Cybersécurité maritime : ce que IACS UR E26/E27 et l'OMI changent pour votre maintenance

Pendant longtemps, la cybersécurité à bord a été traitée comme une affaire de bureau : un sujet pour la direction informatique du siège, très loin de la salle des machines. Ce temps est révolu. Depuis que l'OMI a demandé que le cyber-risque soit pris en compte dans le système de gestion de la sécurité (SMS), et depuis que l'IACS a publié les Unified Requirements UR E26 et UR E27, la cybersécurité est devenue à la fois une exigence ISM et une exigence de classe. Autrement dit : elle se contrôle, elle s'audite, et surtout elle se prouve.

Or ce que demandent ces textes ressemble à ce que fait déjà un service technique bien tenu : un inventaire d'actifs à jour, des versions logicielles maîtrisées, des interventions tracées, des accès contrôlés, des sauvegardes testées et un plan de reprise. La différence, c'est que le « matériel » à recenser inclut désormais les automates, les IHM, les passerelles réseau, les systèmes de navigation intégrés et tous les équipements connectés du bord.

Cet article fait le point sur le cadre réellement applicable — dates et périmètres — puis descend au niveau opérationnel : ce que votre armement doit documenter, comment une GMAO maritime peut porter cette preuve au quotidien, et les questions à poser à vos fournisseurs logiciels avant de signer.

1. Le cadre OMI : la résolution MSC.428(98) et le SMS

Une exigence ISM depuis 2021

La résolution MSC.428(98), adoptée le 16 juin 2017 par le Comité de la sécurité maritime, pose un principe simple : un système de gestion de la sécurité approuvé doit tenir compte de la gestion du cyber-risque, conformément aux objectifs et aux prescriptions fonctionnelles du Code ISM. L'échéance retenue était la première vérification annuelle du document de conformité (DOC) de la compagnie après le 1er janvier 2021.

Le point capital est là : l'OMI n'a pas créé un code cyber séparé, elle a inséré le cyber-risque dans un dispositif existant, celui du Code ISM. Le cyber-risque devient donc un risque comme un autre : identifié, évalué, assorti de mesures de sauvegarde. Un auditeur peut légitimement demander votre analyse de risque cyber, vos procédures et vos preuves d'application, au même titre que vos rapports d'exercices ou vos preuves de maintenance.

Les lignes directrices et leurs six fonctions

Les orientations pratiques figurent dans la circulaire MSC-FAL.1/Circ.3, « Guidelines on maritime cyber risk management », dont la révision 3 date du 4 avril 2025. Cette dernière version structure la gestion du cyber-risque autour de six fonctions menées en parallèle et en continu :

• Gouverner (Govern) : définir la stratégie, les politiques, les rôles et les responsabilités.
• Identifier : connaître les systèmes, les actifs, les données et les dépendances critiques pour l'exploitation.
• Protéger : contrôle d'accès, segmentation réseau, formation, plans de continuité.
• Détecter : être capable de repérer un incident en temps utile.
• Répondre : disposer de plans d'intervention, les pratiquer, rétablir les fonctions.
• Récupérer : remettre en service les systèmes informatisés du bord et les réseaux nécessaires à l'exploitation.

Un service technique manipule déjà ces six fonctions sans les nommer ainsi : identifier, c'est l'inventaire des équipements ; protéger, ce sont les habilitations et les procédures ; détecter, c'est le journal machine ; répondre et récupérer, ce sont les modes dégradés et les rechanges. La cybersécurité n'ajoute pas une discipline nouvelle, elle étend une discipline existante au domaine numérique.

2. IACS UR E26 et UR E27 : deux textes complémentaires

Là où l'OMI s'adresse à la compagnie et à son SMS, l'IACS — l'association internationale des sociétés de classification — s'adresse au navire et à ses fournisseurs. Publiés une première fois en avril 2022 pour une application au 1er janvier 2024, les deux Unified Requirements ont été retirés puis republiés en révision 1 (UR E27 en septembre 2023, UR E26 en novembre 2023) afin de clarifier le périmètre et d'harmoniser l'approche des visites.

UR E26 — Cyber resilience of ships

L'UR E26 traite du navire pris comme un système global. Elle couvre la conception, la construction, la mise en service et l'exploitation, et organise ses exigences autour des fonctions identifier, protéger, détecter, répondre et récupérer. Elle porte sur l'inventaire des systèmes informatisés (computer-based systems, CBS), la topologie des réseaux du bord, la gestion des accès, la protection des interfaces, la journalisation, ainsi que sur une procédure d'essai de cyber-résilience à dérouler en construction, à la mise en service, puis lors des visites.

