Commençons par la réponse à la question que vous vous posez sans doute déjà : l’IEC 62443 n’est pas une obligation légale en Suisse. Aucune loi fédérale ne l’impose. C’est une famille de normes internationales, d’application volontaire.
Cela ne signifie pas qu’elle est facultative pour vous. Depuis deux ou trois ans, elle apparaît dans les cahiers des charges des donneurs d’ordre industriels, dans les questionnaires d’assurance et dans les appels d’offres des grands groupes. L’obligation ne vient pas du législateur, elle vient du contrat. Pour une PME romande qui fournit un équipementier, un acteur de l’énergie ou de la pharma, la différence est purement théorique.
Cet article explique ce que cette famille de normes cherche à résoudre, pourquoi la sécurité informatique de bureau ne suffit pas dans un atelier, et par où commencer quand on exploite un parc de machines qu’on ne peut pas remplacer.
Pourquoi la sécurité de bureau ne suffit-elle pas dans un atelier ?
C’est le point central, et il est mal compris. Beaucoup de dirigeants pensent qu’il suffit d’étendre à l’atelier ce qui a été fait pour les bureaux : un antivirus, des mises à jour, un pare-feu. En pratique, cette approche échoue.
Dans un bureau, la priorité absolue est la confidentialité des données. On protège des contrats, des salaires, des dossiers clients. Si un poste tombe en panne, on le redémarre et l’on continue.
Dans un atelier, la priorité est la disponibilité et la sécurité des personnes. Une ligne de production arrêtée coûte immédiatement, et un équipement qui se comporte de façon imprévue peut blesser quelqu’un. Le plan de données industriel a rarement de la valeur en tant que secret. C’est le mouvement de la machine qui compte.
Trois conséquences très concrètes en découlent.
On ne redémarre pas une ligne comme un ordinateur. Une remise en route peut demander des heures, une purge, une remise en température, une nouvelle qualification du lot. Le simple redémarrage qui règle un problème bureautique devient ici une décision de production.
On ne met pas à jour un automate en pleine production. Un correctif logiciel sur un automate programmable modifie le comportement d’un système qui pilote des mouvements physiques. Il faut une fenêtre d’arrêt, des tests, souvent la validation du fabricant, parfois une nouvelle réception de sécurité machine.
Certaines machines ne seront jamais mises à jour. Un centre d’usinage de 2011 avec un pupitre sous un système d’exploitation abandonné fonctionne parfaitement et produira encore dix ans. Le fabricant ne publie plus rien. La mise à jour n’est pas retardée : elle n’existe pas.
| Informatique de gestion (bureau) | Informatique industrielle (atelier) | |
|---|---|---|
| Priorité principale | Confidentialité des données | Disponibilité et sécurité des personnes |
| Conséquence d’un arrêt | Gêne, travail décalé | Production stoppée, lots perdus, risque physique |
| Mises à jour | Automatiques, fréquentes | Planifiées, testées, parfois impossibles |
| Redémarrage | Immédiat, sans enjeu | Long, coûteux, nécessite une décision |
| Cycle de vie du matériel | 3 à 5 ans | 15 à 25 ans |
| Support du fournisseur | Continu | Souvent terminé bien avant la fin d’usage |
| Qui décide | Le service informatique | La production, avec l’informatique |
Cette différence de nature explique pourquoi une PME industrielle ne peut pas simplement recopier ses règles de bureau dans son atelier. Il lui faut un cadre pensé pour cet environnement. C’est exactement ce que propose l’IEC 62443.
Qu’apporte la famille de normes, sans entrer dans le détail ?
L’IEC 62443 n’est pas un document unique mais un ensemble de documents, publiés par la Commission électrotechnique internationale, qui couvrent la sécurité des systèmes d’automatisation et de contrôle industriels.
Sa structure générale s’organise autour de quatre grands blocs : les concepts et le vocabulaire communs, les exigences qui portent sur les politiques et procédures de l’organisation, celles qui portent sur le système dans son ensemble, et enfin celles qui portent sur les composants et leur développement.
Le point le plus utile à retenir pour un dirigeant est ailleurs. La norme distingue trois rôles, et vous ne lisez pas les mêmes parties selon celui que vous occupez :
- l’exploitant, qui utilise l’installation dans son usine ;
- l’intégrateur, qui conçoit, assemble et met en service la solution ;
- le fabricant, qui produit la machine ou le composant.
Une PME industrielle romande cumule fréquemment deux casquettes. Elle exploite son propre atelier et fabrique des machines qu’elle livre à ses clients. Ce sont deux démarches distinctes, avec des interlocuteurs et des livrables différents.
Les documents de la série sont vendus par la Commission électrotechnique internationale et par les organismes de normalisation nationaux. Leur contenu ne peut pas être reproduit librement, et cet article ne le fait pas : il en décrit la logique et la structure, pas les exigences article par article. Méfiez-vous des documents qui circulent gratuitement en prétendant restituer la norme : ils sont souvent obsolètes, partiels ou simplement faux, et une démarche bâtie dessus ne tiendra pas devant un auditeur.
Zones et conduits : découper avant de protéger
C’est le concept le plus important de la norme, et le plus facile à comprendre.
Une zone regroupe des équipements qui partagent les mêmes besoins de sécurité. Une cellule robotisée forme une zone. Le système de supervision en forme une autre. Les postes bureautiques du service qualité en forment une troisième.
