La meilleure approche en OT n’est pas celle que vous croyez.

La cybersécurité industrielle est en pleine transformation. Entre la digitalisation, la pression réglementaire (NIS2, CRA, LPM…), et l’explosion des cyberattaques ciblant les infrastructures critiques, les entreprises se posent toutes la même question :

👉 Faut-il déployer un SMSI basé sur l’ISO 27001 ou un CSMS conforme à l’IEC 62443 pour sécuriser un environnement OT ?

La réponse courte : Les deux. Mais pas pour les mêmes raisons.

Et c’est précisément ce que la plupart des organisations ne comprennent pas encore.

1. ISO 27001 : un cadre global, mais conçu pour l’IT

L’ISO 27001 définit le SMSI — Système de Management de la Sécurité de l’Information. Il s'agit du standard le plus reconnu pour structurer une démarche de cybersécurité à l’échelle d’une entreprise :

✔ Ses forces :

• Une gouvernance centralisée et claire

• Des responsabilités définies (RSSI, pilote, direction)

• Une analyse de risques structurée

• Des processus transversaux (accès, incidents, RH, fournisseurs…)

• Un pilotage rigoureux (audits internes, contrôles, PDCA)

C’est un référentiel transversal, très puissant pour les organisations multi-sites ou les groupes industriels.

❗Mais ses limites en OT sont réelles :

• Le modèle CIA (Confidentialité – Intégrité – Disponibilité) n’est pas aligné sur les priorités OT 👉 en OT : Disponibilité – Intégrité – Confidentialité

• La norme ne prend pas en compte les contraintes d’exploitation industrielle (arrêt de production, maintenance en pleine charge, cycles longs…)

• Elle n’intègre pas les systèmes hérités (PLC anciens, SCADA obsolètes, architecture legacy)

• Elle ignore la sûreté industrielle, essentielle dans les environnements critiques

• Elle est trop “IT-centric” pour les réalités du terrain OT

Conclusion : Le SMSI ISO 27001 est indispensable, mais pas suffisant pour sécuriser une usine.

2. IEC 62443 : un cadre opérationnel, pensé pour l’industriel

La série de normes IEC 62443 est aujourd’hui la référence mondiale pour sécuriser les systèmes industriels (ICS/OT).

Elle introduit le CSMS — Cyber Security Management System, un système de management 100 % adapté à l’OT.

✔ Ses forces :

• Prise en compte de la disponibilité 24/7

• Modèle zones & conduits pour segmenter l’usine

• Gestion avancée des accès distants (télémaintenance, VPN, bastion…)

• Durcissement des équipements OT (automates, SCADA, IHM, capteurs)

• Gestion des équipements legacy et de la coexistence IT/OT

• Rôles différenciés : exploitant, intégrateur, fabricant (4-1 / 4-2)

• Prise en compte du cycle de vie industriel (10 à 20 ans !)

• Exigences techniques réalistes pour les environnements critiques

❗Pourquoi cette norme “comprend” le terrain :

Parce qu’elle tient compte :

• du patching impossible (ou très contraint)

• de l’obsolescence matérielle

• des impératifs de sûreté (safety)

• de la maintenance en charge

• de la cohabitation IT/OT

• des risques opérationnels (arrêts, dommages physiques…)

Conclusion : Le CSMS IEC 62443 est le seul modèle réellement adapté aux opérations OT.

3. Alors… que faut-il déployer ?

C’est là que beaucoup se trompent. Ce n’est pas ISO ou IEC. C’est ISO + IEC, mais sur des niveaux différents.

Niveau CORPORATE / GROUPE : ISO 27001 – SMSI global

Pour la vision stratégique, il faut un cadre transversal, capable de :

• Harmoniser IT & OT

• Centraliser les politiques

• Piloter la conformité

• Imposer des standards groupe

• Structurer les risques

• Dialoguer avec les régulateurs

👉 Le SMSI ISO 27001 joue le rôle de colonne vertébrale de la sécurité globale.

Niveau USINE / OPÉRATIONNEL : IEC 62443 – CSMS industriel

Pour la réalité du terrain, il faut un cadre conçu pour l’OT, capable de gérer :

• La segmentation réseau (zones & conduits)

• L’inventaire OT

• La télémaintenance

• La gestion des correctifs industriels

• Le durcissement des composants

• Le cycle de vie des équipements

• Les niveaux de sécurité (SL 1 à 4)

👉 Le CSMS IEC 62443 est la boîte à outils opérationnelle qui sécurise réellement la production.

Le modèle le plus mature : combiner les deux

Les entreprises qui réussissent à sécuriser leur OT adoptent la structure suivante :

ISO 27001 = Stratégie

• Vision

• Politique groupe

• Processus de gouvernance

• Gestion du risque

• Reporting direction

IEC 62443 = Opérationnel

• Sécurisation du site

• Accès distants

• Zones & conduits

• Cycle de vie industriel

• SL (Security Levels)

• Exigences techniques

👉 Résultat : Une gouvernance forte + une cybersécurité industrielle réellement appliquée.

Conclusion :

“ISO 27001 dit ce qu’il faut gouverner. IEC 62443 explique comment le sécuriser réellement dans une usine.”

Les organisations les plus avancées ne choisissent pas entre les deux : elles les combinent intelligemment pour obtenir :

✔ Une vision globale IT/OT

✔ Une approche orientée risque

✔ Une sécurité opérationnelle solide

✔ Une conformité moderne (NIS2, CRA, LPM…)

✔ Une résilience réelle et mesurable

#Cybersecurité #IEC62443 #ISO27001 #OTsecurity #ICSsecurity #CyberOT #GRC #RiskManagement #RSSI #InfrastructureCritique #Industry40 #AutomateSecure #WomenInCybersecurity #CyberResilience #NIS2 #EBIOSRM