Alors que l’industrie du gaz naturel renouvelable (GNR) opère une transformation numérique, en intégrant les technologies de l’Internet industriel des objets (IIoT) dans les équipements de traitement, de valorisation et de purification du biogaz et du GNR, tout en adoptant le potentiel de l’IIoT, il y a quelques considérations essentielles à prendre en compte.

Cliquez ici pour en savoir plus sur les fonctions de surveillance à distance
et la cybersécurité d’Ivys pour le Biostream

L’essor de l’IIoT dans les infrastructures gazières renouvelables

L’IIoT (Internet industriel des objets) désigne le réseau de capteurs, d’appareils et de systèmes interconnectés qui collectent et échangent des données dans les environnements industriels. Dans le secteur du gaz renouvelable, l’IIoT facilite la surveillance en temps réel des pipelines, des compresseurs et des unités de valorisation, permet la maintenance prédictive et offre une gestion à distance des systèmes clés. Bien que ces fonctionnalités améliorent la sécurité, augmentent la productivité et réduisent les temps d’arrêt, elles présentent également de nouveaux risques cybernétiques.

Risques d’ignorer la cybersécurité
dans les systèmes GNR compatibles IIoT

Les conséquences d’un manque de cybersécurité dans les infrastructures de GNR sont graves et complexes.

• Perturbation des opérations : Les cyberattaques peuvent perturber les opérations de traitement du gaz, entraînant des problèmes dans la chaîne d’approvisionnement et des pertes financières.
• Risques pour la sécurité : La manipulation des systèmes de contrôle peut entraîner des explosions, des fuites toxiques ou des incendies, mettant en danger les travailleurs et les communautés environnantes.
• Dommages environnementaux : Une faille dans les systèmes de traitement du gaz peut entraîner des émissions incontrôlées ou des déversements, violant ainsi les lois sur l’environnement.
• Atteinte à la réputation : les entreprises victimes de cyberincidents peuvent être confrontées à des réactions négatives de la part du public, à des responsabilités juridiques et à une baisse de la confiance des investisseurs.
• Menaces pour la sécurité nationale : L’infrastructure gazière est un actif stratégique. Les cyberattaques contre ces systèmes pourraient servir d’outils de coercition géopolitique.

Réglementations internationales actuelles en matière de cybersécurité

Pour faire face aux risques posés par les cybermenaces et l’IIoT, les organisations réglementaires internationales ont élaboré des cadres législatifs visant à protéger les infrastructures énergétiques essentielles, y compris la production de GNR.

Vous trouverez ci-dessous un résumé des principales normes internationales, suivi des cadres, normes et réglementations nationaux ou régionaux.

ISO/IEC 27001

ISO/IEC 27001 est une norme internationalement reconnue pour les systèmes de management de la sécurité de l’information (SMSI), offrant une approche structurée pour gérer et réduire les risques de cybersécurité. Dans le secteur du gaz naturel, où les technologies IIoT sont de plus en plus utilisées.

La norme met l’accent sur trois principes clés : la confidentialité, l’intégrité et la disponibilité des informations. Pour les entreprises gazières qui utilisent l’IIoT, cela implique de sécuriser les données entre les appareils connectés, de s’assurer que les systèmes fonctionnent en permanence et d’arrêter l’accès non autorisé aux infrastructures essentielles. La norme ISO/IEC 27001 exige des organisations qu’elles procèdent à des évaluations approfondies des risques, qu’elles trouvent les faiblesses et qu’elles appliquent des contrôles adaptés à leurs opérations spécifiques.

Dans l’industrie gazière, les cybermenaces peuvent entraîner de graves problèmes de sécurité et d’environnement. La norme ISO/IEC 27001 permet d’établir une approche proactive de la sécurité. Elle exige des entreprises qu’elles élaborent des politiques de sécurité, des plans d’intervention en cas d’incident et qu’elles surveillent leurs systèmes.

en continu. Cela est particulièrement important pour les systèmes IIoT, qui permettent souvent un accès à distance et impliquent des données en temps réel, ce qui en fait des cibles attrayantes pour les cyberattaques.

