L’état des lieux 2026 des technologies OT et de leur cybersécurité révèle un gain de maturité chez les industriels. Cependant, les carences en matière de visibilité, les intrusions, la pression réglementaire et la menace des ransomwares continuent de peser lourdement sur les environnements industriels. Tribune Fortinet.
La cybersécurité OT gagne en maturité, mais les risques restent dynamiques
L’État des lieux 2026 de Fortinet consacré aux technologies OT et leur cybersécurité se penche sur les piliers d’une défense moderne que sont la visibilité, la segmentation et une sécurité intégrée.
Au cours des dernières années, la cybersécurité des technologies industrielles OT (Operational Technology) est devenue une priorité stratégique. Longtemps cantonnée aux experts, elle est désormais portée jusqu’au sommet des entreprises. L’interconnexion croissante des systèmes, les accès distants, les traitements analytiques basés dans le cloud et la convergence des environnements IT et OT ont nourri la productivité et la résilience de l’outil de production… mais ont aussi élargi la surface d’attaque pour les cybercriminels, des groupuscules spécialisés dans le ransomware aux acteurs étatiques malveillants.
L’État des lieux 2026 de l’OT et de sa cybersécurité, réalisé par Fortinet, a sondé plus de 700 professionnels dans le monde et dresse un constat clair : les industriels portent un regard plus lucide sur la maturité de leur cybersécurité OT, détectent et gèrent plus rapidement les intrusions et se préparent activement à un durcissement attendu du cadre réglementaire.
Les niveaux de maturité progressent, mais la disparité reste d’actualité. Plusieurs chantiers restent ouverts : visibilité sur les environnements OT, segmentation, sécurisation des accès à distance, réponse aux incidents et normalisation des architectures de sécurité.
La cybersécurité OT reste une responsabilité du top management
Signe fort de la maturité de la sécurité OT : elle s’est hissée au plus haut niveau hiérarchique de l’entreprise au cours des dernières années. 60 % des entreprises interrogées confient leur cybersécurité OT au DSSI, contre 69 % l’année précédente. Une baisse en apparence, mais qui ne traduit pas pour autant un désengagement des instances dirigeantes.
Le rapport suggère plutôt que certaines organisations ont suffisamment gagné en maturité pour réattribuer les responsabilités de la gestion des risques OT à d’autres cadres dirigeants, dans le droit fil des directions générales qui s’impliquent davantage dans la formalisation, le financement et la gouvernance de la stratégie de sécurité OT. Dans les structures moins matures, 81 % prévoient d’attribuer cette responsabilité au CISO dans l’année à venir, contre 80 % en 2025.
Le constat est sans appel : la gestion du risque OT n’est plus l’affaire exclusive d’équipes en charge de l’ingénierie ou de la production industrielle. Elle devient un enjeu transversal impliquant différents profils : sécurité, opérations, conformité, gestion des risques et direction générale.
Une maturité évaluée avec plus de lucidité
Selon le rapport, les industriels portent désormais un regard plus réaliste sur leur propre niveau de maturité en cybersécurité. Auparavant, les répondants attribuaient souvent à leurs programmes des niveaux de maturité plus élevés. Cependant, à mesure que les équipes IT et OT ont obtenu davantage de financements, déployé de nouveaux outils et amélioré leur visibilité, elles identifient plus précisément les axes d’amélioration de leur posture de défense.
Les chiffres témoignent de ce changement. La part des répondants se situant à une maturité de niveau 0 (processus de cybersécurité désorganisés ou non documentés) passe de 1 % en 2025 à 5 % en 2026. Le niveau 1 progresse de 5 % à 17 %, tandis que le niveau 2 s’apprécie de 13 % à 27 %. À l’inverse, le niveau 4, qui correspond aux programmes de cybersécurité les plus aboutis, enregistre un net repli, passant de 49 % à 17 %.
Une régression ? Non, plutôt une correction. À mesure que les équipes gagnent en expérience, améliorent leurs outils et développent une collaboration plus étroite entre sécurité IT et OT, des lacunes jusque-là peu visibles apparaissent au grand jour. Autrement dit, la maturité commence souvent par une lecture plus honnête des risques.
