L'IT dans l'industrie : OT, IT et cybersécurité pour les PME manufacturières

Dans une PME industrielle, deux mondes qui ne se parlaient autrefois presque pas s'entremêlent désormais. Au bureau, des ordinateurs portables, Microsoft 365 et un ERP ; dans l'atelier, des automates (PLC), des systèmes SCADA, des machines CNC et des robots. Dès que vous les reliez (et c'est le cas dans toute usine moderne), vous obtenez une seule surface d'attaque, une seule question de conformité et une seule chaîne dont le maillon le plus faible peut paralyser toute la production. Ce guide montre comment, en tant que PME industrielle, organiser concrètement votre IT et votre OT en 2026, ce que la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) exige de vous et quelles mesures font réellement la différence.

Pourquoi l'IT dans l'industrie manufacturière concerne deux mondes

Dans l'industrie manufacturière, tout ce qui fait fonctionner vos bureaux s'appelle « IT », et tout ce qui fait tourner votre production s'appelle « OT » (operational technology, ou technologies opérationnelles). L'OT, ce sont les automates qui pilotent une chaîne de production, les systèmes SCADA qui les supervisent, les robots, les systèmes d'énergie et de refroidissement, les caméras de l'atelier. Historiquement, l'OT était sur un réseau isolé, tournait sur des systèmes d'exploitation spécifiques et n'était que rarement mise à jour. Aujourd'hui, l'OT est connectée à votre MES, à votre ERP, à un tableau de bord cloud et parfois même directement à votre fournisseur via un accès à distance.

Cette convergence a des avantages : données en temps réel, maintenance prédictive, pilotage de la qualité plus rapide. Mais elle a aussi un prix. Un e-mail de phishing reçu au bureau peut, à cause d'une segmentation réseau défaillante, livrer des identifiants volés qui donnent ensuite accès jusqu'à la couche des automates. Et contrairement à un incident de bureautique, vous ne pouvez pas simplement « redémarrer vite fait » en production. Une journée d'arrêt coûte facilement l'équivalent d'une semaine de chiffre d'affaires.

La Cyberbeveiligingswet et votre entreprise industrielle

La Cyberbeveiligingswet, la transposition néerlandaise de la directive NIS2, est entrée en vigueur à la mi-2026 (Staatsblad 2026, 187). Plus de 8 000 organisations néerlandaises y sont soumises. L'industrie manufacturière figure à l'annexe II (autres secteurs critiques).

Pour une PME industrielle, la règle empirique est la suivante : votre secteur relève-t-il de NIS2 et comptez-vous 50 salariés ou plus, ou plus de 10 millions d'euros de chiffre d'affaires ou de total de bilan ? Vous êtes alors une « entité importante ». Cela implique notamment : une politique de sécurité démontrable, une analyse des risques, l'obligation de notifier les incidents sous 24 heures (alerte précoce) puis de fournir une vue plus complète sous 72 heures, ainsi que la responsabilité des dirigeants. Pour les entités importantes, les amendes peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.

Vous devez donc pouvoir aller plus loin que « nous avons un antivirus ». Notre guide complet sur NIS2 pour les PME détaille ces obligations (le « zorgplicht ») ; la suite de cet article se concentre spécifiquement sur l'industrie manufacturière.

À quoi ressemble la menace pour l'industrie

À l'échelle internationale, l'industrie arrive depuis des mois en tête des classements des victimes de ransomware. Sur les douze mois à partir de mars 2025, NCC Group a recensé 2 073 attaques par ransomware contre des organisations industrielles, et le secteur a été le plus touché chaque mois de cette période. Aux Pays-Bas, les représentants du secteur confirment le même constat : la surface d'attaque liée à la connexion de l'OT à l'IT d'entreprise s'étend rapidement, et la question n'est plus vraiment de savoir « si ».

