Ce que CI Fortify de CISA impose réellement
L’initiative CI Fortify de CISA, publiée le 5 mai 2026, marque un virage dans l’approche gouvernementale américaine de la résilience des infrastructures critiques. Les cadres précédents se concentraient sur la protection des réseaux OT contre les intrusions. CI Fortify adresse un scénario différent : que se passe-t-il quand l’internet et les télécoms reliant ces réseaux OT au monde extérieur sont délibérément coupés ou dégradés lors d’une confrontation géopolitique ?
La directive identifie deux objectifs de planification obligatoires :
Planification de l’isolation : développer et documenter la capacité à « se déconnecter proactivement des réseaux tiers et d’entreprise » pour protéger les OT durant une crise. C’est une segmentation préventive — pas réagir à une violation mais couper volontairement les connexions avant qu’un adversaire ne les exploite.
Planification de la reprise : documenter les besoins opérationnels minimaux, les seuils d’indisponibilité acceptables, et les dépendances aux services externes ; sauvegarder les fichiers de configuration critiques ; et pratiquer « le remplacement des systèmes ou la transition vers les opérations manuelles ».
Le périmètre est large : services des eaux, opérateurs de transport, infrastructures critiques de défense (barrages, radars, systèmes d’armes, communications satellite), fournisseurs d’automatisation industrielle, prestataires de services managés et fournisseurs de sécurité. CISA a reçu l’approbation de 329 embauches prioritaires et a déjà commencé des évaluations pilotes avec certaines organisations.
Le contexte géopolitique qui motive la directive
CI Fortify arrive dans une période où la coupure internet et télécom est passée du théorique au documenté. Les perturbations de câbles sous-marins, le brouillage satellitaire et la manipulation délibérée des routes BGP sont désormais des outils établis dans les confrontations géopolitiques. L’expérience ukrainienne depuis 2022 a démontré que les opérations cyber militaires peuvent cibler simultanément les réseaux électriques, les communications et les systèmes financiers.
La condition d’« isolation » dans CI Fortify reflète une leçon spécifique : les organisations qui dépendent de réseaux IT tiers, de services cloud ou d’accès distant de fournisseurs pour opérer leurs systèmes OT sont exposées quand ces connexions deviennent indisponibles ou contrôlées de manière adversariale. Selon l’analyse ransomware Q1 2026 d’Industrial Cyber, le groupe Qilin seul a revendiqué 361 victimes au T1 2026, avec 2 128 incidents de ransomware trackés globalement sur ce trimestre. La réponse CI Fortify : éliminer la fenêtre d’exposition à la connectivité avant qu’un incident ne commence.
Publicité
Ce que cela signifie pour les opérateurs d’infrastructures critiques
1. Compléter un inventaire des capacités d’isolation avant l’arrivée des équipes d’évaluation
CISA prévoit des « évaluations ciblées » pour évaluer la préparation organisationnelle. L’inventaire doit documenter chaque chemin de connectivité externe vers les réseaux OT : sessions d’accès distant de fournisseurs, systèmes historiens connectés au cloud, réseaux IT d’entreprise partageant des règles de pare-feu avec l’OT. Pour chaque dépendance, documenter l’impact opérationnel de la coupure et le délai requis pour le faire en toute sécurité.
2. Construire des runbooks d’isolation exécutables par les équipes opérationnelles sans support IT
Le scénario d’isolation de CI Fortify suppose que les équipes IT peuvent elles-mêmes être indisponibles ou leurs outils inaccessibles. Les runbooks d’isolation doivent être rédigés pour exécution par le personnel opérationnel — opérateurs de salle de contrôle, techniciens terrain — sans nécessiter de VPN, d’outils cloud ou d’intervention du département IT. Cela signifie des runbooks physiques, des changements de règles de pare-feu pré-préparés activables en une commande, et du personnel formé qui a réellement pratiqué la procédure. Les 329 embauches approuvées par CISA incluent du personnel d’évaluation qui vérifiera si ces runbooks existent et ont été exercés.
3. Établir une capacité d’opérations manuelles avec des seuils d’indisponibilité définis
Le pilier reprise de CI Fortify exige que les organisations articulent combien de temps elles peuvent opérer sans connectivité externe et quelles opérations elles peuvent maintenir manuellement. Pour les services des eaux : procédures de contrôle manuel des pompes et calculs de dosage chimique ne dépendant pas des données de l’historien SCADA. Pour les opérateurs du réseau électrique : capacités de fonctionnement en îlot et procédures de commutation manuelle. Ces capacités doivent être documentées comme plans formels, pas comme mémoire institutionnelle.
