Les infrastructures nationales critiques du Royaume-Uni sont confrontées à une cybermenace croissante
Les infrastructures nationales essentielles du Royaume-Uni, les réseaux énergétiques, les systèmes de transport, l’eau et les communications, sont confrontées à une vague croissante de cybermenaces. Il ne s’agit plus d’incidents isolés. Il s’agit de tentatives coordonnées visant à perturber les services qui permettent au pays de fonctionner. Jonathan Ellison, directeur de la résilience nationale au Centre national de cybersécurité (NCSC), a évoqué les récentes attaques en Pologne, où une centrale thermique et plusieurs générateurs d’énergie renouvelable ont été pris pour cible juste après Noël. L’objectif était le même que celui du sabotage physique, à savoir une perturbation maximale avec une détection minimale.
Le message est direct : le Royaume-Uni doit agir avant que des attaques similaires ne se produisent ici. La menace se concrétise aujourd’hui et les tactiques progressent rapidement. La résilience n’est plus facultative, c’est une question de leadership. Les dirigeants qui gèrent les services essentiels doivent considérer la cybersécurité non pas comme une tâche informatique, mais comme un pilier opérationnel essentiel. Les décisions prises au niveau du conseil d’administration influencent directement la capacité des infrastructures essentielles à résister ou à s’effondrer sous la pression.
Les dirigeants doivent se concentrer sur l’action immédiate, l’évaluation des vulnérabilités, le renforcement de la gestion des risques et la garantie que les mécanismes de défense sont non seulement installés, mais aussi testés régulièrement. Ce qui se passe en Europe montre clairement que la réponse du Royaume-Uni doit évoluer en temps réel. Les organisations qui agissent maintenant, en mettant en place des systèmes de sécurité et de récupération à plusieurs niveaux, seront celles qui garderont le contrôle lorsque les tentatives de perturbation s’intensifieront.
Le cadre d’évaluation cybernétique (CAF) du NCSC est essentiel au renforcement de la résilience
Le Cyber Assessment Framework (CAF) du NCSC est plus qu’une politique, c’est un plan de travail pour la résilience. Conçu pour aider les opérateurs et les régulateurs à élaborer des stratégies de cybersécurité solides, il décompose la protection en principes clairs : évaluer les risques, gérer l’accès, détecter les menaces et tester continuellement les défenses. Il ne s’agit pas de prévenir toutes les attaques, mais de s’assurer qu’en cas d’attaque, les services peuvent continuer à fonctionner, les données peuvent être protégées et le rétablissement est rapide.
Pour les dirigeants, le CAF offre une vision claire de ce qu’est une bonne solution. C’est un moyen structuré et mesurable de s’assurer que les objectifs de cybersécurité correspondent aux objectifs opérationnels. C’est aussi un pont entre la conformité et la confiance, qui permet d’aligner les systèmes des secteurs de l’énergie, des transports, de l’eau et des communications sur des normes nationales cohérentes. La normalisation est importante car les liens faibles créent des ouvertures que des politiques fortes ne peuvent à elles seules combler.
Ce cadre n’est pas seulement destiné aux régulateurs, c’est un outil de leadership. Il offre aux entreprises un langage commun en matière de risques, qui transcende le jargon technique et relie les performances en matière de cybersécurité à la continuité de l’activité. Les dirigeants qui utilisent le CAF comme base de leur stratégie auront une meilleure compréhension de l’exposition, de la capacité de réaction et du retour sur investissement en matière de sécurité.
Jonathan Ellison, du NCSC, a souligné que l’application correcte des principes du CAF est essentielle pour atténuer les attaques complexes. Pour les dirigeants, cela signifie qu’il faut intégrer la résilience dans la stratégie de l’entreprise dès maintenant, et non pas lorsqu’une crise survient.
Le projet de loi sur la cybersécurité et la résilience renforce la surveillance réglementaire
Le projet de loi britannique sur la cybersécurité et la résilience est une étape vers une défense nationale plus stricte et plus structurée contre les menaces numériques. Actuellement en cours d’examen par le Parlement, ce projet de loi fera de la cybersécurité une question de responsabilité juridique, et non plus seulement une question de discrétion opérationnelle. Il vise à créer des bases de sécurité claires pour les secteurs clés, en veillant à ce que les opérateurs critiques respectent les mêmes normes minimales de protection, quel que soit leur secteur d’activité ou leur taille.
