C’est précisément sur ce terrain que le Plug&Charge est aujourd’hui mis en avant. Rendu possible par la norme ISO 15118, ce mécanisme permet à la borne d’authentifier automatiquement l’utilisateur afin de lancer la recharge sans badge ni application mobile. Initialement conçue pour standardiser les échanges entre véhicule, borne et réseau, l’ISO 15118 ouvre ainsi la voie à une expérience de recharge plus fluide, souvent résumée par la promesse : « je branche, ça recharge ».  

Mais cette simplification visible côté utilisateur repose, en réalité, sur une complexification significative de la chaîne de confiance et des mécanismes techniques sous-jacents : certificats numériques, PKI (Public Key Infrastructure ou Infrastructure de Gestion de Clés), communication ISO 15118, nouveaux flux d’authentification et dépendances à des tiers de confiance. Autrement dit, derrière un parcours de recharge simplifié, le Plug&Charge introduit de nouveaux points de défaillance et de nouvelles surfaces d’attaque que les exploitants de bornes doivent désormais traiter comme des enjeux cyber de premier plan. 

Dans cet article, nous revenons sur trois risques directement liés au déploiement du Plug&Charge et de l’ISO 15118 : 

• La perte de disponibilité liée à une compromission de la PKI V2G (Vehicle to Grid), 
• La perte de disponibilité liée à l’exploitation de vulnérabilités sur l’interface ISO 15118, 
• Le vol de certificats de bornes, et ses conséquences en matière de fraude. 

Risque 1 : perte de disponibilité liée à une compromission de la PKI V2G 

Pour comprendre ce risque, il faut d’abord rappeler que le Plug&Charge repose sur une chaîne de confiance numérique qui permet au véhicule et à la borne de s’authentifier automatiquement à l’aide de certificats, puis de déclencher la recharge sans action manuelle de l’utilisateur.  

Comme l’illustre la Figure 1, une session de recharge Plug&Charge suit une séquence en plusieurs étapes :  

1. Établissement du canal de communication ISO 15118 entre le véhicule et la borne avec authentification des parties,  
2. Vérification du contrat de mobilité puis autorisation, 
3. Démarrage de la charge.  

Si l’une de ces étapes échoue du fait d’un problème de confiance numérique, la recharge ne peut pas démarrer. 

Figure 1 : les étapes d’une session de recharge en Plug & Charge 

Cette mécanique s’appuie sur une PKI commune à l’écosystème, appelée PKI V2G dont le rôle est d’assurer l’interopérabilité entre véhicules, bornes et opérateurs. Cette architecture repose sur des autorités racines et des autorités intermédiaires qui délivrent et valident les certificats utilisés pendant la session de recharge (Figure 2).  

Figure 2 : l’architecture de la PKI V2G 

En Europe, cet écosystème repose aujourd’hui sur quelques acteurs de confiance structurants, notamment Hubject, Gireve et Irdeto, qui cumulent un rôle d’autorité de certification racine (V2G Root CA) avec des offres de gestion de certificats et d’interopérabilité Plug&Charge. 

Dans cette architecture, le CPO occupe une position clé : il doit intégrer ses bornes à cette chaîne de confiance et, selon le modèle retenu, opérer lui-même certaines briques PKI (make) ou s’appuyer sur un fournisseur spécialisé (buy). Dans les deux cas, il devient dépendant d’une infrastructure de confiance dont la compromission, l’erreur d’exploitation ou l’indisponibilité peuvent avoir un impact direct sur la disponibilité du service de recharge. 

Le risque est donc une perte de disponibilité provoquée par un incident affectant la PKI V2G. Plusieurs scénarios sont plausibles : compromission d’une autorité intermédiaire ou racine, certificats expirés non renouvelés, corruption d’un magasin de confiance, ou indisponibilité d’un composant nécessaire au cycle de vie des certificats. Dans tous ces cas, le résultat opérationnel est identique : la borne ou le véhicule ne peuvent plus établir une relation de confiance valide, et la session Plug&Charge échoue avant même le démarrage de la charge.  

Convictions 

Avec le Plug&Charge, la PKI ne protège plus seulement les échanges : elle devient un composant critique de production. Un incident sur l’infrastructure de confiance ne se traduit donc plus uniquement par un sujet de sécurité ou de conformité, mais potentiellement par une indisponibilité partielle ou massive de l’infrastructure de recharge.  

Le choix entre make et buy ne supprime pas ce risque ; il en déplace la maîtrise. Une stratégie make donne davantage de contrôle au CPO, mais suppose une gouvernance PKI mature, des capacités d’exploitation robustes et une discipline forte sur le cycle de vie des certificats. Une stratégie buy accélère le déploiement, mais accroît la dépendance à un tiers pour une fonction devenue critique, avec un besoin renforcé de pilotage contractuel, d’auditabilité et de supervision.  

D’un point de vue cybersécurité, la conséquence est claire : la PKI V2G doit être traitée comme un actif critique d’exploitation du SI des bornes de recharges. Cela implique une gouvernance explicite des rôles de confiance, une supervision continue du cycle de vie des certificats, des tests réguliers de continuité, ainsi que des scénarios de fonctionnement dégradé pour éviter qu’un incident PKI ne se transforme en rupture de service à grande échelle.

Risque 2 : perte de disponibilité de l’infrastructure de recharge par l’exploitation de vulnérabilités dans la communication ISO 15118 

Ce risque découle directement de la montée en complexité du canal d’échange. Là où la recharge reposait historiquement sur une communication relativement simple, principalement fondée sur la signalisation électrique et quelques messages basiques, l’ISO 15118 introduit un dialogue haut niveau reposant sur une stack protocolaire beaucoup plus riche (Figure 3). 

Figure 3 : le modèle OSI appliqué à l’ISO15118 

Ce passage d’un protocole minimaliste à une couche applicative riche incluant découverte de l’équipement, attribution d’adresses IPv6, authentification, gestion de certificats et opérations cryptographiques, élargit mécaniquement la surface d’attaque. Notamment car l’interface de communication via la prise de recharge est par nature accessible sans barrière physique. Toute vulnérabilité dans ces échanges (ex. manipulation de messages applicatifs, injection dans les flux CPL, défaut de validation des certificats) pourrait permettre de perturber la session ou dans le pire cas, de compromettre complètement la borne.  

L’exploitation de ce type de vulnérabilité suppose toutefois un accès physique au point de charge : l’attaquant doit être en mesure d’interagir avec le canal de communication entre le véhicule et la borne. En pratique cela nécessite du matériel spécifique pour rejoindre le réseau CPL, par exemple avec une interface CPL compatible HomePlug Green PHY et une interface physique adaptée au connecteur de charge. Cette contrainte augmente la barrière à l’entrée, sans pour autant neutraliser le risque : plusieurs travaux de recherche ont démontré la faisabilité de dispositifs de laboratoire capables d’observer, de relayer ou de perturber les échanges ISO 15118 au niveau du câble ou du connecteur. 

Figure 4 : matériel nécessaire pour exploiter une vulnérabilité sur l’interface ISO15118 

Convictions 

Pour réduire ces risques, le CPO doit s’assurer du niveau de sécurité des produits de ses fournisseurs, par exemple via des audits, et de leur maturité cyber, notamment sur les processus de maintien en condition de sécurité. Il doit également mettre en place des processus de gestion de vulnérabilités sur son parc, incluant le recensement des SBOM & HBOM (Software and Hardware Bills of Materials) et le patch management pour pouvoir identifier ses assets vulnérables et réagir lorsque des attaquants exploitent une vulnérabilité sur ce nouveau canal. 

Risque 3 : le vol de certificats de bornes 

Le vol d’un certificat de borne ne constitue pas seulement un incident cryptographique : dans un écosystème reposant sur la confiance numérique, il s’agit d’une compromission d’identité machine. Pour un CPO, ce type d’incident touche à l’intégrité des échanges et peut ouvrir la voie à des fraudes de recharge. 