IEC 62443

IEC 62443 est un ensemble de normes internationales créées par
International Society of Automation (ISA) et
International Electrotechnical Commission (IEC) pour améliorer la sécurité dans les systèmes industriels d’automatisation et de contrôle (IACS), y compris les environnements IIoT. Elle offre un cadre clair pour la gestion de la cybersécurité tout au long de la vie des systèmes industriels – de la conception et de la mise en œuvre à l’exploitation et à la maintenance. La norme est divisée en quatre domaines principaux : généralités, politiques et procédures, exigences au niveau des systèmes et exigences au niveau des composants. Elle souligne l’importance de l’évaluation des risques, des stratégies de défense par couches, de l’architecture sécurisée et de l’accès contrôlé. Couramment utilisée dans des secteurs tels que l’énergie, la norme CEI 62443 aide les organisations à créer des réseaux industriels solides, sécurisés et conformes.

À partir de 2025, les États-Unis font progresser plusieurs normes et mesures législatives clés pour améliorer la cybersécurité de l’Internet industriel des objets (IIoT), reflétant les préoccupations croissantes concernant les vulnérabilités des infrastructures critiques.

Loi de 202 sur l’amélioration de la cybersécurité de l’internet des objets

Un élément clé de la législation est la loi de 2020 sur l’amélioration de la cybersécurité de l’Internet des objets, qui exige que tous les dispositifs IoT achetés par les agences fédérales adhèrent aux normes de sécurité minimales établies par le NIST (National Institute of Standards and Technology). Ces normes comprennent le développement sécurisé, la gestion des identités, la possibilité d’appliquer des correctifs et la gestion de la configuration – des principes que les fabricants d’IIoT du secteur privé adoptent de plus en plus.

Loi sur la notification des incidents cybernétiques touchant les infrastructures critiques (CIRCIA)

Pour ce qui est de l’avenir, la loi sur le signalement des incidents cybernétiques pour les infrastructures critiques (CIRCIA) entrera pleinement en vigueur en 2025. Elle impose aux entités d’infrastructures critiques, y compris celles qui utilisent des systèmes IIoT, de signaler les

cyberincidents substantiels dans un délai de 72 heures et les paiements de rançon dans les 24 heures. L’objectif de cette législation est d’améliorer la connaissance de la situation au niveau national et la coordination des réponses.

Plan de mise en œuvre de la stratégie nationale de cybersécurité

Le plan de mise en œuvre de la stratégie nationale de cybersécurité, mis à jour en 2024, continue d’influencer la sécurité de l’IIoT en promouvant les principes de sécurisation dès la conception et en favorisant les partenariats public-privé. Il encourage les fabricants à intégrer des mesures de cybersécurité tout au long du cycle de vie des produits, en particulier pour les appareils utilisés dans les infrastructures énergétiques.

Cadre de cybersécurité (CSF) 2.0

Le NIST révise son cadre de cybersécurité (CSF) 2.0 pour fournir des orientations spécifiquement conçues pour les environnements IIoT, en mettant l’accent sur la gestion des risques, la sécurité de la chaîne d’approvisionnement et la résilience.

Collectivement, ces réglementations et lois en cours d’élaboration indiquent une évolution vers des mesures de cybersécurité proactives et applicables dans le secteur de l’IIoT, soulignant l’importance de la responsabilité, de la transparence et de la résilience.

Stratégie nationale canadienne de cybersécurité

Le Canada met en œuvre la Stratégie nationale canadienne de cybersécurité, qui met l’accent sur la sécurisation de l’infrastructure numérique et le renforcement de la cyberrésilience dans l’ensemble des secteurs d’activité. Cette stratégie soutient l’adoption de normes internationales telles que ISO/IEC 27001 et IEC 62443, qui sont de plus en plus appliquées aux environnements IIoT pour garantir l’intégration sécurisée des appareils, la segmentation du réseau et le contrôle d’accès basé sur les risques.

Le Groupe des cinq

Le Groupe des cinq comprend la réunion ministérielle de cinq pays – le Canada, les États-Unis, le Royaume-Uni, l’Australie et la Nouvelle-Zélande – qui collaborent étroitement pour partager des renseignements et préserver la sécurité nationale. Ils échangent des informations sur les menaces telles que le terrorisme, les cyberattaques et l’ingérence étrangère. Dans le domaine de la cybersécurité, cette alliance permet aux pays de détecter les menaces en ligne et d’y répondre plus rapidement en partageant des données et des stratégies. Elle les aide également à établir des règles et des protocoles comparables pour protéger leurs intérêts nationaux communs.

Loi sur la protection des systèmes cybernétiques essentiels (projet de loi C-26)

La loi sur la protection des systèmes cybernétiques essentiels (projet de loi C-26), introduite en 2022, progresse vers sa pleine application. Elle exige des opérateurs de systèmes essentiels, y compris ceux qui utilisent l’IIoT, qu’ils établissent des programmes de cybersécurité, qu’ils signalent les incidents et qu’ils adhèrent aux directives du gouvernement.

