Sûreté portuaire. De la conformité à la lutte contre la menace, lecture de l'arrêté du 29/06/2026

Publié au Journal officiel le 2 juillet 2026, l’arrêté du 29 juin 2026 portant diverses dispositions relatives à la sûreté portuaire [1] est avant tout un texte de lutte contre le narcotrafic. Il découle de la loi du 13 juin 2025 [2] et du décret du 18 juin 2026 [3]. Son objet premier est relatif au contrôle d’accès : badges, véhicules, et protection des personnels dans les ports. Le mot « cyber » n’y occupe que quelques lignes. Mais des lignes qui ont malgré tout leur importance.

Ce sont des retouches impressionnistes, quand d’autres, suivez mon regard, ont bâti puis renforcé un régime dédié à coups de pavés réglementaires. À l’heure où les cyberattaques actuelles ont montré la limite d’une approche uniquement fondée sur la conformité, difficile de dire laquelle des deux réussira le mieux. Sans moyens humains ou financiers pour les faire appliquer, nous avons toutes et tous vécu des situations où la réglementation et la conformité n’étaient pas applicables, et où la liste des « risques résiduels » pouvait devenir préoccupante.

D’où vient ce texte

On lit parfois que cet arrêté répond à la menace de sabotage informatique des infrastructures portuaires. Sa généalogie est autre. Il s’inscrit dans le paquet réglementaire issu de la loi du 13 juin 2025 visant à sortir la France du piège du narcotrafic, aux côtés du décret n° 2026-524 du 18 juin 2026, de l’arrêté du 25 juin 2026 sur la mise en œuvre territoriale de la sûreté portuaire [4] et de l’arrêté du 30 juin 2026 relatif aux exercices de sûreté [5]. La logique d’ensemble vise l’infiltration criminelle des ports : conteneurs détournés, complicités internes, points d’accès mal maîtrisés. Le volet cyber vient en appui de cette préoccupation, il ne la précède pas.

Sur le plan juridique, l’arrêté modifie la partie réglementaire (arrêtés) du code des transports, dans la série des articles A. 5332. Ce corpus est le socle national de la sûreté portuaire, issu de la transposition du code ISPS par le règlement européen 725/2004 et de la directive 2005/65 sur la sûreté des ports. L’arrêté vient l’amender pour des motifs de lutte contre le narcotrafic. Sa filiation avec l’ISPS est donc indirecte : il agit sur une architecture d’origine ISPS, sans être pour autant une mesure d’application de ce code.

La cybersécurité inscrite dans le code des transports

En lisant le texte à la source, on repère cinq apports qui relèvent de la sécurité numérique.

Le premier, et le plus structurant, est l’entrée du moindre privilège dans le code des transports. L’article A. 5332-101 le définit comme le principe selon lequel « l’accès à une zone ou à un système d’information est limité à un besoin justifié et légitime ». C’est un concept de sécurité des SI qui devient une définition réglementaire de sûreté portuaire française, applicable aussi bien aux portes physiques qu’aux systèmes d’information.

Le deuxième concerne la conformité aux recommandations de l’ANSSI. Elle vise les lecteurs automatiques de plaques d’immatriculation, désormais listés comme équipement de sûreté (article A. 5332-204), ainsi que les titres d’accès sécurisés électroniquement ou numériques (article A. 5332-618). Pour ces titres, le texte impose un « niveau de cryptage avancé » et renvoie, lorsqu’une donnée biométrique est enregistrée, à la délibération CNIL n° 2019-001. Le mot compte : il s’agit de recommandations, plus souples que des normes opposables. J’y reviens plus bas.

Le troisième est un entraînement de sûreté portant sur les cyber-menaces. L’article A. 5332-412 impose à l’exploitant d’installation portuaire au moins quatre entraînements par année civile, espacés d’au plus quatre-vingt-dix jours, dont au moins un sur la menace terroriste ou l’activation d’une posture VIGIPIRATE et au moins un sur les cyber-menaces. Un seul entraînement cyber est donc obligatoire. La distinction de périmètre compte : l’autorité portuaire relève, elle, de l’article A. 5332-313, qui n’impose qu’un entraînement sur la menace terroriste ou VIGIPIRATE, le reste étant fixé par l’évaluation de sûreté du port.

