Le 21 août 2026, une équipe des garde-côtes américains et du FBI est montée à bord du VL Prosperity, un pétrolier sous pavillon libérien en route vers le Texas, dont le réseau informatique avait été compromis par un acteur étranger. Ils y sont restés quatre jours. Un second pétrolier a été arraisonné dans les mêmes semaines. Le 28 mai, l’OMI avait publié la quatrième révision de ses lignes directrices sur la gestion du cyber-risque maritime. Le 19 octobre, l’US Coast Guard a diffusé la circulaire NVIC 02-26, qui explique comment appliquer sa règle de cybersécurité avant l’échéance du 16 juillet 2027.
Rien de tout cela ne vise un yacht en particulier. Tout cela le concerne. Un superyacht d’aujourd’hui, c’est une passerelle intégrée, une propulsion pilotée par automates, un réseau d’invités, un réseau d’équipage, une ou deux liaisons satellite, et une messagerie de capitaine par laquelle transitent les ordres de virement. La question n’est pas de savoir s’il sera attaqué. Elle est de savoir ce que la réglementation lui demande, et qui vient le vérifier.
Le socle : le cyber-risque dans le SMS
La règle de base tient en une résolution. Par la résolution MSC.428(98) de juin 2017, l’OMI a affirmé qu’un système de gestion de la sécurité approuvé doit prendre en compte le cyber-risque, conformément au code ISM, et a demandé aux administrations de s’en assurer au plus tard à la première vérification annuelle du Document of Compliance après le 1ᵉʳ janvier 2021. Depuis cette date, le cyber-risque est une rubrique d’audit comme les autres.
Le périmètre est donc celui de l’ISM lui-même. Un yacht commercial d’au moins 500 GT en navigation internationale est tenu par SOLAS chapitre IX : sa compagnie détient un DOC, le navire un SMC, et l’auditeur du pavillon ou de la société reconnue vérifie que le SMS traite le cyber-risque. En dessous de 500 GT, les pavillons du Red Ensign Group et leurs homologues imposent un système de gestion allégé, et attendent qu’il aborde le sujet à proportion des systèmes à bord. Le guide ISM & ISPS pour superyacht détaille ces seuils.
La résolution ne dit pas comment faire. C’est le rôle des lignes directrices MSC-FAL.1/Circ.3, révisées pour la quatrième fois par le Comité de la facilitation en mars 2026 et le Comité de la sécurité maritime en mai, et datées du 28 mai 2026. Elles restent des recommandations, mais ce sont celles que les administrations et les auditeurs ont sous les yeux. Six éléments fonctionnels, à mener de front :
- Gouverner : désigner une personne ou une entité responsable de la planification, des moyens et de l’exécution de la cybersécurité, et lui donner l’autorité et les compétences nécessaires ;
- Identifier : tenir un inventaire des systèmes numériques à bord et de leurs connexions, et évaluer les risques sur ceux dont la défaillance soudaine crée une situation dangereuse ;
- Protéger : identifiants uniques, mots de passe par défaut changés, authentification à plusieurs facteurs, réseaux OT séparés des réseaux IT, contrôle des supports amovibles, sauvegardes, mises à jour, politique de chaîne d’approvisionnement ;
- Détecter : surveiller les systèmes au regard d’une liste de menaces tenue à jour ;
- Répondre : signaler les incidents dans les délais fixés par l’administration, et en tenir un registre ;
- Récupérer : plan de reprise des systèmes critiques, analyse des causes.
Deux points de cette version méritent l’attention d’un capitaine. La formation : une formation de base annuelle pour tout le personnel, une formation spécifique pour les utilisateurs des systèmes OT, et une familiarisation cyber de chaque marin à son embarquement, testée à l’occasion par des exercices. Et la mention explicite des systèmes « passagers, équipage et prestataires face aux réseaux publics » parmi les systèmes vulnérables : le wifi des invités est dans le périmètre, au même titre que l’ECDIS.
