Un lundi, à 6 h 30, un directeur d’usine apprend que le réseau de production est hors service. L’accès à distance est interrompu et plusieurs systèmes d’exploitation ne sont plus fiables. Les machines fonctionnent peut-être encore, mais ce n’est pas forcément le cas des commandes, des recettes, des registres de traçabilité, des données de validation, des mouvements d’entrepôt et des documents d’expédition. Dans un attaque par ransomware dans le secteur industriel Dans ce cas, la première question qui se pose est claire : l'entreprise peut-elle encore produire, commercialiser, expédier, facturer et encaisser ses recettes ?

Sensata Technologies a indiqué qu'un rançongiciel détecté le 6 avril 2025 avait chiffré des appareils et perturbé les opérations d'expédition, de réception, de production et d'autres fonctions. Nucor Corporation a déclaré le 20 mai 2025 avoir interrompu la production sur plusieurs sites le temps de maîtriser un incident cybernétique. Nucor a confirmé par la suite qu'un pirate avait dérobé une quantité limitée de données et que l'accès aux applications opérationnelles restait restreint.

Le 16 juillet 2026, The Coca-Cola Company a révélé un accès non autorisé chez Fairlife qui a affecté des systèmes liés à la production. Si les entreprises diffèrent par leur taille et leur secteur d’activité, le déroulement des événements reste le même : la confiance s’effrite en premier lieu, le contrôle s’affaiblit ensuite, et les difficultés de trésorerie apparaissent avant même la fin de l’enquête.

Les attaques par ransomware : les 72 premières heures sont décisives

La directive (UE) 2022/2555, dite « directive NIS2 », fixe un délai de notification très court. Article 23 nécessite une alerte précoce dans un délai de 24 heures, une mise en demeure dans un délai de 72 heures, et, en règle générale, un rapport final dans un délai de un mois. Les responsables doivent rendre compte alors que la situation technique est encore en pleine évolution. Les autorités nationales chargées de la cybersécurité et les CSIRT peuvent intervenir dans ce processus, avec le soutien de l'Agence de l'Union européenne pour la cybersécurité et d'EU-CyCLONe.

Trois décisions ne peuvent pas attendre

1. Interrompre ou limiter la production lorsque l'usine n'est pas en mesure de prouver l'identité du produit, le contrôle de la recette, la traçabilité ou la conformité aux normes de qualité.
2. Protégez votre trésorerie en associant chaque restriction opérationnelle aux expéditions, aux factures, aux encaissements et aux paiements dus.
3. Confier à un seul dirigeant l'autorité sur les services informatiques, les opérations, les finances, le service juridique, les équipes chargées de la relation client et le directeur d'usine.

L'Office fédéral allemand pour la sécurité informatique (Bundesamt für Sicherheit in der Informationstechnik), l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency) et le Centre de signalement des délits sur Internet du FBI (FBI Internet Crime Complaint Center) peuvent contribuer à une réponse à plus grande échelle. Ils ne sont toutefois pas en mesure de déterminer si un lot peut être mis sur le marché en toute sécurité, si l'engagement pris envers un client est crédible, ni si l'entreprise est en mesure de financer une semaine supplémentaire de production réduite.

Si la traçabilité n'est pas garantie, la plante n'est pas considérée comme rétablie.

Les déplacements des machines ne constituent pas une production commercialisable

Une ligne de production peut redémarrer alors que l'entreprise n'est toujours pas en mesure de commercialiser sa production. L'usine doit relier entre eux l'historique des lots, les registres de série, les paramètres de processus, l'état des matériaux, les résultats des contrôles et les autorisations de mise sur le marché. S'il manque un seul élément, l'arrêt de production dû à une cyberattaque se prolonge, même lorsque certaines machines sont en marche.

L'épreuve minimale comporte six parties : L'entreprise est-elle en mesure de justifier la commande, les matériaux, les paramètres validés, le contrôle, la mise en circulation et l'expédition ? Les souvenirs et les feuilles de calcul non contrôlées ne constituent pas des preuves suffisantes. L'usine devrait qualifier cette production de « soumise à des contraintes » et non de « rattrapée ».

CE intérimaire plan d'intervention en cas d'attaque par ransomware dans une usine couvre la séquence de confinement au niveau de l'usine. Le test économique commence lorsque l'équipe doit transformer la reprise technique en production maîtrisée avant que les liquidités et la confiance des clients ne s'épuisent.