Le quatrième vise la menace interne. L’article A. 5332-200 demande à l’exploitant de mettre en œuvre des mesures de prévention de la compromission et de la corruption des personnels. C’est la contrepartie humaine du volet anti-narcotrafic, et c’est un des premiers vecteurs réels dans les ports.

Le cinquième est le mécanisme de contrôle : un audit national de sûreté portuaire, créé aux articles A. 5332-208 à 211. Il prévoit une vérification de la conformité des plans de sûreté à la réglementation, une réunion de restitution des écarts, un rapport, et un mois pour proposer les actions correctives soumises au préfet. C’est là que se trouve le vrai levier d’application du texte. Espérons qu’il comprendra également un volet cyber.¹ Et s’il y a besoin, je suis là :-)

Le calendrier suit deux échéances principales, fixées par l’article 8 : quatre mois à compter du 2 juillet 2026 pour soumettre le plan de sûreté actualisé, et deux ans pour la mise en conformité du parc de titres d’accès. Le titre provisoire est par ailleurs durci au 1er janvier 2027.

La place de l’ISPS

Le code ISPS, adopté par l’Organisation maritime internationale et entré en vigueur en 2004, a été transposé dans l’Union par le règlement 725/2004 et la directive 2005/65/CE, eux-mêmes déclinés dans le code des transports. Il repose sur une évaluation de sûreté et un plan de sûreté, pour le port comme pour l’installation portuaire. Historiquement, cette démarche est centrée sur la sûreté physique et ne traite pas la cybersécurité en propre.

Côté navire, c’est la résolution MSC.428(98) de l’OMI qui a intégré la gestion du risque cyber au système de gestion de la sécurité, dans le cadre du code ISM, avec une application effective depuis 2021. L’arrêté du 29 juin 2026 agit sur l’autre maillon, celui du port et de l’installation portuaire. Il greffe la cybersécurité sur les objets de sûreté déjà existants : le plan de sûreté, les entraînements, l’audit. C’est cohérent, et cela évite de créer un régime parallèle. Cela signifie aussi que la cybersécurité portuaire française reste, pour l’instant, un chapitre de la sûreté physique. J’avais déjà abordé cette imbrication à propos des menaces étatiques sur les infrastructures portuaires critiques et de la stratégie portuaire européenne face aux cybermenaces.

Comparaison est-elle raison ? L’USCG et le MTSA

Mis en regard du régime américain, le texte français rappelle surtout que la route est encore longue pour atteindre un niveau de maturité apte à faire face à une menace avancée, à l’heure où l’on parle d’IA et de capacités presque illimitées du côté des attaquants. La règle finale de l’U.S. Coast Guard, Cybersecurity in the Marine Transportation System, codifiée au 33 CFR partie 101 sous-partie F et adossée au Marine Transportation Security Act, est entrée en vigueur le 16 juillet 2025 [6]. C’est un régime cyber dédié et structuré : désignation d’un Cybersecurity Officer, réalisation d’une Cybersecurity Assessment, soumission d’un Cybersecurity Plan pour approbation d’ici le 16 juillet 2027, formation annuelle de tout le personnel et notification immédiate des incidents au National Response Center. J’avais détaillé ce cadre dans un précédent article sur la réglementation cyber maritime américaine vue d’Europe, et son application concrète transparaît dans le rapport CTIME 2025 des gardes-côtes.

L’arrêté français ne crée rien de comparable. Pas d’officier cyber, pas de plan cyber autonome, pas de régime propre de notification d’incident, et un unique entraînement cyber annuel obligatoire. La comparaison n’est pas parfaitement symétrique, car le régime américain couvre aussi les navires et les installations du plateau continental, quand l’arrêté vise les autorités portuaires et les exploitants d’installations sur le versant de la sûreté physique. L’intention diffère néanmoins nettement. Le régime américain forme un corpus cyber à part entière. Il faut ajouter, pour être juste, que la France attend toujours la loi de résilience transposant NIS2, qui portera les obligations lourdes pour les opérateurs portuaires en tant qu’entités essentielles. L’arrêté ne doit donc pas se lire comme la totalité de la réponse cyber française, et je renvoie sur ce point à mon analyse du projet de loi résilience et du rôle des CSIRT.

