Le risque cyber OT est passé des marges des registres de risques du secteur énergétique au cœur de la planification de la continuité des actifs. À mesure que la technologie opérationnelle et la technologie de l'information convergent au sein des pipelines, des réseaux électriques, des terminaux GNL et des réseaux logistiques, le profil d'exposition des infrastructures physiques a fondamentalement évolué. Ce qui était autrefois traité comme une question de gouvernance technologique constitue désormais une donnée directe dans la modélisation des coûts de continuité, la souscription d'assurances et les décisions d'allocation du capital. Les opérateurs qui n'ont pas encore réévalué leur exposition au risque cyber OT portent un angle mort structurel que les conseils d'administration ne peuvent plus ignorer.
Pourquoi le risque cyber OT représente désormais un coût de continuité pour les opérateurs
Pendant des décennies, les environnements de technologie opérationnelle dans les secteurs de l'énergie et de l'industrie ont été considérés comme intrinsèquement isolés. Les systèmes de contrôle industriel à isolation physique, les protocoles propriétaires et la séparation physique des réseaux d'entreprise avaient créé une hypothèse de travail selon laquelle les cybermenaces relevaient essentiellement de l'informatique. Cette hypothèse ne tient plus.
La convergence OT/IT — portée par la surveillance à distance, les plateformes de maintenance prédictive et l'intégration de données en temps réel — a dissous les frontières qui protégeaient autrefois les équipements de terrain et les systèmes de contrôle des menaces véhiculées par les réseaux. Les capteurs, les automates programmables et les systèmes SCADA communiquent désormais via des infrastructures partagées. Chaque point d'intégration est également un point d'exposition.
La conséquence est qu'une intrusion réussie ne se limite plus à l'exfiltration de données. Elle peut interrompre des opérations physiques, déclencher des réponses des systèmes de sécurité ou provoquer des arrêts contrôlés aux conséquences immédiates sur les revenus et les obligations contractuelles. Le coût de continuité — précédemment modélisé autour des défaillances d'équipements, des événements climatiques ou des perturbations de la chaîne d'approvisionnement — doit désormais intégrer les temps d'arrêt d'origine cyber comme un scénario crédible et récurrent.
Les systèmes de contrôle industriel : nouvelle frontière de la continuité
Les systèmes de contrôle industriel se situent à l'intersection de la gestion des processus physiques et de la connectivité numérique. Leur compromission ne génère pas une perte de données abstraite — elle produit une défaillance opérationnelle mesurable. Pour les opérateurs d'infrastructures énergétiques, cela signifie que la planification de la résilience cyber doit être intégrée dans les mêmes cadres que ceux utilisés pour la fiabilité mécanique et la continuité d'approvisionnement. Les traiter comme des disciplines distinctes crée des lacunes de gouvernance que les adversaires et les souscripteurs reconnaissent tous deux.
Comment la convergence OT/IT redéfinit les marchés de l'assurance et des capitaux
Les marchés de l'assurance cyber ont été parmi les premiers acteurs institutionnels à réévaluer l'exposition OT. Les souscripteurs qui appliquaient autrefois un libellé de police cyber générique aux actifs énergétiques appliquent désormais des critères spécifiques à l'OT — évaluant la segmentation des réseaux, les pratiques de gestion des correctifs pour les systèmes de contrôle hérités, et les capacités de réponse aux incidents s'étendant aux environnements opérationnels.
La friction ainsi générée est significative. Les opérateurs disposant d'une visibilité OT limitée, d'inventaires d'actifs non documentés ou de programmes de sécurité centrés sur l'IT se heurtent à des exclusions de couverture, à des franchises plus élevées et à des augmentations de primes qui affectent directement l'économie des projets. Dans certains cas, les assureurs refusent de couvrir certaines classes d'actifs en l'absence de contrôles de sécurité OT démontrés.
Les marchés de capitaux commencent à suivre la même logique. Les prêteurs en infrastructure et les investisseurs institutionnels intègrent des évaluations de résilience cyber dans leurs cadres de diligence raisonnable pour les actifs énergétiques. La question n'est plus de savoir si un site dispose d'une politique de cybersécurité — mais si cette politique traite l'environnement de technologie opérationnelle avec la même rigueur que celle appliquée à l'intégrité des actifs physiques.