Deux scénarios d’attaque doivent ici être distingués : 

• L’extraction de la clé privée associée au certificat, à la suite d’une compromission logicielle ou d’une attaque physique sur un composant insuffisamment protégé,  
• L’usurpation de l’identité d’une borne au moment de l’obtention d’un certificat, par exemple via un processus d’enrôlement insuffisamment authentifié entre la borne et le CPMS (Charge Point Management System).  

Figure 5 : chemins d’attaque pour obtenir un certificat V2G d’une borne 

Une fois en possession d’un certificat valide, un attaquant peut se faire passer pour une borne légitime et détourner la confiance de l’écosystème à son profit. Dans le cadre du Plug&Charge, cela peut permettre de faire croire à un véhicule qu’il établit une session normale, puis de relayer la preuve de possession du certificat de contrat de la victime sur une autre session afin de recharger un autre véhicule sur le compte de cette dernière. Ce scénario de relay attack a été démontré dans la littérature académique et illustre le fait qu’un simple certificat de borne compromis peut suffire à mettre en œuvre une fraude opérationnelle concrète.  

Figure 6 : Exploitation de la fraude par relai de la preuve de possession du certificat de contrat 

Cette attaque est facilitée dans les implémentations fondées sur ISO 15118-2, où la sécurité du Plug&Charge repose sur un modèle plus limité, notamment au regard de l’authentification de bout en bout et du traitement des certificats. À l’inverse, ISO 15118-20 renforce la sécurité des échanges, en particulier via l’usage généralisé de TLS et un modèle allant vers une authentification mutuelle, ce qui rend ce type de fraude plus difficile à exploiter, sans pour autant le faire disparaître si les identités machine ne sont pas correctement protégées.  

Ce risque est d’autant plus vraisemblable qu’il ne nécessite pas une compromission massive du parc : un seul certificat valide peut suffire. L’attaquant peut donc cibler la borne la moins bien protégée, ou tenter d’obtenir frauduleusement un certificat via un processus d’enrôlement ou un backend insuffisamment sécurisé. Pour le CPO, l’enjeu n’est donc pas seulement de protéger les certificats déjà déployés, mais de sécuriser l’ensemble de la chaîne d’émission, de stockage et de renouvellement des identités de bornes. 

Convictions  

Pour réduire le risque de compromission des clés privées, le CPO doit s’assurer que les bornes disposent de capacités de stockage sécurisé pour les éléments cryptographiques, par exemple via l’intégration d’un TPM (Trusted Platform Module). 

Le risque d’usurpation lors de l’obtention d’un certificat nécessite une approche différente. Le CPO doit en effet garantir l’authenticité des demandes d’émission de certificats traitées par la PKI V2G. La sécurisation de ce processus repose sur l’authentification de la borne lors de l’établissement du canal de communication avec le CPMS. En pratique, le protocole utilisé sur ce canal, OCPP, supporte l’authentification mutuelle par certificat (mTLS) depuis la version 2.0.1. La borne présente alors un certificat lui permettant de s’authentifier auprès du CPMS. Une fois la session établie, les demandes d’enrôlement de certificats (notamment ISO15118) sont ainsi authentifiées, réduisant significativement le risque d’usurpation. 

Cette architecture introduit toutefois un prérequis : le déploiement d’un certificat dédié à l’authentification de la borne sur le réseau du CPO. Ce certificat est distinct du certificat ISO 15118 utilisé dans le cadre du Plug&Charge, car il répond à un périmètre et à un usage différent. 

Il est donc nécessaire de mettre en place une PKI dédiée, opérée par le CPO, que l’on peut qualifier de PKI « Produit ». Cette dernière délivre les certificats utilisés pour sécuriser les communications OCPP. Les enjeux de gestion des certificats précédemment évoqués s’appliquent également à cette PKI. Le CPO doit ainsi mettre en place des capacités organisationnelles et techniques pour opérer cette infrastructure : gestion du cycle de vie des certificats, traitement des incidents, et montée en compétence des équipes. 

Nous aboutissons ainsi à une architecture cible dans laquelle chaque borne embarque plusieurs certificats issus de PKI distinctes, chacun jouant un rôle spécifique dans l’authentification sur des canaux de communication critiques pour la session de recharge (Figure 7). 

Figure 7 : architecture cible pour le déploiement du Plug&Charge  

 Synthèse des risques 

L’introduction du Plug&Charge et de la norme ISO 15118 transforme progressivement les infrastructures de recharge en une véritable chaîne de confiance numérique, où la disponibilité du service dépend désormais autant de la cybersécurité que du fonctionnement électrique des bornes. 

Les scénarios étudiés montrent que les principaux risques ne concernent pas uniquement la compromission technique d’un équipement isolé, mais des impacts plus larges sur : 

• La continuité de service, 
• La fraude à la recharge, 
• La confiance des utilisateurs, 
• Et, à terme, l’image de l’opérateur. 

Le tableau suivant synthétise les risques identifiés selon une approche inspirée d’EBIOS Risk Manager, reposant sur une évaluation : 

• De la vraisemblance du scénario (échelle de 1 à 4), 
• De sa gravité pour l’opérateur (échelle de 1 à 4),  
• Puis du niveau de risque résultant.  

La gravité a été évaluée selon une approche macro, en considérant un CPO opérant des bornes accessibles au public, avec un impact maximal correspondant à une perte de confiance nationale. Elle dépend toutefois fortement du contexte (taille du parc, exposition, rôle de l’acteur) et doit être adaptée au cas par cas.  

Tableau 1 : Synthèse des risques liés au Plug&Charge sur l’infrastructure de recharge 

Il convient toutefois de nuancer cette analyse : les scénarios présentés adoptent volontairement une vision prudente, voire pessimiste, de la vraisemblance. En pratique, ces attaques restent difficiles à mettre en œuvre. Elles nécessitent souvent des compétences techniques avancées, un accès physique ou logique spécifique, une connaissance fine de l’ISO 15118, ainsi qu’une capacité à exploiter ou détourner des mécanismes de confiance complexes. 

Ainsi, les risques présentés doivent être lus comme des scénarios plausibles à anticiper, davantage que comme des menaces aujourd’hui triviales ou massivement observées en exploitation. Leur niveau de risque « moyen » à « faible » reflète cet équilibre : une probabilité encore contenue, mais des impacts potentiellement significatifs en cas de passage à l’échelle. 

Conclusion 

Le Plug&Charge simplifie l’expérience de recharge, mais introduit une dépendance forte à une chaîne de confiance numérique reposant sur ISO 15118, la PKI V2G et les certificats de bornes. Cette dépendance introduit de nouveaux risques sur les bornes de recharges susceptibles d’entraîner des pertes de disponibilité et, à terme, une dégradation de la confiance des utilisateurs envers le CPO.  

Les scénarios d’attaques restent difficiles à mettre en œuvre mais leurs impacts potentiels justifient une anticipation dès la conception. Pour les CPO, l’enjeu n’est donc plus seulement de sécuriser les bornes, mais l’ensemble de la chaîne d’identité et de confiance qui permet à la recharge de fonctionner. 

Cet article Plug&Charge et ISO 15118 : quels nouveaux risques cyber pour les bornes de recharge ?  est apparu en premier sur RiskInsight.

Cette trajectoire repose toutefois sur la disponibilité d’un réseau de recharge dense, fiable et bien dimensionné sur l’ensemble du territoire. Qu’il s’agisse de recharge publique (autoroutes, voirie, centres commerciaux) ou privée (domicile, entreprises), l’infrastructure constitue la colonne vertébrale de l’écosystème de mobilité électrique. Au cœur de ce dernier, les Charging Point Operators (CPO) jouent un rôle structurant en tant que responsables de l’installation, de l’exploitation et de la maintenance des bornes. 