Un conduit est le passage contrôlé qui relie deux zones. Toute communication entre zones passe par un conduit, et l’on décide explicitement de ce qui est autorisé à y transiter.
L’idée sous-jacente est simple : au lieu de tenter de sécuriser individuellement des dizaines d’équipements dont beaucoup ne peuvent pas l’être, on sécurise les frontières entre groupes d’équipements. La machine obsolète reste obsolète, mais elle n’est plus joignable depuis n’importe où.
C’est aussi ce qui limite la propagation d’un incident. Le rançongiciel qui chiffre le serveur de fichiers de l’administration n’atteindra pas la ligne de production si les deux réseaux ne sont pas plats et interconnectés. Sans segmentation, une messagerie compromise peut faire s’arrêter une usine. Avec segmentation, elle fait perdre une journée de bureau.
Les niveaux de sécurité : tout ne mérite pas la même protection
Deuxième concept structurant, tout aussi accessible. La norme définit une échelle de niveaux de sécurité, graduée du plus faible au plus élevé, qui correspond au type d’attaquant contre lequel on veut tenir.
Le bas de l’échelle vise ce qui est accidentel : une erreur de manipulation, une mauvaise clé USB, un branchement malheureux. Le haut de l’échelle vise un attaquant organisé, doté de moyens importants, de temps et de compétences spécifiques au monde industriel.
L’intérêt pratique est de pouvoir dire, zone par zone, quel niveau vous visez. Une cellule qui pilote un mouvement dangereux et une armoire de comptage d’énergie n’appellent pas le même effort. Cette gradation évite les deux travers classiques : tout protéger au maximum, ce qui est financièrement impossible pour une PME, ou ne rien protéger, faute de savoir où commencer.
La quasi-totalité des PME industrielles ont laissé un accès de télémaintenance à leurs fournisseurs de machines. Souvent installé à la mise en service, rarement documenté, parfois toujours actif dix ans plus tard. C'est le point d'entrée le plus fréquemment négligé. Faites la liste de ces accès, vérifiez qui les utilise encore, et coupez-les par défaut en les ouvrant seulement à la demande. Cette seule mesure vaut plusieurs mois de projet.
Par où commencer avec un parc de machines existant ?
Vous n’allez pas remplacer votre parc, et personne ne vous le demande. La démarche réaliste consiste à protéger l’environnement autour de machines qui resteront telles quelles.
- Faites l’inventaire de ce qui est connecté. Quelles machines ont une prise réseau, une carte Wi-Fi, un modem, un accès distant ? La réponse surprend presque toujours. Une liste sur une feuille suffit pour commencer.
- Séparez le réseau de production du réseau de bureau. C’est la mesure au meilleur rapport effet/coût. Si votre machine à café, votre comptabilité et votre presse d’injection sont sur le même réseau, commencez ici.
- Reprenez la main sur les accès distants. Qui peut entrer, depuis où, avec quelle authentification, et qui est prévenu quand cela arrive.
- Encadrez les supports amovibles. La clé USB de l’automaticien reste un vecteur d’infection majeur en environnement industriel, précisément parce que les machines isolées se mettent à jour par ce biais.
- Sauvegardez les programmes des automates et les configurations. Pas seulement les fichiers bureautiques. Un programme d’automate perdu, c’est une remise en service qui se compte en jours. Appliquez-leur la règle 3-2-1 des sauvegardes.
- Identifiez vos zones et fixez un objectif par zone. À ce stade seulement, la logique de la norme devient exploitable, parce que vous savez enfin ce que vous avez.
- Documentez ce que vous faites. C’est ce qui sera demandé par un client ou un assureur, bien avant un certificat.
Ces étapes ne demandent pas de compétence normative pointue. Elles demandent de faire dialoguer la production et l’informatique, ce qui est souvent le vrai obstacle dans une PME.
Ce que cela signifie pour une PME suisse aujourd’hui
Le contexte général se durcit. En 2025, l’Office fédéral de la cybersécurité a reçu 64 733 déclarations volontaires, contre 62 954 en 2024. Au deuxième semestre 2025, 57 incidents liés à des rançongiciels lui ont été annoncés (OFCS, rapport semestriel 2025/II, 30 mars 2026). Les entreprises industrielles figurent parmi les cibles, parce qu’un arrêt de production crée une pression au paiement que peu de secteurs connaissent.
En parallèle, deux mouvements réglementaires touchent les fabricants suisses qui exportent vers l’Union européenne : les exigences de cybersécurité pour les équipements radio et le règlement européen sur la cyberrésilience. Ces textes, eux, sont contraignants pour accéder au marché européen. Nous les traiterons dans des articles dédiés, sur l’EN 18031 et sur le CRA. Une démarche IEC 62443 déjà engagée facilite considérablement leur traitement, car les concepts se recoupent largement.
Retenez donc la nuance : l’IEC 62443 reste volontaire en droit suisse, mais elle est en train de devenir le langage commun de la sécurité industrielle. Savoir en parler avec un client ou un assureur devient un argument commercial autant qu’une mesure de protection.
Pour situer votre entreprise en trois minutes, le check-up cyber vous donne un score et vos trois priorités. Les autres textes applicables aux entreprises suisses sont regroupés dans le pilier Réglementations.