Chambres froides, réseaux chauds : la faille silencieuse qui menace la souveraineté de votre chaîne logistique

# Chambres froides, réseaux chauds : la faille silencieuse qui menace la souveraineté de votre chaîne logistique

Une chambre froide. Des capteurs de température. Un automate qui régule la puissance des compresseurs. À première vue, rien là qui ressemble à un risque informatique sérieux. Et pourtant, en 2026, ces équipements sont devenus l'un des vecteurs d'intrusion les plus sous-estimés dans les systèmes d'information des PME et ETI européennes.

Pour les équipes IT, le problème est double. D'abord technique : ces installations sont connectées au réseau de l'entreprise, souvent sans que personne n'ait vraiment décidé que c'était une bonne idée. Ensuite stratégique : les logiciels qui les pilotent, les protocoles qui les font communiquer, et les plateformes cloud qui centralisent leurs données sont, dans une très large majorité des cas, américains. Ce qui pose une question que trop peu de DSI se posent encore : qui contrôle réellement votre chaîne du froid ?

Ce qu'on appelle « OT » et pourquoi ça change tout

Commençons par les bases. Dans le jargon IT, on distingue deux grands univers.

D'un côté, l'IT (*Information Technology*) : les serveurs, les postes de travail, les applications métiers, les messageries. C'est le terrain historique des DSI et des RSSI — les Responsables de la Sécurité des Systèmes d'Information.

De l'autre, l'OT (*Operational Technology*) : les systèmes qui pilotent des équipements physiques. Les automates industriels, les capteurs, les régulateurs de température, les systèmes de ventilation, les lignes de production. Pendant longtemps, ces deux mondes ne se parlaient pas. L'OT vivait dans sa bulle, déconnecté d'Internet, géré par des techniciens de maintenance qui n'avaient rien à voir avec l'équipe informatique.

Ce cloisonnement n'existe plus.

Aujourd'hui, une installation frigorifique moderne est pilotée par ce qu'on appelle un SCADA (*Supervisory Control and Data Acquisition*) — un logiciel de supervision industrielle — ou par un BMS (*Building Management System*, système de gestion technique du bâtiment). Ces systèmes sont connectés à Internet pour permettre la télémaintenance, l'optimisation énergétique en temps réel, et la remontée d'alertes sur smartphone. C'est pratique. C'est aussi une porte d'entrée.

Pour l'équipe IT, cette convergence IT/OT crée un angle mort majeur : ces équipements sont rarement inventoriés dans les outils de gestion du parc informatique. Ils n'ont pas de politique de mise à jour définie. Ils n'ont souvent aucun agent de sécurité installé dessus. Et ils sont connectés au même réseau que vos serveurs de production.

Comment un compresseur devient une porte d'entrée

Reprenons le scénario concret. Votre entrepôt logistique utilise un système de régulation thermique connecté. Ce système dialogue avec une passerelle réseau via un protocole industriel — Modbus, BACnet, ou OPC-UA sont les plus courants. Cette passerelle envoie des données vers une plateforme cloud pour que le prestataire de maintenance puisse intervenir à distance.

Voilà déjà plusieurs surfaces d'attaque identifiables par un attaquant :

Le protocole industriel lui-même. Modbus, par exemple, a été conçu dans les années 1970. Il n'intègre aucun mécanisme d'authentification natif. N'importe qui qui accède au segment réseau peut envoyer des commandes. Ce n'est pas une faille : c'est une conception d'époque qui n'a pas prévu Internet.

La passerelle réseau. Elle fait le lien entre l'OT et l'IT. Si elle n'est pas correctement segmentée, elle devient un pont direct entre votre chambre froide et votre réseau d'entreprise. Un attaquant qui compromet la passerelle peut se déplacer latéralement — c'est-à-dire progresser discrètement d'un équipement à l'autre — jusqu'à atteindre vos serveurs.