Cette approche législative donne aux régulateurs plus de pouvoir pour faire respecter la conformité tout en offrant aux entreprises des attentes plus claires. La responsabilité incombera directement aux dirigeants et aux conseils d’administration, qui exigeront que la cybersécurité soit gérée au même niveau de discipline que la finance ou la sécurité. Pour les secteurs clés, l’énergie, l’eau, les transports et les infrastructures numériques, cela crée un cadre prévisible et mesurable pour la déclaration des risques et l’audit de la résilience.
Pour les dirigeants, cela signifie que l’on passe d’une conformité volontaire à des performances contraignantes. Les organisations devront démontrer qu’elles peuvent poursuivre leurs activités pendant ou après une attaque. L’objectif du gouvernement n’est pas d’imposer une réglementation aux opérateurs, mais de réduire le risque national global. Grâce à cette loi, la cybersécurité n’est plus un « meilleur effort », mais une norme réglementée, qui garantit que tous les systèmes essentiels sont protégés de la même manière et que la résilience de la nation est renforcée dans son ensemble.
Jonathan Ellison, du NCSC, a souligné que ce projet de loi, soutenu par les orientations du NCSC, offrira la surveillance et l’application nécessaires pour garantir des normes de défense cohérentes dans tous les services essentiels. Pour les chefs d’entreprise, le fait de soutenir ce changement dès le début positionnera leurs organisations comme des partenaires proactifs et crédibles dans un écosystème national plus sûr.
La planification proactive et les répétitions de la réponse sont essentielles pour la gestion des cyberincidents.
La préparation détermine la survie en cas de cyberincident. Jonathan Ellison a souligné que les réponses ne peuvent pas être improvisées pendant une crise. Les dernières orientations du NCSC définissent des étapes structurées pour la préparation défensive, en mettant l’accent sur la planification, la simulation et la coordination de la réponse. Parmi les actions importantes, citons l’identification des opérations critiques, la cartographie des points de défaillance potentiels et la définition de l’autorité décisionnelle bien avant qu’une attaque ne se produise.
Pour les dirigeants, la conclusion est directe : la cyber-résilience est le fruit de la répétition et de la préparation. Des exercices de simulation réguliers, des procédures de récupération testées et une responsabilité claire des dirigeants réduisent à la fois la probabilité et l’impact d’une attaque. Les équipes doivent connaître leurs rôles, les flux de communication et les voies d’escalade en temps réel. Les organisations qui ont pratiqué ces exercices sont en mesure de rétablir leurs opérations plus rapidement et avec moins d’impact collatéral.
La préparation permet également aux équipes dirigeantes de prendre de meilleures décisions stratégiques, plus rapidement, lorsqu’elles sont sous pression. La définition d’un cahier des charges et d’un cadre décisionnel permet d’éliminer la confusion et de minimiser les risques financiers et les risques d’atteinte à la réputation. Un dispositif de défense solide associe la technologie, la discipline des processus et l’exécution par les dirigeants.
Le résultat est clair : la planification proactive favorise la stabilité. Les plans de reprise qui ont été testés et affinés dans des conditions contrôlées transforment l’incertitude en confiance. Il ne s’agit pas d’exercices théoriques, mais d’impératifs opérationnels qui protègent les personnes, les données et les revenus lorsque les menaces se concrétisent. Jonathan Ellison et les orientations publiées par le NCSC renforcent un message : planifiez tôt, pratiquez souvent et faites de la résilience votre norme quotidienne, et non votre réaction d’urgence.
De nombreux opérateurs d’ICN sont à la traîne en matière de cybersécurité en raison d’une infrastructure vieillissante et d’une pénurie de compétences.
L’un des principaux défis auxquels sont confrontées les infrastructures nationales critiques (INC) du Royaume-Uni est la technologie obsolète combinée à une pénurie d’expertise en matière de cybersécurité. De nombreux grands opérateurs s’appuient sur des systèmes de contrôle industriel et des technologies opérationnelles qui ont été conçus il y a plusieurs dizaines d’années. Ces systèmes ont été conçus pour la fiabilité et la sécurité, et non pour la cyberdéfense moderne. Leur mise à niveau est complexe et souvent retardée car ces réseaux doivent rester actifs en permanence.