Le risque cyber s’impose quant à lui comme une menace majeure pour les infrastructures de recharge, dans un contexte où les réseaux électriques sont de plus en plus ciblés par des groupes cybercriminels et des acteurs étatiques1,2. Pour les CPO, cette réalité change la donne : maîtriser le risque cyber devient une condition indispensable à la fiabilité du service et à la protection de l’écosystème. À mesure que les réseaux de recharge s’étendent et se complexifient, les enjeux de cybersécurité deviennent centraux : protection des données, continuité de service, sécurisation des flux financiers, maîtrise des risques liés aux tiers.  

Cet article s’inscrit dans une série de trois articles retraçant les enjeux structurants rencontrés par les acteurs de la mobilité électrique, afin d’en décrypter les implications en matière de cybersécurité. 

Repenser les infrastructures de recharge : entre exigences opérationnelles et nouvelles contraintes cyber

Dans un contexte de forte croissance mais aussi de structuration progressive du marché, les CPO font face à une équation économique exigeante. Le déploiement des infrastructures de recharge requiert des investissements initiaux significatifs – acquisition du foncier, raccordement au réseau, achat et installation des bornes, supervision, maintenance – tandis que les taux d’usage restent encore hétérogènes selon les territoires et les typologies de sites. À cela s’ajoutent la volatilité des prix de l’électricité, la pression concurrentielle accrue et l’évolution rapide des standards technologiques, qui imposent des mises à niveau régulières. 

Les aides publiques tendant à se rationaliser et les financeurs attendant des trajectoires de rentabilité plus lisibles, l’optimisation de la performance économique des actifs devient impérative. La maximisation du taux de disponibilité, le pilotage fin des coûts d’exploitation, l’amélioration du taux d’occupation ou encore la diversification des sources de revenus ne sont plus des leviers secondaires, mais des conditions essentielles à la pérennité du business model des CPO. 

Figure 1 : Architecture d’une infrastructure de recharge classique

Les infrastructures de recharge, telles que conçues aujourd’hui, illustrées en Figure 1, reposent généralement sur un pilotage statique de la puissance des bornes par le système de supervision central, le Charging Point Management System (CPMS). Ce principe de fonctionnement ne permet pas ou limite la capacité du CPO à adapter en temps réel la distribution de puissance aux usages et aux contraintes du site. 

Ainsi, plusieurs pistes d’optimisation peuvent être mises en œuvre.  

D’abord, il est possible de renforcer la flexibilité énergétique du site, notamment pour soutenir la recharge rapide sans avoir à surdimensionner le raccordement au réseau. Pour cela, l’installation d’un Battery Energy Storage System (BESS) s’avère être une solution probante : ce stockage stationnaire par batteries agit comme un réservoir, capable de stocker l’énergie lorsqu’elle est disponible et de la restituer lors des pics de consommation, améliorant ainsi la stabilité et la résilience du site. 

Ensuite, vient l’intégration aux sites de moyens de production d’énergie locale et décarbonée, directement utilisable pour la recharge ou le stockage, en y ajoutant des dispositifs photovoltaïques. Les panneaux solaires, installés en toiture ou en ombrière, constituent cette brique de production renouvelable. Leur efficacité repose toutefois sur l’association avec des systèmes de pilotage et de stockage appropriés, assurant la cohérence environnementale de la mobilité électrique. 

Enfin, pour permettre la bonne intégration de ces moyens de production et de stockage d’énergie sur les sites de recharge, est arrivé un système gestion global appelé Energy Management System (EMS). Ce système permet de superviser et ajuster en temps réel les flux d’énergie sur le site, afin de les adapter aux besoins, aux contraintes locales et au contrat de raccordement. Il pilote la distribution de puissance, anticipe les appels de charge variables et maximise l’utilisation de la production locale. L’EMS permet ainsi de transformer une installation électrique classique en un système dynamique et intelligent. 

Grâce à une gestion intelligente via EMS, d’un stockage par batterie et de l’intégration de la production solaire, cette architecture (voir Figure 2) offre une optimisation des performances tout en maîtrisant les coûts, constituant ainsi une étape clé pour aborder la prochaine phase de la transition énergétique. 

Figure 2 : Architecture d’une infrastructure de recharge nouvelle génération 

Dans la suite de cet article, nous nous intéresserons à trois nouvelles sources de risques cybersécurité, introduits par l’ajout d’EMS au sein des infrastructures de recharges des CPO. 

L’EMS : un levier d’optimisation devenu un Single Point Of Failure

Les EMS se sont imposés comme un élément clé des infrastructures de recharge, en permettant aux CPO d’optimiser finement la gestion de la puissance et des stratégies de recharge. Cette centralité en fait un point critique en termes de cybersécurité – leur compromission peut entraîner des impacts opérationnels majeurs pour un CPO : 

• Indisponibilité d’une partie du parc de bornes ; 
• Dégradation de l’optimisation énergétique avec des impacts financiers directs ; 
• Déséquilibres de charge pouvant entraîner des limitations ou coupures de service sur site. 

Au-delà de ces scénarios d’incident, l’introduction des EMS modifie également en profondeur les risques auxquels les infrastructures de recharge sont exposées.  

Une dépendance accrue à des infrastructures tierces 

Le déploiement des EMS repose majoritairement sur des solutions « clés en main », associées à des plateformes de gestion opérées par les fournisseurs et hébergées dans des environnements cloud. Ces plateformes permettent aux CPO de piloter de manière centralisée l’ensemble de leur parc d’EMS en répondant à différents cas d’usages : optimisation de la puissance disponible, supervision des performances et pilotage à distance des stratégies de recharge. 

Cette architecture introduit toutefois une dépendance directe à des infrastructures tierces, situées hors du périmètre de contrôle du CPO. Elle élargit ainsi la surface d’attaque et renforce l’exposition des CPO aux risques de type supply chain.  

D’autant plus que ces fournisseurs sont souvent des acteurs spécialisés de taille limitée, dont la maturité en cybersécurité peut être hétérogène. Une compromission de ces plateformes peut ainsi avoir des impacts étendus, allant jusqu’à l’indisponibilité d’une partie significative des EMS opérés par un CPO et par extension un risque d’indisponibilité des bornes de recharge. 

De plus, la compromission de ces clouds EMS peut également entraîner des atteintes à la confidentialité des données, puisqu’elle permettrait à un attaquant de collecter des informations métiers sensibles, exploitables notamment à des fins d’espionnage : 

• Cartographie détaillée des sites et des équipements énergétiques déployés ; 
• Stratégies de pilotage énergétique, révélant les logiques d’optimisation mises en place par le CPO ; 
• Données de consommation et de puissance de l’ensemble des sites du CPO. 

Des communications locales reposant sur des protocoles peu sécurisés 

Ces nouvelles architectures étendent également la surface d’attaque au niveau du réseau local, en particulier via les communications avec les équipements énergétiques, encore largement basées sur des protocoles industriels peu sécurisés. 

À la différence des échanges entre systèmes de supervision (CPMS) et bornes, qui bénéficient de la standardisation apportée par OCPP, les communications entre l’EMS et les autres composants (BESS, Point de charge…) reposent encore majoritairement sur Modbus. 

Conçu à l’origine pour des environnements industriels fermés, ce protocole n’intègre pas nativement de mécanismes de sécurité tels que l’authentification ou le chiffrement. En pratique, chaque fabricant d’EMS met en œuvre ses propres mécanismes de protection, ce qui conduit à des niveaux de sécurité hétérogènes. Pour les CPO, cette diversité complique la sécurisation du parc et peut créer des nouveaux points de faiblesse exploitables au sein du réseau local. 

