L’Australie vient de franchir un cap majeur en matière de cybersécurité industrielle : la norme internationale IEC 62443, désormais transposée en AS/IEC 62443, devient la norme nationale de référence pour la protection des infrastructures critiques.
Cette décision stratégique vise à renforcer la posture de cybersécurité de secteurs vitaux tels que l’énergie, l’eau, les transports, les communications et l’industrie manufacturière.
Qu’est-ce que la norme IEC 62443 ?
Développée par l’ISA (International Society of Automation) et adoptée par l’IEC (International Electrotechnical Commission), la norme IEC 62443 est un cadre mondialement reconnu pour la cybersécurité des systèmes d’automatisation et de contrôle industriels (IACS).
Elle fournit :
Des exigences techniques et organisationnelles pour les opérateurs industriels
Des modèles de gestion des risques et de zones/systèmes de sécurité
Des obligations de défense en profondeur, d’authentification forte, et de gestion des vulnérabilités
Elle s’adresse à tous les acteurs de la chaîne : propriétaires d’infrastructures, intégrateurs systèmes, fournisseurs de composants et logiciels industriels.
Une adoption officielle dans le contexte australien
La normalisation en AS/IEC 62443 a été réalisée par Standards Australia, l’organisme national de normalisation, en collaboration avec les parties prenantes industrielles et gouvernementales.
Ce référentiel est désormais reconnu comme la norme de cybersécurité industrielle recommandée au niveau fédéral, notamment dans le cadre de la loi australienne sur la sécurité des infrastructures critiques (SOCI Act).
Il soutient aussi les objectifs du Critical Infrastructure Risk Management Program (CIRMP), qui impose aux opérateurs de services essentiels une gestion proactive des risques cyber et physiques.
Objectif : unifier et renforcer la posture de sécurité des OT
Avec l’AS/IEC 62443, l’Australie entend :
Uniformiser les pratiques de cybersécurité OT sur l’ensemble du territoire
Harmoniser les exigences réglementaires et industrielles
Renforcer la résilience des systèmes industriels face aux menaces persistantes avancées (APTMenace avancée et persistante visant un système spécifique sur le long terme. Attaque de SolarWinds par un État-nation. MITRE)
Améliorer l’interopérabilité et la conformité internationale, en facilitant les échanges avec d’autres pays également alignés sur la norme IEC 62443 (USA, Canada, UE…)
Une norme modulaire et évolutive
L’AS/IEC 62443 est constituée de plusieurs volets :
62443-2-1 : Gestion des politiques de sécurité
62443-3-2 : Analyse des risques et segmentation des systèmes
62443-4-1 : Processus sécurisé de développement logiciel
62443-4-2 : Exigences techniques pour les composants
Cette modularité permet aux entreprises de s’adapter progressivement selon leur niveau de maturité cyber.
Réaction du secteur industriel
La communauté industrielle australienne a globalement salué cette annonce comme un pas décisif vers une meilleure coordination des efforts de cybersécurité OT. Plusieurs acteurs ont déjà initié des roadmaps de conformité ou lancé des audits alignés sur les contrôles de la norme.
Le renforcement des exigences réglementaires est perçu comme une opportunité pour formaliser les bonnes pratiques et professionnaliser la sécurité des environnements OT, longtemps sous-investis comparés aux systèmes IT.
Pourquoi c’est important ?
Les attaques sur les infrastructures critiques se multiplient : ransomwareMalware qui chiffre les fichiers et demande une rançon. Blocage des fichiers comptables via LockBit. CERT-FR ciblant les pipelines, sabotage de systèmes SCADA, vols de données industrielles…
Le manque de standards communs était un frein à la coopération et à l’harmonisation des mesures de protection
Cette adoption fait de l’Australie un acteur proactif et pionnier dans l’intégration de normes OT/ICS dans son cadre réglementaire national
En conclusion
En faisant de l’AS/IEC 62443 la pierre angulaire de la cybersécurité de ses infrastructures critiques, l’Australie envoie un signal fort : la protection des environnements OT/ICS est désormais un enjeu de sécurité nationale.
Cette décision devrait inspirer d’autres pays à accélérer l’alignement réglementaire avec les normes internationales, dans un contexte où la menace cyber devient de plus en plus transverse, hybride et sophistiquée.