Infrastructures critiques : sécurité, menaces et protection

Les infrastructures critiques sont les réseaux, les installations et les systèmes dont la perturbation aurait de graves conséquences pour la sécurité, l'économie ou la continuité de la vie de la Nation : électricité, eau, santé, finances, communications, transports.

En France, leur protection repose sur le dispositif de sécurité des activités d'importance vitale (SAIV) : plus de 300 opérateurs d'importance vitale (OIV) dans 12 secteurs. Ce cadre est en pleine évolution, avec la directive européenne sur la résilience des entités critiques (REC) et la directive NIS 2, dont la transposition française est en attente. Ce guide présente les secteurs, les menaces, les obligations et les mesures de protection, avec un angle trop souvent oublié : comment les équipes continuent de se coordonner quand leurs outils de communication sont indisponibles ou compromis. Dans ce guide, nous verrons :

• ce que recouvre la notion d'infrastructure critique en France, au Royaume-Uni et aux États-Unis ;
• les douze secteurs d'activités d'importance vitale et les menaces qui pèsent sur eux ;
• le cadre réglementaire : SAIV, NIS 2, REC et le projet de loi Résilience ;
• les mesures de protection, et le rôle des communications sécurisées dans la résilience opérationnelle.

Pour découvrir comment Wire sur Cloud Temple permet aux équipes des infrastructures critiques de rester connectées en cas de crise, échangez avec notre équipe.

Qu'est-ce qu'une infrastructure critique ?

Une infrastructure critique désigne l'ensemble des actifs, systèmes et réseaux dont un pays dépend pour fonctionner. Elle couvre l'énergie, l'eau, les transports, les communications, la santé, la finance, la défense et les services publics, dont la perte ou la compromission causerait un préjudice majeur aux services essentiels, à la population ou à l'économie.

Les infrastructures critiques comprennent des actifs physiques et numériques. Une sous-station électrique, une station d'épuration ou un bâtiment hospitalier sont des infrastructures physiques ; les systèmes de contrôle industriels qui les font fonctionner, les réseaux qui les relient et les logiciels qui les surveillent sont des infrastructures numériques. Les infrastructures modernes reposent sur la collaboration des deux. Elles sont aussi interconnectées : une défaillance dans un secteur peut affecter les secteurs qui en dépendent et provoquer des effets en cascade.

Le vocabulaire français

En France, plusieurs termes se superposent. Mieux vaut les distinguer avant de parler de conformité.

Les 12 secteurs d'activités d'importance vitale

La France compte plus de 300 opérateurs d'importance vitale répartis dans douze secteurs, regroupés en quatre dominantes. Chaque secteur est piloté par un ministre coordonnateur.

Pourquoi les infrastructures critiques sont-elles importantes ?

Elles englobent les systèmes fondamentaux dont dépend un pays : production d'électricité, eau potable, réseaux mobiles, hôpitaux, paiements, transports.

• La sécurité et la santé publiques dépendent du fonctionnement ininterrompu des services d'électricité, d'eau et d'urgence ;
• La stabilité économique dépend du fonctionnement continu des systèmes financiers, des réseaux de transport et de l'approvisionnement énergétique ;
• La sécurité nationale dépend du maintien sous un contrôle fiable des infrastructures de défense, d'administration et de communication ;
• Le fonctionnement de l'administration dépend des systèmes qui assurent les services publics et coordonnent les interventions d'urgence.

En raison de l'interdépendance des secteurs, une perturbation peut avoir des effets en cascade. Une panne d'électricité majeure peut affecter simultanément les télécommunications, les transports, les établissements de santé et les services d'urgence, qui ont eux-mêmes des dépendances.

C'est pourquoi la protection des infrastructures critiques doit inclure la résilience et la reprise après incident, en plus de la prévention. Les équipes ne peuvent pas supposer que chaque attaque sera arrêtée : elles doivent prévoir ce qu'elles feront quand les systèmes deviennent indisponibles ou ne sont plus fiables.

