Le circuit « de l'USB-à-OT » : pourquoi le délai de déclaration imposé par la CRA commence à courir dès la sortie de l'usine

À compter du 11 septembre 2026, la loi européenne sur la cyber-résilience (CRA) accordera aux fabricants un délai de 24 heures pour signaler toute vulnérabilité activement exploitée. Dans les environnements OT (technologies opérationnelles), les incidents les plus susceptibles de déclencher ce délai proviennent d’une clé USB « USB », et la plupart des opérateurs sont encore incapables de dire où cette clé a été emportée par la suite.

À compter du 11 septembre 2026, les fabricants de produits comportant des éléments numériques vendus dans l'UE devront signaler les vulnérabilités activement exploitées et les incidents de sécurité graves. Le calendrier est strict : une alerte précoce dans les 24 heures suivant la prise de connaissance du problème, une notification complète dans les 72 heures, et un rapport final dans les 14 jours suivant la mise à disposition d'une mesure corrective pour les vulnérabilités activement exploitées, ou dans un délai d'un mois pour les incidents graves.

Remarquez sur quoi repose tout ce dispositif : la prise de conscience. Chaque délai prévu par le règlement part du principe que vous êtes en mesure de détecter l’événement, de reconstituer son déroulement et de décrire la mesure corrective. Il s’agit là d’un problème de documentation et de télémétrie bien avant qu’il ne devienne un problème juridique. Et cette obligation s’applique aussi bien rétrospectivement que prospectivement, puisqu’elle couvre les produits déjà mis sur le marché de l’UE, et pas seulement ceux commercialisés après l’entrée en vigueur complète du CRA en décembre 2027.

Pour toute personne chargée de l'exploitation ou de l'approvisionnement d'environnements industriels et OT, cela met en évidence une lacune préoccupante. La voie la plus susceptible de générer un incident à signaler dans les environnements OT est également celle qui est la moins surveillée : les supports amovibles. La bonne nouvelle, c'est qu'il s'agit d'un problème technique surmontable grâce à trois mesures de contrôle bien établies : un point de contrôle obligatoire au niveau du périmètre, un transfert unidirectionnel entre les zones imposé par le matériel, et un transfert géré qui consigne chaque mouvement. Ces trois mesures sont indispensables, et leur ordre d'application est important.

Les recherches menées par Honeywell en matière de cybersécurité industrielle ont révélé que 51 % des logiciels malveillants analysés étaient conçus pour se propager via des périphériques de stockage amovibles ( USB ), contre 9 % cinq ans auparavant. Son rapport sur les menaces pour 2025 a montré qu'un incident sur quatre traité par son équipe d'intervention impliquait un événement « plug-and-play » lié à un périphérique de stockage amovible ( USB ), généralement lorsque quelqu'un connectait un disque dur qui propageait ensuite un logiciel malveillant dans l'environnement. Les supports amovibles sont devenus l’un des vecteurs d’accès initiaux les plus fiables vers les environnements ICS (Industrial Control Systems, systèmes de contrôle des infrastructures critiques), précisément parce qu’ils contournent tous les contrôles réseau mis en place par l’opérateur.

Les organismes de normalisation l’ont signalé il y a des années. La norme NIST SP 800-82 Rev. 3, intitulée « Guide to Operational Technology (OT) Security » (Guide de sécurité des technologies opérationnelles), considère la protection des supports comme une famille de contrôles distincte précisément pour cette raison, et les modèles de zones et de conduits de la norme CEI 62443 partent du principe que les supports entrant dans une zone ont été inspectés. La politique n’est que rarement le problème. La plupart des usines disposent d’une politique relative aux supports amovibles rangée quelque part dans un classeur. C’est au niveau de l’application que les choses se gâtent : une politique qui repose sur le fait qu’un sous-traitant se rende volontairement à un poste de numérisation ne génère aucune preuve le jour où celui-ci passe devant sans s’y arrêter.

Le premier contrôle consiste donc en un point de contrôle obligatoire au niveau du périmètre physique : un poste de scan par lequel doivent passer tous les ordinateurs portables des fournisseurs, les disques durs des techniciens et les mises à jour de micrologiciels. À ce stade, les fichiers sont inspectés à l’aide de plusieurs moteurs, reconstruits pour éliminer les menaces intégrées, puis enregistrés. Deux résultats sont tout aussi importants l’un que l’autre : aucun support infecté ne pénètre dans le périmètre, et chaque support qui y a pénétré est consigné. C’est sur ce deuxième résultat que repose la notification dans les 72 heures.

La vérification des sources à l'entrée répond à une seule question : ce qui est autorisé à entrer. La manière dont les données circulent par la suite est un autre problème.

