Contrôle-commande, SCADA, systèmes instrumentés de sécurité et cybersécurité OT : audit, conseil, formation et assistance technique pour le pétrole, le gaz et les mines

Cadre réglementaire et normatif du contrôle-commande, de la sécurité fonctionnelle et de la cybersécurité OT

Sécurité des procédés : l'étude de dangers et les mesures de maîtrise des risques

Aucun texte français ne régit « le contrôle-commande » en tant que tel. Ses exigences viennent des régimes qui encadrent l'installation qu'il conduit. Pour une raffinerie, un site de traitement ou de compression du gaz ou un dépôt classé, c'est le régime des installations classées pour la protection de l'environnement, et pour les sites Seveso la directive 2012/18/UE du 4 juillet 2012 et l'arrêté du 26 mai 2014 relatif à la prévention des accidents majeurs. L'exploitant y démontre, dans son étude de dangers et son système de gestion de la sécurité, que les scénarios d'accident majeur sont maîtrisés. Les informations générales figurent sur la page risques technologiques du ministère de la Transition écologique et dans la base AIDA de l'INERIS.

Les barrières de sécurité retenues dans l'étude de dangers sont les mesures de maîtrise des risques (MMR). Lorsqu'elles reposent sur une chaîne de mesure, de traitement logique et d'action (capteur, automate de sécurité, vanne), ce sont des mesures instrumentées. L'arrêté du 4 octobre 2010 relatif à la prévention des risques accidentels dans les installations classées soumises à autorisation les traite : évaluation de leur efficacité et de leur fiabilité, analyse de risques proportionnée avant toute modification notable, maîtrise du vieillissement. Il a été modifié à plusieurs reprises, notamment par l'arrêté du 22 décembre 2023. Un guide professionnel sur le vieillissement des mesures instrumentées a été reconnu par une décision du 2 août 2011.

Les autres filières suivent leurs propres textes. Les canalisations de transport de gaz, d'hydrocarbures et de produits chimiques relèvent de l'arrêté du 5 mars 2014, avec étude de dangers, surveillance et plan d'intervention. Les stockages souterrains et les travaux miniers relèvent du Code minier et du décret n° 2006-649 du 2 juin 2006. Pour les installations en mer, la directive 2013/30/UE prévoit un schéma de vérification indépendante des éléments critiques pour la sécurité et l'environnement, sans transférer à un tiers la responsabilité de l'exploitant.

Sécurité fonctionnelle : IEC 61508 et IEC 61511

La sécurité fonctionnelle se rapporte à la part de la sécurité qui dépend du bon fonctionnement d'un système électrique, électronique ou programmable. L'IEC 61508 est la norme générique, tournée vers la conception des produits. L'IEC 61511, reprise en norme européenne, en est la déclinaison pour l'industrie de procédé et s'adresse à ceux qui spécifient, conçoivent, installent, exploitent et maintiennent un système instrumenté de sécurité (SIS). Sa deuxième édition date de 2016, amendée en 2017 (voir la fiche de l'IEC) ; la série évolue, et l'édition applicable se fixe dans le contrat ou dans la démarche de l'exploitant.

Ces normes sont volontaires par elles-mêmes. Elles s'imposent par un contrat, par une prescription ou parce que l'étude de dangers de l'exploitant s'y réfère, non par un texte général. Leur vocabulaire est devenu courant : fonction instrumentée de sécurité (SIF), niveau d'intégrité de sécurité (SIL de 1 à 4), spécification des exigences de sécurité, probabilité de défaillance sur sollicitation, essais périodiques, évaluation de la sécurité fonctionnelle à chaque étape du cycle de vie. La détermination du SIL requis s'appuie sur l'analyse des risques, par exemple une analyse des couches de protection.

Cybersécurité industrielle : IEC 62443, ANSSI et NIS2

La série IEC 62443 organise la sécurité des systèmes d'automatisation et de contrôle industriels par rôle : programme de sécurité du propriétaire d'actifs (partie 2-1), exigences applicables aux prestataires d'intégration et de maintenance (2-4), appréciation du risque et découpage en zones et conduits (3-2), exigences système et niveaux de sécurité de 1 à 4 (3-3), cycle de développement sécurisé des produits (4-1), exigences techniques des composants (4-2). Des schémas de certification de produits, de systèmes et de processus existent auprès d'organismes tiers.