Les leviers pour sécuriser les infrastructures de recharge de nouvelle génération  

La sécurisation des infrastructures de recharge de nouvelle génération repose sur une approche structurée, permettant de concilier performance opérationnelle et maîtrise du risque cybersécurité. 

Assurer la résilience des architectures de recharge 

L’évolution des infrastructures de recharge introduit pour les CPO un point de défaillance unique (l’EMS). Pour y répondre, il est nécessaire de concevoir des architectures résilientes, capables de maintenir la continuité de service même en cas de défaillance de l’EMS. Cela peut notamment passer par :  

• La mise en place de dispositifs de supervision et d’alerte, permettant de détecter rapidement toute défaillance de l’EMS et d’activer les mécanismes de secours ; 
• La mise en place de modes de fonctionnement dégradés afin de permettre aux bornes d’assurer leur fonction même en cas de perte de disponibilité de l’EMS ; 
• La définition de stratégies de continuité et reprise d’activité incluant des scénarios de défaillance des EMS. 

Sécuriser les dépendances à des infrastructures tierces non maitrisées 

L’évolution de l’architecture des infrastructures de recharge oblige les CPO à maitriser à la fois les risques liés à la chaine d’approvisionnement et les risques propres à l’interconnexion entre le CPMS et les infrastructures cloud des fabricants d’EMS.  

Pour réduire les risques liés à la chaîne d’approvisionnement, les CPO doivent mettre en place des processus de qualification fournisseurs robustes, incluant notamment : 

• Evaluation du niveau de maturité cybersécurité du fournisseur ; 
• Evaluation du niveau de sécurité du produit au moyen de tests d’intrusion ; 
• Encadrement contractuel des relations fournisseurs, incluant si nécessaire la mise en place de Plans d’Assurance Sécurité (PAS). 

En plus de la maitrise de sa chaîne d’approvisionnement, les CPO doivent prendre en compte les risques introduits par l’interconnexion de leur infrastructure avec celles des fabricants d’EMS (cloud EMS). Cette sécurisation passe par la maitrise des flux entre les infrastructures du CPO et ces environnements externes. Cette sécurisation peut se faire par trois moyens principaux :  

• Mettre en place des mécanismes de filtrage et de contrôle des flux entre le réseau local des infrastructures de recharge et l’extérieur pour restreindre les communications seulement vers les infrastructures tierces légitimes ; 
• Formaliser des standards d’architecture sécurisées et veiller à leur mise en œuvre effective lors du déploiement d’EMS sur le terrain pour garantir une application homogène des bonnes pratiques cybersécurité ; 
• Implémenter des mécanismes d’isolation permettant de contenir les éventuelles défaillances du cloud EMS et éviter leur propagation à l’ensemble du parc. 

Sécuriser les communications reposant sur des protocoles industriels 

Les communications entre EMS et équipements énergétiques, notamment les BESS, reposent encore largement sur des protocoles industriels tels que Modbus, qui ne disposent pas de mécanismes de sécurité natifs. Dans ce contexte, la sécurisation de ces échanges ne peut reposer sur les protocoles eux-mêmes, mais doit être assurée au niveau de l’architecture des infrastructures. 

Cela implique notamment : 

• La mise en place d’une segmentation réseau stricte sur le réseau local, isolant les EMS, les BESS et les autres composants afin de limiter les surfaces d’exposition ; 
• Le contrôle fin des communications, en restreignant localement les flux aux seuls échanges nécessaires (filtrage, whitelisting, limitation des commandes autorisées) ; 
• La mise en place de dispositifs de supervision des échanges, permettant de détecter les comportements anormaux ou non autorisés. 

Mettre en place une gouvernance cybersécurité structurée 

Pour faire face à la diversité de composants et d’infrastructures exploités sur leur parc, il est indispensable pour les CPO de structurer l’ensemble autour d’une gouvernance claire comprenant notamment :  

• Clarification des rôles et responsabilités cyber sur l’ensemble de la chaîne de valeur (CPO, fournisseurs…) ; 
• Définition d’un processus d’intégration de la cybersécurité dans les projets, applicable à l’ensemble des projets dès leur phase de conception, garantissant une cohérence globale du niveau de sécurité des sites. 

En combinant une gestion rigoureuse des risques fournisseurs, un cadre de gouvernance solide et un contrôle strict des flux, les CPO peuvent tirer pleinement parti des gains opérationnels offerts par les EMS tout en sécurisant leur infrastructure de manière durable. 

Optimiser sans compromettre : le défi des infrastructures de recharge 

Pour conclure, l’essor des EMS transforme en profondeur les infrastructures de recharge, en apportant des leviers d’optimisation indispensables mais aussi de nouveaux risques cyber. Pour les CPO, l’enjeu n’est plus seulement de déployer ces solutions, mais de les sécuriser dans une logique globale, intégrant la gestion des risques fournisseurs, la définition d’architectures sécurisées et la structuration de la gouvernance cybersécurité. À ce titre, la cybersécurité s’impose désormais comme un prérequis à la performance durable des infrastructures de recharge. 

Cet article Infrastructures de recharge électrique : Performance énergétique et nouveaux défis cybersécurité est apparu en premier sur RiskInsight.

La directive RED (Radio Equipment Directive) instaure un cadre européen pour réguler tout équipement communiquant via des ondes radio. Cela inclut tout équipement utilisant du Wi-Fi, Bluetooth, LoRaWAN ou encore de la 4G/5G par exemple. 

À cet égard, la date du 1er août 2025 marque une échéance clé : à compter de cette date, les obligations de cybersécurité de la RED deviennent obligatoires ! Les opérateurs économiques (fabricants, importateurs et distributeurs) qui ne respecteront pas ces exigences s’exposent à des sanctions pouvant aller du retrait du produit sur le marché européen jusqu’à des amendes administratives importantes, selon la législation en vigueur dans chaque État membre.  

Cet article vise à déchiffrer cette directive, afin d’en extraire les grandes informations à retenir. Et si vous êtes en retard dans votre mise en conformité, vous pourrez trouver ici des informations sur comment vous lancer ! 

Qu’est-ce que la RED ? 

Adoptée en juin 2014, la RED (2014/53/EU) vise à harmoniser la mise sur le marché des équipements radio au sein de l’Union européenne. Son objectif premier est de garantir la conformité des dispositifs émettant ou recevant des ondes radio (comme les smartphones ou des routeurs Wi-Fi) en matière de santé, de sécurité, de compatibilité électromagnétique, et d’usage efficace du spectre radioélectrique. 

Ce n’est cependant qu’à partir de 2022 que la cyber est intégrée dans la RED, près de 8 ans après sa création. En effet, l’introduction du délégué d’acte 2022/30 a marqué une nouvelle phase, ajoutant des exigences spécifiques visant à renforcer la résilience des équipements radio face aux menaces numériques.  

Quel est le périmètre d’application de la RED ? 

Définition d’un équipement radio 

Selon l’article 2.1.1 de la directive RED, un équipement radio est défini comme : 
« un produit électrique ou électronique qui émet et/ou reçoit intentionnellement des ondes radio à des fins de radiocommunication et/ou de radiorepérage ». 

Concrètement, cela englobe tout dispositif utilisant des protocoles de communication sans fil tels que Wi-Fi, Bluetooth, Zigbee, LTE, 5G, NFC ou encore LoRa pour transmettre ou recevoir des données via le spectre radio. 

Ces technologies sont à la base de nombreux équipements du quotidien, notamment dans le domaine de la domotique ou de l’Internet des objets (IoT). Entrent ainsi dans le champ d’application de la directive RED un très large éventail de produits. 

Secteurs d’exclusion 

La directive RED ne s’applique pas à tous les équipements radio. Certaines catégories sont explicitement exclues de son champ d’application, notamment pour des raisons de souveraineté, de cadre réglementaire spécifique ou de cadre d’usage. 