Les organisations qui gèrent des systèmes IIoT critiques doivent créer et maintenir un programme de cybersécurité (CSP). Cela implique de documenter leurs méthodes pour protéger les actifs connectés à l’IIoT, gérer les risques et assurer la résilience du système. Les opérateurs de l’IIoT sont tenus de signaler les cyberincidents qui atteignent certains seuils. Cela garantit une réponse nationale plus rapide et une meilleure visibilité des menaces auxquelles sont confrontés les systèmes industriels. La loi permet au gouvernement de publier des directives de cybersécurité (CSD), obligeant les opérateurs de l’IIoT à prendre les mesures nécessaires dans un délai précis pour remédier aux vulnérabilités ou aux menaces. Cette législation encourage une approche uniforme de la cybersécurité dans les différents secteurs. Pour l’IIoT, cela implique de s’aligner sur les meilleures pratiques et d’adopter potentiellement des cadres tels que IEC 62443 ou ISO/IEC 2700 pour répondre aux exigences de conformité. Le fait de ne pas se conformer aux directives ou de négliger de signaler les incidents peut entraîner des amendes ou des sanctions réglementaires pour les opérateurs de l’IIoT.

Le projet de loi C-26 fait passer les normes canadiennes de cybersécurité de l’IIoT du statut de simples bonnes pratiques à celui d’obligations légales. Il encourage une gestion proactive des risques, des réponses rapides aux menaces et une collaboration renforcée entre l’industrie et le gouvernement.

Ensemble, ces normes et ces efforts législatifs reflètent l’engagement du Canada en faveur d’une approche proactive et fondée sur les risques de la cybersécurité de l’IIoT, visant à protéger à la fois l’infrastructure nationale et la confiance du public dans un paysage industriel de plus en plus connecté.

À partir de 2025, l’Union européenne mettra en œuvre d’importantes réglementations en matière de cybersécurité qui auront un impact direct sur l’Internet industriel des objets (IIoT) dans le secteur de l’énergie.

Directive sur la résilience des entités critiques et stratégie de l’Union européenne en matière de préparation

L’Union européenne a mis en œuvre une approche globale par le biais de sa directive sur la résilience des entités critiques (UE/2022/2557) et de la stratégie de l’Union européenne en matière de préparation (2025). Ces initiatives prévoient des tests de résistance pour les infrastructures énergétiques, y compris les réseaux de gaz, afin d’évaluer leur vulnérabilité aux cybermenaces. En outre, l’UE promeut le principe de « préparation dès la conception », qui garantit que les mesures de cybersécurité sont intégrées à chaque phase de la planification et de l’exploitation de l’infrastructure.

Règlement délégué de la Commission (UE) 2022/30

Le règlement délégué (UE) 2022/30 de la Commission, qui entrera en vigueur le 1er août 2025, constitue un changement majeur, qui met à jour la directive relative aux équipements radioélectriques et abrogeant la directive 1999/5/CE. Elle introduit des exigences

obligatoires en matière de cybersécurité pour les dispositifs connectés, y compris l’IIoT.

Loi sur la cyber-résilience (CRA)

Le Cyber Resilience Act (CRA), promulgué en 2024, établit des réglementations complètes en matière de cybersécurité pour tous les produits numériques connectés. Elle impose des principes de sécurité dès la conception, une gestion continue des vulnérabilités et des responsabilités bien définies pour les fabricants.

Directive SRI2

La directive SRI 2, qui entrera en vigueur dans les pays de l’UE en octobre 2024, élargit les responsabilités des opérateurs énergétiques en matière de cybersécurité. Elle rend obligatoire la gestion des risques, la déclaration des incidents et la sécurité de la chaîne d’approvisionnement.

Ensemble, ces lois établissent un cadre juridique solide qui encourage les entreprises énergétiques utilisant l’IIoT à donner la priorité à la cybersécurité dès le départ. Elles s’alignent également sur des normes mondiales telles que la norme IEC 62443, favorisant des pratiques de sécurité cohérentes dans l’ensemble de l’UE.

Pourquoi la cybersécurité et la conformité sont-elles cruciales dans les systèmes de valorisation du biogaz ?

Il existe plusieurs raisons justifient de s’assurer que les équipements de valorisation du biogaz sont conformes aux réglementations internationales et régionales.