Les attaques se répartissent en trois schémas : le ransomware à double extorsion (d'abord chiffrer, puis menacer de divulguer), les attaques de la chaîne d'approvisionnement via des fournisseurs qui se connectent à distance à votre installation, et l'espionnage ciblé de secrets d'affaires (recettes, plans, réglages machines). Chacun appelle des mesures d'atténuation différentes, mais avec un point commun : l'attaque commence rarement sur l'OT. Elle démarre au bureau, puis gagne l'atelier.

Le modèle de Purdue et l'IEC 62443, en termes simples

Depuis trente ans, le modèle de Purdue sert de cadre de référence pour la segmentation OT. Il répartit votre environnement en cinq niveaux, plus une DMZ industrielle :

• Niveau 0 : processus physique (capteurs, actionneurs).
• Niveau 1 : contrôle (automates, DCS).
• Niveau 2 : supervision (SCADA, IHM).
• Niveau 3 : opérations (historian, MES, serveurs locaux de l'usine).
• Niveau 3,5 : DMZ industrielle, la frontière entre OT et IT.
• Niveaux 4 et 5 : IT d'entreprise (ERP, bureautique, cloud).

L'essentiel est que le trafic entre ces niveaux passe par un pare-feu et que les niveaux OT inférieurs (0, 1, 2) ne communiquent jamais directement avec Internet ou avec le bureau. C'est le principe des « zones et conduits » (zone-and-conduit) de l'IEC 62443, la norme internationale de cybersécurité industrielle.

L'IEC 62443 définit quatre niveaux de sécurité (SL1 à SL4). Pour la plupart des usines de PME, le SL2 est un objectif réaliste et atteignable : une protection contre des attaques ciblées menées avec des moyens limités. Le SL3 concerne les composants critiques de votre processus, le SL4 les infrastructures nationales. On reproche au modèle de Purdue d'être trop plat pour le cloud et l'IoT industriel, mais il reste une base utile tant que vous faites respecter les frontières de la DMZ.

Les sept points d'attention pour une PME industrielle

1. Inventaire des actifs, OT comprise

On ne peut pas protéger ce que l'on ne connaît pas. Beaucoup d'entreprises industrielles disposent d'un inventaire bureautique, mais d'aucune vue d'ensemble de l'OT : quel automate, quel firmware, quelle station d'ingénierie, quelles connexions série. Commencez par là. À l'échelle d'une PME, la combinaison d'une découverte réseau passive (des outils qui écoutent sans perturber) et d'un inventaire manuel fonctionne bien.

2. Segmentation du réseau

Séparez l'OT et l'IT par un pare-feu, et segmentez l'OT au niveau des cellules : chaque ligne de production, chaque groupe de machines dans sa propre zone. Fini le « réseau à plat ». Investissez de préférence dans des pare-feux industriels capables d'inspecter aussi les protocoles OT (Modbus, OPC UA, Profinet).

3. Un accès à distance sécurisé pour la maintenance

Les fournisseurs veulent se connecter à distance à « leurs » machines. C'est nécessaire, mais pas via un VPN ouvert en permanence ni avec des mots de passe partagés. Placez un serveur de rebond (jump host) ou un outil d'accès à distance managé dans la DMZ, avec MFA, journalisation des sessions et accès juste-à-temps. Dans la pratique, c'est le canal le plus exploité par les attaquants.

4. Correctifs et systèmes anciens

Tous les automates ne peuvent pas être maintenus à jour ; certaines machines sont certifiées sur une version de firmware précise. Compensez : isolez, surveillez et mettez en place une liste blanche d'applications (application whitelisting) sur les stations d'ingénierie. Pour l'IT bureautique, la gestion des correctifs classique s'applique ; notre article sur la gestion des correctifs en présente les bases.

5. Protection des terminaux sur chaque station d'ingénierie

Les PC d'ingénierie qui programment les automates représentent un risque important. Certains tournent encore sous Windows 7 ou 10 sans support et servent à la fois pour les e-mails et pour la production. Séparez les rôles (PC de bureau d'un côté, PC d'ingénierie de l'autre), installez un EDR moderne sur chaque machine qui le supporte et contrôlez l'usage des ports USB.

