Héberger les applications portuaires critiques : comment fait l'Italie ?

Le 13 janvier 2026, le groupe Anubis met en ligne 36 Go de documents appartenant à l’Autorité portuaire du Mare Adriatico Centrale, à Ancône. L’intrusion, elle, remonte au 11 décembre 2025. La notification adressée aux personnes concernées apporte un détail resté discret. Le serveur de fichiers atteint était hébergé sur l’infrastructure du Polo Strategico Nazionale, dont la mise en service était en cours.

Le décompte de l’agence italienne

Cette autorité relève de la directive NIS 2 au titre des entités de haute criticité, comme les quatorze autres autorités portuaires italiennes. Le rapport intégré 2025 du concessionnaire reprend les bilans semestriels de l’Agenzia per la Cybersicurezza Nazionale (ACN). Il recense 519 victimes dans l’administration centrale italienne contre 445 l’année précédente, et 231 dans les transports contre 213. Le déni de service y progresse de 86 % en un an. Deux catégories montent beaucoup plus vite que les autres : l’intrusion par identifiants valides, qui passe de 91 cas à 229, et la compromission de boîte de messagerie, de 91 à 301 [1].

Face à cela, Rome sort les applications des salles machines locales de ses administrations pour les concentrer chez un hébergeur unique, qualifié par l’ACN. J’avais évoqué cette piste de l’hébergement mutualisé en commentant les deux vagues de déni de service sur la France maritime. Je la voyais à l’échelle d’une communauté portuaire ou d’une région. L’Italie la pratique à l’échelle de l’État.

Un concessionnaire unique pour l’hébergement de l’État

Polo Strategico Nazionale S.p.A. est une société de projet créée le 4 août 2022. Elle détient une concession de treize ans, accordée par le département pour la transformation numérique de la présidence du Conseil. Son capital est partagé entre TIM, Leonardo, CDP Equity et Sogei. L’infrastructure compte quatre centres de données du groupe TIM, deux en Lombardie et deux dans le Latium, appariés en deux régions pour la reprise d’activité.

Au 31 décembre 2025, 617 administrations étaient sous contrat, contre 472 un an plus tôt : 227 administrations centrales, 244 collectivités et organismes locaux, 146 établissements de santé [1]. La fenêtre d’adhésion, fermée en principe en août 2025, court désormais jusqu’au 23 février 2027 [2]. L’ACN classe les données en trois niveaux, ordinaires, critiques et stratégiques, auxquels correspondent des jeux d’exigences distincts [3].

L’arrivée des autorités portuaires

Les autorités portuaires y sont entrées par un financement dédié. RAM appuie le ministère des Infrastructures et des Transports sur la numérisation de la chaîne logistique. Cette société publique chiffre le volet réseaux portuaires et inter-portuaires à 45 millions d’euros. Sur ce total, 16 millions vont à la réalisation des Port Community System (PCS, les plateformes d’échange de la place portuaire) et 19 millions à l’infrastructure. Une présentation du 9 juillet 2024 donne la bascule vers le PSN comme en cours de finalisation, pour les autorités ayant manifesté leur intérêt pour la migration collective [4].

À Tarente, le décret du président de l’Autorité portuaire du Mar Ionio, signé le 6 décembre 2023 sous le titre « Taranto Smart Digital Port », détaille les services migrés. Portail institutionnel et données ouvertes, guichet administratif unique et son arrière-guichet, cartographie opérationnelle. Système de gestion de la performance, contrôle des accès, Port Community System et informatique décisionnelle, dispositif d’alerte interne, sites thématiques [5]. L’Autorité portuaire de Sardaigne écrit dans son rapport annuel 2024 avoir formalisé son adhésion et activé la migration de son PCS. Celle des Mari Tirreno Meridionale e Ionio, à Gioia Tauro, achetait fin 2023 des services d’hébergement transitoires « dans l’attente de l’adhésion au Polo Strategico Nazionale ». Le contrôle des accès portuaires et les manifestes de marchandises se retrouvent donc dans une infrastructure mutualisée nationale.