Le même schéma se retrouve dans l’évaluation des solutions de sécurité OT. Le niveau 4 recule de 19 % à 14 %, tandis que les niveaux 0 et 1 progressent, indiquant que de nombreuses organisations en sont encore à mettre en place les fondements de la sécurité OT, tels que la visibilité sur les ressources, la segmentation du réseau, l’accès distant sécurisé, la supervision et la réponse aux incidents.
Des intrusions en hausse… ou mieux détectées ?
Le rapport pointe une évolution notable dans la manière dont les intrusions sont identifiées et déclarées. La part des répondants déclarant plusieurs intrusions progresse : 71 % des répondants disent avoir recensé entre une et neuf intrusions, contre 47 % un an plus tôt. Dans le même temps, la part des organisations déclarant plus de 10 intrusions reste stable à 2 %.
Faut-il en conclure que les attaques se multiplient ? Pas nécessairement. Ces chiffres traduisent surtout une meilleure compréhension de ce qui se joue réellement dans les environnements OT. Dans ce domaine, l’affirmation « aucune intrusion détectée » peut être trompeuse si la visibilité est restreinte. En pratique, l’amélioration des capacités de détection se traduit souvent, dans un premier temps, par une hausse du nombre d’incidents signalés, même si, à terme, elle contribue à maîtriser les risques.
Le rapport dévoile aussi des signes encourageants. Seuls 24 % du panel déclarent que leurs environnements IT et OT ont tous deux subi des intrusions, en net recul par rapport à 60 % en 2025, et le plus bas niveau observé depuis 2022. Ces chiffres résultent probablement d’une meilleure segmentation entre les environnements IT et OT qui contribue à limiter la propagation des attaques.
Pour autant, le panorama des menaces reste préoccupant. Le phishing demeure le vecteur d’intrusion le plus fréquemment signalé (76 %) et les ransomwares restent au cœur des préoccupations (50 %). Bien que ces ransomwares reculent légèrement par rapport aux 54 % relevés en 2025, leur impact potentiel sur la production, la sécurité, les revenus et les infrastructures critiques en font toujours un enjeu central de la gestion des risques OT.
La durée de présence des assaillants reste un indicateur essentiel
Dans la lecture du risque cyber, le “dwell time”, autrement dit le temps pendant lequel un intrus reste actif sans être détecté, demeure un indicateur de premier plan. Plus cette présence se prolonge, plus les assaillants ont le temps de cartographier leur cible, d’exfiltrer des données sensibles, de préparer une attaque par rançongiciel, de perturber les opérations ou de poser les bases d’actions ultérieures.
Or, sur ce point, le rapport 2026 invites à la vigilance. Si les durées de présence les plus courtes semblent se stabiliser, les périodes plus longues — de plusieurs semaines, voire de plusieurs mois — progressent, ce qui est préoccupant pour les environnements OT. Les systèmes industriels intègrent souvent des équipements hérités, des protocoles spécialisés et des impératifs de haute disponibilité, autant de facteurs qui ralentissent la remédiation par rapport aux environnements IT classiques.
Réduire cette durée de présence exige davantage qu’une simple supervision. Les organisations doivent disposer d’une visibilité adaptée aux écosystèmes OT, d’une veille sur les menaces, d’une segmentation réseau, d’un accès distant sécurisé et de plans de réponse aux incidents capables d’intégrer les enjeux opérationnels, la sécurité ainsi que la continuité des infrastructures critiques.
Conformité réglementaire : la pression monte d’un cran
Les décideurs OT s’attendent à un environnement réglementaire plus exigeant. 89 % des répondants anticipent un cadre réglementaire plus strict dans les 5 ans à venir, contre 66 % en 2025. Le rapport pointe également une progression de 20 points du nombre de répondants qui anticipent de nouvelles réglementations à un horizon de deux à cinq ans, plutôt qu’au-delà.