Les navires neufs : les exigences de classe E26 et E27
Pour les constructions neuves, l’Association internationale des sociétés de classification a converti ces principes en règles. Les exigences unifiées UR E26, cyber-résilience du navire, et UR E27, cyber-résilience des systèmes et équipements, s’appliquent aux navires dont le contrat de construction est signé à partir du 1ᵉʳ juillet 2024. Elles imposent dès la conception une segmentation en zones, un inventaire des systèmes, des accès distants maîtrisés, un mode de conduite manuel ou local, un plan de réponse et un plan de reprise, le tout vérifié par des essais avant livraison et au fil des visites de classe.
Leur champ obligatoire est celui de SOLAS : navires à passagers en navigation internationale, navires de charge, engins à grande vitesse et unités de forage d’au moins 500 GT. Les « yachts à passagers de douze passagers au plus » et les « yachts de plaisance non engagés dans le commerce » figurent dans la liste des navires pour lesquels l’UR peut servir de guide non obligatoire. En clair, un yacht neuf n’y est soumis que si sa société de classification l’a inscrit dans ses propres règles pour les yachts, si le pavillon le demande, ou si l’armateur commande une notation cyber. Dans les faits, les chantiers qui livrent au-dessus de 500 GT voient les équipements certifiés E27 arriver par leurs fournisseurs, et plusieurs sociétés proposent une notation alignée sur E26, obligatoire pour les navires marchands neufs et optionnelle pour les yachts. Un armateur qui signe un contrat de construction en 2026 a intérêt à poser la question dans la spécification, avant que l’intégrateur ne la pose à la place.
Les États-Unis : une règle pour leurs navires, un contrôle pour les autres
La règle de l’US Coast Guard publiée le 17 janvier 2025, codifiée au 33 CFR Part 101, sous-partie F, est entrée en vigueur le 16 juillet 2025. Elle vise les navires sous pavillon américain soumis à la Maritime Transportation Security Act, les installations portuaires et les plateformes du plateau continental. Son calendrier : formation de tout le personnel ayant accès aux systèmes IT ou OT avant le 12 janvier 2026, puis désignation d’un Cybersecurity Officer, évaluation et plan de cybersécurité soumis à approbation avant le 16 juillet 2027, exercices deux fois par an, test d’intrusion exigé à partir du premier renouvellement. La circulaire NVIC 02-26 du 19 octobre 2026 n’ajoute aucune obligation ; elle détaille ce que les inspecteurs attendent de chaque rubrique du plan, et rappelle que sous-traiter l’informatique ne transfère pas la responsabilité réglementaire.
Peu de yachts battent pavillon américain sous MTSA. Un yacht sous pavillon des Cayman, de Malte ou des Marshall rencontre cette règle autrement : par le contrôle de l’État du port. Depuis 2021, la garde-côtière vérifie lors de ses inspections que le SMS traite le cyber-risque, et le Captain of the Port conserve son pouvoir de retenir, de conditionner ou d’écarter un navire dont la gestion du risque est jugée insuffisante. Les arraisonnements de l’été 2026 ont montré ce que ce pouvoir devient quand un réseau de bord est réellement compromis : une équipe cyber à bord pendant quatre jours, des investigateurs qui s’inquiètent d’abord des liaisons entre le réseau bureautique et les commandes de propulsion et de navigation. Pour un yacht en saison Caraïbes ou Floride, un SMS muet sur le cyber-risque est une déficience en attente.
L’Europe : NIS2 vise la compagnie, pas le navire
La directive européenne NIS2 range le transport par eau parmi les secteurs hautement critiques, mais elle s’adresse aux entités, pas aux navires : compagnies de transport de passagers ou de fret, gestionnaires de ports, services de trafic maritime, à partir d’une taille moyenne, soit cinquante salariés ou dix millions d’euros de chiffre d’affaires. Une société de gestion de yachts, un family office ou une compagnie propriétaire d’une unité sont rarement dans ce périmètre. La France n’a d’ailleurs toujours pas transposé la directive : la Commission l’a renvoyée devant la Cour de justice le 8 juillet 2026, et le projet de loi sur la résilience des infrastructures critiques attend encore son passage à l’Assemblée nationale.
