L'ANSSI a publié des fiches facilitant l'adoption du ReCyf

L'ANSSI a commencé à publier un ensemble de fiches pratiques qui ont pour objectif de faciliter la mise en application des recommandations du ReCyf. L'ANSSI donne notamment des exemples de solutions qui peuvent être mises en place pour valider des exigences requises.

https://messervices.cyber.gouv.fr/guides/fiches-pratiques-recyf

Le NIST publie une nouvelle version de guide de sécurité OT

Le NIST (agence étatsunienne en charge de concevoir des normes en concert avec l'industrie) a publié ce lundi une nouvelle version de son "Guide to Operational Technology (OT) Security" qui inclut notamment :

• Une description des problématiques d'architecture et de sécurité spécifiques à certains secteurs d'activité (construction, agriculture, transport, gestion des eaux…).
• Un guide plus précis sur la mise en place des contrôles de sécurité OT (notamment sur la gestion des assets et la surveillance réseau).
• Un focus sur les bonnes pratiques d'architecture pour la sécurisation des fonctions d'administration système et l'application des principes "Zero trust".
• De nouveaux éléments concernant l'alignement des bonnes pratiques de sécurité OT avec les éléments de sécurité globaux des entreprises.

https://csrc.nist.gov/pubs/sp/800/82/r4/ipd

L'ENISA publie un bulletin concernant les risques causés par les dépendances cyber

Dans le cadre de la publication de son état des lieux des risques cyber européens, l'ENISA souligne l'importance du vecteur d'attaque lié aux dépendances cyber, en particulier les attaques sur la chaîne d'approvisionnement ou sur les prestataires tiers.

L'agence européenne précise que ces attaques sont généralement responsables des événements à grande échelle ou qui ont le plus d'impact. On peut notamment penser à la cyberattaque qui a perturbé les transports de la ville italienne de Trévise en avril 2025, et qui avait ciblé son prestataire de ticketing électronique PluService.

Lancement d'un nouveau projet étatsunien contre les cyberattaques sur les systèmes de gestion de l'eau.

L'administration Trump a lancé fin août le projet "Watershed 250", qui vise à améliorer la cybersécurité des installations hydrauliques et qui commence au Texas, pour une phase de pilote de 6 mois. Ce projet, initié par les agences gouvernementales, est notamment porté en collaboration avec Microsoft et Dragos, et s'appuiera sur des outils d'intelligence artificielle pour identifier les vulnérabilités, étudier les réseaux et renforcer les infrastructures.

Hexatrust publie son livre blanc consacrée aux solutions françaises et européennes de cybersécurité industrielle

Hexatrust, association qui regroupe les champions français et européens de la cybersécuirté et du Cloud de confiance, a publié son livre blanc qui présente l'état de l'art des solutions de cybersécurité industrielle. Au-delà du panorama, le livre blanc souligne la diversité des solutions mais aussi le manque de connaissance et de visibilité qu'en ont les grands acteurs industriels, souvent des start-up ou des PME, qui limite leur croissance et leur adoption.

Systèmes industriels exposés autour des data centers 
TrendAI a identifié 6 300 équipements ICS exposés sur Internet dans un rayon de 1 km autour de 1 063 data centers américains, principalement via des contrôleurs BACnet et Fox/Niagara, qui concentrent 81 % des observations. Cette exposition touche particulièrement les data centers construits depuis 2021, avec un taux de 13,1 %, contre 4,9 % pour les sites antérieurs à 2010. L’étude replace ce phénomène dans le contexte du boom de l’IA, qui entraîne une vague de construction de data centers aux États-Unis et pousse les opérateurs à déployer rapidement de nouvelles capacités, parfois au détriment de la sécurisation des systèmes industriels.

https://www.trendaisecurity.com/en/resources-insights/deep-research/an-invisible-attack-surface-thousands-of-industrial-control-systems-exposed-near-data-centers

Des systèmes d’eau américains visés par une même campagne contre des automates industriels

Des installations de traitement de l’eau en Géorgie et dans le Michigan ont détecté des intrusions similaires à celles ayant touché plus de 30 sites du Minnesota. Malgré le nombre de systèmes visés, les conséquences opérationnelles sont restées limitées, aucune interruption de service ni impact sanitaire même si le FBI indique que certains incidents ont perturbé les opérations.

https://www.theregister.com/security/2026/08/03/georgia-michigan-say-water-systems-hacked-by-iran-tied-crew/5282262

’Operational Technology Cybersecurity Coalition (OTCC) défend l’adoption d’ISA/IEC 62443 comme référence internationale commune, plutôt que la création d'un millefeuille réglementaire. En Europe, NIS2, Le Règlement des machines et le Cyber Resilience Act (CRA) créent des exigences qui peuvent se chevaucher. ISA/IEC 62443 pourrait servir de langage technique commun entre secteurs, d’autant que le CRA s’aligne déjà fortement sur 62443-4-1 et 62443-4-2 pour le développement sécurisé et la sécurité des composants.

Modèle d'évaluation de la maturité pour le CRA (Cyber Resilience Act) par l'ENISA

L'ENISA a publié un modèle pour une autoévaluation par rapport aux exigences du CRA. Ce modèle s'adresse principalement aux organisations qui fabriquent et commercialisent des produits comportant des éléments numériques. Le modèle évalue cinq domaines : gouvernance et documentation, security by design, gestion des risques, gestion des vulnérabilités et correctifs, cycle de vie produit, ainsi que compétences et sensibilisation. Sur la base de ces conclusions, le rapport formule des recommandations concernant les écarts identifiés.

https://www.enisa.europa.eu/publications/sme-cyber-resilience-maturity-assessment-model

Gold Eagle nouvelle coordination américaine pour prioriser les vulnérabilités avec l'IA

La Maison-Blanche a annoncé l’initiative Gold Eagle, un mécanisme associant CISA, plusieurs ministères, des mainteneurs de solutions open source et des opérateurs d’infrastructures critiques. L’objectif affiché est d’utiliser l’IA pour accélérer la détection, la priorisation et la correction des vulnérabilités. Gold Eagle doit recevoir les vulnérabilités signalées dans différents secteurs, les classer par priorité, coordonner la vérification des analyses et transmettre des informations exploitables aux équipes des infrastructures critiques.

Le Q-Day se rapproche, l’industrie doit anticiper la cryptographie post-quantique

De récents travaux estiment qu’un ordinateur quantique pourrait casser certains chiffrements actuels avec bien moins de qubits qu’attendu, rapprochant le risque du "Q-Day". Les plans de production, formules et méthodes industrielles interceptés aujourd’hui pourraient aussi être déchiffrés plus tard, au risque de faciliter la copie de technologies propriétaires. L'autorité fédérale chargée de la cybersécurité en Allemagne imagine un fabricant dont les plans de production confidentiels sont déchiffrés plusieurs années après leur interception, jusqu'à ce qu'une copie moins chère de ses machines complexes fasse son apparition sur le marché.

https://emag.directindustry.com/2026/07/13/q-day-is-getting-closer-why-the-industrial-sector-needs-to-prepare-for-post-quantum-cryptography/

Vulnerability Corner : 

Liste des Known Exploited Vulnerabilities (KEV) publiés par l'agence de cybersécurité américaine CISA la semaine dernière :  

Vulnérabilités de composants de systèmes industriels :