Ce constat n’a rien d’anecdotique. La cybersécurité OT est de plus en plus liée aux infrastructures critiques, à la déclaration des incidents, à la sécurité des données, à la sûreté publique et à la continuité des activités métiers. Loin de relever d’éventualités futures, les exigences réglementaires constituent désormais des réalités opérationnelles immédiates.
Dans ce contexte, attendre la publication des exigences réglementaires définitives avant d’agir serait une erreur stratégique. Les organisations qui veulent anticiper peuvent capitaliser sur leurs démarches de conformité pour renforcer la résilience de leur réseau, améliorer leur reporting d’incidents, réduire l’exposition aux risques et moderniser leurs opérations de sécurité.
La visibilité s’améliore, mais des zones d’ombre persistent
La visibilité demeure un pilier de la sécurité OT. Sans une connaissance précise des ressources existantes, des flux de communication, des utilisateurs, des applications et des interdépendances, les organisations peinent à segmenter efficacement leurs réseaux, à identifier les activités suspectes et à hiérarchiser leurs actions de réponse.
Le rapport 2026 fait état de progrès notables avec une part des répondants disposant d’une visibilité complète sur leurs systèmes OT qui passe de 5 % en 2025 à 14 % en 2026.
Cependant, le rapport pointe également que de nombreuses organisations manquent d’une vision exhaustive de leur environnement OT. Pour près d’un quart des répondants (23 %), la visibilité ne porte que sur la moitié de leur environnement OT, ce qui revient à vouloir protéger des environnements OT sans disposer de perspectives complètes.
Un paysage OT qui se modernise
Les organisations modernisent leurs systèmes de contrôle industriel. Selon le rapport, 40 % des répondants indiquent que leurs systèmes ICS ont moins de cinq ans, contre 20 % en 2025, reflétant une dynamique de modernisation à des fins de fiabilité, de performances et de sécurité.
Si la modernisation est un levier de maîtrise des risques, elle exige toutefois une gestion rigoureuse. Les nouveaux systèmes s’accompagnent souvent d’une connectivité accrue, de flux de données plus nombreux, d’accès distants plus fréquents et d’une intégration renforcée avec les environnements IT et les plateformes cloud. Par conséquent, la sécurité doit être intégrée dès la conception aux stratégies de modernisation, et non pensée a posteriori.
Pour les entreprises qui opèrent encore des systèmes hérités, le rapport souligne la nécessité d’une discipline stricte en matière de gestion des correctifs, de mesures compensatoires, de supervision continue et de segmentation.
Des décisions de sécurité prises sous la pression des coûts
Enfin, le rapport met en évidence une évolution dans la manière dont les entreprises évaluent l’efficacité de leur cybersécurité. En 2026, la réduction et l’évitement des coûts s’imposent comme les principaux indicateurs suivis et communiqués. Les gains de productivité constituent également un objectif.
Cette évolution n’a rien de surprenant. Les responsables OT subissent une pression croissante pour justifier économiquement leurs investissements en sécurité. Mais la recherche d’économies comporte une ligne rouge : celle de la résilience. Dans les environnements OT, rogner sur les budgets de sécurité peut se traduire par des indisponibilités, des risques pour la sûreté, des écarts de conformité, des pertes de revenus et des perturbations physiques.
En réalité, l’ambition d’une sécurité OT ne se limite pas à la seule maîtrise des risques cyber. La continuité des activités métiers est tout aussi essentielle.
Conclusion
L’État des lieux 2026 des technologies OT et de leur cybersécurité met en lumière un secteur en pleine transition. Si la sécurité OT progresse indéniablement en maturité, le paysage des menaces, lui, devient plus complexe. De nombreux défis restent d’actualité, qu’il s’agisse des ransomwares, du phishing, de l’allongement du temps de présence des assaillants, d’une visibilité restreinte sur l’environnement à protéger et d’une fragmentation des architectures de sécurité.
Les perspectives restent cependant positives : les organisations améliorent rapidement leur visibilité, réévaluent plus honnêtement leur niveau de maturité, se préparent aux évolutions réglementaires et investissent dans des capacités de sécurité toujours plus sophistiquées.
En 2026, la question n’est plus de savoir si les environnements OT seront ciblés, mais à quel point les organisations seront prêtes.