Face aux bonnes pratiques ENISA et au guide de la DGITM

La doctrine, elle, existait déjà. L’ENISA avait publié en 2019 son rapport sur la sécurité des ports, puis des lignes directrices de gestion du risque cyber pour les ports [7]. Ces lignes directrices proposent une démarche en quatre phases, calée sur la méthode d’évaluation de l’ISPS : inventaire des actifs et services, identification des dépendances, prise en compte du renseignement sur la menace et analyse d’impact métier. C’est une méthode de gestion du risque à part entière, bien au-delà d’une simple liste d’exigences techniques. J’en avais rendu compte lors de la publication du rapport ENISA sur les systèmes portuaires.

Côté français, la DGITM a repris ce socle dans son guide « Ports cybersécurisés » de 2022 [8], explicitement inspiré des travaux de l’ENISA, et l’a complété par un guide de sensibilisation au brouillage GNSS. La page ministérielle consacrée à la sûreté portuaire rassemble ces ressources [9].

Mesuré à cette aune, l’arrêté transforme quelques recommandations éparses en obligations : le moindre privilège, la conformité ANSSI, un entraînement cyber. C’est un pas réel, en particulier la définition juridique du moindre privilège, qui aligne le vocabulaire réglementaire sur celui de la sécurité des SI. Il reste loin de la démarche ENISA : aucune obligation de conduire une gestion du risque cyber, pas d’inventaire d’actifs imposé, rien sur la chaîne d’approvisionnement logicielle des ports, ni de notion de défense en profondeur, ni d’aide aux RSSI pour faciliter la mise en œuvre des mesures.

Les angles morts

C’est peut-être là que la lecture du texte est la plus instructive. Plusieurs sujets manquent, ou sont traités à moitié.

Le volet cyber reste en filigrane. Faute de plan et d’officier cyber, la responsabilité du sujet n’est pas clairement portée à l’échelle de l’installation, à rebours du modèle américain.

L’obligation d’entraînement cyber se limite à une occurrence annuelle. C’est un plancher très bas pour maintenir des réflexes de détection et de réaction. La valeur de ces exercices n’est plus à démontrer : la Marine nationale les pratique de longue date, et plusieurs ports français s’y sont déjà exercés, même si le sujet reste discret. L’enjeu se situe donc moins dans le démarrage que dans la massification à l’ensemble des ports et dans la régularité. Il convient aussi de veiller tout particulièrement au réalisme des scénarios d’exercice. Les ports auront-ils seuls la capacité de les mener ? Qui les évaluera, et qui sera destinataire de leurs résultats ?

Une asymétrie frappe à la lecture des équipements. Les lecteurs de plaques sont soumis aux recommandations de l’ANSSI, mais les drones, intégrés aux équipements de surveillance par l’article A. 5332-203, ne le sont pas. On ajoute une surface d’attaque aéroportée, connectée, sans exigence de sécurisation associée. L’actualité récente l’a illustré avec les drones de la Royal Navy et leurs caméras d’origine chinoise, qui émettaient discrètement des données vers une adresse en Chine.

La plaque minéralogique devient un support d’autorisation d’accès pour les véhicules (article A. 5332-617), couplée aux lecteurs automatiques. Un titre d’accès véhicule qui n’est ni photographié ni nominatif, reconnu sur la seule lecture d’une plaque, pourrait ouvrir une voie triviale au clonage ou à la plaque de complaisance. Le rapprochement avec les fragilités matérielles des équipements portuaires n’est pas neuf : je l’avais relevé à propos des grues d’origine chinoise et de l’advisory MARAD.

Le texte s’appuie sur des « recommandations » de l’ANSSI, souples par nature, là où des normes opposables donneraient une base de contrôle plus ferme. Et il ne dit rien de la chaîne d’approvisionnement logicielle des ports : port community systems (PCS), terminal operating systems (TOS), éditeurs de logiciels d’exploitation restent hors champ.