La plateforme cloud de supervision. C'est souvent là que réside le vrai problème souverainiste. Ces plateformes sont fréquemment opérées par des éditeurs américains, hébergées sur des infrastructures américaines, et soumises au Cloud Act — une loi américaine de 2018 qui autorise les autorités américaines à réclamer des données hébergées par des entreprises US, même si ces données sont physiquement stockées en Europe. Vos données opérationnelles — volumes de production, horaires d'activité, températures, consommation énergétique — transitent et sont stockées hors de tout cadre de droit européen.

Pour l'équipe IT au quotidien, cela se traduit par une réalité frustrante : vous n'avez souvent pas la main sur les mises à jour de ces systèmes. Vous ne choisissez pas l'hébergeur. Vous ne savez pas toujours quelles données remontent vers le cloud du prestataire. Et votre RSSI découvre parfois l'existence de ces flux… lors d'un audit de sécurité.

L'angle mort des équipes IT : quand la maintenance externalisée devient un risque de dépendance

Il y a une réalité que peu de DSI de PME aiment admettre : la maintenance des installations frigorifiques est presque toujours externalisée. Et avec elle, une partie du contrôle du système d'information.

Le prestataire de maintenance a besoin d'accéder à distance à vos équipements. C'est légitime. Mais comment cet accès est-il organisé ? Dans combien d'entreprises cet accès repose-t-il sur un VPN (*Virtual Private Network*) correctement configuré, avec authentification forte, traçabilité des connexions et révocation automatique à la fin du contrat ? Et dans combien d'autres repose-t-il sur un accès permanent ouvert, avec des identifiants partagés entre plusieurs techniciens ?

La réponse, les RSSI qui ont mené des audits OT la connaissent. Les accès distants des prestataires sont l'un des vecteurs d'attaque les plus documentés dans les incidents de sécurité industrielle ces dernières années.

Mais au-delà de la sécurité pure, il y a la question de la dépendance fonctionnelle. Quand le logiciel de supervision de vos installations est édité par un acteur américain, que ses mises à jour sont déployées automatiquement depuis des serveurs que vous ne contrôlez pas, et que vous n'avez pas accès au code source, vous avez délégué une partie de votre infrastructure critique à un tiers sur lequel vous n'avez aucune prise juridique ni technique.

C'est précisément ce que la directive NIS2 — la directive européenne sur la sécurité des réseaux et des systèmes d'information, entrée en vigueur en 2024 — cherche à corriger. Elle impose aux opérateurs de secteurs essentiels, dont la logistique et la chaîne alimentaire, de cartographier leurs dépendances, d'évaluer les risques liés à leurs prestataires, et de mettre en place des mesures de continuité. Pour les équipes IT, NIS2 n'est pas qu'une contrainte réglementaire : c'est une opportunité de remettre de l'ordre dans des périmètres que personne n'avait vraiment documentés.

Ce que les équipes IT peuvent concrètement reprendre en main

Parlons pratique. Que fait concrètement une équipe IT qui décide de traiter sérieusement le sujet ?

Première étape : cartographier ce qu'on ne connaît pas.

La majorité des équipes IT de PME/ETI n'ont pas de vision exhaustive de leurs équipements OT. La première mission est donc de réaliser un inventaire : quels équipements sont connectés au réseau ? Via quel protocole ? Vers quelle destination externe ? Des outils de découverte réseau passifs permettent de faire cet inventaire sans perturber les équipements industriels — qui, contrairement aux serveurs classiques, peuvent mal réagir à un scan actif. Des acteurs européens spécialisés dans la cybersécurité industrielle, comme Sentryo (racheté par Cisco, mais dont l'expertise initiale est française) ou Claroty (dont la présence européenne est significative), ont développé des approches adaptées à ces environnements. L'objectif n'est pas de recommander une solution particulière, mais de souligner qu'il existe des méthodes non-intrusives adaptées à l'OT.