L’effet sur un yacht est indirect mais réel. Les fournisseurs de connectivité, les ports, les chantiers et les prestataires informatiques qui tombent sous NIS2 répercutent leurs obligations dans leurs contrats, et un armateur verra arriver des clauses de sécurité, d’audit et de notification d’incident là où il n’y avait qu’un abonnement.
Pavillons, classe et assureurs : ce qu’un yacht voit concrètement
Pour un yacht commercial sous pavillon britannique ou du Red Ensign Group, la référence pratique est le Code of Practice: Cyber Security for Ships du ministère britannique des Transports, dans son édition de juillet 2023, qui décline les lignes directrices OMI en méthode d’évaluation et en mesures. Les autres grands pavillons de yachts n’ont pas publié de texte propre : ils appliquent MSC.428(98) dans leurs audits ISM, et attendent du SMS qu’il réponde aux lignes directrices OMI et, pour les navires classés, aux règles de la société.
L’assureur, lui, lit la police. La plupart des polices corps et machines reprennent une exclusion des pertes causées par une attaque informatique, et les couvertures cyber dédiées exigent des mesures de base documentées avant de répondre. Un sinistre de navigation ou de propulsion dont l’origine est un réseau mal segmenté peut se retrouver entre deux polices.
Ce qu’un yacht fait maintenant
Les six éléments de l’OMI se traduisent en une liste courte, que le DPA peut tenir avec le capitaine et l’ETO :
- Un responsable nommé. Une personne, à terre ou à bord, désignée par écrit dans le SMS pour la cybersécurité, avec les moyens correspondants.
- Un inventaire. Les systèmes à bord, leurs connexions, les accès distants des fournisseurs, les liaisons satellite, et ce qui relie le réseau des invités au reste.
- Une évaluation de risque sur les systèmes dont la défaillance crée un danger : passerelle, propulsion, alarmes, stabilisateurs, détection incendie.
- La séparation des réseaux. Invités, équipage, administration et OT sur des segments distincts ; passerelle et communications dans leur propre zone.
- Des accès propres. Comptes individuels, mots de passe par défaut remplacés, authentification à deux facteurs sur la messagerie et les accès distants, comptes désactivés au débarquement.
- Supports amovibles et mises à jour sous contrôle, sauvegardes testées.
- Formation et familiarisation. Une session annuelle pour tous, une familiarisation cyber à chaque embarquement, un exercice par an, le tout consigné.
- Un plan d’incident. Qui isole quoi, qui appelle le pavillon et le DPA, comment on navigue en mode dégradé, et un registre des incidents.
Rien de cette liste ne dépasse les procédures de bord qu’un SMS bien tenu contient déjà. La différence, en 2026, est que l’auditeur, l’inspecteur du port et l’assureur la demandent avec la même précision qu’un rôle d’incendie. Un audit ISM & ISPS avant la saison permet de la vérifier avant eux.
Sources
- OMI — MSC-FAL.1/Circ.3/Rev.4, Guidelines on maritime cyber risk management, 28 mai 2026
- OMI — Résolution MSC.428(98), Maritime cyber risk management in safety management systems, 16 juin 2017
- IACS — UR E26 Rev.1, Cyber resilience of ships, novembre 2023
- US Coast Guard — NVIC 02-26, Cybersecurity in the Marine Transportation System, 19 octobre 2026
- Federal Register — Cybersecurity in the Marine Transportation System, règle finale, 17 janvier 2025
- CBS News — Coast Guard, FBI boarded 2 energy tankers due to cyberattacks, 16 septembre 2026
- Holland & Knight — Recent Cyber Incidents Underscore the Need for Maritime Cybersecurity Compliance, 1ᵉʳ octobre 2026
- Department for Transport (Royaume-Uni) — Code of Practice: Cyber Security for Ships, juillet 2023
- Directive (UE) 2022/2555 (NIS2), annexe I, secteur du transport par eau
