Pourquoi l'industrie manufacturière est devenue la cible n°1 des ransomwares, et ce que la directive NIS2 change pour les usines en 2026.
La cybersécurité industrielle regroupe l'ensemble des mesures qui protègent les systèmes de production — automates, supervision, machines connectées — contre les cyberattaques, au même titre que les systèmes informatiques classiques. En 2025, le secteur manufacturier a concentré près de la moitié des attaques par ransomware recensées dans le monde, avec une hausse de 56 % en un an (Check Point Research, 2026). Pour un directeur industriel, ce n'est plus un sujet réservé à la DSI : c'est un risque de production, au même titre qu'une panne machine ou une rupture d'approvisionnement.
Les chiffres publiés par Check Point Research début 2026 sont sans ambiguïté : le secteur manufacturier a subi 1 466 attaques par ransomware recensées en 2025, contre 937 en 2024, soit une progression de 56 % en un an. Il représente à lui seul près de la moitié des 7 419 incidents mondiaux recensés, loin devant tous les autres secteurs. Les attaques par la chaîne d'approvisionnement (supply chain) ont quasiment doublé sur la période, passant de 154 à 297 incidents.
Le coût médian d'une attaque par ransomware dans l'industrie manufacturière atteint 500 000 dollars, avec des demandes de rançon moyennes de 1,16 million d'euros en Europe. Deux vecteurs d'entrée dominent : l'exploitation de vulnérabilités connues (32 % des incidents) et le phishing (23 %) — deux failles qui touchent directement les usines où les mots de passe et accès distants aux automates restent souvent peu protégés.
Trois facteurs structurels expliquent cette exposition, plus élevée que dans la plupart des autres secteurs :
Des systèmes de production vieillissants. Selon Check Point, 80 % des industriels européens exploitent encore des systèmes OT (Operational Technology — automates, supervision, contrôle-commande) comportant des vulnérabilités connues et documentées, parfois depuis plusieurs années, faute de plan de mise à jour compatible avec des lignes de production qui ne peuvent pas s'arrêter facilement.
La convergence IT/OT. Les automates de production, historiquement isolés, sont aujourd'hui connectés aux réseaux d'entreprise pour la supervision à distance, la maintenance prédictive ou la remontée de données de production. Cette connexion, précieuse pour la performance industrielle, ouvre aussi une porte d'entrée vers des équipements qui n'ont pas été conçus pour résister à une attaque réseau.
Une dépendance à des sous-traitants et fournisseurs numériques. La quasi-totalité de l'augmentation des attaques par supply chain touche des PMI et ETI qui dépendent d'un logiciel, d'un intégrateur ou d'un prestataire de maintenance dont la sécurité n'est pas maîtrisée par l'entreprise elle-même.
La directive européenne NIS2 élargit très largement le périmètre des entreprises soumises à des obligations de cybersécurité. Elle couvre 18 secteurs, dont la fabrication industrielle, la chimie et l'agroalimentaire, et s'applique dès qu'une entreprise dépasse 50 salariés ou atteint simultanément 10 millions d'euros de chiffre d'affaires et de bilan — un seuil qui inclut une grande partie des PMI et ETI industrielles françaises, bien en dessous du seuil des grands groupes.
À la rentrée 2026, la transposition française de la directive n'est toujours pas finalisée, alors que l'échéance européenne était fixée au 17 octobre 2024. Le règlement technique européen associé (2024/2690) reste néanmoins directement applicable. Concrètement, la directive impose dix domaines de sécurité obligatoires : gestion des risques, gestion des incidents et continuité d'activité, sécurité de la chaîne d'approvisionnement, cyberhygiène et formation, contrôle d'accès et authentification. Les incidents significatifs doivent être signalés sous 24 heures (alerte initiale) puis 72 heures (notification détaillée). Les organes de direction ont une obligation explicite de supervision et de formation, et les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités jugées essentielles.
Pour un directeur industriel, l'absence de transposition définitive en droit français n'est pas une raison d'attendre : l'inventaire des systèmes critiques, l'analyse de risque et la formalisation des politiques de sécurité peuvent — et doivent — progresser dès maintenant, avant que le calendrier réglementaire ne se resserre.
Sans attendre la version finale de la loi française, plusieurs actions structurent une démarche de cybersécurité industrielle solide :
Un point est souvent sous-estimé dans les plans de cybersécurité industrielle : la protection des modes opératoires, plans de contrôle et procédures internes n'est pas qu'une question de conformité qualité — c'est aussi une question de sécurité, au sens propre. Ces documents décrivent en détail le fonctionnement des lignes de production et des réglages machine : entre de mauvaises mains, ils constituent une cartographie précieuse pour préparer une attaque ciblée ou pour un concurrent cherchant à copier un savoir-faire.
Centraliser cette documentation dans un outil sécurisé plutôt que dans des fichiers dispersés sur des postes individuels, des clés USB ou des messageries permet à la fois de répondre aux exigences de traçabilité de NIS2 (qui accède à quel document, quand, avec quelle preuve de formation associée) et de réduire la surface d'exposition de ces informations sensibles. Des outils comme Komin permettent de gérer ces accès de façon contrôlée, avec un historique complet, sans pour autant complexifier l'usage quotidien des équipes terrain.
La directive NIS2 s'applique-t-elle aux PMI, ou seulement aux grands groupes industriels ?
Elle s'applique dès qu'une entreprise dépasse 50 salariés ou atteint simultanément 10 millions d'euros de chiffre d'affaires et de bilan, ce qui inclut une large part des PMI et ETI industrielles françaises, pas seulement les grands groupes.
Pourquoi l'industrie manufacturière est-elle davantage ciblée que d'autres secteurs ?
Elle combine des systèmes de production anciens et rarement mis à jour, une dépendance croissante à des prestataires numériques externes, et une forte pression à la continuité de production qui pousse parfois à payer une rançon plutôt qu'à arrêter une ligne.
Que risque une entreprise qui ne se conforme pas à NIS2 ?
Des sanctions financières pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités jugées essentielles, en plus du risque opérationnel et réputationnel d'une attaque non anticipée.
Faut-il attendre la loi française définitive pour agir ?
Non : le règlement technique européen associé à NIS2 est déjà applicable, et l'inventaire des systèmes critiques ainsi que l'analyse de risque peuvent être engagés dès maintenant, indépendamment du calendrier de transposition française.
Quel est le lien entre cybersécurité industrielle et gestion documentaire ?
Les modes opératoires et procédures internes décrivent en détail le fonctionnement des lignes de production : mal protégés, ils deviennent une source d'information exploitable en cas d'attaque ciblée, ce qui fait de leur sécurisation et de leur traçabilité un enjeu de cybersécurité à part entière.
"Avec Komin, nous avons documenté nos modes opératoires 10x rapidement qu'avec le papier"
- J. Cerruti (Responsable Méthodes & Industrialisation)