Enfin, l’arrêté crée lui-même une donnée sensible. L’article A. 5332-628 impose la tenue, sur deux ans glissants, de listes nominatives de titres visiteurs et d’intervention urgente, avec heures d’entrée et de sortie. Une base de mouvements dans un port est une cible en soi, et son régime de conservation mérite d’être protégé à hauteur de sa sensibilité.

Il faut ajouter, pour qui compte citer le texte dans un livrable, que sa rédaction laisse apparaître des approximations, et que plusieurs renvois internes paraissent erronés.

Reste enfin ce « cryptage ». Le bon terme, en cybersécurité, est « chiffrement » ; l’anglicisme fait tiquer tout praticien du domaine. Le retrouver dans un arrêté de sûreté portuaire est un détail, mais un détail parlant : il laisse penser qu’aucun spécialiste n’a relu la version finale du texte. Ces scories n’invalident pas le fond, mais elles pèsent sur la sécurité juridique du dispositif.

Je suis exploitant portuaire, qu’en tire-je ?

Le plus sage est de traiter le volet cyber de l’arrêté comme un socle minimal, et de s’appuyer sur le guide de la DGITM et les lignes directrices de l’ENISA pour aller au-delà de la lettre du texte.

Quelques priorités se dégagent. Appliquer le moindre privilège à l’ensemble des systèmes de sûreté, contrôle d’accès, vidéosurveillance, lecteurs de plaques et drones compris, et pas seulement aux badges. Gouverner (au mieux) les accès distants des fournisseurs de ces équipements, souvent maintenus à distance. Anticiper la loi de résilience transposant NIS2, qui portera les obligations réellement contraignantes pour les opérateurs. Prévoir un plan de secours en cas de perte du signal GNSS, sujet que la DGITM traite dans un guide dédié et que j’ai déjà creusé à propos du détroit d’Ormuz. Protéger enfin la base de mouvements de l’article A. 5332-628 comme la donnée sensible qu’elle est.

Un mot pour finir, plus personnel. La conformité réglementaire protège assez peu les systèmes d’information. Cocher les cases d’un arrêté donne un cadre et une base de responsabilité juridique, mais un attaquant se moque des cases : il rencontre une architecture, des sauvegardes qu’on a testées ou non, des équipes préparées ou débordées. Depuis vingt ans, on empile les textes - ISPS, ISM, MSC.428(98), NIS2, arrêtés nationaux - et cet empilement montre chaque jour ses limites. Il court après la menace avec plusieurs années de retard, et il pousse à confondre la réussite d’un audit avec la sécurité réelle. Un jour, il faudra changer de modèle, pour se rapprocher du risque concret et d’une vérification continue plutôt que ponctuelle.

L’arrêté du 29 juin 2026 ne prétend pas à cela, et c’est bien normal au regard de son objet. Il fait entrer, discrètement, le vocabulaire et quelques exigences de la cybersécurité dans le droit de la sûreté portuaire. Un début utile, une pierre de plus dans un édifice qui gagnerait, lui, à être repensé.

Sources

• [1] Légifrance, arrêté du 29 juin 2026 portant diverses dispositions relatives à la sûreté portuaire (NOR : TRAT2600338A, JO du 2 juillet 2026)
• [2] Légifrance, loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic
• [3] Légifrance, décret n° 2026-524 du 18 juin 2026 relatif à la sûreté portuaire
• [4] Légifrance, arrêté du 25 juin 2026 relatif à la mise en œuvre territoriale de la politique de sûreté portuaire
• [5] Légifrance, arrêté du 30 juin 2026 relatif aux exercices de sûreté portuaire
• [6] Federal Register, « Cybersecurity in the Marine Transportation System » (règle finale USCG, 33 CFR partie 101 sous-partie F)
• [7] ENISA, « Cybersecurity in the Maritime Sector: ENISA Releases New Guidelines for Navigating Cyber Risk »
• [8] DGITM, guide « Ports cybersécurisés - Guide de bonnes pratiques pour la cybersécurité dans le secteur portuaire » (2022)
• [9] Ministère de la Transition écologique, page « Sûreté portuaire »