Cybersécurité maritime aux États-Unis : comprendre le cadre du MTS depuis l'Europe

Depuis 2025, les États-Unis imposent au transport maritime un cadre cyber fédéral contraignant. Historique, exigences et lecture européenne d’un dispositif désormais inspectable.

Un cadre fédéral devenu contraignant

Vue d’Europe, la réglementation cyber maritime américaine est difficile à lire, parce qu’elle s’est construite par strates et qu’elle se répartit entre plusieurs textes et plusieurs autorités. Le point de bascule date du 17 janvier 2025 : la règle finale « Cybersecurity in the Marine Transportation System » a créé une nouvelle sous-partie F au sein du 33 CFR 101, premier standard fédéral opposable et inspectable pour le système de transport maritime (Marine Transportation System, MTS). Entrée en vigueur le 16 juillet 2025, elle place la cybersécurité au même rang que la sûreté physique dans le régime issu du MTSA, et elle est adossée à un site ressource public, le Coast Guard Maritime Industry Cybersecurity Resource Website, tenu conjointement par l’US Coast Guard, la CISA et la MARAD.

Cette bascule n’est pas un point de départ mais l’aboutissement d’une décennie de travaux. La comprendre suppose d’en suivre la trajectoire, puis d’en détailler les exigences et l’organisation, avant d’en tirer ce qui peut servir à un lecteur européen.

Une décennie de marche réglementaire

L’effort fédéral s’amorce dès 2014, avec une consultation publique sur des standards de cybersécurité maritime. Il prend une première forme opérationnelle en 2020 avec la circulaire NVIC 01-20, qui invite les installations à traiter leurs vulnérabilités informatiques dans le cadre de leur évaluation et de leur plan de sûreté. Le guide MCAAG de 2023 propose ensuite une méthode volontaire d’annexe cyber au plan de sûreté. En 2024, l’Executive Order 14116 modifie le 33 CFR 6, introduit une définition de l’incident cyber et crée une obligation de signalement au Coast Guard, au FBI et à la CISA, harmonisée par la circulaire NVIC 02-24. La règle finale de 2025 fixe ensuite le socle, complété en octobre 2025 par la Policy Letter 01-25 sur la formation, puis en juin 2026 par la Policy Letter 01-26 sur le cadrage des évaluations et l’instruction MCP-WI-002 sur les dérogations.

En toile de fond internationale, cette trajectoire dialogue avec la résolution MSC.428(98) de l’Organisation maritime internationale, qui impose depuis 2021 la prise en compte des cyber-risques dans les systèmes de gestion de la sécurité des navires.

Ce que la sous-partie F exige

Le coeur du dispositif tient en trois obligations articulées. Toute entité régulée doit désigner un responsable cybersécurité (Cybersecurity Officer, CySO), conduire une évaluation de cybersécurité (Cybersecurity Assessment, CSA), puis élaborer et tenir à jour un plan de cybersécurité (Cybersecurity Plan, CSP), document autonome ou intégré au plan de sûreté existant de l’installation ou du navire. À ces obligations s’ajoute un socle de mesures de base couvrant la sécurité des comptes et des équipements, la protection des données, la segmentation des réseaux, la formation, la gestion des accès distants (avec par exemple l’authentification multifacteur pour les accès distants aux technologies opérationnelles), la résilience et le signalement des incidents.

Deux traits méritent l’attention. D’abord, le périmètre d’applicabilité ne dépend pas de la taille de l’empreinte numérique : lors de l’élaboration de la règle, l’USCG a refusé d’exclure les remorqueurs fluviaux et les barges, au motif que même des systèmes minimes peuvent exposer des données ou créer un risque. Ensuite, lorsque la conformité se révèle inadaptée, un mécanisme de dérogation et d’équivalence est prévu au 33 CFR 101.665. Le calendrier d’application aux navires sous pavillon américain reste partiellement ouvert, l’agence ayant sollicité des commentaires sur un éventuel report de deux à cinq ans pour cette catégorie. La foire aux questions officielle, régulièrement mise à jour, fait référence sur ces points d’échéance.

