Cybersécurité maritime et portuaire.

Cette vidéo, twittée par Airbus Defence à l’occasion d’Euronaval 2018, montre les ambitions (pas complètement attendues) d’un acteur avant tout aérien comme Airbus dans le domaine maritime. Airbus est un acteur qui se développe sur les sujets de cyberdéfense. Pas grand’chose cependant de maritime dans la vidéo, hélas, qui ne reprend que les grands classiques de cyber-défense sans vraiment les adapter au monde maritime. Peut-être ont-ils été plus ambitieux sur leur stand à Euronaval ? Si quelqu’un a l’info ?

Je partage avec vous quelques liens vers des sites et documents sur le sujet de la cybersécurité maritime. C’est un travail de longue haleine, donc il manque encore sûrement plein de choses.

• OMI : Le site de l’Organisation Maritime Internationale sur les questions de cybersécurité maritime
• OMI : Résolution MSC.428(98)
• OMI : MSC-FAL.1/Circ.3/Rev.4
• OMI : SOLAS chapitre XI-2 et le code ISPS, le volet sûreté auquel s’articule le cyber
• Les directives sur le sujet publiées par BIMCO, CLIA, ICS, INTERCARGO et INTERTANKO (v5)
• ANSSI : Le guide des bonnes pratiques de sécurité informatique à bord des navires, par l’ANSSI
• DCSA : Le guide et les modèles de mise en œuvre de la cybersécurité à bord des navires, par la DCSA
• EMSA : La publication MARSEC 9209 de l’EMSA
• DGAMPA : Guide sur la cybersécurité des systèmes industriels du navire
• DGAMPA : Guide « Évaluer et protéger le navire »
• DGAMPA : Recommandations destinées aux compagnies maritimes pour l’intégration de la cybersécurité dans les systèmes de gestion de la sécurité, par la Direction des Affaires Maritimes.
• DGITM : Guide « Ports cybersécurisés »
• ENISA : site dédié au secteur maritime, avec notamment Good practices for Cybersecurity in the Maritime Sector - Port Security
• IACS : Recommendation on cyber resilience - REC 166 de l’IACS
• IACS : Recommendation No. 194, Cybersecurity controls for existing ships, socle minimal de mesures pour les navires contractés avant le 1^er juillet 2024 (décembre 2025), que les exigences unifiées E26 et E27 ne couvrent pas
• Directive européenne NIS
• Directive (UE) 2022/2555 dite NIS 2, qui range le transport maritime et les gestionnaires de ports parmi les entités essentielles ou importantes
• Directive (UE) 2022/2557 dite REC, sur la résilience des entités critiques, pendant physique de NIS 2
• Règlement (UE) 2024/2847, le Cyber Resilience Act, qui fixe les exigences de cybersécurité des produits comportant des éléments numériques, capteurs et équipements embarqués compris
• Règlement (CE) n° 725/2004
• Arrêté du 11 août 2016 relatif aux systèmes d’information d’importance vitale du secteur maritime et fluvial
• Arrêté du 29 juin 2026 portant diverses dispositions relatives à la sûreté portuaire (NOR : TRAT2600338A)
• Instruction interministérielle n° 230 du 28 juin 2022
• SGDSN : le dispositif de sécurité des activités d’importance vitale (SAIV), cadre des OIV et des SIIV issu de la loi de programmation militaire, dont relèvent les grands ports maritimes
• Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose les directives REC, NIS 2 et DORA : adopté par le Sénat le 12 mars 2025, rapport de la commission spéciale de l’Assemblée nationale déposé le 10 septembre 2025. Le texte n’était pas promulgué fin août 2026, à revérifier avant de s’y appuyer.
• Règlement général sur la protection des données : informations et ressources sur le site de la CNIL
• Transcription en droit français du règlement européen CE 725/2004 (article 3.5)
• Livre blanc du Lloyd’s Register sur la cybersécurité des navires
• UK Department for Transport, Code of Practice: Cyber Security for Ships
• UK Department for Transport, Good Practice Guide: Cyber Security for Ports and Port Systems
• La note d’Armateurs de France « La gestion des cyber-risques maritimes : décryptage réglementaire »
• US Coast Guard, NVIC 01-20: Guidelines for addressing cyber risks at MTSA regulated facilities
• US Coast Guard Office of Commercial Vessel Compliance, Vessel Cyber Risk Management Work Instruction

• France Cyber Maritime
• M-CERT
• Jeu de données ADMIRAL
• NORMA Cyber
• MTS-ISAC

• Nippon Kaiji Kyokai, plus connu sous le nom de ClassNK, a diffusé en avril 2019 un guide de 45 pages, le NK-Cyber Security Management System for Ships (Requirements and Controls), disponible en anglais après inscription sur leur site.
• Bureau Veritas, note n° NR 642 DT R00 E, « Cybersecurity Requirements for Products to be Installed On-Board Naval Ships »
• Bureau Veritas, NR 659 « Rules on Cybersecurity for the Classification of Marine Units »
• Les recommandations du Lloyd’s Register sur les navires autonomes
• Le document DNV GL CP-0231 « Cyber security capabilities of systems and components »
• Le document DNV GL RP-G108 « Cyber security in the oil and gas industry based on IEC 62443 »
• Le document DNV GL-RP-0496 « Cyber security resilience management for ships and mobile offshore units in operation »
• IACS Unified Requirement E26 - Cyber resilience of ships
• IACS Unified Requirement E27 - Cyber resilience of onboard systems and equipment