Vulnérabilité accrue

L’IIoT relie des capteurs, des systèmes de contrôle et des plateformes d’analyse de données au sein de vastes infrastructures. Si cette connectivité améliore l’efficacité, elle accroît simultanément la vulnérabilité aux cybermenaces. Contrairement aux systèmes informatiques conventionnels, les systèmes OT (tels que SCADA et DCS) fonctionnent fréquemment avec des logiciels obsolètes dont les mesures de sécurité sont minimales. Les cyberattaques visant ces systèmes peuvent perturber les opérations physiques.

Cibles de grande valeur

L’infrastructure du gaz naturel est vitale pour les économies nationales et la sécurité énergétique, ce qui en fait une cible attrayante pour les cybercriminels et les entités parrainées par des États. Plusieurs incidents très médiatisés démontrent les risques réels posés par les cybermenaces dans le secteur gazier, en particulier en ce qui concerne l’IIoT et les systèmes numériques. Par exemple, l’attaque par ransomware de 2021 Colonial Pipeline a mis hors service un pipeline de carburant de 5 500 miles. Les attaquants ont exploité les vulnérabilités du réseau informatique liées aux systèmes OT, provoquant d’importantes pénuries de carburant et suscitant une urgence fédérale et des changements en matière de cyberdéfense.

Besoin de financement

Les financiers, les investisseurs et les sponsors exigent des évaluations de la menace cybernétique dans le cadre de leurs procédures de diligence raisonnable pour les nouvelles entreprises et lors de fusions ou d’acquisitions. Les projets utilisant des équipements qui ne répondent pas aux exigences réglementaires et aux normes de cybersécurité risquent fort de voir leur financement rejeté ou leur valeur dévaluée pour cette seule raison.

Conséquences financières, environnementales et en termes de réputation

Une cyberattaque contre une installation de valorisation du biogaz peut perturber la production, endommager les équipements et potentiellement déclencher des explosions ou des fuites toxiques. Par exemple, une attaque de virus ou de ransomware peut paralyser l’installation et entraîner une perte de revenus de plusieurs millions d’euros. En plus de causer de graves dommages à l’environnement, une fuite toxique peut entraîner une chute du cours des actions, de lourdes amendes, voire l’emprisonnement des dirigeants de l’entreprise.

Responsabilité personnelle

Les nouvelles réglementations obligent les dirigeants d’entreprise à prendre conscience de la situation, et ils ne peuvent plus se permettre d’ignorer ou de minimiser la cybersécurité dans leur prise de décision. Ils peuvent être tenus personnellement responsables si leur non-respect de la réglementation entraîne des pertes ou des dommages importants.

Atténuer les risques de cybersécurité sur un site de production de GNR

Pour atténuer ces risques, les compagnies gazières doivent adopter une stratégie de cybersécurité proactive et stratifiée, comprenant les éléments suivants :

• Conformité réglementaire : Assurer l’alignement sur les normes mondiales et s’engager dans le partage collectif de renseignements sur les menaces dans l’ensemble du secteur.
• Visibilité des actifs : Tenez un inventaire à jour de tous les appareils IIoT et de leurs connexions réseau correspondantes.
• Segmentation du réseau : Séparer les systèmes OT des réseaux informatiques pour empêcher les attaquants de se déplacer latéralement.
• Gestion des correctifs : Mettez fréquemment à jour les microprogrammes et les logiciels afin d’atténuer les vulnérabilités connues.
• Détection des intrusions : Mettre en œuvre des solutions de surveillance qui identifient les activités inhabituelles en temps réel.
• Planification de la réponse aux incidents : Créer et tester des stratégies de réponse pour garantir un rétablissement rapide après un cyber-incident.

Alors que l’IIoT continue de remodeler les nombreuses industries, y compris le gaz renouvelable, la cybersécurité doit être traitée non pas comme une réflexion après coup, mais comme un pilier fondamental de l’intégrité opérationnelle. Les cadres réglementaires du SRI, de l’UE et de l’ISO fournissent une feuille de route, mais il appartient aux dirigeants de l’industrie de mettre en œuvre ces lignes directrices de manière rigoureuse. Les enjeux sont importants : la sécurité des travailleurs, la fiabilité de l’approvisionnement en énergie et la résilience de l’infrastructure nationale dépendent toutes de la sécurisation de l’épine dorsale numérique des systèmes de traitement du gaz.

Découvrez comment Ivys intègre la cybersécurité dans le biostream.

Biostream – Plongée dans la surveillance à distance et la cybersécurité