4. Instrumenter votre supply chain pour une déconnexion rapide
La liste des acteurs en périmètre de CI Fortify inclut fournisseurs d’automatisation industrielle, prestataires de services managés et fournisseurs de sécurité. Les opérateurs d’infrastructures critiques doivent auditer chaque fournisseur avec accès distant permanent aux systèmes OT, remplacer les identifiants d’accès permanent par des sessions à durée limitée, et établir des exigences contractuelles pour que les fournisseurs maintiennent leurs propres capacités d’isolation.
Le changement structurel de résilience
CI Fortify représente une maturité dans la façon dont les régulateurs pensent la sécurité des infrastructures critiques. La décennie précédente s’était concentrée sur la prévention des intrusions. CI Fortify accepte que certaines connectivités seront perdues ou compromises et demande aux opérateurs de planifier pour opérer à travers cette réalité.
C’est le virage « résilience » discuté depuis l’attaque contre Colonial Pipeline en mai 2021 — le plus impactant incident cyber sur infrastructure critique aux États-Unis — qui a démontré qu’un ransomware IT pouvait forcer un arrêt OT volontaire en raison d’une indisponibilité des systèmes de facturation. Selon l’analyse ransomware Cognyte 2026, 7 809 incidents confirmés ont été divulgués mondialement en 2025, une hausse de 27,3 % en glissement annuel, les infrastructures critiques représentant 33,6 % de toutes les attaques. Pour les organisations hors États-Unis, le cadre CI Fortify vaut la peine d’être étudié même où il n’est pas légalement contraignant — les scénarios de risque géopolitique qui l’ont motivé sont mondiaux.
Questions Fréquentes
CI Fortify de CISA s’applique-t-il aux organisations en dehors des États-Unis ?
CI Fortify est une initiative réglementaire américaine et n’est juridiquement contraignante que pour les opérateurs d’infrastructures critiques régulés aux États-Unis. Cependant, les disciplines de planification d’isolation et de reprise qu’elle impose sont applicables mondialement — les scénarios de risque géopolitique qui l’ont motivée (coupures de câbles sous-marins, brouillage satellitaire, manipulation BGP) ne sont pas des menaces uniquement américaines. Les opérateurs internationaux d’infrastructures critiques, y compris dans les secteurs de l’énergie, de l’eau et du transport, peuvent adopter le cadre volontairement comme bonne pratique de résilience même là où il n’a aucune obligation légale.
Quelle est la différence entre les piliers « isolation » et « reprise » de CI Fortify ?
La planification de l’isolation porte sur la déconnexion proactive des connexions aux réseaux tiers et IT d’entreprise avant ou pendant une crise géopolitique — l’objectif est d’empêcher les adversaires d’exploiter ces connexions pour atteindre les systèmes OT. La planification de la reprise porte sur ce qui se passe après l’isolation : les organisations doivent documenter combien de temps elles peuvent opérer sans connectivité externe, quelles opérations elles peuvent maintenir manuellement, et quelle est la procédure étape par étape pour restaurer les systèmes après la crise. Les deux piliers sont obligatoires sous CI Fortify et sont évalués séparément lors des évaluations ciblées de CISA.
Quels secteurs sont inclus dans le périmètre de CI Fortify ?
Le périmètre de CI Fortify est large et comprend les services des eaux, les opérateurs de transport, les infrastructures critiques de défense (barrages, radars, systèmes d’armes, communications satellite), les fournisseurs d’automatisation industrielle, les prestataires de services managés et les fournisseurs de sécurité. L’inclusion des fournisseurs et MSP — pas seulement des opérateurs finaux — reflète le schéma d’attaque documenté où les adversaires accèdent aux OT via des sessions distantes de fournisseurs plutôt que par des intrusions directes.
—
Sources et lectures complémentaires
- CISA demande aux organisations critiques de se préparer aux pannes cyber — Federal News Network
- Le ransomware atteint un nouveau palier au T1 2026 — Industrial Cyber
- Menaces cybersécurité 2026 — Jazz Cyber Shield Blog
- Revue de presse cyber 13 mai 2026 — Hipther
- Ransomware 2025 : 7 809 incidents, +27,3 % — Cognyte