Le socle et les options

La redevance comprend un socle de sécurité. La supervision revient à un Security Operations Center (SOC, centre de supervision de sécurité) et à un Computer Emergency Response Team (CERT). Leonardo les exploite depuis Chieti et Gênes, en service permanent. Ils ont traité 27 millions d’événements et 880 alarmes en 2025, sans incident sur l’infrastructure de fourniture [1]. La protection de la donnée comprend une sauvegarde avec seconde copie dans une autre zone. S’y ajoute une Golden Copy dans une autre région, au format Write Once Read Many (WORM, inscriptible une fois et non modifiable). La reprise d’activité se fait sur le site secondaire. Le filtrage du déni de service volumétrique est compris dans la sécurité périmétrique, assurée en permanence. Les journaux sont conservés au moins 24 mois pour les données critiques et stratégiques.

La détection sur les postes et serveurs de l’administration se facture à part, sous la forme d’un service EDR (Endpoint Detection and Response) infogéré, avec espace dédié. La gestion des identités fait l’objet d’un module distinct, qui porte l’authentification multifacteur. Les prestations de vérification se commandent au projet : recherche de vulnérabilités, analyse statique et dynamique du code, test d’intrusion applicatif, surveillance continue.

Les limites du dispositif

Les matrices de responsabilité, publiées service par service, comptent 197 contrôles. Au-delà de l’infrastructure, qui est à la charge du concessionnaire, l’administration garde ses comptes, les droits d’accès, la configuration de ses applications et ses données. L’intrusion de décembre 2025 à Ancône est passée précisément par là. La notification que l’autorité portuaire a adressée aux personnes concernées, au titre de l’article 34 du RGPD, nomme le mode d’entrée. Un mot de passe deviné par essais répétés sur un compte portuale\DBAdmin. Les traces ne montrent ni outil d’accès distant ni élévation de privilèges [6]. L’authentification multifacteur sur les comptes d’administration figure parmi les mesures annoncées pour l’avenir, alors qu’elle est au catalogue du concessionnaire.

Le déni de service applicatif n’était pas couvert fin 2025. Le rapport annuel indique que le concessionnaire en a engagé l’acquisition. Elle viendra compléter la solution volumétrique existante. La requête répétée visant un portail n’était donc pas encore filtrée. Ce mode opératoire est pourtant courant chez les groupes hacktivistes depuis 2023, jusqu’à prendre un écosystème portuaire entier pour cible.

Les services Secure Public Cloud sont fournis par Microsoft Azure, Google Cloud Platform et Amazon Web Services, sur leurs régions italiennes. Les clés sont gérées hors du périmètre du fournisseur. Ils représentent 15 % des redevances d’infrastructure, et 24 % chez les administrations centrales. Le débat italien sur la portée du CLOUD Act américain dans ce montage reste ouvert.

Au bilan

L’Italie a choisi la concentration : un concessionnaire, quatre centres de données, un référentiel de contrôles qualifié, un financement public pour y amener les ports. Reste qu’un compte a suffi pour entrer à Ancône. L’autorité portuaire a donc deux achats à faire en plus de sa redevance : la détection sur ses propres serveurs, et l’authentification multifacteur sur les comptes d’administration et de base de données. S’y ajoute une campagne de vérification applicative après la bascule.

Les Port Community System français et leurs opérateurs relèvent eux aussi de NIS 2, et savoir qui héberge la plateforme ne dit pas encore qui répond de sa sécurité. Les arrêtés de sûreté portuaire des 29 et 30 juin 2026 ne tranchent pas la question de l’hébergement. Un texte approuvé en conseil des ministres le 22 décembre 2025 crée par ailleurs Porti d’Italia S.p.A. Il regroupera la gestion des 15 autorités portuaires, et donc leurs systèmes.

Sources

• [1] Polo Strategico Nazionale, Bilancio integrato 2025
• [2] Dipartimento per la trasformazione digitale, prorogation du terme d’adhésion à la convention
• [3] Cloud Italia, Polo Strategico Nazionale et classification des données
• [4] RAM S.p.A., présentation du 9 juillet 2024 sur la numérisation de la chaîne logistique
• [5] AdSP del Mar Ionio, décret d’adhésion au Polo Strategico Nazionale, 6 décembre 2023
• [6] AdSP del Mare Adriatico Centrale, communication aux personnes concernées au titre de l’article 34 du RGPD