Cyber, IA, quantique : pourquoi 2027 sera une année charnière pour les industries critiques
Cyberattaques aux conséquences physiques, accélération de l'intelligence artificielle, transition post-quantique et renforcement des exigences européennes : 2027 s'annonce comme une année décisive pour les industries critiques. De l'énergie aux transports, en passant par la défense et les télécommunications, les entreprises devront relever plusieurs défis simultanément, alors que leurs équipements et infrastructures sont souvent conçus pour fonctionner pendant plusieurs décennies…
Une pression cyber qui frappe au cœur des industries critiques
Les infrastructures critiques européennes évoluent dans un environnement de menace durablement dégradé. 73 % des organisations ciblées dans les incidents recensés relèvent des catégories d'entités essentielles ou importantes définies par NIS2.¹ Et, les conséquences dépassent désormais largement la compromission des données. Dans la nuit du 11 au 12 octobre 2026 : 700 supermarchés sont ciblés en France. En détournant à distance les paramètres de dégivrage d'équipements Danfoss, les attaquants ont fait grimper certaines températures des frigos jusqu'à 50 °C, provoquant des destructions de marchandises. « Notre analyse, c’est que ce sont des défauts de sécurisation élémentaire qui ont été exploités, à commencer par l’exposition directe sur Internet d’équipements frigorifiques et leur administration sans sécurisation particulière, des mots de passe faibles », a expliqué Vincent Strubel, directeur général de l'ANSSI, lors de son audition au Sénat le 21 octobre dernier.² Au-delà de la grande distribution, l'incident met en évidence la vulnérabilité d'équipements connectés présents dans de nombreux secteurs industriels, parfois sans véritable maîtrise de leur exposition à Internet. C'est précisément ce fossé que le renforcement du cadre européen entend réduire. Alors que la France doit encore transposer NIS2, le Cyber Resilience Act impose depuis septembre 2026 la notification des vulnérabilités activement exploitées. Le 11 décembre 2027, ses principales exigences deviendront applicables aux produits matériels et logiciels concernés, obligeant les fabricants à intégrer la cybersécurité dès la conception et à organiser le suivi des vulnérabilités tout au long de leur cycle de vie.
L'intelligence artificielle, entre accélération et nouveaux risques
Deuxième transformation majeure : l'intelligence artificielle. Dans l'industrie, elle ouvre des perspectives en matière de maintenance prédictive, de supervision des installations et de détection d'anomalies. Mais elle devient également un puissant accélérateur des cyberattaques. Une violation malveillante sur quatre s'appuie désormais sur l'IA, une progression de 56 % en un an.³ Ces attaques, notamment fondées sur les deepfakes et les logiciels malveillants assistés par IA, occasionnent des coûts moyens de 6 millions de dollars, contre 4,99 millions pour l'ensemble des violations étudiées.⁴ L'IA transforme ainsi l'économie de la cybercriminalité : elle permet d'automatiser certaines étapes des attaques, de personnaliser les tentatives d'usurpation d'identité et d'accélérer leur préparation. Parallèlement, les entreprises doivent protéger leurs propres modèles, données d'entraînement et applications contre de nouvelles formes de compromission.
Alors, l’Union européenne a décidé de contre-attaquer à travers une nouvelle réglementation. Le 2 décembre 2027, les exigences de l'AI Act relatives à certaines catégories de systèmes d'IA à haut risque deviendront applicables, notamment ceux intervenant dans la gestion et le fonctionnement d'infrastructures critiques. Les systèmes d'IA à haut risque intégrés à certains produits réglementés disposent, eux, d'une échéance supplémentaire fixée au 2 août 2028.
Le quantique : une transition à engager avant l'arrivée de la menace
Troisième bouleversement : l'informatique quantique. Si aucun ordinateur quantique n'est aujourd'hui capable de compromettre à grande échelle les principaux systèmes cryptographiques utilisés, les progrès de la recherche réduisent progressivement les ressources théoriquement nécessaires. En 2019, les chercheurs estimaient qu'il faudrait environ 20 millions de qubits physiques pour casser une clé RSA-2048. En 2025, Craig Gidney, chercheur chez Google Quantum AI, a ramené cette estimation à moins d'un million de qubits, sous certaines hypothèses techniques. Une avancée théorique considérable même si cet ordinateur n’existe pas encore. Au-delà de cette perspective alarmante, une autre menace pèse bien plus directement sur les entreprises : celle du « Harvest now, decrypt later ». Des informations chiffrées interceptées aujourd'hui pourraient être conservées puis déchiffrées dans plusieurs années. Pour les industries critiques, cette menace est d'autant plus importante que certaines données doivent rester confidentielles pendant des décennies. La transition est déjà engagée. En juin 2025, l'Union européenne a fixé une feuille de route demandant aux États membres d'engager leur migration d'ici fin 2026, avec une priorité donnée aux usages les plus sensibles d'ici 2030. 2027 devrait donc marquer le passage à la mise en œuvre opérationnelle. Inventaire des systèmes cryptographiques, identification des équipements vulnérables, renouvellement des composants et adaptation des infrastructures : les chantiers sont nombreux. L'ANSSI considère ainsi qu'il ne sera plus raisonnable d'acheter, après 2030, des produits ne proposant pas de cryptographie post-quantique.
² https://www.ibm.com/reports/data-breachhttps://www.publicsenat.fr/actualites/politique/des-defauts-de-securisation-elementaire-et-des-mots-de-passe-faibles-ont-permis-la-cyberattaque-contre-les-frigos-de-supermarches
⁴Ibid