Les secteurs soumis à leur propre règlementation : 

• Les équipements marins : sont exclus les équipements déjà soumis à la directive MED (Marine Equipement Directive) 
• Les équipements aéronautiques : sont exclus les équipements déjà soumis à la réglementation CRFCA (Common Rules in the Field of Civil Aviation) 
• Les équipements automobiles : sont exclus les équipements déjà soumis à la réglementation GSR II (New General Safety Regulation) 
• La défense et la sécurité publique : dispositifs utilisés par les autorités nationales dans le cadre de la défense nationale ou toute activité de sécurité publique 

Les équipements à but non commercial :  

• Les équipements de recherche personnalisés (R&D) : fabriqués sur mesure pour des fins expérimentales, non destinés à une mise sur le marché standard 
• Les équipements radioamateurs : lorsque ceux-ci ne sont pas mis sur le marché, mais construits et utilisés par des amateurs dans un cadre non commercial

Qui sont les acteurs économiques soumis et quelles sont leurs responsabilités ? 

La directive RED ne concerne pas uniquement les fabricants d’équipements radio. La RED s’applique à l’ensemble de la chaîne d’approvisionnement, de la conception à la mise sur le marché. Chaque acteur économique joue un rôle clé pour garantir la conformité, la sécurité et la fiabilité des produits. Pour ce faire, la RED définit des exigences distinctes selon 3 grandes catégories d’acteurs : les fabricants, les importateurs et les distributeurs. 

Il est important de noter qu’une même entreprise peut cumuler plusieurs de ces rôles à la fois, et que cela peut varier pour une même entreprise d’une gamme de produits à une autre.  

Fabricant

Le fabricant est en première ligne. Il est celui qui conçoit, produit ou apporte sa marque sur un produit éligible. Il porte à ce titre la majeure partie des actions de mise en conformité des produits à la RED. Il doit : 

• Mettre le produit en conformité avec les exigences essentielles de la RED 
• Veiller à ce que le produit reste conforme en cas de modifications 
• Lorsqu’approprié à la vue des risques, il effectue des tests par échantillonnage, tient un registre des tests et tient informé les distributeurs de l’historique des tests 
• Réaliser ou faire réaliser une évaluation de conformité 
• Fournir une déclaration UE de conformité 
• Apposer le marquage CE 
• Établir la documentation technique et les instructions utilisateur et la conserver 10 ans 
• Retirer du marché voire rappeler un produit en cas de non-conformité 
• Communiquer avec les autorités en cas de non-conformité constatée ou sur demande 

Importateur 

Lorsqu’un produit est fabriqué hors de l’UE, l’importateur est l’acteur responsable de son acheminement depuis son pays d’origine vers l’intérieur de l’UE. Il devient responsable de sa conformité au moment de son entrée sur le marché européen. Il doit : 

• Lorsqu’approprié à la vue des risques, il effectue des tests par échantillonnage, tient un registre des tests et tient informé les distributeurs de l’historique des tests 
• S’assurer que le stockage et le transport des produits n’altèrent pas leur conformité 
• S’assurer que le fabricant ait utilisé une méthode de certification autorisée 
• Vérifier la présence du marquage CE 
• S’assurer de la conformité de la documentation technique, la déclaration de conformité et les instructions utilisateur fournie et en conserver une copie pendant 10 ans 
• Retirer du marché voire rappeler un produit en cas de non-conformité 
• Communiquer avec le fabricant et les autorités en cas de non-conformité constatée ou sur demande 

Distributeur 

Le distributeur est l’acteur mettant le produit à disposition sur le marché auprès du client ou utilisateur du produit. Il a un devoir de vigilance vis-à-vis du travail réaliser en amont par le fabricant et l’importateur. Il doit : 

• S’assurer que le stockage et le transport des produits n’altèrent pas leur conformité 
• Vérifier la présence du marquage CE et la présence d’une déclaration UE de conformité 
• S’assurer de la conformité de la documentation technique et les instructions utilisateur 
• Retirer du marché voire rappeler un produit en cas de non-conformité 
• Communiquer avec le fabricant, l’importateur et les autorités en cas de non-conformité constatée ou sur demande

Quelles sont les exigences essentielles de cybersécurité ?  

La RED ajoute en 2022 4 exigences essentielles de cybersécurité. Ces exigences présentent des critères d’éligibilité en fonction de caractéristiques du produit et ne sont donc pas toutes exigibles pour tout produit. Les exigences représentent d’avantage des concepts de sécurité à intégrer qu’une liste précise de mesures de sécurité à implémenter. 

Sécurité Réseau 

Critère d’éligibilité : Concerne tous les équipements connectés à Internet, de manière directe ou indirecte. Il s’agit d’éviter que ces dispositifs ne compromettent la stabilité ou la performance du réseau. 

Requis cyber : D’une part, les équipements doivent être conçus pour utiliser le spectre radio de manière efficace, sans provoquer d’interférences nuisibles. Cela permet d’assurer une cohabitation harmonieuse entre différents appareils sans brouillage ni perturbation. D’autre part, ils ne doivent pas être capables de dégrader, perturber ou détourner le fonctionnement du réseau. 

Protection des données 

Critère d’éligibilité : S’applique uniquement aux équipements qui traitent des données personnelles. Elle vise à garantir le respect de la vie privée des utilisateurs. 

Requis cyber : Les appareils doivent intégrer des mécanismes de protection des données comme le chiffrement, afin d’empêcher tout accès non autorisé. Il s’agit non seulement de sécuriser les informations en transit mais également durant leur stockage. 

Protection contre la fraude 

Critère d’éligibilité : S’adresse spécifiquement aux équipements impliqués dans des transferts d’argent, comme les terminaux de paiement ou certains smartphones. Il s’agit de limiter le risque de fraude via ces équipements. 

Requis cyber : Le règlement impose l’intégration de fonctionnalités d’antifraude, sans prescrire de solution unique. Parmi les approches possibles, l’authentification multifacteur (MFA) peut constituer une mesure efficace, en ajoutant une couche de sécurité supplémentaire lors des transactions. Toutefois, d’autres mécanismes peuvent également être envisagés, en fonction du contexte d’usage et du niveau de risque identifié. 

Authenticité du logiciel 

Critère d’éligibilité : Concerne tous les équipements. Cela vise à empêcher l’installation ou l’exécution de logiciels non autorisés pour un équipement donné. 

Requis cyber : Mettre en place des fonctionnalités de vérification de la combinaison logiciel et matériel préalablement à toute installation. Cela peut passer par du secure boot, de la vérification de signature/certificat, de la vérification de hash ou toute autre méthode permettant de s’en assurer.

Comment se conformer à la RED ? 

Méthodes de mise en conformité 

La conformité à la directive RED peut rapidement devenir un exercice complexe, notamment lorsqu’il s’agit de déterminer les exigences applicables en matière de cybersécurité. Pour ce faire le CENELEC a publié début 2025 le standard harmonisé associé à la RED : l’EN 18031. Ce standard permet de préciser les exigences et il fournit un cadre officiel pour sa mise en conformité RED. 

Cependant il est important de souligner que l’utilisation de l’EN 18031 n’est pas obligatoire. Certifier son produit conforme à l’EN18031 est seulement l’une des manières de mettre un produit en conformité avec le CRA. Un arbre de décision fournit par la RED permet de définir, en fonction du produit, quelle méthode de mise en conformité est autorisée. L’une d’entre-elles consiste en un self-assessment, c’est-à-dire une autoévaluation de la conformité aux exigences essentielles, à condition de documenter rigoureusement les mesures techniques mises en place et les justifications associées. 