La restauration après une attaque par ransomware dans le secteur industriel doit respecter la chaîne de production

Les responsables du système ne doivent pas définir seuls l'ordre de recouvrement. La séquence doit suivre le parcours allant de la commande client à l'encaissement. Dans un attaque par ransomware dans le secteur industriel En réponse à cela, cette directive permet à l'équipe de rester concentrée sur la valeur opérationnelle plutôt que sur le nombre de serveurs.

• Refonte des contrôles d'identité et d'accès afin que l'entreprise dispose d'une base opérationnelle fiable.
• Restaurer les commandes, les cahiers des charges, les recettes et les consignes de travail approuvés.
• Réconcilier les statuts des articles, les mouvements de stock et les enregistrements relatifs aux travaux en cours.
• Vérifier les contrôles qualité, la généalogie, les registres de mise sur le marché et les liens avec les laboratoires.
• Rétablir les documents d'expédition, les relations avec les clients, la facturation et l'encaissement.

Les sauvegardes ne sont utiles que lorsqu'elles sont « propres », « complètes », « compatibles » et « exploitables », dans cet ordre. Les services d'identité, les progiciels de gestion intégrée (ERP), les systèmes de gestion de la production (MES), les données d'historique, les étiquettes, les systèmes de laboratoire et les registres d'entrepôt sont souvent remis en service à des moments différents. La reprise après une attaque par ransomware dans le secteur industriel échoue lorsque la direction déclare qu'une application a été restaurée alors que le processus opérationnel reste défaillant.

Si les marchandises ne peuvent être expédiées ni facturées, les liquidités deviennent l'indicateur de référence

Les temps d'arrêt liés à une cyberattaque entraînent deux types de pertes

La première perte concerne le chiffre d'affaires. L'usine n'est pas en mesure de livrer, d'expédier ou de facturer suffisamment de marchandises. La deuxième perte correspond aux coûts récurrents. Les salaires, les charges, le loyer, les contrats de location, les fournisseurs et les dettes restent dus. La remise en état entraîne des frais supplémentaires liés aux expertises, au matériel informatique, aux heures supplémentaires, à l'assistance juridique et au transport d'urgence.

Key Tronic Corporation a estimé qu'une perturbation liée à un rançongiciel avait entraîné une baisse du chiffre d'affaires trimestriel d'environ $15 millions et ajouté environ $2.3 millions en termes de coûts. L'entreprise a imputé ces coûts à l'acquisition de nouveaux équipements informatiques et au recours à des services externes de cybersécurité, tandis que les charges salariales continuaient d'être versées. C'est ainsi que commence la faillite d'une entreprise manufacturière liée à la cybersécurité : les encaissements diminuent tandis que les paiements courants et exceptionnels se poursuivent.

Le directeur financier a besoin d'une vue d'ensemble quotidienne de la trésorerie

Le budget mensuel est trop lent à établir. Le directeur financier a besoin d'une prévision de trésorerie sur treize semaines tenant compte de la disponibilité des lignes de production, du lancement des produits, des délais d'expédition, des factures, des retenues des clients, de la pression des fournisseurs, des échéances d'assurance et des coûts de remise en état. Chaque donnée doit indiquer s'il s'agit d'une valeur confirmée ou d'une hypothèse. Les prêteurs réagiront plus vivement face à des données peu fiables qu'à un déficit manifeste.

Guide de CE Interim sur gérer la trésorerie en cas de crise correspond à cette étape. Dans un attaque par ransomware dans le secteur industriel Dans ce cas, le contrôle de la trésorerie et le contrôle opérationnel constituent une seule et même tâche. Chaque chiffre dépend de ce que l'usine est en mesure de valider, de mettre en circulation, d'expédier et de facturer.

Si le client se tourne vers un double approvisionnement, la reprise pourrait intervenir trop tard

L'audit de cybersécurité des fournisseurs de niveau 2 débute pendant la panne

Les clients n'attendront pas la fin de l'audit approfondi. Les équipes chargées des achats, de la qualité, des affaires juridiques, de la sécurité et des opérations testeront d'autres capacités. Elles examineront les stocks, les rapports sur l'état de la demande et les commandes à venir. Pour les fournisseurs automobiles et industriels de niveau 2, un audit cybernétique de fournisseur de niveau 2 constitue à la fois un test de continuité et un examen de sécurité.