UR E27 — Cyber resilience of on-board systems and equipment

L'UR E27 descend d'un cran : elle s'adresse aux équipementiers et aux intégrateurs. Un système livré à bord doit être accompagné d'un dossier : inventaire et schémas des systèmes informatisés, capacités de sécurité, guide de configuration sécurisée, éléments de cycle de développement sécurisé (secure development lifecycle), plan de maintenance et de vérification, procédures de réponse et de récupération, gestion des modifications et rapports d'essais. C'est ce dossier que votre équipe technique devra faire vivre pendant vingt ans d'exploitation.

Périmètre et date d'application

Les deux textes s'appliquent aux navires neufs contractés pour construction à compter du 1er juillet 2024. Le périmètre obligatoire vise principalement les navires à passagers en voyage international, les navires de charge de 500 UMS et plus en voyage international, les engins à grande vitesse et les unités mobiles de forage au large de 500 UMS et plus, ainsi que certaines unités mobiles automotrices dédiées aux travaux offshore (pose d'éoliennes, levage). Pour les autres navires, l'application reste possible à titre volontaire, à la demande de l'armateur.

À retenir : les UR E26 et E27 ne rendent pas votre navire existant « non conforme » du jour au lendemain — elles visent les constructions neuves contractées à partir du 1er juillet 2024. En revanche, la résolution MSC.428(98) s'applique à toute compagnie soumise au Code ISM, donc à votre flotte actuelle. Pour un armement en exploitation, le sujet immédiat n'est pas la classe : c'est la preuve ISM.

3. Pourquoi la maintenance est en première ligne

Un service technique peut croire que tout cela relève de l'informatique. C'est l'inverse : la majorité des preuves attendues sont produites par la maintenance, pas par le siège.

L'inventaire des actifs OT et IT

Aucune démarche cyber ne tient sans inventaire. Il faut savoir ce qui est à bord, où c'est raccordé et dans quelle version cela tourne : automates, IHM, systèmes de gestion de l'énergie, variateurs, systèmes de conduite machine, ECDIS, radars, VDR, systèmes de ballastage, GMDSS, capteurs de niveau et de comptage. Dans les faits, l'inventaire cyber n'est rien d'autre qu'une extension de votre registre d'équipements, enrichi de trois colonnes : version logicielle ou firmware, réseau de rattachement, niveau de criticité.

Correctifs et versions logicielles des automates

C'est le point le plus délicat en exploitation maritime. Un correctif appliqué sans essai sur un système de conduite propulsive peut créer un risque supérieur à la vulnérabilité qu'il corrige. La bonne pratique consiste donc à traiter chaque mise à jour comme une intervention de maintenance à part entière : demande évaluée, fenêtre choisie (escale, arrêt technique), sauvegarde de la configuration avant intervention, essais après, possibilité de retour arrière, et consignation des versions avant et après.

Accès des intervenants extérieurs et médias amovibles

La clé USB du technicien reste l'un des vecteurs d'incident les plus courants. Idem pour l'ordinateur portable de mise en service, la télémaintenance ouverte « juste pour cinq minutes » et le compte de service laissé actif après le départ du prestataire. Les mesures attendues sont simples mais doivent être écrites : autorisation préalable, analyse antivirale des supports sur un poste dédié, connexion supervisée par un officier, fermeture de l'accès distant en fin d'intervention, compte rendu signé. On retrouve la logique des habilitations et des consignations en salle des machines.

Journalisation, réponse, reprise et essais

Sans trace horodatée, aucune démonstration n'est possible : il faut pouvoir dire qui est intervenu, sur quel système, quand, avec quel support et avec quel résultat. C'est la fonction d'un journal machine numérique. Vient ensuite le plan de réponse — qui isole, qui prévient l'armement, comment on bascule en manuel — puis le plan de reprise, adossé à des sauvegardes réellement restaurables. Une sauvegarde jamais testée n'est pas une sauvegarde : c'est un espoir.

4. Ce qu'un armement doit documenter

• Une politique cyber intégrée au SMS, avec rôles et responsabilités clairement attribués (armateur, DPA, capitaine, chef mécanicien, référent cyber).
• Une analyse de risque cyber par type de navire, incluant les scénarios de perte de la propulsion, de la conduite machine, de la navigation et des communications.
• Un inventaire des systèmes informatisés par navire, tenu à jour, avec versions logicielles et schéma de réseau.
• Une procédure de gestion des correctifs et des modifications logicielles, avec validation avant application.
• Une procédure d'accès des tiers : intervenants embarqués, télémaintenance, supports amovibles.
• Une matrice des comptes et des habilitations, revue à chaque relève et à chaque changement de prestataire.
• Un plan de réponse à incident et un plan de reprise, avec modes dégradés documentés.
• Un programme de sensibilisation de l'équipage, avec traces de formation et d'exercices.
• Les rapports d'exercices et d'essais, y compris les tests de restauration de sauvegardes.
• La documentation fournisseur exigée par l'UR E27 pour les navires concernés.

