Un sujet relativement nouveau
Les particularités du transport fluvial en matière de cyber-sécurité, et les questions à traiter en priorité, ont constitué le thème central de l’atelier. Mais les autres modes ont aussi été abordés, en particulier le maritime qui semble avoir une longueur d’avance en matière de cyber-sécurité.
« La cyber-sécurité est un sujet relativement nouveau pour tous les modes de transport, souligne Jean-Noël Schilling. Le secteur du transport maritime s’y intéresse particulièrement, car la cyber-criminalité y est utilisée à des fins de terrorisme et de piraterie. La prise de conscience de l’étendue du risque a été plus précoce dans le maritime, avec la cyber-attaque subie par Mærsk en 2017. Mais tous les modes de transport et toutes les entreprises, de la plus petite à la plus grande, sont aujourd’hui concernés. La navigation intérieure, moins connectée que d’autres modes, est de ce fait relativement protégée. Mais, comme les autres modes de transport, elle prend conscience à son tour de sa vulnérabilité ».
Dans le domaine fluvial, les plus vulnérables semblent être les transporteurs, suivis des exploitants de ports et terminaux. Les exploitants d’infrastructures de navigation semblent mieux armés en ce qui concerne la cyber-sécurité puisqu’ils utilisent des systèmes informatiques plus modernes et disposent de personnel dédié à leur sécurisation. Pour toutes ces organisations, l’atelier organisé par la CCNR a permis d’ébaucher des premières lignes de conduite pour améliorer la cyber-sécurité de leurs systèmes : sensibilisation et formation du personnel, ou encore mise en place de procédures et de ressources pour faire face aux attaques.
Des mesures internationales
Des mesures devraient aussi être prises au niveau international, par exemple pour échanger des rapports d’incidents entre entreprises ou entre administrations publiques, ainsi que pour élaborer des règles de conduites pour la prévention et la gestion du cyber-risque. La CCNR et le Cesni (Comité européen pour l’élaboration de standards dans le domaine de la navigation intérieure) sont forcément attendus sur ce point, de par leur capacité à adopter des résolutions pour le Rhin, via la CCNR, ou des normes européennes, via le Cesni. Le groupe de travail compétent se réunira en décembre 2019 pour tirer les conclusions de l’atelier du 5 septembre, et proposera probablement, à terme, un plan d’action en matière de cyber-sécurité.
« La CCNR a toujours été garante de la sécurité de la navigation sur le Rhin, rappelle Marlène Hirtz, administratrice technique en charge des questions technico-nautiques à la CCNR. La cyber-sécurité apparaît aujourd’hui comme une dimension supplémentaire de cette mission, et cet atelier a permis de faire un état des lieux, de prendre en compte les bonnes pratiques et de structurer notre travail ».
La présence d’organes internationaux comme la CCNR et le Cesni est un avantage pour le secteur fluvial par rapport à d’autres modes de transports, qui ne disposent pas forcément à l’échelle européenne de telles plateformes d’échange et de coordination.
Entre la première prise de conscience et l’adoption de nouvelles normes, beaucoup de travail reste à accomplir. La priorité pourrait être mise sur la formation du personnel navigant, afin qu’il puisse mieux réagir en cas de menace cyber. Au niveau de la coordination internationale, l’Union européenne préconise de mettre en place des centres de partage de l’information et d’analyse (ISACS). Mais la directive de 2016 sur les mesures destinées à assurer la sécurité des réseaux et des systèmes d’information dans l’Union européenne ne s’applique ni aux ports, ni aux entreprises de navigation. L’atelier organisé par la CCNR a permis de mettre en évidence les grandes différences d’approche en matière de cyber-sécurité des gouvernements nationaux, et la nécessité de développer des échanges et une coordination sur le sujet.
Le Comité européen pour l’élaboration de standards dans le domaine de la navigation intérieure (Cesni) a mis en place, depuis juin 2018, un troisième groupe de travail permanent, qui complète les deux autres existant précédemment, dédiés aux prescriptions techniques (Cesni/PT) et aux qualifications professionnelles (Cesni/QP). Le groupe Cesni/TI est présidé jusqu’à fin 2020 par le représentant allemand Nils Braunroth.
Ce troisième groupe de travail permanent a pour tâche de définir des normes techniques dans le domaine des technologies de l’information ; il s’intéresse aux documents électroniques, aux outils numériques utilisés en navigation intérieure, à l’automatisation de la navigation ainsi qu’aux questions de cyber-sécurité. Le groupe Cesni/TI comprend aussi quatre sous-groupes de travail temporaires, chargés chacun d’un des quatre aspects des Services d’information fluviale (SIF) : les cartes électroniques ECDIS, la localisation et le suivi des bateaux par AIS, les avis à la batellerie dématérialisés, les déclarations électroniques de chargement.