Quelles menaces pèsent sur les infrastructures critiques ?

Les opérateurs font face à un large éventail de risques : cyberattaques, perturbations physiques, événements environnementaux et erreurs humaines. À mesure que les systèmes s'interconnectent et dépendent de prestataires tiers, les menaces peuvent entrer par des zones que l'opérateur ne contrôle pas directement.

Cyberattaques et rançongiciels

Les attaquants visent les infrastructures critiques par des intrusions dans les systèmes de contrôle, l'exfiltration de données et le déni de service, pour perturber les opérations plutôt que seulement voler des informations. Les groupes de rançongiciels ciblent les opérateurs critiques parce que la pression pour rétablir vite les services les rend plus enclins à payer.

Le Panorama de la cybermenace 2025 de l'ANSSI recense 1 366 incidents traités, 128 compromissions par rançongiciel et 196 incidents d'exfiltration de données, en hausse de 51 %. Quatre secteurs, dont la santé et les collectivités, concentrent 76 % des incidents. Il relève aussi des opérations coordonnées contre des infrastructures électriques polonaises fin 2025 et des groupes hacktivistes s'en prenant à de petites installations industrielles, comme les énergies renouvelables ou les réseaux d'eau. Le rapport complet est disponible sur le site du CERT-FR.

Attaques physiques, sabotage et terrorisme

Accès non autorisés, dégradations délibérées, vols et sabotage peuvent toucher des installations physiques : sous-stations, canalisations, ouvrages hydrauliques, nœuds de transport. Les organisations ont besoin d'une protection physique : contrôle d'accès aux sites et systèmes sensibles, surveillance, contrôles périmétriques et procédures d'intervention.

Menaces étatiques et menaces persistantes avancées

Des groupes soutenus par des États mènent des campagnes longues et bien dotées pour recueillir du renseignement, établir un accès persistant ou préparer de futures perturbations. Un attaquant qui compromet le compte ou l'appareil d'un employé peut accéder à une plateforme de communication interne, surveiller des conversations sensibles sans être détecté et utiliser cet accès en pleine crise pour obtenir des renseignements opérationnels ou perturber la coordination.

Catastrophes naturelles et perturbations climatiques

Inondations, feux de forêt, tempêtes et vagues de chaleur perturbent de plus en plus les opérations, et la fréquence des phénomènes extrêmes rend la catégorie plus difficile à anticiper sur la seule base de l'historique. Les dommages physiques provoquent souvent des défaillances en cascade dans les secteurs qui en dépendent.

Menaces internes et risques liés au personnel

Un acteur interne malveillant peut divulguer des informations ou perturber les systèmes, tandis que collaborateurs et sous-traitants peuvent provoquer involontairement des incidents : identifiants compromis, mauvaise configuration, partage d'informations non sécurisé, erreur humaine. L'ANSSI rappelle l'importance de l'hygiène informatique et de la formation.

Compromission de la chaîne d'approvisionnement et des tiers

La dépendance à des fournisseurs, des prestataires cloud et des prestataires de services gérés a élargi la surface d'attaque. Selon l'ANSSI, plusieurs sous-traitants de la base industrielle et technologique de défense ont été compromis par des rançongiciels au premier semestre 2025. Au Royaume-Uni, le projet de loi sur la cybersécurité et la résilience traite explicitement ce risque de concentration en intégrant les prestataires de services gérés et les centres de données. Pour choisir un hébergeur, consultez notre panorama des fournisseurs de cloud souverain, qui présente aussi la fédération européenne Virt8ra et le cadre Gaia-X.

Quel cadre réglementaire pour les infrastructures critiques en France ?

Plusieurs dispositifs se superposent. Les OIV relèvent depuis 2006 du dispositif SAIV, auquel s'ajoutent désormais deux textes européens.