Martin Jakobsen, directeur général de Cybanetix, a déclaré que si les financements et les cadres gouvernementaux ont permis d’améliorer la sensibilisation, les progrès restent lents. Les opérateurs sont encore « à la traîne » en matière de préparation et de capacité de défense. Les cycles d’investissement longs et les environnements réglementaires stricts font qu’il est difficile de remplacer ou de moderniser rapidement les anciennes technologies. En outre, la pénurie de professionnels de la cybersécurité spécialisés dans certains domaines signifie que les équipes existantes sont surchargées, gérant à la fois les opérations quotidiennes et les projets de résilience à long terme.
Pour les dirigeants, cette réalité exige un investissement ciblé dans la modernisation et la capacité de la main-d’œuvre. Les améliorations en matière de sécurité doivent être intégrées dans les budgets opérationnels, et non pas ajoutées en tant que coûts optionnels. Les conseils d’administration devraient considérer la modernisation de la cybersécurité comme un investissement dans l’infrastructure de base, essentiel pour garantir la stabilité opérationnelle future et la conformité aux réglementations.
Il est également essentiel de s’attaquer rapidement au déficit de compétences. Attirer et retenir des talents en cybersécurité ayant une connaissance des systèmes industriels est un élément clé de la protection à long terme. Sans cette expertise, même les meilleurs cadres échoueront dans leur exécution. L’avertissement de M. Jakobsen est clair : la réglementation peut favoriser le progrès, mais seuls l’engagement des dirigeants et l’affectation des ressources permettront d’éliminer les vulnérabilités inhérentes aux systèmes vieillissants.
Les petites et moyennes entreprises (PME) restent très vulnérables aux cyberattaques
Les petites et moyennes entreprises sont tout autant exposées aux cybermenaces que les grandes organisations, mais disposent de moins de ressources pour se défendre. De nombreuses PME n’ont pas d’équipes dédiées à la sécurité ni de plans structurés de réponse aux incidents. Les attaquants recherchent souvent des systèmes faibles et agissent rapidement une fois qu’ils ont trouvé une vulnérabilité. En réalité, l’échelle offre peu de protection lorsque le niveau de préparation est faible.
Chris Gunner, directeur virtuel de la sécurité de l’information chez Thrive, a noté que l’enquête sur les atteintes à la cybersécurité menée par le gouvernement britannique en 2025 a montré qu’environ 50 % des petites entreprises ont subi un cyberincident au cours de l’année écoulée. L’enquête a également révélé que le coût moyen d’une violation importante s’élevait à environ 195 000 livres sterling, sans compter les temps d’arrêt et les pertes secondaires. Pour une petite entreprise, cet impact peut être potentiellement fatal aux opérations et à la confiance dans la marque.
Pour les équipes dirigeantes des petites et moyennes entreprises, la cybersécurité ne peut plus rester réactive. La mise en place d’un niveau de résilience de base, de sauvegardes testées, de contrôles d’identité, d’une surveillance continue et d’une segmentation du réseau, offre une protection mesurable contre les types d’attaques les plus courants. La gouvernance et la structure décisionnelle sont tout aussi importantes que la technologie.
Les risques financiers de l’inaction dépassent désormais le coût de la protection. Les dirigeants doivent planifier et non réagir. Établissez un cadre simple et reproductible pour la défense et la récupération et mettez-le à jour régulièrement. Le message de Gunner est direct : aucune organisation, quelle que soit sa taille, n’est à l’abri des cybermenaces. La résilience dépend de la préparation, pas de l’échelle.
La préparation aux incidents et la qualité de la gouvernance déterminent la réussite de la reprise.
Lorsqu’une cyberattaque se produit, la rapidité et l’efficacité du rétablissement dépendent de la qualité de la préparation préalable de l’organisation. Les entreprises qui ont une gouvernance claire, des responsabilités définies et des plans de réponse validés se rétablissent systématiquement plus vite et avec moins d’impact à long terme. Chris Gunner de Thrive a souligné que de nombreuses organisations s’appuient encore sur des approches réactives, ce qui les rend vulnérables à la confusion et aux interruptions d’activité en cas d’incident.
Pour les équipes dirigeantes, il ne s’agit pas seulement d’une question technique, mais aussi d’une question de discipline de gouvernance. Les dirigeants doivent veiller à ce que les rôles, les hiérarchies décisionnelles et les processus de communication soient clairement définis et mis en pratique. Des exercices de simulation réguliers permettent aux équipes de comprendre les priorités en cas de stress. Lorsque la gouvernance est claire, le rétablissement devient une séquence coordonnée d’actions plutôt qu’un sauve-qui-peut.
