Électricité vs cybersécurité : la nouvelle équation des entreprises face aux risques contemporains

Coups de chaud, tensions géopolitiques et attaques informatiques en hausse, les entreprises découvrent qu’un incident ne vient jamais seul, et que l’électricité, longtemps traitée comme un poste technique, devient un sujet de continuité d’activité au même titre que la cybersécurité. En France, la digitalisation accélérée, l’essor des objets connectés et la montée des exigences réglementaires rapprochent deux mondes qui se parlaient peu. Désormais, chaque panne et chaque faille se répondent, et les directions doivent arbitrer vite, avec des chiffres, des scénarios et des plans testés.

Quand l’énergie tombe, l’informatique suit

Une minute suffit parfois. Dans de nombreuses organisations, l’électricité n’est plus un simple “service support” mais la condition de fonctionnement des systèmes d’information, des outils de production, des contrôles d’accès et des chaînes logistiques. Les arrêts brutaux provoquent des pertes de données, des redémarrages longs, des dégradations matérielles et, surtout, des interruptions de services qui se chiffrent. Selon IBM, le coût moyen mondial d’une violation de données atteint 4,88 millions de dollars en 2024, un record, et même lorsqu’il ne s’agit pas d’une attaque, l’indisponibilité agit comme un multiplicateur de risques, car elle désorganise les équipes et fragilise les procédures.

La réalité opérationnelle est plus prosaïque, et donc plus dangereuse. Une coupure peut désactiver un routeur, faire tomber un serveur de supervision, interrompre un système de sauvegarde en cours, ou mettre hors ligne des capteurs utilisés pour détecter des anomalies. Les infrastructures critiques le savent depuis longtemps, mais le phénomène s’étend aux PME et aux réseaux de points de vente, avec des caisses, des terminaux de paiement et des connexions WAN souvent sensibles aux variations de tension. Les onduleurs protègent, certes, mais ils ont leurs limites, et leur autonomie, souvent de quelques minutes à une heure selon la charge, ne remplace pas un plan de reprise éprouvé.

En France, le gestionnaire du réseau de transport RTE publie régulièrement des analyses de sécurité d’approvisionnement, et même si les risques de délestage ont fluctué ces dernières années, l’épisode 2022 a laissé une trace durable dans les comités de direction. Cette mémoire récente a poussé des entreprises à revoir leurs priorités, en distinguant ce qui doit rester alimenté à tout prix, ce qui peut être arrêté proprement, et ce qui peut redémarrer plus tard. Cette hiérarchisation, classique en gestion de crise, prend une dimension numérique, car la dépendance au cloud, aux VPN et aux outils collaboratifs rend l’activité vulnérable dès que le courant faiblit ou que la qualité d’alimentation se dégrade.

Le hacker aime les angles morts techniques

Un incident électrique n’est pas qu’une panne, c’est aussi une fenêtre. Dans l’urgence, les procédures contournées, les mises à jour reportées, les contrôles désactivés “temporairement” et les mots de passe partagés pour gagner du temps créent des angles morts dont les attaquants raffolent. Les tendances récentes confirment une professionnalisation du ransomware, avec des opérateurs qui ciblent des environnements hybrides, exploitent des faiblesses de configuration et monétisent l’interruption d’activité autant que l’exfiltration de données. L’ANSSI, dans ses rapports annuels, rappelle que l’indisponibilité est devenue un levier central de pression, et que la préparation, plus que la réaction, fait la différence.

Le problème, c’est que l’attaque et la panne se mêlent de plus en plus. Un site industriel peut subir une coupure, redémarrer en mode dégradé, puis découvrir qu’un accès distant non sécurisé a été utilisé pendant la confusion. Un siège peut voir son contrôle d’accès passer sur une alimentation de secours, tandis que des équipes s’échangent des fichiers sensibles via des canaux non validés parce que “tout est à l’arrêt”. L’électricité, ici, n’est pas la cause première, mais elle agit comme un accélérateur d’erreurs, et la cybersécurité, au lieu de jouer un rôle de garde-fou, devient une victime collatérale.

Les objets connectés, eux, compliquent encore l’équation. Thermostats, caméras, badgeuses, capteurs de consommation, actionneurs de stores ou d’éclairage intelligent multiplient les points d’entrée, souvent avec des firmwares rarement mis à jour et des interfaces d’administration mal segmentées. À mesure que les bâtiments se “pilotent”, la frontière entre sûreté physique et sécurité numérique s’estompe, et l’on voit émerger des scénarios où une mauvaise isolation réseau permet, depuis un équipement de confort, de remonter vers des systèmes plus sensibles. Dans ce contexte, la maîtrise des équipements, leur intégration et leur maintenance ne relèvent plus d’un simple confort énergétique, elles deviennent une composante de la gestion des risques.

