Dans son bilan de l'année 2025, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) décrit une menace qui ne vise plus seulement les grands comptes : les PME, les TPE et les ETI constituent la catégorie d'entités la plus affectée par les rançongiciels qu'elle a traités (ANSSI, 2026).

Pourtant, quand le sujet s'ouvre en comité de direction, la discussion part vers le pare-feu, l'antivirus, la sauvegarde. Rarement vers la question qui décide de tout : combien de personnes extérieures à l'entreprise peuvent, ce soir, se connecter à un équipement de production ? La réponse n'existe nulle part. Pas parce qu'elle serait confidentielle — parce que personne ne l'a jamais établie. Chaque accès a été ouvert pour une bonne raison, un jour, par quelqu'un qui n'est peut-être plus là.

Quelques chiffres pour nommer la pression réelle sur les sites de production :

• 3 586 événements de sécurité traités par l'ANSSI en 2025, soit une diminution de 18 % par rapport à l'année précédente (ANSSI, 2026)

• 1 366 incidents portés à la connaissance de l'Agence sur la seule année 2025 (ANSSI, 2026)

• 128 compromissions par rançongiciel traitées en 2025, dont 37 % touchant des PME, TPE et ETI (ANSSI, 2026)

• 196 incidents relatifs à des exfiltrations de données traités en 2025, contre 130 en 2024 (ANSSI, 2026)

• 4 875 incidents recensés dans l'Union européenne entre juillet 2024 et juin 2025, dont 2,9 % dans le secteur manufacturier, selon l'agence de l'Union européenne pour la cybersécurité (ENISA, 2025)

• 21,3 % des accès initiaux obtenus par exploitation de vulnérabilités (ENISA, 2025)

Automates, écrans de supervision, PC de maintenance : le réseau que votre DSI n'administre pas

Dans presque tous les sites que nous rencontrons, il existe deux informatiques. L'une est gérée, inventoriée, corrigée, sauvegardée. L'autre tourne à l'atelier, sous la responsabilité de la production, et elle est traitée comme un équipement mécanique : on n'y touche pas tant qu'elle fonctionne.

Cette seconde informatique, ce sont les technologies opérationnelles (OT) : automates, écrans de supervision, bancs de test, PC de maintenance sous système d'exploitation figé parce que le logiciel du fournisseur ne tourne que là. Elle a trois caractéristiques qui, mises ensemble, dessinent un chemin d'attaque.

Un réseau plat : le poste bureautique du service méthodes et l'automate de la ligne 3 se parlent souvent sans obstacle. Ce qui compromet le premier atteint le second.

Des équipements que l'on ne redémarre pas : une correction de sécurité suppose un arrêt, l'arrêt suppose une fenêtre, et la fenêtre se négocie un an à l'avance. Les vulnérabilités connues restent donc ouvertes longtemps après leur publication.

Une bordure vieillissante : les équipements exposés en frontière de réseau concentrent le risque. L'ANSSI relève qu'ils ont été « affectés par de nombreuses vulnérabilités, quand il ne s'agissait pas de faiblesses techniques inhérentes à leur conception » (ANSSI, 2026). L'exploitation de vulnérabilités reste d'ailleurs l'un des tout premiers vecteurs d'accès initial en Europe (ENISA, 2025).

Le résultat est une géométrie absurde : un pare-feu de dernière génération à l'entrée du siège, et une porte blindée posée dans une cloison de placo à l'entrée de l'atelier.

Votre sécurité est celle du mainteneur le moins rigoureux

Aucun de ces accès n'a été ouvert par négligence. Chacun a une histoire.

La mise en service d'une ligne, où l'intégrateur demande une liaison le temps du réglage. Une panne un dimanche soir, où le constructeur ne peut intervenir qu'à distance et où la production attend. Un boîtier de télémaintenance livré avec la machine, préconfiguré par le fournisseur, branché par un électricien. Un ordinateur portable de sous-traitant, connecté au réseau de l'atelier pour lire un journal d'automate.

Chacune de ces décisions était la bonne. Ce qui manque, c'est ce qui vient après.

Aucun inventaire : les accès ne figurent dans aucun registre commun, parce qu'ils ont été ouverts par la production, par la maintenance, par l'intégrateur, jamais par la même personne.

Aucune échéance : un accès ouvert pour trois jours reste ouvert trois ans. Rien, dans la configuration, ne porte de date de fin.

Aucune révocation : quand un contrat de maintenance s'arrête, le contrat s'arrête. L'accès, lui, continue.

L'effet net est que votre niveau de sécurité devient celui du tiers le moins rigoureux de votre parc machines et l'ANSSI note que les exfiltrations de données sont « parfois consécutives à la compromission d'un prestataire » (ANSSI, 2026). Vous n'avez pas été visé. Vous avez été traversé.

Un calendrier réglementaire existe par ailleurs, et il est en retard. La directive (UE) 2022/2555, dite NIS2, adoptée le 14 décembre 2022 et publiée le 27 décembre 2022 (EUR-Lex), devait être transposée avant le 17 octobre 2024. La Commission européenne a renvoyé l'Irlande, l'Espagne, la France et les Pays-Bas devant la Cour de justice de l'Union européenne le 8 juillet 2026 pour n'avoir pas notifié leurs mesures de transposition (Commission européenne, 2026), et la transposition française était encore en cours d'examen parlementaire au dernier état documenté par l'Agence (ANSSI, 2025). Ce calendrier fixera des obligations. Il ne ferme aucun accès.