En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) publie le guide La cybersécurité des systèmes industriels, dont la méthode de classification, dans sa version 2.0 de 2025, découpe un système en zones et classe chacune selon l'impact d'une compromission. Ces recommandations ne sont pas normatives sauf disposition contraire. La méthode EBIOS Risk Manager sert à conduire l'analyse de risque. Les opérateurs désignés au titre du dispositif de sécurité des activités d'importance vitale suivent des règles fixées par arrêtés sectoriels, et leurs contrôles de sécurité sont conduits par l'ANSSI, par un autre service de l'État ou par un prestataire qualifié par l'ANSSI.

La directive (UE) 2022/2555, dite NIS2, du 14 décembre 2022, devait être transposée avant le 17 octobre 2024. À la date de rédaction de cette page (octobre 2026), le projet de loi français relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, n'est pas promulgué. Avant de conclure qu'une entité est concernée, il faut attendre le texte final. Cette page ne vaut pas conseil juridique.

Enjeux des exploitants, des ingénieries et des sous-traitants

Le cycle de vie des fonctions de sécurité

Selon le ministère de la Transition écologique, la France comptait 1 299 établissements Seveso en 2025, dont 702 en seuil haut et 597 en seuil bas (bilan de l'inspection des installations classées). Sur ces sites, des fonctions instrumentées de sécurité portent souvent une part de la maîtrise des risques. Leur difficulté tient moins au calcul initial qu'à la tenue de la preuve dans le temps : la spécification doit rester à jour, les essais périodiques doivent respecter les intervalles retenus, les contournements doivent être autorisés, limités et levés, les pannes doivent être analysées.

Une ingénierie EPC rencontre l'autre versant : produire une spécification cohérente avec l'analyse de risques, une architecture qui atteint le niveau visé, des essais d'usine et de site tracés, puis un dossier remis à l'exploitant qui pourra l'exploiter sans le reconstituer. Un sous-traitant de rang 1 ou 2 est interrogé sur ses pratiques par son donneur d'ordre : gestion des changements, tenue des documents, accès distants.

Exploitation continue, gestion des changements et arrêts

Un système de conduite ne s'arrête pas pour être corrigé. Les correctifs se testent sur une plateforme avant d'être appliqués, parfois reportés à l'arrêt programmé, et certains équipements anciens ne les reçoivent jamais : la protection passe alors par la segmentation, le durcissement des postes, la limitation des flux et la surveillance. Chaque modification d'un automate, d'une logique de sécurité ou d'un flux réseau suit la gestion des changements de l'exploitant, avec une analyse d'impact proportionnée.

La fenêtre d'intervention est le facteur dominant : un arrêt programmé concentre de très nombreuses actions, et la cybersécurité ou la mise à jour d'une documentation ne doit pas entrer en concurrence avec la sécurité du chantier. Une démarche réaliste hiérarchise les actions par risque, les répartit sur plusieurs arrêts et prévoit pour chacune un retour arrière.

Exigences du donneur d'ordre, accès distants et confidentialité

Les exploitants répercutent leurs exigences de rang en rang : règles d'accès aux réseaux, revue des télémaintenances, inventaire des postes portables connectés, clauses de confidentialité. Les données de procédé, les configurations d'automates et les architectures sont des informations sensibles. Certaines technologies et données peuvent relever du contrôle des exportations (règlement (UE) 2021/821 sur les biens à double usage) ou de mesures de sanctions : la qualification de chaque situation appartient à l'entreprise et à son conseil.

L'interface entre les réseaux de bureau et les réseaux industriels concentre les décisions : passerelles, serveurs de saut, zones démilitarisées, échanges de données vers l'historisation ou la maintenance prédictive. Elles se prennent mieux à plusieurs, avec l'automaticien, le RSSI, le responsable sécurité des procédés et l'exploitant.