Une fois qu’un fichier est « propre », il doit encore passer du réseau de l’entreprise au réseau de contrôle, et dans la plupart des usines, ce chemin passe par une règle de pare-feu. Les pare-feu sont des logiciels ; ils sont bidirectionnels par nature et configurables, ce qui signifie qu’ils peuvent également faire l’objet d’une mauvaise configuration. Un pare-feu autorisant le transfert de fichiers entrants constitue, de par sa conception même, une voie de retour qu’un attaquant peut tenter d’exploiter.

La solution architecturale consiste à supprimer physiquement le chemin de retour plutôt que logiquement. Les passerelles unidirectionnelles et les diodes de données imposent un flux de données à sens unique au niveau matériel : les données peuvent passer du côté « faible confiance » vers le côté « haute confiance » (ou vers l’entreprise pour des cas d’utilisation liés à l’historique et à l’analyse), et aucun protocole, aucune modification de règle ni aucune information d’identification compromise ne peut inverser ce flux. Il n’y a rien à mal configurer, car il n’y a rien à configurer au départ.

Cela revêt autant d’importance pour la conformité réglementaire que pour la sécurité. L’annexe I de la norme CRA exige que les produits protègent la confidentialité et l’intégrité des données en transit et résistent à toute manipulation non autorisée des commandes, des programmes et de la configuration. La directionnalité imposée par l’ Hardware est l’une des rares caractéristiques qu’un fournisseur peut démontrer sur un banc d’essai plutôt que de simplement l’affirmer dans une fiche technique, ce qui a son importance lorsque vous constituez un dossier technique ou que vous vous trouvez face à un auditeur.

C’est là que la plupart des projets de transfert sécurisé s’enlisent. Un point de contrôle de validation et une passerelle unidirectionnelle définissent une frontière. Ils ne décrivent pas un processus de travail, et les équipes d’achats posent très tôt une question concrète : « D’accord, mais comment un ingénieur à Rotterdam peut-il transmettre une configuration validée d’automate programmable (PLC) à une usine en Pologne un jour donné ? »

Si la solution implique qu'une personne doive parcourir une distance de USB s jusqu'à une borne, cela signifie que l'architecture a en réalité réintroduit le problème qu'elle était censée résoudre.

Le transfert de fichiers géré contourne ce problème. Des mécanismes standard, tels que le SFTP, les API REST et les workflows gérés, permettent aux fichiers de circuler entre les zones sans intervention humaine, et chaque transfert bénéficie du même traitement de multi-analyse et de la technologie Deep CDR™ que le fichier aurait reçu au kiosque. Chaque transfert génère également un enregistrement de session : qui l’a lancé, ce qui a été envoyé, les résultats de l’analyse, où le fichier a été stocké et à quel moment. Cette piste d’audit constitue la réponse opérationnelle aux délais de déclaration imposés par l’ARC. Lorsqu’un problème survient, la différence entre le dépôt d’une alerte précoce dans les 24 heures et le non-respect de ce délai réside généralement dans le fait que le journal d’événements existe déjà ou doit être reconstitué à partir d’entretiens.

Les fournisseurs proposent le point de contrôle, la passerelle et la couche de transfert comme trois achats distincts. Ceux-ci occupent trois points sur un même chemin :

Si vous vous contentez de traiter l'entrée, vous obtenez un fichier « propre » sans voie d'accès sécurisée. Si vous vous contentez de traiter le croisement, vous obtenez une frontière renforcée que les utilisateurs contournent. Si vous vous contentez de traiter les opérations, vous obtenez d'excellents résultats en matière de transfert de fichiers non vérifiés. C'est dans la séquence complète que réside toute la valeur.

Il convient de préciser clairement ce que prévoit et ce que ne prévoit pas la date limite de septembre. La CRA est une législation relative aux produits : ses obligations de déclaration incombent aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques, et non aux exploitants d'installations en tant que tels. Les exploitants d'infrastructures critiques au sein de l'UE sont plus directement régis par la directive NIS2, qui prévoit ses propres obligations en matière de notification des incidents.

Dans la pratique, cependant, ces deux cadres convergent vers la même exigence. Que cette obligation vous soit imposée en tant que fabricant au titre de la CRA ou en tant qu’entité essentielle au titre de la directive NIS2, on vous demande de détecter rapidement un incident, d’expliquer comment les données ont circulé et de démontrer les contrôles qui étaient en place. Un pipeline de données instrumenté répond à ces trois exigences. Un document de politique, aussi soigneusement rédigé soit-il, n’y répond à aucune.