Deuxième étape : segmenter le réseau.

C'est le principe de base, et c'est encore trop souvent absent. Les équipements OT ne doivent pas être sur le même segment réseau que les postes de travail ou les serveurs. Un VLAN (*Virtual Local Area Network*) dédié, avec des règles de pare-feu strictes entre les zones, limite considérablement la capacité d'un attaquant à se déplacer latéralement. C'est un travail de configuration réseau, pas un investissement majeur. Mais il faut avoir cartographié les flux pour ne pas couper ce qui ne doit pas l'être.

Troisième étape : reprendre la main sur les accès distants des prestataires.

Tout accès distant doit passer par une solution contrôlée par l'entreprise — pas par un tunnel VPN géré par le prestataire. Des solutions de PAM (*Privileged Access Management*, gestion des accès à privilèges) permettent d'enregistrer les sessions, de limiter les plages horaires d'accès, et de révoquer les droits en temps réel. Ici, le prisme souverainiste s'applique directement : choisir une solution PAM hébergée en Europe, soumise au droit européen, est une décision stratégique — pas un détail.

Quatrième étape : intégrer l'OT dans la politique de gestion des vulnérabilités.

Les équipements industriels ont des cycles de vie longs. Un automate peut rester en service dix ou quinze ans. Il faut donc savoir quelles versions de firmware sont déployées, quelles vulnérabilités connues existent sur ces versions, et établir un processus — même simplifié — de mise à jour coordonnée avec les prestataires. Ce processus doit être contractualisé. Le contrat de maintenance doit inclure des obligations de sécurité, pas seulement de disponibilité.

Souveraineté numérique : la chaîne du froid comme terrain d'entraînement

Il y a quelque chose de symboliquement fort dans le fait que la chaîne du froid — l'une des infrastructures les plus matérielles qui soit, celle qui conditionne la qualité des aliments, des médicaments, des vaccins — soit devenue un terrain de jeu pour des acteurs numériques américains dont les modèles économiques reposent sur la captation de données opérationnelles.

Pour un DSI européen, la question n'est pas abstraite. Elle se pose en termes concrets : si demain votre prestataire de supervision thermique décide de modifier ses conditions tarifaires, de couper l'accès à certaines fonctionnalités, ou de cesser de supporter votre version de firmware — comme cela s'est produit avec plusieurs éditeurs américains qui ont brutalement mis fin au support de versions anciennes de leurs logiciels industriels — quelle est votre capacité de réaction ?

La réponse honnête, pour beaucoup d'entreprises, est : faible. Parce qu'on n'a pas documenté les interfaces. Parce qu'on n'a pas de contrat d'escrow sur le code source. Parce qu'on n'a pas évalué les alternatives européennes au moment du choix initial.

C'est précisément pourquoi le sujet de la cybersécurité OT est inséparable de la question de la souveraineté numérique. Sécuriser ses installations frigorifiques, ce n'est pas seulement empêcher un hacker de modifier la température de vos entrepôts. C'est reprendre la maîtrise d'une couche de votre infrastructure que vous aviez, souvent par inadvertance, confiée à des acteurs sur lesquels vous n'avez aucun levier.

En 2026, avec NIS2 pleinement applicable, avec la multiplication des incidents ciblant les infrastructures logistiques, et avec des tensions géopolitiques qui rendent la dépendance technologique extra-européenne de moins en moins confortable, les équipes IT ont une fenêtre d'opportunité. Pas pour tout révolutionner d'un coup. Mais pour commencer par cartographier, segmenter, contractualiser — et pour poser, à chaque nouvelle décision d'achat, la question que trop peu posent encore : où seront hébergées nos données ? Qui contrôle les mises à jour ? Et si ce prestataire disparaît demain, que reste-t-il entre nos mains ?

Une chambre froide, finalement, est un très bon point de départ pour apprendre à ne plus avoir froid dans le dos.