Rôles et responsabilités

L'exploitant et son organisation

L'exploitant porte la décision : il fixe le niveau de risque acceptable, valide la spécification et la mise en service d'un système instrumenté de sécurité, décide des contournements, de la maintenance et des modifications, et répond devant le préfet et l'inspection des installations classées. Les calculs et études, même rigoureux, ne le dispensent pas de cette décision, et ils ne valent pas validation du système. Il désigne les responsables : sécurité des procédés, instrumentation, automatismes, cybersécurité industrielle, RSSI.

Au quotidien, l'opérateur de conduite, le technicien de maintenance et l'automaticien appliquent les règles : contournement autorisé et enregistré, essai périodique réalisé selon la procédure, accès distant tracé. La culture de sécurité se joue dans ces gestes autant que dans les documents.

Intégrateurs, éditeurs, organismes tiers et prestataires qualifiés

L'ingénierie EPC et l'intégrateur conçoivent, programment et testent selon la spécification de l'exploitant ; les éditeurs fournissent des produits dont la conformité à l'IEC 61508 ou à l'IEC 62443 peut être attestée par des organismes tiers. Ces certificats concernent un produit ou un processus, jamais l'installation qui l'utilise. Les audits de sécurité des systèmes d'information imposés à certains opérateurs relèvent de prestataires qualifiés par l'ANSSI. Les organismes d'inspection, les tiers désignés pour les installations en mer et les organismes accrédités exercent des missions de vérification que personne d'autre ne peut remplacer.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons l'architecture et les pratiques, de façon documentaire et par entretiens, avec une observation passive sur site lorsque l'exploitant l'autorise. Nous conseillons sur les choix d'architecture, de niveau cible et de protection. Nous rédigeons les documents de conception : spécification de sécurité, matrices cause-effet, plans de zones et de conduits, procédures, plans d'essais. Nous déployons, en commençant par une unité pilote, des solutions de supervision, de segmentation ou de surveillance, dans le cadre de votre gestion des changements. Nous formons vos équipes sur vos propres systèmes, sans que cette formation vaille certification.

Nos missions d'assistance technique sont réalisées par des intervenants d'Optédif, sous la responsabilité et l'encadrement d'Optédif, dans le cadre d'un contrat de prestation de services portant sur un objectif, un livrable ou un périmètre défini avec vous, au forfait ou en récurrent. Nous intervenons sur les outils du domaine (systèmes de conduite et de sécurité, superviseurs, automates) en qualité de formateur et de conseil ; nous ne distribuons ni licence ni logiciel, et les marques citées appartiennent à leurs titulaires sans suggérer de partenariat.

Ce que nous ne faisons pas

Nous ne certifions aucun produit ni aucune personne, et nous ne validons aucun système instrumenté de sécurité : cette décision est celle de l'exploitant. Nous ne sommes pas un prestataire d'audit qualifié par l'ANSSI, ni un organisme d'inspection, d'évaluation ou de certification, et nous n'émettons aucune attestation de vérification. Nous ne modifions aucun système en production sans accord de l'exploitant, permis de travail et fenêtre définie, et nous ne lançons aucun balayage actif d'un réseau de conduite sans cadre préalable.

Nous n'intégrons pas de personnel dans votre organisation et ne travaillons pas sous la hiérarchie de vos équipes. Nous n'intervenons pas sur des données soumises au contrôle des exportations ou à une confidentialité renforcée sans cadre contractuel défini avec vous. Nous ne promettons aucun résultat : un audit, un calcul ou un dossier ne préjuge ni de l'avis d'un organisme, ni de la décision d'un donneur d'ordre, ni de celle de l'administration. Enfin, nos notes sur NIS2 ou sur la réglementation ne constituent pas une consultation juridique.

Pour aller plus loin

Les sources officielles citées sur cette page sont à consulter dans leur version à jour : AIDA (INERIS) pour les textes sur les risques technologiques, cyber.gouv.fr pour les guides de l'ANSSI, le texte de la directive NIS2 et celui de la directive 2013/30/UE sur EUR-Lex. Les normes IEC sont disponibles auprès de l'IEC et de ses organismes nationaux.