Une gouvernance solide permet également d’établir la responsabilité et la cohérence. Chaque incident majeur permet de tirer des enseignements qui doivent être recueillis et appliqués systématiquement pour renforcer la résilience future. Les dirigeants efficaces devraient faire des examens post-incident un processus formel, et non une suggestion. Cela renforce l’apprentissage organisationnel et garantit que les problèmes identifiés lors d’incidents mineurs ne se transforment pas en vulnérabilités systémiques majeures par la suite.
Les principes fondamentaux sont importants. La gestion des identités, les correctifs, la segmentation du réseau et les sauvegardes vérifiées requièrent une attention permanente. Ces pratiques élémentaires mais essentielles constituent l’épine dorsale d’une défense efficace. Comme l’a souligné Gunner, les organisations les plus résilientes sont celles qui ont testé leurs capacités à plusieurs reprises et qui savent exactement comment agir quand il le faut. C’est la gouvernance et la préparation, et non la technologie seule, qui déterminent la rapidité et l’efficacité de la reprise.
Un consensus plus large appelle à une plus grande maturité cybernétique dans tous les secteurs
Dans tous les secteurs, privés et publics, un consensus émerge sur le fait que l’amélioration de la maturité cybernétique n’est plus facultative. La réglementation, les investissements financiers et les cadres de conformité fixent des attentes claires, mais la résilience vient de l’intégration de la cybersécurité dans l’état d’esprit de l’organisation. Jonathan Ellison du NCSC et d’autres leaders du secteur soulignent que l’amélioration doit aller au-delà des mises à jour techniques ; elle nécessite le développement des capacités, des processus cohérents et des personnes bien formées qui travaillent dans le cadre d’une mission unifiée de résilience numérique.
Pour les dirigeants, la voie à suivre consiste à moderniser l’infrastructure, à étendre la collaboration intersectorielle et à veiller à ce que les décisions en matière de cybersécurité s’alignent directement sur les objectifs de l’entreprise. Les investissements dans l’intelligence artificielle, l’automatisation et les opérations de sécurité peuvent apporter précision et évolutivité, mais seulement s’ils sont accompagnés de politiques et d’une gouvernance qui les soutiennent. La maturité consiste à passer d’une défense réactive à une amélioration continue.
Cette approche exige une visibilité de la part des dirigeants. La cybersécurité doit être un sujet de routine dans les conseils d’administration et faire partie des mesures actives de l’entreprise. Les décisions relatives à la croissance, aux partenariats et à l’innovation doivent tenir compte de la cyber-résilience en tant qu’exigence opérationnelle, et non pas après coup. Les organisations en pointe dans ce domaine ne se contenteront pas de respecter les normes réglementaires, mais gagneront également la confiance des clients, des régulateurs et des investisseurs.
Jonathan Ellison et Martin Jakobsen ont tous deux souligné que l’environnement des menaces ne cesse d’évoluer. Cela exige une adaptation constante. Le message à l’intention des chefs d’entreprise est clair : le maintien de systèmes sécurisés et résistants n’est pas un projet ponctuel. Il s’agit d’une fonction stratégique permanente qui maintient l’avantage concurrentiel et la stabilité nationale.
Le bilan
La cybersécurité est désormais un facteur déterminant de la résilience des pays et des entreprises. Les menaces se multiplient, mais les possibilités d’agir avec clairvoyance et précision aussi. Les décideurs doivent considérer la sécurité non pas comme une réaction au risque, mais comme un élément de l’identité et de la continuité de l’entreprise.
Les dirigeants qui investissent tôt dans la préparation, la gouvernance et les capacités protégeront non seulement leurs opérations, mais gagneront également la confiance du marché et des parties prenantes. La réglementation et les cadres fournissent la base, mais l’exécution se trouve dans chaque salle de conseil et dans chaque équipe de direction.
La réalité est claire : la résilience est une stratégie. Les organisations qui le comprennent et agissent maintenant seront celles qui resteront opérationnelles, crédibles et compétitives en cas de perturbation. La cybermaturité n’est plus un objectif technologique, c’est une responsabilité commerciale.