5. Le rôle d'une GMAO dans la démonstration de conformité

Une GMAO ne « rend pas conforme ». Elle fait mieux : elle produit, sans effort supplémentaire, la preuve datée que les procédures sont appliquées — exactement ce que cherche un auditeur ISM ou un inspecteur de classe.

Registre des actifs numériques et de leurs firmwares

Chaque équipement de la base équipements peut porter ses attributs cyber : fabricant, modèle, numéro de série, version logicielle en service, date de la dernière mise à jour, réseau, criticité, référent. L'inventaire cesse d'être un tableur mis à jour deux fois par an pour devenir une donnée vivante, consultable à bord comme à terre.

Ordres de travail de mise à jour

Une mise à jour de firmware se planifie comme une révision : ordre de travail déclenché par échéance ou par événement, procédure attachée, champs obligatoires « version avant / version après », pièces jointes (note de version, rapport du fournisseur), signature de l'officier. Le module Maintenance conserve l'historique complet, y compris les interventions reportées et leur justification — ce que les auditeurs regardent souvent en premier.

Traçabilité des prestataires et gestion des habilitations

Chaque intervention extérieure devient un ordre de travail nominatif : société, technicien, systèmes concernés, support utilisé, plage horaire d'accès distant, résultat. Côté personnel, les habilitations et certificats de l'équipage se gèrent avec des dates de validité et des alertes, ce qui permet de démontrer qu'un accès a bien été retiré au débarquement.

Sauvegardes, procédures de secours et pilotage de flotte

Le test de restauration des configurations d'automates peut être créé comme une tâche préventive périodique — semestrielle par exemple — avec compte rendu obligatoire. Les procédures de secours (passage en manuel, exploitation sans réseau) sont attachées aux équipements concernés. Un tableau de bord de flotte permet ensuite au superintendant de suivre les mises à jour en retard et les tests non réalisés. Détail souvent oublié : une application mobile fonctionnant hors connexion reste utilisable même lorsque le réseau du bord est volontairement isolé après un incident.

6. Exigence, preuve attendue, où la produire

Utilisez ce tableau comme trame d'audit interne : pour chaque ligne, demandez-vous qui produit la preuve et combien de temps il faut pour la retrouver. Au-delà de cinq minutes, le dispositif ne tiendra pas devant un inspecteur.

7. Bonnes pratiques à bord

• Séparer les réseaux : navigation, conduite machine, administratif et loisirs de l'équipage ne doivent pas partager le même segment.
• Bannir les comptes génériques sur les systèmes critiques. Un compte égale une personne.
• Changer les mots de passe par défaut à la mise en service, y compris sur les équipements livrés par le chantier.
• Interdire les supports amovibles non contrôlés et prévoir un poste dédié à l'analyse des clés des intervenants.
• Fermer la télémaintenance à la fin de chaque intervention, et le consigner.
• Sauvegarder les configurations avant toute modification, et conserver une copie hors ligne à bord.
• Documenter les modes dégradés : conduite manuelle, navigation papier, communication de secours.
• Réaliser un exercice cyber par an, au même titre qu'un exercice incendie, et l'archiver.
• Briefer les nouveaux embarqués dès la prise de poste, avec une fiche d'une page affichée en machine et sur la passerelle.
• Traiter les alertes physiques : port USB accessible, armoire d'automate non verrouillée, poste laissé ouvert en passerelle.

8. Les questions à poser à vos fournisseurs logiciels

Votre GMAO, votre logiciel de planification d'équipage, votre solution de reporting ou de télémétrie font partie de votre surface d'exposition. Avant de signer, ces sept questions valent mieux qu'un long argumentaire commercial. Elles complètent utilement les critères classiques de choix d'une GMAO.