Toutefois, il est important de noter que ces outils (EN18031 et arbres de décision), bien que très utiles restent complexes dans leur mise en œuvre dû à une marge laissée à l’interprétation sur certains aspects.

Démarche type pour un fabricant 

De l’expérience de Wavestone en matière de projets de mise en conformité cyber à des règlementations, et plus précisément des règlementations ciblant des produits, nous vous proposons un cadrage en 10 grandes étapes : 

1. Inventaire : Réaliser un inventaire des équipements radio commercialisés en UE et ne faisant pas partie des secteurs exclus 
2. Exigences : Appliquer les critères d’éligibilité par produit pour identifier les exigences essentielles applicables 
3. Stratégie : Appliquer l’arbre de décision pour identifier les méthodes de certification possibles et valider la stratégie retenue par produit en fonction des risques 
4. Référentiel : Préciser (EN18031) ou traduire (texte de loi) le référentiel utilisé en mesures de sécurité concrètes au format point de contrôle auditable  
5. Ecarts : Comparer l’état actuel des produits et processus aux points de contrôle du référentiel utilisé pour en tirer un plan de remédiation 
6. Remédiation : Mettre en œuvre le plan de remédiation à la maille produit et transverse afin d’en assurer un maintien dans le temps 
7. Documentation : Documenter et justifier les choix entrepris et les actions réalisées au regard des exigences de la RED et/ou de l’EN18031 
8. Instructions : Documenter les bonnes pratiques d’utilisation et les consignes de sécurité afin de garantir une exploitation conforme aux exigences 
9. Self-assessment / Certification tierce : Réaliser un self-assessment ou un audit via un organisme de certification en fonction de la stratégie adoptée 
10. Communication : Apposer le marquage CE et faire l’interface avec les autorités et les autres acteurs économiques impliqués 

Comment la RED s’inscrit-elle dans le panorama réglementaire cyber produit ? 

La directive RED et le Cyber Resilience Act (CRA) partagent clairement un terrain commun. Si vous ne connaissez pas encore le CRA, vous pouvez en consulter un décryptage ici. Le périmètre d’application de la RED est inclus dans le CRA et les exigences essentielles du CRA vont au-delà de ce qui est demandé par la RED. En ce sens, une conformité au CRA induit une conformité à la RED. Le CRA entrant pleinement en application en décembre 2027, il y aurait des réflexions au niveau européen pour que les exigences cyber de la RED ne s’appliquent que jusqu’à cette date et que le CRA prenne ensuite la relève. Cela ferait en effet sens mais aucune communication officielle en ce sens n’a à ce jour été faite. 

En revanche, se mettre en conformité avec la RED dès aujourd’hui permet aux entreprises de se préparer efficacement à la mise en œuvre du CRA. Les deux cadres réglementaires reposent sur des démarches similaires et les standards harmonisés du CRA sont en cours de rédaction par le CENELEC, le même organisme ayant produit l’EN18031, le standard harmonisé de la RED.  

Ainsi la mise en conformité RED, au-delà d’être une obligation à partir d’août 2025, devient un atout stratégique pour anticiper le CRA et les futures obligations européennes en matière de cybersécurité des produits. 

Cet article ​​Radio Equipment Directive : Une première brique vers la sécurisation des produits connectés européens​ est apparu en premier sur RiskInsight.

Ainsi, devriez-vous vous lancer dans l’aventure des sondes OT ? Et si oui, comment réussir le déploiement d’un service de sondes ?  

Sondes OT : Un outil pour surveiller les réseaux industriels 

Image 1 : Écouter le réseau pour l’inventorier et détecter 

Une sonde de détection est un équipement, virtuel ou physique, connecté au système d’information (SI) afin de le cartographier et de le surveiller. Elle se compose de capteurs répartis dans le réseau pour collecter des données et d’un équipement central pour corréler ces données. Les sondes pour environnements industriels – que nous appellerons ici sondes OT – se caractérisent par leur écoute passive et non invasive du réseau, et leur compréhension des protocoles et comportements industriels. De nombreux acteurs sont présents, vous pouvez retrouver notre vision du marché ici : https://www.riskinsight-wavestone.com/2021/03/les-sondes-de-detection-en-milieu-industriel-notre-vision-du-marche/  

Toutes leurs sondes fonctionnent sur le même principe : le trafic réseau est collecté en utilisant de la duplication de flux (SPAN, ERSPAN …) ou des duplicateurs physiques comme les taps. Les paquets sont inspectés en temps réel pour fournir plusieurs types de données : inventaire et cartographie des flux, gestion des vulnérabilités, et enfin détection des anomalies et des incidents. 

La grande diversité des cas d’utilisation possibles de ces données et la variété de ses utilisateurs (équipe opérationnelle et commerciale, équipe de cybersécurité, etc.) font la popularité de ces sondes OT.  

Cependant, ces solutions, tout comme leur déploiement et exploitation, sont coûteuses et nécessitent une bonne compréhension des besoins, des utilisateurs potentiels et de la valeur ajoutée avant de se lancer. 

Prenons deux exemples … 

Imaginons deux entreprises envisageant de déployer des sondes OT sur leurs sites industriels.

1ère entreprise : WavePetro 

WavePetro possède un large site sensible, avec une bonne maturité cyber et une architecture très segmentée. L’entreprise souhaite déployer des sondes OT pour se conformer à la réglementation et améliorer ses capacités de détection. 

Compte tenu de son architecture et de ses besoins de détection, de nombreux points d’écoute seront nécessaires. WavePetro peut compter sur ses équipes locales et leur expertise et connaissance du site pour réaliser le déploiement. 

2nd entreprise : RenewStone 

RenewStone est une entreprise possédant de nombreux petits sites géographiquement dispersés et sans équipe locale, avec une maturité cyber hétérogène. Ses sites sont interconnectés avec l’infrastructure du groupe. 

L’entreprise souhaite déployer des sondes OT pour gagner en visibilité sur ses sites en utilisant les fonctions d’inventaire et de cartographie.  

Ainsi, RenewStone a besoin de standardiser un service de sondes OT pour ses sites et de pouvoir proposer des déploiements avec le moins de complexité locale possible.  

Image 2 : 2 entreprises, 2 besoins, 2 implémentations 

… et leurs déploiements vers un service de sondes fonctionnel 

Bien que ces deux entreprises aient des besoins et maturités cyber différentes, les 5 étapes clés de déploiement restent les mêmes, bien qu’avec des approches différentes.   

1.Preuve de concept 

La première étape est la preuve de concept (PoC : Proof of Concept).  
L’objectif pour les deux entreprises est de tester la faisabilité et la valeur ajoutée des sondes OT sur leurs périmètres. 

Alors que WavePetro doit valider la faisabilité sur un périmètre réduit dans son usine, RenewStone doit se concentrer sur la validation de la valeur du service de sonde OT sur quelques-uns de ses sites. 

Pour tirer le maximum du PoC, il est important de : 

• Adapter la sélection des fournisseurs à vos besoins : Le marché est très diversifié entre les pure-players, ceux spécialisé au secteur industriel ou qui étendent leurs solutions IT à l’OT …  
  Les questions à se poser : Est-ce que je veux de fortes capacités de détection ? Est-ce que je veux un service managé ? Est-ce que je veux une solution unifiée pour l’IT et l’OT ?  
• Sélectionner le champ d’application du PoC : Identifier un périmètre représentatif avec des ressources à tester afin que les résultats puissent être reproduits à l’échelle.  
• Rédiger une architecture cible avant le PoC : tester une architecture représentative de ce qui serait déployé à l’échelle, afin de valider les tests effectués. 

Le PoC est essentiel pour s’assurer que les sonde OT apporte de la valeur, mais également pour pouvoir convaincre de les déployer, en particulier lorsqu’elles ne sont pas contraintes par des réglementation. 

