Le transport maritime achemine environ neuf dixièmes du commerce mondial en volume. Les ports qui traitent ces flux dépendent de systèmes numériques de plus en plus interconnectés, des logiciels de gestion de terminaux aux automates pilotant grues et portiques. Cette numérisation accélérée expose des maillons critiques de la chaîne logistique à des menaces cyber dont la fréquence progresse nettement depuis deux ans.
Systèmes OT portuaires : la nouvelle surface d’attaque
Les guides de bonnes pratiques publiés entre 2019 et 2023 se concentraient sur la protection des systèmes d’information classiques (IT) : messagerie, bases de données, réseaux bureautiques. Le terrain a changé. Selon Crisis24, 36 % des cyberincidents maritimes en 2024 visent des technologies opérationnelles (OT), c’est-à-dire les systèmes de navigation, de contrôle moteur ou d’automatisation de quai.
A lire en complément : Créez un site web professionnel facilement grâce à des templates modernes et efficaces
Un terminal à conteneurs moderne fonctionne grâce à un Terminal Operating System (TOS) qui orchestre le déplacement de chaque boîte, de la cale du navire au camion de livraison. Ce TOS dialogue avec des automates programmables (PLC) commandant portiques, grues et véhicules guidés automatiquement. Compromettre un seul de ces automates peut immobiliser un quai entier.
La convergence IT/OT crée un problème structurel : les équipements industriels portuaires ont des cycles de vie de quinze à vingt ans, tandis que les correctifs de sécurité logiciels suivent des rythmes mensuels. Cette asymétrie temporelle laisse des vulnérabilités ouvertes pendant des années. Les gestionnaires qui s’intéressent à la sécurité informatique des infrastructures portuaires doivent intégrer cette réalité dès la conception des projets de modernisation.
A découvrir également : Comment choisir la meilleure machine à expresso pour savourer un café parfait chez soi
Cyberattaques portuaires : des chiffres en forte hausse depuis 2024
Les données récentes confirment une accélération. Toujours selon Crisis24, 31 % des professionnels du secteur maritime déclaraient une cyberintrusion en 2024, contre 17 % en 2023. La progression est suffisamment marquée pour que le sujet quitte les comités techniques et remonte aux directions générales.
Le vecteur d’entrée dominant reste le phishing, impliqué dans près de la moitié des incidents maritimes recensés en 2024. Les opérateurs de terminaux et les PME sous-traitantes sont des cibles privilégiées, parce que leurs équipes ne disposent pas toujours de formations régulières à la détection de courriels frauduleux.
Conséquences en cascade sur la chaîne logistique
Un port paralysé ne pénalise pas uniquement l’autorité portuaire. Les entreprises de transport routier, les transitaires, les douanes et les entrepôts en zone arrière-portuaire subissent un effet domino, avec des retards potentiels sur les flux de conteneurs pendant plusieurs jours.
Le coût direct d’un arrêt de terminal reste difficile à chiffrer précisément, car il dépend du volume traité, de la durée d’interruption et des pénalités contractuelles. Les données disponibles ne permettent pas de conclure sur un montant moyen fiable. En revanche, les retours terrain convergent sur un point : le temps de remise en service dépasse presque toujours les estimations initiales.
NIS2 et réglementation cyber maritime : ce qui change pour les ports
Le cadre réglementaire européen a franchi un palier avec la directive NIS2, qui élargit le périmètre des entités soumises à des obligations de cybersécurité. Les ports et les opérateurs de transport maritime y figurent explicitement. Les États membres devaient transposer ce texte dans leur droit national, ce qui impose aux autorités portuaires de revoir leurs dispositifs de gouvernance cyber.
Les obligations portent sur plusieurs axes :
- La mise en place d’une analyse de risques couvrant l’ensemble des systèmes, y compris les équipements OT et les connexions avec les partenaires logistiques
- La notification obligatoire des incidents significatifs aux autorités compétentes dans des délais contraints
- La responsabilité de la direction de l’entreprise, qui ne peut plus déléguer intégralement la question cyber à un prestataire externe
- L’extension des exigences aux sous-traitants et fournisseurs critiques de la chaîne d’approvisionnement numérique
Pour les PME portuaires (manutentionnaires, agents maritimes, sociétés de lamanage), NIS2 représente un changement d’échelle en matière d’exigences documentaires et techniques. Beaucoup n’ont pas encore de responsable cybersécurité identifié.
Articulation avec les cadres internationaux
L’Organisation maritime internationale avait adopté la résolution MSC.428(98) dès 2017, demandant d’intégrer les risques cyber dans les systèmes de gestion de la sûreté. Aux États-Unis, la garde côtière a publié des directives spécifiques concernant les équipements portuaires connectés. Ces cadres se superposent sans toujours se coordonner, ce qui complique la tâche des opérateurs présents sur plusieurs zones géographiques.
Identités compromises et sous-traitance : les angles morts persistants
La gestion des accès reste un problème rarement traité dans les plans de sécurité portuaire. Un port de taille moyenne peut compter plusieurs centaines de comptes actifs répartis entre employés permanents, intérimaires, prestataires de maintenance et agents de compagnies maritimes.
La rotation rapide du personnel opérationnel aggrave la situation. Des comptes restent actifs après le départ de leur titulaire. Des mots de passe partagés circulent entre équipes pour accéder aux systèmes de gestion de conteneurs.
Le maillon des fournisseurs d’équipements
Les systèmes de contrôle industriel installés dans les ports proviennent d’un nombre restreint de fabricants. Une alerte publiée par la MARAD américaine en 2026 a spécifiquement signalé des préoccupations liées à certains équipements portuaires d’origine chinoise, relançant le débat sur la dépendance technologique des infrastructures critiques. Les retours terrain divergent sur ce point : certains opérateurs estiment le risque géopolitique surévalué, d’autres ont engagé des audits de leur parc matériel.
La cybersécurité des ports ne se résume pas à un problème technique réservé aux équipes informatiques. Elle touche à la continuité du commerce international, à la souveraineté sur les données logistiques et à la conformité réglementaire des entreprises portuaires.
Les ports qui n’auront pas structuré leur gouvernance cyber d’ici à la pleine application de NIS2 s’exposent à des sanctions et à un risque opérationnel que l’augmentation des attaques rend de moins en moins théorique.