Domotique, capteurs, réseaux : le trio à surveiller

La promesse est séduisante : mieux consommer, mieux superviser, mieux anticiper. Les dispositifs de mesure et de pilotage permettent de suivre en temps réel la consommation, d’identifier des dérives, d’automatiser l’extinction, d’ajuster le chauffage et la ventilation, et de prioriser des charges en cas de contrainte électrique. À l’échelle d’un parc tertiaire, ces gains peuvent être significatifs, d’autant que l’énergie pèse lourd dans les coûts, et que les tensions sur les prix ont rendu le sujet visible jusqu’au comité exécutif. Mais à chaque capteur s’ajoute une dépendance, à chaque passerelle une configuration, à chaque API une surface d’attaque potentielle.

Le bon réflexe consiste à traiter ces systèmes comme des actifs informatiques à part entière, avec inventaire, segmentation, durcissement, mises à jour planifiées et journalisation. Or, dans beaucoup d’organisations, la gestion technique du bâtiment, les prestataires électriciens, l’IT et la sécurité travaillent encore en silos, avec des contrats séparés et des responsabilités floues. Résultat : des mots de passe par défaut persistent, des ports restent ouverts “pour la maintenance”, des VLAN ne sont pas isolés, et des accès distants ne sont pas revus. Le risque n’est pas théorique, car l’historique des incidents dans le monde montre que des environnements OT et IoT mal cloisonnés peuvent servir de tremplin, même lorsque le cœur du SI est bien protégé.

Pour limiter l’exposition, il faut aussi choisir des solutions et des intégrateurs capables d’aligner performance énergétique et exigences de sécurité, en documentant les architectures, en proposant des mécanismes d’authentification robustes, et en expliquant les implications réseau. Les entreprises qui veulent mieux comprendre les options, du pilotage d’éclairage à la supervision plus avancée, peuvent, à titre d’exemple, découvrir ce site, afin de se faire une idée des équipements et des logiques d’intégration possibles, et de nourrir un dialogue plus informé avec leurs prestataires. L’essentiel reste de ne pas “brancher et oublier” : ce qui se connecte doit se maintenir, se surveiller et se tester.

Des plans concrets, pas des classeurs

Tout se joue avant la crise. Un plan de continuité d’activité efficace commence par une cartographie des dépendances : quels services sont vitaux, combien de temps peut-on les arrêter, quelles données doivent être sauvegardées, quels accès physiques et numériques doivent rester opérationnels. À partir de là, les arbitrages deviennent concrets, et l’on peut dimensionner des onduleurs, prévoir des groupes électrogènes, organiser des bascules réseau, établir des procédures d’arrêt propre, et fixer des priorités de redémarrage. Sans cette préparation, la panne impose son tempo, et les équipes improvisent, souvent au prix d’écarts de sécurité.

La cybersécurité doit, elle aussi, être “continuiste”. Sauvegardes hors ligne ou immuables, tests réguliers de restauration, authentification multifacteur, segmentation, gestion stricte des comptes à privilèges, et supervision des logs ne sont pas des cases à cocher, mais des mécanismes qui permettent de tenir quand tout vacille. Les chiffres donnent un ordre de grandeur : IBM indique que les organisations ayant déployé une automatisation et une IA de sécurité importantes réduisent en moyenne leurs coûts de violation par rapport à celles qui en sont dépourvues, ce qui souligne l’intérêt d’outils capables de détecter et de réagir vite. Mais ces outils n’ont de valeur que si l’alimentation, la connectivité et les procédures restent cohérentes, car une alerte ignorée lors d’une coupure peut se transformer en incident majeur au redémarrage.

Dernier point, souvent négligé : l’exercice. Tester un scénario de panne totale, simuler la perte d’un site, vérifier l’autonomie réelle des onduleurs, chronométrer un redémarrage, contrôler que les badges fonctionnent, et s’assurer que les équipes savent qui appeler, voilà ce qui transforme un document en capacité. Les entreprises les plus matures organisent ces tests avec l’IT, la sûreté, la maintenance et les métiers, parce que la crise ne respecte pas les organigrammes. Dans cette nouvelle équation, l’électricité n’est plus un bruit de fond, et la cybersécurité n’est plus une affaire de seuls spécialistes : c’est un sujet de gouvernance.

Anticiper sans exploser le budget

Avant d’investir, faites auditer vos dépendances, puis hiérarchisez : onduleurs sur les systèmes critiques, segmentation réseau des équipements connectés et sauvegardes testées offrent souvent le meilleur rapport efficacité-coût. Des aides existent selon les projets de rénovation énergétique, et une planification par lots facilite la réservation des prestataires. L’objectif : réduire vite l’exposition, sans immobiliser l’activité.