Le projet de loi Résilience est le véhicule qui doit transposer NIS 2 et REC en révisant le dispositif SAIV : le chapitre « Protection des installations d'importance vitale » du code de la défense deviendrait « Résilience des activités d'importance vitale », avec une logique « tous risques ». Il a été retiré de l'ordre du jour de l'Assemblée nationale le 6 octobre 2026, sans nouvelle date. Tant qu'il n'est pas adopté, le dispositif SAIV actuel demeure, et son articulation avec NIS 2 et REC dépendra du texte final. Pour NIS 2, parlez de préparation : notre guide pour se préparer à NIS 2 détaille le calendrier et les dix mesures de l'article 21.

Comment protéger les infrastructures critiques ?

Protéger ces systèmes demande une combinaison de cyber-résilience, de sécurité physique, de résilience opérationnelle et de préparation aux incidents. Les mesures précises dépendent du secteur, des actifs et des menaces, mais plusieurs principes valent partout.

Évaluation des risques et cartographie de la criticité

Il faut d'abord comprendre ce que l'on protège et ce qui se passerait si cela devenait indisponible. En France, la méthode EBIOS Risk Manager de l'ANSSI est une référence pour l'analyse de risques. Cet exercice doit identifier :

• les actifs, systèmes et processus métier critiques ;
• les interdépendances entre informatique, technologies opérationnelles (OT) et infrastructure physique ;
• les tiers nécessaires au maintien des services essentiels ;
• les systèmes et comptes à accès privilégié ;
• les données et communications qui exigent des niveaux de protection plus élevés ;
• les conséquences opérationnelles de la perte de certains systèmes ou fournisseurs.

Cette cartographie permet de hiérarchiser les ressources selon l'impact, plutôt que d'appliquer les mêmes contrôles à tous les actifs.

Sécurité physique et contrôle d'accès

Les actifs physiques exigent des contrôles autour des installations, des équipements et des zones d'exploitation sensibles, en particulier pour les centrales, les stations de traitement d'eau et les sites nucléaires, où une atteinte physique peut avoir des conséquences sur la sécurité. Cela passe par la limitation des accès selon le besoin opérationnel, avec des procédures d'octroi, de revue et de retrait des autorisations.

Sécurité des systèmes OT, des systèmes industriels et des réseaux

Les technologies opérationnelles et les systèmes de contrôle industriels exigent une approche distincte des contrôles informatiques standard. La segmentation du réseau, le principe du moindre privilège, l'application des correctifs lorsque cela est opérationnellement faisable, la surveillance continue et la réduction des connexions inutiles entre systèmes à haut risque limitent l'étendue d'une intrusion une fois qu'elle a pris pied.

Détection des menaces et cybersécurité

Les équipes doivent détecter assez tôt les activités suspectes pour les contenir avant qu'elles ne perturbent les opérations critiques : surveillance continue des réseaux et des terminaux, correction des vulnérabilités, restriction des accès privilégiés, investigation des comportements inhabituels. Pour les OIV, des prestataires de détection et de réponse aux incidents qualifiés par l'ANSSI complètent le dispositif. Il faut aussi protéger les informations que les équipes échangent au quotidien et pendant les incidents : plans opérationnels sensibles, détails d'incident, identifiants.

Réponse aux incidents et planification de la résilience

La capacité à se rétablir vite dépend de la qualité de la préparation. Un plan de continuité doit inclure :

• des procédures de gestion d'incident documentées, avec des voies d'escalade claires ;
• des capacités de sauvegarde et de reprise testées régulièrement ;
• des systèmes redondants pour les fonctions qui ne tolèrent pas une interruption prolongée ;
• des procédures opérationnelles alternatives si les systèmes numériques sont indisponibles ;
• des exercices et simulations réguliers, comme le propose le guide de l'ANSSI sur les exercices de gestion de crise cyber ;
• des responsabilités attribuées avant l'incident.

Pour aller plus loin, consultez notre guide de la cyber-résilience et notre guide de la communication de crise.