L'attaquant ne cherche pas une cible importante, il cherche une cible atteignable

L'objection est toujours la même : « nous ne sommes pas une infrastructure vitale, nous fabriquons des pièces ». Elle suppose une sélection par l'importance. La sélection se fait par l'exposition.

Un balayage automatisé d'internet ne lit pas votre chiffre d'affaires. Il repère un service d'accès distant qui répond, sur une version qui porte une vulnérabilité publique. Ce que l'attaquant sait de vous, il l'apprend après être entré. Et il découvre alors ce qui rend un industriel intéressant : l'arrêt d'une ligne de production crée une pression au paiement que peu de secteurs égalent.

Le scénario de l'arrêt n'est d'ailleurs pas le seul. La tendance documentée est aussi celle du vol, avec des incidents d'exfiltration en nette progression d'une année sur l'autre (ANSSI, 2026). Pour vous, cela désigne des plans, des gammes de fabrication, des conditions d'achat, des dossiers de qualification. Ce patrimoine ne déclenche aucune alarme en partant et ne manque à personne le lendemain matin. Il réapparaît deux ans plus tard dans une offre concurrente, sans qu'aucun lien puisse être établi.

Il existe enfin un canal plus rapide que le régulateur : votre client. Un donneur d'ordre couvert par NIS2 doit maîtriser sa chaîne d'approvisionnement, et il le fera en vous transmettant des exigences contractuelles, preuves à l'appui. Nous avions montré, dans 53 % des serveurs MCP sont des nids à hackers, à quelle vitesse une brique technique adoptée sans cadre devient un point d'entrée.

4 actions concrètes pour reprendre la main sur vos accès

1. Inventoriez les chemins, pas les équipements. Un inventaire de machines ne dit rien du risque. Ce qui compte est la liste des points par lesquels un flux entre ou sort de l'atelier : accès de télémaintenance, clés USB de mise à jour, liaisons vers le MES, remontées vers l'ERP. Cette liste s'établit en interrogeant la maintenance, pas en scannant le réseau.

2. Donnez une date de fin à chaque accès de tiers. Un accès fournisseur se demande, s'ouvre pour une durée, se trace, puis se ferme. Tant qu'il est permanent, il équivaut à un compte administrateur confié à une entreprise dont vous ne contrôlez ni les postes, ni les départs, ni les mots de passe.

3. Découplez au lieu de cloisonner. La segmentation par segment de réseau virtuel (VLAN) atteint vite sa limite face à des protocoles industriels anciens. Le découplage architectural, où chaque échange passe par un point de médiation qui connaît le flux attendu, tient mieux dans la durée. C'est ce que nous appelons l'urbanisation logicielle agile, et la démarche est détaillée en Transformation Numérique.

4. Écrivez la chaîne de déclaration avant d'en avoir besoin. Qui constate, qui qualifie, qui décide d'isoler une ligne, qui prévient la direction et les clients. Cette procédure ne coûte rien à écrire à froid, et elle est impossible à improviser un dimanche matin.

Ouvrir un accès sans exposer le système suppose un intermédiaire qui connaît le flux attendu. C'est le principe sur lequel akawan a construit Kaptngo, une passerelle destinée à remplacer des pare-feu et des réseaux privés virtuels (VPN) matériels vieillissants : elle prend en charge les échanges machine à machine, les applications et protocoles hérités, les serveurs de licences et les protocoles de transport TCP et UDP, avec une contrainte de départ, s'adapter aux besoins sans perturber les systèmes existants. Le périmètre fonctionnel figure sur la fiche Kaptngo.

On ne sécurise pas un atelier qu'on n'a pas inventorié

Il n'y aura pas de moment où votre atelier deviendra sûr. Il y aura une liste d'accès, tenue par quelqu'un, revue à intervalle fixe, et réduite à chaque revue. C'est un travail sans relief, qui se présente mal en comité, et qui décide pourtant de ce qui arrivera le jour où un balayage automatisé trouvera votre passerelle de maintenance.

Ce travail est à la portée d'une ETI, parce qu'il ne demande ni budget exceptionnel ni compétence rare. Il demande de la constance, et il avance au rythme des fenêtres d'arrêt, pas au rythme des annonces. C'est exactement pour cela qu'il faut le commencer avant d'y être contraint : une fenêtre d'arrêt ne se rattrape pas.

La question à poser à votre équipe cette semaine tient en une ligne : combien d'accès distants existent aujourd'hui vers nos équipements de production, et qui, nommément, peut les fermer ?

Qui sommes-nous ?

akawan est une ESN d'expertise indépendante basée à Toulouse, spécialisée en intelligence artificielle, transformation numérique, architecture des systèmes d'information et agilité. Nous accompagnons les entreprises et les industries dans la modernisation de leur écosystème logiciel, pour permettre aux directions techniques et opérationnelles de valoriser leurs données et de sécuriser leur croissance.