• Chaire de cyberdéfense des systèmes navals (École navale, Brest, France) : la chaire est issue d’un partenariat entre l’École navale, Thalès, Naval Group et l’IMT (Institut Mines-Télécom). Elle accueille une douzaine de doctorants qui travaillent sur des sujets assez larges : la sécurité des capteurs et des automates, le maintien en conditions de sécurité ou encore les questions de visualisation et d’analyse de la menace.
• Maritime Cyber Threats Group (University of Plymouth, Royaume-Uni) : ce groupe de recherche a pour objectifs de développer la connaissance des vulnérabilités et risques du secteur maritime. Il travaille sur différents sujets, comme l’aide à la décision, les risques liés aux vulnérabilités des chaînes logistiques, la cybersécurité des navires autonomes, ou encore la composante humaine.
• Cybersecurity incident data reporting for autonomous ships, par Petteri Vistiaho
• À l’été 2013, des chercheurs de l’Université du Texas ont conduit les premières expérimentations de GPS spoofing sur un yacht de luxe

• European Maritime Cyber Risk Management Summit, 15 juin 2018, à Londres
• Maritime Cyber Threats and Awareness Symposium (CyMar18), 2 novembre 2018, à Londres
• CYpBER, conférence internationale sur la cybersécurité du secteur maritime, du pétrole et du gaz

• Cybersécurité et marétique, un enjeu européen ?, de Ryan Burton, via le Centre d’études stratégiques de la marine (CESM, 2014)
• Le rapport d’IOActive sur les vulnérabilités des terminaux par satellite
• L’article de Pentest Partners sur les vulnérabilités des logiciels de chargement à bord des porte-conteneurs
• L’article de Pentest Partners sur les risques liés aux terminaux par satellite et à l’ingénierie sociale
• Un document du Department of Homeland Security américain sur les risques cyber liés aux activités portuaires
• Global Maritime Issues Monitor, de 2018, qui liste le risque cyber comme un risque majeur et avéré pour le secteur maritime

J’ai regroupé la plupart des vidéos sur une playlist Youtube dédiée :

Installer de l’UEBA avec un pare-feu de niveau 7, en implémentant de la blockchain sur une approche top down dans un contexte de big data et d’IA.

Mmmmh.

Il n’y a bien sûr pas de solution ultime pour sécuriser le secteur. Je suis breton, j’aime bien la gastronomie, alors je vais vous proposer une recette à base de quatre-quarts.

Je ne sais plus qui disait « Sans volonté, pas de réussite », mais bon on y est. Et pas de la volonté d’affichage, mais une vraie envie. On vit dans un monde merveilleux, mais où, je trouve, on dit beaucoup et on fait peu. Il y a de nombreux acteurs, chacun avec des envies et des attentes différentes. Qui pour coordonner tout cela ? Pour insuffler les bonnes idées efficaces ? Comment faire pour éviter d’en faire une « usine à gaz » et impacter financièrement nos armateurs, pêcheurs, en mettant en place une réglementation trop coûteuse ? Une chose est sûre, il faut y aller pas à pas. Quelques sources d’espoir ? Peut-être (bon, ce ne sont que des tweets) :

Je n’aime pas le terme problématique : il est utilisé à tort et à travers et surtout à toutes les sauces, notamment parce que l’on confond « problème » et « problématique ». L’objectif de cet article, loin de vouloir désigner les coupables, est au contraire d’identifier les problèmes « macro » de prise en compte de la cyber-sécurité dans la marétique.

Pour mettre dans l’ambiance, commençons par une citation, vieille de 7 ans, mais qui reste globalement d’actualité :

Cet article est aussi disponible en anglais.

Qui peut en vouloir à la marétique ?

Les sources de menace (volontaires, cagoulées) sont assez proches de ce qui peut être trouvé par ailleurs. Je ne vais pas vous refaire une liste à la Prévert des sources de menaces possible, l’ ANSSI l’a déjà fait ( cf p. 15 et suivantes). Les plus réalistes sont aujourd’hui :

• les sources de menaces « étatiques », à des fins d’espionnage, de prépositionnement, de destruction
• les « hackers » du dimanche, ayant vu des vidéos de chercheurs lors de conférences en cyber et essayant de reproduire les preuves de concept
• la concurrence (et oui, on ne peut pas totalement le nier, ou du moins le prendre en compte)
• les organisations terroristes / de piraterie, qui pourraient y trouver un intérêt pécunier
• l’infection « collatérale », c’est-à-dire ne visant pas spécifiquement le secteur maritime, mais dont il est victime comme d’autres (c’est généralement le cas des rançongiciels)

On se rappelle que le « vecteur » cyber a plusieurs avantages : il est généralement anonyme, anomique, et les attaques ont une relative fulgurance et relativement rentable (surtout pour quelqu’un qui n’a qu’à cliquer sur sa souris…).

Cet article est aussi disponible en anglais.

Le groupe finlandais de technologies Wärtsilä vient d’annoncer l’ouverture de son centre d’excellence international en cyber maritime ( International Maritime Cyber Centre of Excellence (IMCCE) ce jour à Singapour. Conçu en partenariat avec Templar Executives, L’IMCCE comprend un CERT maritime (Computer Emergency Response Team) et un centre de formation en cyber, l’objectif premier est de permettre une réaction rapide en cas d’incident, et d’augmenter le niveau de compréhension des enjeux cyber du domaine.