Sécurité de la communication et de la collaboration

La réponse à un incident dans une infrastructure critique repose sur une coordination fiable entre équipes de sécurité, dirigeants, personnels de première ligne, fournisseurs, administrations et services d'urgence, souvent au-delà des frontières de l'organisation. Avant qu'un incident ne survienne, posez-vous ces questions sur votre solution de communication :

• que se passerait-il si Microsoft 365, Teams, la messagerie électronique ou votre infrastructure d'identité devenaient indisponibles ou compromis ?
• disposez-vous d'une plateforme de messagerie qui ne repose pas sur la même infrastructure ?
• pouvez-vous révoquer rapidement l'accès lorsqu'un compte ou un appareil précis est compromis ?
• vos équipes peuvent-elles faire intervenir en sécurité des organismes externes, comme des régulateurs ou des services d'urgence, sans perdre le contrôle administratif ?
• votre outil respecte-t-il le modèle de déploiement et de souveraineté que votre secteur exige ?
• vos collaborateurs sont-ils déjà formés à ce canal alternatif avant l'urgence ?

Les communications, secteur critique mais angle mort

Les communications électroniques sont reconnues comme un secteur critique, en France comme au Royaume-Uni et aux États-Unis. En pratique, ce périmètre vise surtout les réseaux de télécommunications, les fournisseurs d'accès et les infrastructures qui acheminent le trafic. Les services de messagerie, d'appels et de collaboration que les équipes utilisent au quotidien en font rarement partie. Les outils de communication sont presque toujours vus comme des outils de productivité plutôt que comme des éléments de résilience, ce qui entraîne :

• du Shadow IT en situation de crise : quand la plateforme principale tombe ou n'est plus fiable, les équipes se replient sur WhatsApp ou Telegram, sans piste d'audit, sans gouvernance et sans contrôle de conformité. Voir notre analyse du chiffrement de WhatsApp et notre analyse de la sécurité de Telegram ;
• un accès étendu des administrateurs aux conversations sensibles : sur la plupart des plateformes de collaboration, ils peuvent lire le contenu des messages, ce qui est un risque majeur si leur compte est compromis ;
• l'absence d'option de déploiement souverain pour des opérateurs qui doivent maîtriser l'hébergement des données de communication et la juridiction applicable. Voir notre guide de la souveraineté du cloud.

Pour choisir une solution, consultez notre guide pour choisir un outil de collaboration sécurisé et notre comparatif des logiciels de collaboration sécurisés.

Comment Wire soutient une communication sécurisée pour les opérateurs d'infrastructures critiques

Wire fournit une couche de communication et de collaboration sécurisée qui complète les systèmes de sécurité OT, de sécurité réseau, de détection et de réponse aux incidents d'une organisation.

Des communications souveraines pour les pouvoirs publics et les infrastructures critiques

Les opérateurs peuvent avoir des exigences strictes sur le lieu d'hébergement de leur infrastructure de communication et sur l'identité de ceux qui la contrôlent. L'offre de Wire s'articule autour d'un chiffrement de bout en bout permanent, d'options de déploiement en cloud, sur site et hybride, d'une fédération sécurisée entre environnements gérés indépendamment et de contrôles d'identité et d'appareils d'entreprise. En France, avec Wire sur Cloud Temple, la messagerie est déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.

Une coordination sécurisée entre organisations

Les secteurs critiques doivent se coordonner avec d'autres secteurs et avec des entreprises externes : les fournisseurs d'énergie dépendent des télécommunications, les transports s'appuient sur des fournisseurs d'électricité et de signalisation, les organismes de santé coordonnent en permanence fournisseurs, régulateurs et services d'urgence. Wire permet de communiquer en sécurité avec des organisations externes par messagerie, appels, visioconférences et partage de fichiers chiffrés de bout en bout, et d'intégrer des partenaires dans des conversations contrôlées grâce à l'accès invité et à la fédération, tout en gardant le contrôle sur leurs interactions avec les équipes internes.