L'écart entre la posture de sécurité IT et la résilience OT
De nombreux opérateurs énergétiques ont réalisé des investissements substantiels dans la sécurité informatique d'entreprise. Les pare-feux, la détection des points de terminaison et les centres d'opérations de sécurité sont désormais courants. Toutefois, ces dispositifs ont été conçus pour des environnements informatiques et ne se transposent pas directement aux contextes OT. Les systèmes de contrôle industriel hérités ne peuvent souvent pas prendre en charge les agents de sécurité modernes. Des cycles de mise à jour mesurés en années, et non en semaines, constituent la norme. Les exigences de disponibilité font que la réponse informatique standard consistant à isoler et à réinitialiser un système compromis est opérationnellement inacceptable.
C'est précisément dans cet écart entre la posture de sécurité informatique et la véritable résilience OT que les souscripteurs et les investisseurs concentrent leur examen. Les opérateurs qui confondent les deux sont susceptibles de se heurter à des frictions croissantes à mesure que les standards du marché évoluent.
Des cadres de gouvernance inadaptés au risque cyber OT convergent
Les structures de gouvernance dont la plupart des entreprises énergétiques ont hérité ont été conçues pour un monde dans lequel le risque cyber et le risque opérationnel étaient gérés séparément. Les responsables de la sécurité des systèmes d'information détenaient la maîtrise du cyber. Les directeurs des opérations assuraient la continuité des actifs. Ces deux fonctions partageaient rarement un langage commun du risque, des lignes hiérarchiques communes ou une visibilité au niveau du conseil d'administration.
La convergence OT/IT a rendu cette séparation structurellement dangereuse. Lorsqu'un événement cyber peut directement provoquer un arrêt de production, le risque ne peut être contenu dans un périmètre de gouvernance informatique. Les conseils d'administration ont besoin d'un reporting intégré qui relie l'exposition cyber aux indicateurs de continuité opérationnelle, à la modélisation de l'impact financier et à l'adéquation des couvertures d'assurance.
La pression réglementaire renforce cette évolution. Les cadres réglementaires en vigueur aux États-Unis, dans l'Union européenne et au Royaume-Uni exigent de plus en plus des opérateurs du secteur énergétique qu'ils démontrent une résilience cyber spécifique aux environnements OT — et non simplement la conformité aux normes générales de cybersécurité. La trajectoire réglementaire s'oriente vers la divulgation obligatoire des risques cyber significatifs affectant la continuité opérationnelle, ce qui élève encore davantage les enjeux de gouvernance.
Réévaluation de la continuité des actifs dans un environnement de menaces convergentes
Pour les opérateurs d'infrastructures énergétiques, l'implication concrète est que la planification de la continuité des actifs requiert un nouveau jeu de données d'entrée. La modélisation de scénarios cyber — couvrant l'intrusion, les rançongiciels et la compromission de la chaîne d'approvisionnement affectant les technologies opérationnelles — doit être intégrée aux plans de continuité d'activité, aux tests de résistance financiers et aux cadres d'évaluation des actifs.
Il ne s'agit pas d'un exercice théorique. Les incidents ayant affecté les infrastructures énergétiques ces dernières années ont démontré que les perturbations opérationnelles d'origine cyber engendrent des coûts comparables à ceux des défaillances majeures d'équipements. Les délais de rétablissement, les obligations de notification réglementaire et les conséquences réputationnelles se matérialisent de manière que les modèles de continuité traditionnels n'avaient pas anticipée.
Pour les conseils d'administration et les équipes dirigeantes, l'impératif stratégique est de traiter le risque cyber OT comme un risque de continuité et un risque en capital de premier ordre — et non comme un centre de coûts technologiques. Cela implique d'intégrer la résilience cyber dans les décisions de gestion des actifs, les diligences raisonnables en matière de fusions-acquisitions, les structures de financement de projets et la planification des investissements en infrastructures à long terme. L'exposition du secteur énergétique à cette classe de risque ne diminue pas. La convergence des infrastructures physiques et numériques va s'approfondir, et le coût d'une sous-évaluation de cette exposition s'en trouvera amplifié en conséquence.
