Une caméra de surveillance, un automate de ligne de production, une passerelle LoRaWAN oubliée dans une armoire électrique : en 2026, ce sont ces objets, et non plus seulement les serveurs, qui ouvrent la porte aux attaquants. La convergence entre l'informatique de gestion (IT) et les systèmes industriels (OT) a effacé la frontière qui protégeait autrefois les usines, les hôpitaux et les réseaux d'énergie. Résultat : chaque équipement connecté devient un actif à gouverner sur toute sa durée de vie, parfois quinze ou vingt ans. Cet article fait le point sur les menaces actuelles, le cadre réglementaire européen et la manière concrète de construire des systèmes qui restent défendables dans le temps.
Pourquoi l'IoT et l'OT concentrent le risque en 2026
Le problème de fond est simple : les objets connectés et les équipements industriels ont été conçus pour durer et fonctionner, pas pour être mis à jour tous les mois. Un automate programmable installé en 2012 tourne encore sur un firmware que personne n'a corrigé, avec des identifiants par défaut et des protocoles industriels comme Modbus ou Profinet qui n'intègrent aucune authentification native.
Plusieurs dynamiques aggravent la situation cette année :
- ▸La convergence IT/OT expose des réseaux industriels autrefois isolés à Internet, souvent via des accès de maintenance à distance mal cloisonnés.
- ▸Les botnets d'objets connectés continuent de recruter caméras, routeurs et NAS grand public pour lancer des attaques par déni de service et servir de relais.
- ▸Les rançongiciels visant l'OT ne se contentent plus de chiffrer des fichiers : ils arrêtent des lignes de production, ce qui transforme un incident informatique en perte d'exploitation immédiate.
- ▸La chaîne d'approvisionnement logicielle devient un vecteur privilégié : un composant tiers vulnérable embarqué dans un firmware contamine des milliers d'équipements d'un coup.
La surface d'attaque n'est donc pas un pare-feu à durcir une fois pour toutes, mais un parc hétérogène d'appareils qu'il faut inventorier, segmenter, surveiller et faire évoluer en continu.
Le cadre réglementaire européen se referme
2026 marque l'année où l'improvisation cesse d'être une option pour les entreprises opérant en Europe. Plusieurs textes s'appliquent désormais de façon concrète :
- ▸La directive NIS2 élargit fortement le périmètre des entités « essentielles » et « importantes » : énergie, santé, eau, transports, fabrication, infrastructures numériques. Elle impose une gestion des risques, une notification rapide des incidents et une responsabilité directe de la direction.
- ▸Le Cyber Resilience Act (CRA) cible précisément les produits comportant des éléments numériques, donc l'immense majorité des objets connectés. Il exige la sécurité dès la conception, la gestion des vulnérabilités pendant toute la durée de support et la fourniture d'une nomenclature logicielle (SBOM). Ses obligations montent en puissance jusqu'à sa pleine application en 2027, ce qui fait de 2026 l'année de préparation.
- ▸Le règlement DORA impose au secteur financier une résilience opérationnelle numérique, y compris sur les prestataires tiers et les composants techniques.
- ▸Le RGPD reste en toile de fond dès qu'un capteur traite des données personnelles, par exemple dans la vidéosurveillance ou la santé connectée.
Le fil conducteur de tous ces textes : la sécurité ne se prouve plus par une simple déclaration, mais par une documentation, une traçabilité et un suivi du cycle de vie.
IEC 62443 : la colonne vertébrale technique
Face à ces exigences, la famille de normes IEC 62443 s'est imposée comme la référence pour sécuriser les systèmes d'automatisation et de contrôle industriels. Elle a l'avantage de parler à la fois aux exploitants et aux fabricants.
Quelques concepts structurants à connaître :
- ▸Zones et conduits : on découpe le système industriel en zones de confiance homogènes, reliées par des conduits contrôlés. C'est le fondement de la segmentation qui empêche une compromission de se propager de la bureautique jusqu'aux automates.
- ▸Niveaux de sécurité (SL 1 à 4) : chaque zone reçoit un objectif de robustesse proportionné à la menace, du simple accident à l'attaquant étatique déterminé.
- ▸Exigences fondamentales : contrôle d'accès, intégrité des données, confidentialité, restriction des flux, réponse aux événements et disponibilité des ressources.
- ▸Responsabilité partagée : la norme distingue clairement les obligations du fabricant de composants, de l'intégrateur et de l'exploitant.
IEC 62443 n'est pas un label que l'on colle à la fin. C'est une grille de conception qui doit guider l'architecture dès le premier schéma.
Sécuriser sur tout le cycle de vie : la check-list
La sécurité d'un parc IoT et OT se gagne étape par étape. Voici une démarche opérationnelle applicable dès maintenant.
- ▸Inventorier : cartographier chaque appareil, son firmware, ses protocoles et ses flux réseau. On ne protège pas ce que l'on ne voit pas.
- ▸Segmenter : isoler l'OT de l'IT avec des zones et conduits, supprimer les accès directs à Internet et encadrer strictement la maintenance distante.
- ▸Durcir : changer tous les identifiants par défaut, désactiver les services inutiles, chiffrer les communications et activer le démarrage sécurisé quand le matériel le permet.
- ▸Authentifier fortement : imposer une authentification multifacteur pour tout accès d'administration et de télémaintenance.
- ▸Gérer les vulnérabilités : produire et tenir à jour une SBOM, suivre les composants tiers et planifier des correctifs testés avant déploiement.
- ▸Surveiller : collecter les journaux, détecter les comportements anormaux sur le réseau industriel et définir une procédure de réponse aux incidents.
- ▸Planifier la fin de vie : anticiper l'obsolescence, la rotation des clés et le retrait sécurisé des équipements en fin de support.
- ▸Documenter : conserver les preuves de conformité exigées par NIS2 et le CRA.
Comment TuniCyberLabs construit des systèmes défendables dans le temps
Sécuriser l'IoT et l'OT n'est pas un produit sur étagère : c'est un travail d'ingénierie sur mesure, ancré dans votre réalité industrielle. C'est exactement ce que fait TuniCyberLabs, avec une équipe d'ingénierie basée à Sousse, en Tunisie, opérant dans le même fuseau horaire que l'Europe et rattachée à une société mère estonienne pour des contrats et un cadre pleinement conformes au RGPD.
Notre approche suit quatre temps :
- ▸Comprendre : nous auditons votre parc, vos protocoles et vos contraintes de production pour cartographier le risque réel plutôt qu'un risque théorique.
- ▸Concevoir : nous appliquons les zones et conduits d'IEC 62443, la segmentation IT/OT et le principe de sécurité dès la conception attendu par le Cyber Resilience Act.
- ▸Construire et déployer : nous livrons des systèmes de production robustes, avec chiffrement, gestion des identités, SBOM et intégration à votre supervision existante.
- ▸Soutenir et faire évoluer : nous accompagnons la gestion des vulnérabilités, les correctifs et la fin de vie, parce que la conformité n'est pas un instant mais une trajectoire.
Le tout en anglais, français et arabe, avec une qualité d'ingénierie européenne à un coût nearshore. L'IoT et l'OT ne se sécurisent pas dans l'urgence après un incident : ils se gouvernent dès la conception et sur toute la durée de vie. 2026 est l'année pour poser ces fondations, avant que la réglementation, ou un attaquant, ne le fasse à votre place.