1. Hébergement : où les données sont-elles physiquement stockées, dans quel pays, chez quel opérateur et sous quel régime juridique ?
2. Chiffrement : les données sont-elles chiffrées en transit et au repos ? Qui détient les clés ?
3. Authentification : l'authentification multifacteur est-elle disponible ? Comment sont gérés les rôles, et la révocation d'un compte est-elle immédiate ?
4. Journalisation : existe-t-il une piste d'audit consultable par le client, indiquant qui a modifié quoi et quand ? Sur quelle durée est-elle conservée ?
5. Réversibilité : pouvez-vous exporter à tout moment l'intégralité de vos données dans un format ouvert, sans frais ni délai artificiel ?
6. Continuité : quelle est la politique de sauvegarde, quel est le délai de rétablissement visé, et comment le navire travaille-t-il hors connexion ?
7. Incidents : sous quel délai êtes-vous informé d'une compromission, et quel est le processus de notification prévu au contrat ?

Un éditeur sérieux répond à ces sept points par écrit, sans détour : ce sont exactement les questions que vos auditeurs et vos affréteurs vous poseront ensuite.

FAQ

Les UR E26 et E27 s'appliquent-elles à mon navire existant ?

Pas de façon obligatoire : elles visent les navires neufs contractés pour construction à compter du 1er juillet 2024. Un armateur peut en demander l'application volontaire, et plusieurs sociétés de classification proposent des notations cyber pour les navires en exploitation. La résolution MSC.428(98), elle, concerne bien votre flotte existante via le SMS.

Quelle est la différence entre UR E26 et UR E27 ?

L'UR E26 traite de la cyber-résilience du navire dans son ensemble : architecture des réseaux, inventaire des systèmes, protections, détection, réponse, reprise et essais. L'UR E27 traite de la cyber-résilience de chaque système et équipement embarqué : elle engage donc les équipementiers et les intégrateurs sur la documentation, les capacités de sécurité et le cycle de développement du produit livré.

Le cyber-risque est-il vérifié pendant un audit ISM ?

Oui. Un auditeur peut demander l'analyse de risque, les procédures associées et surtout les preuves d'application : inventaire à jour, traçabilité des interventions, comptes rendus d'exercices, registres de formation. Dans la pratique, c'est la production de ces preuves qui pose problème, bien plus que la rédaction des procédures.

Faut-il que le navire soit connecté en permanence pour être conforme ?

Non, c'est même l'inverse : réduire les connexions inutiles fait partie des mesures attendues. Ce qui compte est de maîtriser les connexions existantes et de pouvoir continuer à travailler réseau isolé. Un outil de maintenance utilisable hors connexion, synchronisé à l'escale, répond bien à cette contrainte.

Que faire d'un automate dont le fabricant ne fournit plus de correctifs ?

On documente le cas plutôt que de l'ignorer. La démarche attendue consiste à consigner l'obsolescence dans l'inventaire, à évaluer le risque associé, puis à appliquer des mesures compensatoires : isolement réseau, restriction des accès physiques, désactivation des ports inutilisés, surveillance renforcée, stock de rechange dédié et remplacement planifié au prochain arrêt technique.

Une GMAO suffit-elle à être conforme ?

Non. La conformité repose d'abord sur une organisation, des procédures et des personnes formées. Mais la GMAO transforme ces intentions en éléments vérifiables : inventaire vivant, ordres de travail datés, historique inaltérable, habilitations suivies. Sans elle, la démonstration repose sur des tableurs et des courriels, ce qui tient rarement face à un audit.

Conclusion

La réglementation cyber maritime n'est pas un chantier informatique de plus : c'est une extension du travail que vos équipes font déjà. L'OMI vous demande d'intégrer le cyber-risque à votre SMS depuis 2021 ; l'IACS impose, pour les navires neufs contractés depuis le 1er juillet 2024, un niveau de cyber-résilience vérifiable au navire (UR E26) et aux équipements embarqués (UR E27) ; les recommandations professionnelles publiées par BIMCO et une vingtaine d'organisations du secteur — dont la version 5 des Guidelines on Cyber Security Onboard Ships, parue le 14 novembre 2024 — fournissent le mode d'emploi opérationnel.

Le facteur limitant n'est jamais la rédaction des procédures : c'est la capacité à prouver, un an plus tard, qu'elles ont été appliquées sur chaque navire. Un inventaire enrichi des versions logicielles, des ordres de travail de mise à jour, une traçabilité des prestataires et des sauvegardes testées : voilà ce qui fait la différence le jour de l'audit.

Vous voulez voir concrètement à quoi ressemblent un registre d'actifs numériques et un ordre de travail de mise à jour dans une GMAO conçue par des marins ? Réservez une démonstration ou lancez un essai gratuit de 30 jours sur l'un de vos navires. Plus de 400 navires utilisent déjà Smart Sailors pour tenir leur maintenance — et leurs preuves — à jour.