les gestionnaires de réseau, les agrégateurs, les clients ou d'autres acteurs du marché. La cybersécurité est donc aussi une question de répartition des coûts et de normes minimales contraignantes.

Les processus de marché comme domaine de protection

Les processus de marché font eux aussi partie du domaine de protection. Le décompte des groupes-bilan, les déclarations de programmes, la communication de redispatch, la commercialisation directe et la transmission des valeurs de mesure reposent sur des flux de données numériques, donc sur la communication de marché. Des données erronées ou tardives peuvent avoir des conséquences financières et fausser des décisions opérationnelles. Une attaque contre la communication de marché n'est pas la même chose qu'une attaque contre la technique de conduite, mais peut indirectement influencer l'exploitation du réseau et l'approvisionnement. La frontière entre marché et technique devient pertinente en pratique là où des signaux économiques sont traduits automatiquement en ordres de commande pour des installations.

Conclusion

La cybersécurité n'est ni une mesure isolée ni un état qui, une fois atteint, se maintiendrait. Elle est une capacité durable : identifier les dépendances numériques, concevoir des mesures de protection appropriées, remarquer tôt les perturbations, clarifier les responsabilités et maintenir l'exploitation maîtrisable même en cas d'attaque ou de défaillance. Dans le système électrique, c'est particulièrement exigeant, car les erreurs logicielles, les faiblesses organisationnelles et les attaques ne restent pas nécessairement dans le domaine numérique. Elles peuvent affecter les valeurs de mesure, les décisions de manœuvre, les processus de marché et la disponibilité d'infrastructures réelles. Employée avec précision, la notion montre clairement qu'un système énergétique électrifié et en réseau a besoin de la sécurité numérique comme condition d'exploitation, et non comme complément ultérieur.

Sources

Autres entrées du glossaire

Edited by eCMS on 11.11.2026 18:25

© 2026 Erik Schmidt. All rights reserved. Quotations with a link to the source are welcome.