Homologation allemande et cadre français : ce qu'il faut savoir

Wire Bund, la version dédiée au secteur public allemand, est approuvé par l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) pour la classification VS-NfD. Cette approbation est une référence pour juger de la maturité d'un produit, mais elle n'a pas de valeur juridique en France.

En France, la mention « Diffusion Restreinte » n'est pas un niveau de classification mais une mention de protection de l'IGI 1300. Hors zone physiquement protégée, les informations qui la portent doivent être chiffrées avec des moyens agréés par l'ANSSI, dont le catalogue des produits certifiés, qualifiés et agréés indique le niveau. Pour traiter ces informations, vérifiez toujours l'agrément dans ce catalogue.

Maintenir les communications pendant un incident cyber

Quand l'environnement de collaboration principal est touché, les équipes de réponse doivent continuer de communiquer pendant l'enquête et la restauration. Wire peut fonctionner comme couche de communication sécurisée indépendante :

• le chiffrement de bout en bout permanent protège messagerie, appels et fichiers ;
• les options de déploiement souverain donnent un meilleur contrôle de l'infrastructure aux organisations soumises à des exigences strictes ;
• la fédération facilite la coordination entre organisations gérées séparément ;
• ID Shield aide à vérifier les appareils de confiance via le fournisseur d'identité ;
• Operator Shield protège le contenu des messages contre l'accès des administrateurs et des opérateurs d'infrastructure ;
• la sécurité après compromission de MLS remplace les clés de chiffrement quand un appareil est compromis, afin que les messages futurs restent protégés même si des clés antérieures ont été exposées.

Plus de 1 800 organisations, dont des administrations et des opérateurs d'infrastructures critiques, utilisent Wire. Réservez une démonstration pour voir comment Wire s'intègre à votre stratégie de résilience.

Infrastructures critiques : que retenir ?

Protéger une infrastructure critique, c'est combiner analyse de risques, sécurité physique, sécurité des systèmes industriels, détection, réponse et résilience, dans un cadre français et européen en mouvement : SAIV, NIS 2, REC et projet de loi Résilience. Et c'est préparer ce que l'on oublie souvent : le canal par lequel les équipes se coordonneront quand les outils habituels seront tombés.

Wire sur Cloud Temple fait partie des options pour y parvenir : une messagerie chiffrée de bout en bout par défaut, déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.

Comment Wire sur Cloud Temple soutient la résilience des infrastructures critiques

Avec Wire sur Cloud Temple, vos équipes disposent d'une messagerie chiffrée de bout en bout, déployée sur le cloud de confiance de Cloud Temple, qualifié SecNumCloud par l'ANSSI. Un espace de confiance pour vos échanges sensibles et votre communication de crise, à côté de vos outils habituels.

Principales fonctionnalités :

• Chiffrement de bout en bout par défaut : messages, appels et visioconférences sont chiffrés de bout en bout sur tous les appareils, sans option à activer.
• Canal de crise hors bande : un espace de communication chiffré, indépendant de votre système d'information principal, pour votre cellule de crise, votre CERT ou votre SOC.
• Membres internes, externes et invités : chaque conversation distingue visuellement qui participe, et l'accès invités et la fédération permettent d'échanger avec vos partenaires et prestataires.
• Déploiement sur un cloud qualifié SecNumCloud : Wire est déployé sur l'infrastructure de Cloud Temple, qualifiée SecNumCloud par l'ANSSI, et référencé dans la Marketplace Cloud Temple. Découvrez Wire sur Cloud Temple.
• Gouvernance d'entreprise : administration centralisée, authentification unique (SSO) et provisionnement des comptes (SCIM).
• Code open source et auditable : le code de Wire est publié et peut faire l'objet d'audits indépendants.
• Sous contrôle européen : Wire s'appuie sur des investisseurs exclusivement européens.

Plus de 1 800 organisations utilisent déjà Wire pour sécuriser leurs échanges. Demandez des références adaptées à votre secteur.

Ou contactez-nous pour voir comment Wire sur Cloud Temple peut répondre à vos exigences.