6. Sauvegarde et restauration, configurations comprises

En production, la sauvegarde va bien au-delà des données bureautiques. Configurations des automates, fichiers de projet SCADA, recettes de lots, écrans IHM, mesures machines : sans configurations restaurées, un incident dure des jours au lieu de quelques heures. Sauvegardez hors site et testez une restauration complète au moins deux fois par an.

7. Supervision, journalisation et processus de gestion des incidents

NIS2 exige un processus de gestion des incidents opérationnel, avec des délais de notification définis. Centralisez les journaux (y compris les événements SCADA lorsque c'est possible), définissez ce qu'est un incident et qui fait quoi. À l'échelle d'une PME, externaliser auprès d'un partenaire de détection et réponse managées (MDR) est souvent plus logique que d'assurer soi-même une permanence 24 h/24, 7 j/7. Notre comparatif MSSP, MSP et MDR vous aide à faire ce choix.

Quelle stack IT pour une PME industrielle

Au-delà de la couche OT, une entreprise industrielle moderne dispose en général d'une stack bureautique avec Microsoft 365 ou Google Workspace, d'un ERP (souvent SAP Business One, Microsoft Dynamics 365 Business Central, AFAS ou Exact), d'un MES qui fait le lien entre l'ERP et la production, d'un PLM pour la gestion des produits et des plans, et d'une application de maintenance (GMAO). L'intégration entre ces couches détermine votre efficacité, et votre résilience.

L'erreur que nous constatons souvent : l'ERP passe bien dans le cloud, mais le MES reste sur un serveur isolé à côté de l'atelier, sans sauvegarde ni supervision. Traitez ce serveur MES comme un système critique de l'entreprise, et non comme « un truc qui tourne parce que l'usine existe ». Notre guide pas à pas pour moderniser votre infrastructure IT vous aide à résorber ce type de retard par étapes.

Les erreurs fréquentes en IT de production

• Un réseau à plat sans séparation entre OT et IT. C'est la principale cause d'escalade des ransomwares dans l'industrie manufacturière.
• Des VPN fournisseurs sans MFA. Chaque prestataire externe a son propre VPN, chacun avec son propre mot de passe. Centralisez tout cela dans une solution d'accès à distance managée.
• Aucun inventaire des actifs OT. Si vous ne savez pas quels automates vous avez, vous ne pouvez pas les protéger.
• Un « vieux PC » de pilotage machine qui sert aussi aux e-mails et à Internet.
• Aucune sauvegarde des configurations des automates et du SCADA. Ne sauvegarder que les données signifie qu'une reprise après incident prend des jours.
• La conformité traitée comme un projet annuel. NIS2 n'est pas un audit ponctuel, mais un processus continu.

Par où commencer : un plan pratique sur 90 jours

1. Semaines 1 à 3 : état des lieux. Inventaire des actifs OT, schéma réseau, analyse des risques sur les trois principales lignes de production.
2. Semaines 4 à 6 : segmentation. Pare-feu entre OT et IT, mise en place de la DMZ, règles de base. Commencez large, affinez ensuite.
3. Semaines 7 à 9 : accès et sauvegarde. Accès à distance managé pour les fournisseurs, sauvegarde des configurations des automates et du SCADA.
4. Semaines 10 à 12 : supervision et documentation. Centralisation des journaux, formalisation du processus de gestion des incidents, analyse des risques démontrable et respect avéré des obligations de la Cyberbeveiligingswet.

Ce n'est pas un parcours complet, mais une base solide qui couvre l'essentiel des risques d'une PME et vous aligne sur les exigences de NIS2.