De l’évaluation au plan : un processus outillé

Les deux notes de juin 2026 précisent la mécanique. La Policy Letter 01-26 décrit l’évaluation comme un filtre de risque : inventorier d’abord l’ensemble des systèmes, des dépendances et des interfaces, puis classer les actifs critiques, l’analyse devant combiner approche qualitative et approche technique. L’instruction MCP-WI-002 organise ensuite trois voies d’aménagement (dérogation, équivalence, écart temporaire), toutes subordonnées à une évaluation préalablement achevée, qui en constitue la base probante. Une exigence sans objet, faute du système concerné, ne se demande pas en dérogation mais se documente comme non applicable dans le plan.

Qui fait quoi côté américain

La lisibilité du dispositif passe aussi par la connaissance des acteurs. La politique de cybersécurité maritime relève désormais d’un bureau dédié, le CG-MCP. La conformité et les inspections sont portées par le CG-5PC et, localement, par le capitaine du port (Captain of the Port, COTP). Le volet opérationnel revient au commandement cyber du Coast Guard, le CGCYBER, à travers sa branche de veille et de partage (MCRB) et ses équipes de protection (Cyber Protection Team), qui offrent des services d’évaluation, de traque et de réponse à incident. Des spécialistes cyber de la sûreté du transport maritime conseillent les ports, tandis que la CISA et la MARAD coproduisent le site ressource, que le MTS-ISAC assure le partage d’information sectoriel, et que le centre national de réponse (National Response Center) recueille les signalements.

Cette organisation s’accompagne d’une production publique nourrie, utile à qui veut suivre la menace : les rapports annuels CTIME (Cyber Trends and Insights in the Marine Environment), dont une édition spéciale consacrée aux portiques de quai de fabrication chinoise, les bulletins et alertes cyber (de Volt Typhoon aux campagnes attribuées à des acteurs étatiques), ainsi que les avis MSCI sur les interférences GPS et le leurrage AIS.

Lire l’approche américaine depuis l’Europe

La difficulté de lecture, pour un acteur européen, tient surtout à une différence d’architecture. Les États-Unis ont concentré l’essentiel dans une règle unique, opposable et inspectée, assortie d’une fonction dédiée et d’un signalement harmonisé vers trois agences. L’Europe procède par couches qui se complètent : la directive NIS2, transposée État par État, fait entrer ports et armateurs dans un régime d’obligations sectorielles ; la résolution MSC.428(98) de l’OMI couvre les cyber-risques dans la gestion de la sécurité des navires, relayée par les États du pavillon et les sociétés de classification ; et des outils nationaux comme la méthode EBIOS Risk Manager de l’ANSSI structurent l’analyse de risque. Sur le fond, les deux ensembles convergent vers les mêmes objets : inventaire, analyse de risque, mesures de base, signalement.

La portée juridique de la règle américaine demeure circonscrite aux entités relevant de la juridiction des États-Unis, c’est-à-dire les navires sous pavillon américain et les installations régulées sur le sol américain. Un armateur ou un opérateur européen y est exposé indirectement : lorsqu’il exploite de la capacité sous pavillon ou des installations aux États-Unis, lorsqu’il fait escale et se trouve soumis aux attentes du contrôle par l’État du port, ou lorsque des clauses contractuelles et d’affrètement répercutent ces exigences. À cela s’ajoutent des préoccupations partagées de part et d’autre de l’Atlantique, dont la question des équipements portuaires de fabrication étrangère est l’exemple le plus visible.

C’est précisément parce que les briques existent déjà des deux côtés que l’enjeu se déplace vers leur mise en oeuvre et leur articulation. Un opérateur européen a tout intérêt à cartographier réellement son environnement, dépendances satellitaires et chaîne d’approvisionnement comprises, puis à faire valoir le travail déjà réalisé : la logique d’équivalence retenue par l’USCG, ouverte aux référentiels de sociétés de classification et aux cadres reconnus, montre qu’une conformité documentée peut servir plusieurs régimes à la fois, à condition d’établir la correspondance avec les exigences visées. À l’échelle européenne, une convergence des référentiels de cadrage, soutenue par l’ENISA et par les échanges entre autorités portuaires, éviterait que chaque acteur reconstruise sa propre granularité d’inventaire et permettrait aux exploitants opérant sous plusieurs régimes de capitaliser sur une analyse unique. L’observation attentive du dispositif américain ne vaut donc pas comme modèle à transposer, mais comme banc d’essai d’une méthode dont les ports et les armateurs européens disposent déjà des composants, et qu’il leur reste à mettre en cohérence.