2.Construction d’un modèle opérationnel 

Dès le début du projet, il est important de se rappeler que l’objectif final du déploiement des sondes OT : Collecter des informations utilisables et valorisables. Pour ce faire, il est important de : 

• Définir un modèle opérationnel pour le traitement des alertes, de l’inventaire et la gestion des sondes. Alors que WavePetro peut avoir un modèle d’exploitation reposant sur les connaissances et l’expertise locales, RenewStone doit construire un modèle d’exploitation central avec les équipes du groupe telles que le SOC, la sécurité OT, le réseau, l’infrastructure, etc. 
• Décider de faire appel à un tiers ou de gérer vos sondes en interne : Peu de fournisseurs proposent des services de gestion, vous devrez donc créer votre propre modèle, qui pourrait également s’appuyer – en totalité ou partiellement – sur de l’externalisation. 
• Créer un RACI : Compte tenu des différents cas d’usage et du nombre d’acteurs impliqués dans l’utilisation ou la maintenance des sondes, un RACI est essentiel pour s’assurer que toutes les parties prenantes nécessaires seront impliquées et mobilisées. 

Cette étape doit être traitée en amont pour faciliter les étapes suivantes du déploiement. 

3.Préparation au déploiement 

Une fois que la première étape a démontré la valeur ajoutée d’une sonde et que son modèle de fonctionnement a été défini, préparons le déploiement ! Vous devez définir la cible finale : 

• Où déployer la sonde : En particulier si vous avez de nombreux sites différents, comme RenewStone, vous devez prioriser : quels sont vos sites sur lesquels déployer ? Vous pouvez vouloir déployer sur les sites les plus critiques seulement et rendre le service disponible pour d’autres à la demande. Les sites sélectionnés doivent également permettre un déploiement. Quels sont les prérequis au déploiement ? Ils peuvent par exemple être définis selon les équipements réseaux disponibles. 
• Quand déployer : Travaillez sur dès que possible sur des estimations budgétaires afin que les sites soient en mesure de prévoir un déploiement. Les sondes sont une solution coûteuse, non seulement en termes de matériel et de licences, mais également en ressources, pour les déployer et les exploiter. 
• Comment déployer : Dans tous les cas, vous devez construire une architecture pour le déploiement des sondes OT. En particulier, si vous avez de nombreux sites à déployer ou des ressources locales très limitées, vous devez travailler à l’élaboration d’une offre de service packagée à déployer.  

Cette préparation est un passage obligé pour éviter de perdre du temps lors des déploiements et garantir leur succès. 

4.Déploiement 

Il est temps de s’attaquer au déploiement ! Le mot d’ordre est la même pour les deux entreprises : Avancer pas à pas. La différence réside dans l’échelle : 

• Un déploiement progressif sur le site de WavePetro : Il faudra du temps pour pouvoir « écouter » efficacement partout. Concentrez-vous sur les données attendues pour prioriser l’emplacement initial de la sonde et ses points d’écoute. 
• Apprendre et s’améliorer d’un déploiement à l’autre pour RenewStone : Les déploiements sont centralisés et plus standardisés, donc les équipes apprendront et s’amélioreront d’un déploiement à l’autre. Inclure un panel de sites représentatifs dans la première vague permet de tester et améliorer le modèle de déploiement. 
• Ne pas négliger la conduite du changement : dans les deux cas, le déploiement d’une nouvelle solution doit absolument inclure de la sensibilisation et de la formation afin que les sondes OT trouvent leurs utilisateurs. 

Le déploiement de sondes OT peut être un processus long et fastidieux, mais ne vous découragez pas en chemin, car il reste encore une dernière étape à franchir !

5.Fine-tuning 

Une sonde OT est un outil d’amélioration continue, la détection doit gagner en valeur avec le temps. Vous devez donc consacrer du temps à : 

• Configurer le tableau de bord de la console : Prendre le temps d’améliorer le modèle de détection (liste blanche de certains comportements, priorisation des actifs sensibles…), l’inventaire automatique des actifs et la cartographie (enrichir l’inventaire, importer des données, taguer les VLAN…), et ainsi de suite. Ce fine-tuning doit être effectué par une personne familière avec les sites industriels.  
• Intégrer d’autres technologies : Vous pouvez lier les consoles à d’autres outils de votre entreprise, tels que le SIEM, les pares-feux ou la CMDB, afin d’exploiter au maximum les données collectées par les sondes. 
• Testez d’ajouter des fonctionnalités : une fois que vous avez acquis une certaine maturité avec la solution, vous pouvez aller encore plus loin avec les fonctionnalités disponibles, comme l’exécution de requêtes actives pour enrichir l’inventaire. 

Le fine-tuning permet de limiter le nombre de faux-positifs, afin de se concentrer sur les données qui apporteront de la valeur à votre entreprise et à sa sécurité. 

Image 3 : Les 5 étapes clés d’un déploiement de service de sondes OT 

Conclusion 

Ces deux exemples nous ont beaucoup appris sur les sondes de détection industrielle et sur les nombreux défis liés à leur déploiement et utilisation.  

Si demain, je fais face à un client industriel qui se demande que faire de ce projet sonde sur sa feuille de route, je lui partagerai ces 3 conseils :  

Image 4 : Les 3 clés d’un déploiement réussi 

Questionner la valeur ajoutée de ses sondes 

En l’absence de cas d’utilisation clairement identifiés et d’objectifs déterminés, vous pouvez vous retrouver avec des sondes fournissant des informations inutilisées ou sans réelle valeur ajoutée. Les sondes OT sont coûteuses, à la fois financièrement et en termes de temps. Vous devez être sûr qu’elles en valent la peine, et vous donnez les moyens de les exploiter pleinement. 

Pour ce faire, prenez le temps d’évaluer la qualité et la valeur des informations remontées par les sondes OT avec vos différentes équipes (cybersécurité, exploitation, business …). 

Avancer pas à pas 

Ne craignez pas de commencer petit et de croître progressivement, qu’il s’agisse du nombre de sites déployés, du nombre de points d’écoute ou de cas d’utilisation des sondes OT. 

L’exploitation à long terme des sondes OT est complexe et se construit au fil des déploiements. Prenez le temps de soigner l’adoption de la solution : si vous voulez que les équipes utilisent la solution, formez les et montrez en leur la valeur !  

Compter sur l’amélioration continue 

Les sondes OT peuvent fournir nombre de fonctionnalités allant de la détection d’incidents à la cartographie, en passant par la gestion des vulnérabilités et bien d’autres encore qui doivent être publiées par les éditeurs. 

Concentrez-vous d’abord sur les fonctionnalités qui réduisent vos risques OT, en améliorant progressivement les services au fur et à mesure qu’ils gagnent en maturité ! 

Cet article Sondes de détection pour l’OT : Les clés pour réussir son déploiement  est apparu en premier sur RiskInsight.

En quelques mots, si vous fabriquez, importez ou revendez un produit avec des éléments numériques, vous serez sûrement affecté par le CRA et devrez veiller à sa conformité. Cet article vise à éclairer sur : Que prévoit cette réglementation ? Qui est concerné ? Comment assurer la conformité ? 

Qu’est-ce que le CRA et qu’implique-t-il ?   

Pour comprendre la nécessité du CRA, il est crucial de considérer le contexte plus large de la cybersécurité en Europe. Le CRA est une réglementation ambitieuse conçue pour assurer la sécurité des citoyens de l’UE en s’attaquant aux faibles niveaux observés aujourd’hui de cybersécurité des produits avec des éléments numériques, par le biais d’une intervention politique de l’Union européenne. Pour ce faire, des études approfondies axées sur la cybersécurité des produits numériques ont été menées, aboutissant à la proposition d’une législation définissant les obligations pour l’ensemble des acteurs de la chaîne d’approvisionnement des produits, des fabricants aux distributeurs. 