Questions fréquentes sur l'IT dans les entreprises industrielles

Quelle est exactement la différence entre IT et OT ? L'IT (information technology) est le monde de vos bureaux : ordinateurs portables, serveurs, e-mail, ERP, cloud. L'OT (operational technology) est le monde de votre atelier : automates, SCADA, robots, appareils de mesure, IHM. L'OT est soumise à des exigences strictes de disponibilité et de sûreté que l'IT ne connaît pas, et utilise des protocoles (Modbus, OPC UA, Profinet) qu'un pare-feu IT classique n'inspecte pas correctement.

En tant que petite entreprise industrielle, suis-je concerné par la Cyberbeveiligingswet ? Si vous êtes dans l'industrie manufacturière et que vous comptez plus de 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires ou de total de bilan, vous relevez de la loi en tant qu'« entité importante ». En dessous, vous n'êtes en principe pas concerné, même si vos clients (surtout dans les chaînes où un OEM se trouve au-dessus de vous) peuvent tout de même vous imposer des exigences de type NIS2, parce qu'eux doivent s'y conformer. En cas de doute, consultez la procédure d'enregistrement officielle du NCSC, le centre national néerlandais de cybersécurité.

Dois-je mettre en place mon propre SOC pour superviser l'OT ? C'est rarement rentable pour une PME. Les effectifs nécessaires à une permanence 24 h/24, 7 j/7 coûtent généralement trop cher pour une seule usine. Dans la plupart des cas, un partenaire de détection et réponse managées doté d'une expertise OT est la voie la plus pragmatique. L'important est que ce partenaire comprenne à la fois l'IT et l'OT : un SOC qui ne sait superviser que l'IT bureautique passe à côté de la moitié du sujet.

Dans quel délai faut-il notifier un incident ? Sous NIS2, il faut émettre une « alerte précoce » sous 24 heures, une notification d'incident plus complète sous 72 heures et un rapport final dans un délai d'un mois. Inscrivez ces délais à l'avance dans votre procédure de gestion des incidents, pour ne pas devoir improviser dans la panique en pleine attaque.

Puis-je sécuriser d'anciens automates sans les remplacer ? Souvent oui, lorsque le remplacement n'est pas envisageable. Placez-les dans un segment réseau dédié derrière un pare-feu industriel, journalisez tout le trafic, appliquez une liste blanche d'applications sur les stations d'ingénierie qui communiquent avec eux et conservez une sauvegarde hors ligne de leurs configurations. Vous couvrez ainsi la plupart des risques sans devoir remplacer des machines coûteuses.

Combien cela coûte-t-il, en gros ? Tout dépend de la taille. Un programme de base pour une usine de PME d'environ 50 salariés (segmentation, accès à distance managé, EDR, sauvegarde, supervision) démarre facilement à quelques milliers d'euros par mois auprès d'un partenaire managé, auxquels s'ajoutent des frais de projet pour la mise en place initiale. Le faire vous-même exige des compétences spécialisées que l'on recrute rarement pour moins cher.

Conclusion

Dans l'industrie manufacturière, l'IT ne se limite plus jamais aux bureaux. Dès que vous reliez OT et IT, vous héritez d'une surface d'attaque plus large, d'exigences de conformité plus strictes et d'une dépendance accrue. Les fondamentaux sont connus et atteignables : séparez l'OT de l'IT, mettez en place une DMZ industrielle, centralisez l'accès à distance avec MFA et journalisation, sauvegardez aussi vos configurations et instaurez un processus de gestion des incidents conforme à NIS2. En procédant par étapes, 90 jours suffisent pour réduire substantiellement les principaux risques.

Vous butez sur la combinaison entre réalités de la production et NIS2, ou vous cherchez un partenaire qui comprend à la fois l'IT et l'OT ? TRON Group accompagne les PME industrielles, de l'inventaire des actifs à la segmentation progressive et à la supervision managée. Appelez-nous sans engagement au +31 85 303 5869 ou découvrez notre offre de cybersécurité pour les PME pour un premier échange.