Le client vérifiera quatre points : le contrôle des produits, des délais de livraison fiables, une entité de reprise clairement désignée et des liquidités suffisantes pour mener à bien les travaux. Une seule réponse insuffisante peut entraîner le transfert du volume vers un autre fournisseur. L'usine peut se redresser sur le plan technique tout en perdant la valeur client qui soutenait son activité.

Jaguar Land Rover montre comment les bouleversements se répercutent sur les fournisseurs

Le 23 septembre 2025, Jaguar Land Rover a prolongé son arrêt de production jusqu'au 1er octobre tout en préparant une reprise progressive de ses activités. La production a repris le 8 octobre 2025, et Jaguar Land Rover a par la suite annoncé que la production était revenue à la normale dès le mi-novembre 2025. Cet écart explique pourquoi les temps d'arrêt liés aux cyberattaques ne constituent pas une fenêtre de maintenance informatique.

Le 28 septembre 2025, le Ministère britannique des Affaires et du Commerce et UK Export Finance a annoncé la mise en place d'une garantie pouvant atteindre 1,5 milliard de livres sterling afin d'assurer le financement et la stabilité de la chaîne d'approvisionnement. Cette mesure reflétait les difficultés de trésorerie qui se répercutent lorsqu'un grand fabricant cesse son activité. Un fournisseur de plus petite taille ne peut pas compter sur un soutien similaire.

Un audit informatique chez un fournisseur de niveau 2 porte sur la gouvernance, et pas uniquement sur les logiciels

La directive (UE) 2022/2555 inclut la sécurité de la chaîne d'approvisionnement parmi les mesures de gestion des risques qu'elle impose. Pour les entités essentielles, Article 34 prévoit des amendes maximales d'au moins 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Son champ d'application dépend du secteur, de la taille de l'entreprise, de son activité, du pays et de la législation nationale. Néanmoins, les conseils d'administration doivent démontrer comment ils maîtrisent les principaux risques opérationnels et ceux liés aux fournisseurs.

Un audit cybernétique crédible d'un fournisseur de niveau 2 doit porter sur les autorisations de redémarrage, la traçabilité manuelle, les mises à jour des clients, les contrôles des sauvegardes, les prévisions de trésorerie, la hiérarchie des fournisseurs et la capacité à fonctionner sans les interfaces clés. Il doit également désigner le dirigeant habilité à faire des compromis entre ces différents domaines. Le risque d'insolvabilité lié à la cybersécurité dans le secteur manufacturier augmente lorsque les comités se partagent la responsabilité sans que personne n'assume la responsabilité du résultat.

La décision relative à la production d'attaques par ransomware repose sur la question de savoir si la valeur est toujours présente

Le conseil d'administration doit faire la distinction entre le redressement et la viabilité

A attaque par ransomware dans le secteur industriel Un incident se transforme en cas de restructuration lorsque la reprise d'une production fiable intervient après le rétablissement de la liquidité et que les clients sont en mesure d'attendre. Le directeur des opérations peut contrôler la production, le directeur financier peut contrôler la trésorerie et le directeur d'usine peut contrôler la sécurité de la production. Les équipes techniques se chargent de remettre les systèmes en état. En l'absence d'une autorité unique chapeautant l'ensemble du processus, les décisions sont fragmentées.

Le plateau offre désormais trois possibilités. « Restructurer » signifie financer un redressement maîtrisé tout en redéfinissant les coûts, la gouvernance et les engagements pris envers les clients. « Vendre » signifie agir tant que l'usine, les contrats, les effectifs et les relations avec la clientèle ont encore une valeur cessible. « Fermer » signifie protéger les salariés, les clients, les créanciers, les données et les actifs avant que les événements ne font perdre le contrôle de la situation.

Il peut s'avérer nécessaire de faire appel à un dirigeant intérimaire doté de pouvoirs en matière d'opérations et de trésorerie lorsque la structure actuelle n'est pas en mesure de prendre des décisions à la vitesse requise par l'incident. Il ne s'agit pas d'un poste technique, mais d'une prise de contrôle opérationnelle temporaire lorsque la réparation technique, la restauration des systèmes après une attaque par ransomware et le financement doivent s'inscrire dans un même calendrier.