L’implication de Wavestone dans ce processus souligne son engagement à améliorer les normes de cybersécurité. Nous avons participé à une étude exploratoire approfondie commandée par l’UE, en engageant un large éventail de parties prenantes, y compris des autorités nationales, des organes de l’UE, des fabricants de matériel et de logiciels, des associations professionnelles, des organisations de consommateurs, des chercheurs, des universitaires et des professionnels de la cybersécurité. 

Grâce à la position de Wavestone en tant que leader mondial, et particulièrement européen, dans le domaine de la cybersécurité, plusieurs interviews, groupes de discussion et ateliers ont été organisés. Des informations précieuses ont été recueillies auprès d’interlocuteurs variés, offrant une vision complète qui prend en compte les perspectives de toutes les parties prenantes et permettant de poser les bases du développement du CRA. 

Définition et périmètre 

Le CRA est une proposition législative qui définit les obligations des fabricants, importateurs et distributeurs de produits contenant des éléments numériques commercialisés dans l’UE, tous devant porter le marquage CE dans tous les secteurs. Tel que défini dans la réglementation, cela inclut « tout produit logiciel ou matériel ainsi que ses solutions de traitement de données à distance, comprenant des composants pouvant être commercialisés séparément ». L’objectif de cette réglementation est non seulement de sécuriser les produits autonomes, mais aussi d’assurer la sécurité des chaînes de transmission de données et des infrastructures centrales grâce à l’application de cette norme. 

À cette notion de produit s’ajoute une notion de criticité, le CRA distingue donc deux types de produits : les produits avec des éléments numériques et les produits critiques avec des éléments numériques. Comme détaillé ci-dessous dans la partie « Checklist de conformité au CRA », cela influencera la manière dont la conformité pourra être atteinte. 

Quelques exemples de produits avec des éléments numériques incluent les produits de consommation, les smart cities et les logiciels non essentiels. Les produits critiques avec des éléments numériques comprennent, par exemple, les systèmes de contrôle industriel et les pare-feu. La liste détaillée des produits concernés se trouve dans les annexes de la réglementation. 

 Cependant, comme détaillé ci-dessous dans « Un écosystème complexe », le CRA ne s’applique pas universellement, et les produits de certains secteurs spécifiques ne sont pas tenus de se conformer aux exigences. 

Parties prenantes et responsabilités 

Le CRA impacte tout le cycle de vie des produits numériques, depuis le développement par les fabricants, importateurs et distributeurs jusqu’au consommateur final, mais aussi la gestion des vulnérabilités depuis la conception jusqu’à la fin de vie du produit, au travers d’une responsabilité partagée. 

Exigences essentielles  

Comme mentionné précédemment, l’objectif du CRA est de garantir un niveau suffisant de cybersécurité dans les produits contenant des éléments numériques. Pour ce faire, il introduit des exigences essentielles reposant sur trois piliers  

• Sécurité des produits : Assurer que les produits sont conçus, développés et fabriqués pour atteindre des niveaux de cybersécurité appropriés et qu’ils sont exempts de vulnérabilités exploitables connues. 
• Documentation utilisateur : Fournir une documentation pour garantir une utilisation sécurisée, depuis la mise en service jusqu’à la fin de vie du produit. 
• Gestion des vulnérabilités : Identifier et documenter les vulnérabilités, réaliser des tests de sécurité réguliers, et mettre en place une politique de divulgation des vulnérabilités. 

En cas de non-conformité aux exigences essentielles, des sanctions peuvent être appliquées à l’une des trois parties prenantes. Comme pour le RGPD, chaque État membre doit déterminer les sanctions applicables en cas de violation de cette réglementation. Les pénalités sont basées sur le chiffre d’affaires annuel de l’entreprise et la gravité de l’infraction, avec des amendes pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial total pour les violations graves. 

Comment se conformer au CRA ? 

Chronologie du CRA  

Le CRA a été un projet à long terme, avec presque 10 ans entre l’identification du besoin et la mise en application, reflétant la complexité de l’établissement de réglementations de cybersécurité complètes: 

Les entreprises ont jusqu’en 2026 pour se conformer, avec des obligations intermédiaires. Des exigences similaires peuvent être trouvées dans d’autres réglementations, telles que la NIS2, mais contrairement à d’autres réglementations, le CRA ne nécessite pas de transposition nationale. Le CRA a été adopté par le Parlement européen en mars 2024, et il attend un vote du Conseil européen pour devenir une loi. 

Un écosystème complexe 

L’une des principales préoccupations soulevées lors de la préparation était de savoir comment naviguer dans la multitude de réglementations existantes et parvenir à une harmonie réglementaire, en particulier dans les secteurs où les normes de sécurité, de protection de la vie privée et de cybersécurité s’entrecroisent.  

Le CRA vise à favoriser l’interopérabilité en s’alignant sur le cadre général de la sécurité des produits, sur les exigences de la loi sur la cybersécurité pour les produits, processus et services TIC, et sur les normes de marquage CE pour la conformité européenne. 

Pour simplifier la mise en conformité, le CRA inclut des présomptions de conformité avec les réglementations existantes telles que la directive RED, la loi sur l’IA et certaines règles sectorielles.  

Toutefois, le CRA ne s’applique pas de manière universelle ; certains secteurs, tels que le secteur médical, l’aviation et l’automobile, sont déjà régis par des réglementations établies et sont donc exemptés des dispositions de la réglementation. 

 Checklist de conformité au CRA 

La mise en conformité au CRA implique une compréhension approfondie du texte principal du règlement et de ses deux annexes, qui détaillent la liste des produits concernés, les exigences essentielles, les obligations des fabricants, des importateurs et des distributeurs, ainsi que les autorités nationales compétentes et les sanctions.  

Le processus de certification varie en fonction de la criticité du produit : 

• Pour les produits non critiques : une auto-évaluation est nécessaire. 
• Pour les produits critiques : une évaluation par un tiers est nécessaire, ce qui signifie que la conformité du produit au CRA sera évaluée par une entité certifiée. Au moment de la rédaction de cet article, les schémas de certification exacts n’ont pas encore été spécifiés, mais en France, la certification CESTI est en discussion. 

Cinq points de contrôle principaux doivent être pris en compte pour assurer la conformité :   

1. Analyse d’écarts législatifs : Identifier les écarts entre les pratiques actuelles et les exigences du CRA en examinant les politiques, les processus et les contrôles existants en matière de cybersécurité afin d’identifier les zones nécessitant une amélioration. 
2. Évaluation de la sécurité des produits : Effectuer des évaluations approfondies pour garantir l’identification et la sécurité des produits.  
3. Mise à jour des instructions destinées aux utilisateurs : Fournir une documentation claire et complète à l’intention des utilisateurs en veillant à ce que tous les produits soient accompagnés d’une documentation conforme aux normes de la réglementation. 
4. Gestion des vulnérabilités : Mettre en place un processus d’identification et de partage des vulnérabilités. 
5. Revue de l’organisation interne : Mettre en œuvre une procédure permanente pour assurer la conformité, couvrant les points clés mentionnés ci-dessus et surveiller les changements de produits ou de législation qui pourraient impliquer de nouveaux écarts à remédier. 

En conclusion, le Cyber Resilience Act représente un cadre complet pour renforcer la cybersécurité des produits numériques au sein de l’UE. La conformité avec cette réglementation nécessite une préparation approfondie. Pour les entreprises, se conformer au CRA n’est pas seulement une obligation légale, mais aussi une opportunité d’améliorer leur position sur un marché de plus en plus conscient des enjeux de cybersécurité. 

Cet article Cyber Resilience Act : Une révolution qui redéfinit la sécurité des produits et transforme l’écosystème est apparu en premier sur RiskInsight.