Je conçois des systèmes de contrôle-commande industriels et leur défense. Je l’ai fait pour des centrales électriques, une installation gazière, des postes électriques et des unités cyber gouvernementales, en Israël, en Turquie, au Ghana, à Singapour et au Japon. Cette page indique quels textes s’appliquent aux exploitants en France et où un ingénieur OT extérieur peut aider.

Quels textes s’appliquent

La LPM et les opérateurs d’importance vitale

Depuis la loi de programmation militaire de 2013, les opérateurs d’importance vitale (OIV) appliquent à leurs systèmes d’information d’importance vitale (SIIV) les règles de sécurité fixées par arrêtés sectoriels. Ils déclarent ces systèmes et leurs incidents à l’ANSSI, font auditer leur sécurité par des prestataires qualifiés, et mettent en place des moyens de détection. Dans une centrale, un réseau d’eau ou un site industriel, une bonne part de ces SIIV sont des systèmes de contrôle-commande.

NIS 2 en France

La directive NIS 2 élargit le champ aux entités essentielles et importantes de nombreux secteurs, avec des mesures de gestion des risques, des notifications d’incidents et une responsabilité directe des dirigeants. En France, sa transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025 et toujours en discussion au Parlement. Le texte peut encore évoluer ; les exigences de fond de la directive, elles, sont connues et peuvent être préparées dès maintenant.

Les guides de l’ANSSI sur les systèmes industriels

L’ANSSI a publié une méthode de classification des systèmes industriels en trois classes, selon les conséquences d’une attaque, avec des mesures principales et des mesures détaillées pour chaque classe. C’est la grille de lecture la plus directe pour un réseau de contrôle-commande en France : cartographie, cloisonnement, maîtrise des accès distants, journalisation et surveillance.

IEC 62443 et NIST SP 800-82

Les textes disent ce qu’il faut atteindre. ISA/IEC 62443 et NIST SP 800-82 disent comment : zones et conduits, niveaux de sécurité, et exigences envers les fournisseurs et les intégrateurs. Je travaille avec ces référentiels dans tous les secteurs, réglementés ou non.

Ce que les quatre services apportent

Analyses de risques La cartographie par laquelle commencent la classification ANSSI, l’homologation d’un SIIV et la gestion des risques NIS 2 : chaque automate, poste, commutateur, pare-feu et diode, les points d’entrée, les scénarios d’attaque, et un rapport lisible par l’autorité et les auditeurs.
Architecture de cybersécurité OT Séparation IT/OT, zones et conduits selon IEC 62443, accès distants maîtrisés pour les fournisseurs, et surveillance passive à l’intérieur du réseau de contrôle-commande.
Conception de systèmes de contrôle-commande Des installations neuves et des rénovations dont les exigences de sécurité figurent dès le cahier des charges et les contrats fournisseurs, au lieu d’être ajoutées après coup.
Conseil aux entreprises Pour les dirigeants qui portent la responsabilité des mesures : priorités, budget, et adoption maîtrisée de l’IA à côté des données d’exploitation.

Pour les équipes d’exploitation, la formation sécurité ICS existe en versions d’une, deux ou trois semaines, avec des travaux pratiques d’attaque et de défense sur de vrais automates.

Des preuves sur le terrain

Centrales électriques d’ICL, 2017 et 2018. Une cartographie complète des systèmes de contrôle, des équipements, des sous-systèmes, des commutateurs, des postes, des serveurs, des pare-feu et des diodes ; le résultat a été remis au régulateur. Analyses de risques
EnerjiSA, Turquie, 2017 : centrales hydroélectriques. Une analyse de risques après des cyberattaques contre les centrales, avec la cartographie du réseau de contrôle, les vulnérabilités et l’origine des attaques.
Delek, 2016. Une analyse de risques de l’installation gazière.
Neuf postes électriques, Ghana, 2018. GRAPHENE, détection d’intrusion passive, surveille les réseaux de contrôle des postes.
SPARTA. Un module de protection pour le serveur HMI, breveté aux États-Unis sous le numéro 11,621,972 B2.
Formation des États. Une formation sécurité ICS de trois semaines pour le ministère de l’Intérieur de Singapour et de deux semaines pour les unités cyber de la police japonaise. La formation

Ces projets ont été menés en Israël, en Turquie, au Ghana, à Singapour et au Japon. La méthode est celle que demandent aussi les textes français : la cartographie d’abord, puis le cloisonnement, la surveillance et un plan pour le jour de l’incident.

Un premier échange

Le premier échange est gratuit et dure une demi-heure. Indiquez-moi le secteur, votre statut (OIV, entité NIS 2 ou aucun des deux) et, à peu près, le nombre de sites et d’automates. La cartographie se fait sur site ; l’analyse, la conception et les revues peuvent se faire à distance. Israël a une heure d’avance sur la France presque toute l’année.

Planifier un premier échange

Ou écrivez à mail@ilanshaya.com.

Cybersécurité OT pour les OIV et les opérateurs NIS 2