Cybersécurité dans le transport et la logistique : pourquoi le RSSI externalisé s'impose

Le transport et la logistique sont des secteurs qui ne s'arrêtent pas. Des flux permanents, des chaînes d'approvisionnement tendues, des milliers de décisions opérationnelles par jour. Une heure d'indisponibilité informatique, et c'est une réaction en chaîne : livraisons retardées, clients alertés, pénalités contractuelles.

C'est précisément pour cette raison que le secteur est devenu une cible de choix pour les cyberattaquants. Et c'est précisément pour cette raison que la cybersécurité ne peut plus y être gérée en réaction.

Pourquoi le transport et la logistique sont des cibles prioritaires

La surface d'attaque d'un groupe de transport est structurellement large. Multi-sites, souvent disséminés sur plusieurs régions ou pays. Des dizaines de systèmes interconnectés : TMS (Transport Management System), WMS (Warehouse Management System), EDI avec les donneurs d'ordre, terminaux embarqués dans les véhicules, accès prestataires et sous-traitants. Des équipes terrain qui utilisent des outils mobiles sur des réseaux variés.

Chacun de ces points d'entrée est un vecteur d'attaque potentiel. Les groupes de ransomware le savent, et ciblent en priorité les organisations dont l'indisponibilité coûte cher.

L'ANSSI le documente : entre 2020 et 2024, l'agence a traité 123 événements de cybersécurité affectant des entités françaises du seul secteur des transports urbains, dont 32 incidents confirmés. À l'échelle de l'ensemble du secteur transport / logistique, les attaques par rançongiciel visent en priorité les ETI et PME, 37 % des victimes recensées dans le panorama de la cybermenace 2024, précisément parce que leurs dispositifs de sécurité sont souvent moins matures que leurs systèmes opérationnels.

Le paradoxe est fréquent : des entreprises qui investissent massivement dans leur flotte, leurs entrepôts, leur digitalisation opérationnelle, et qui laissent la gouvernance cyber à la charge d'un administrateur réseau débordé ou d'un DSI dont ce n'est pas le cœur de métier.

Ce que NIS2 change concrètement pour les acteurs du transport

La transposition française de NIS2 est attendue courant 2026. Le cadre est posé, les entreprises du transport qui anticipent aujourd'hui éviteront la mise en conformité dans l'urgence. La directive élargit significativement le périmètre des organisations soumises à des obligations de cybersécurité, et le secteur du transport est explicitement concerné, transport routier, ferroviaire, aérien, maritime, et logistique associée.

Concrètement, NIS2 impose à ces organisations de :

Mettre en place une gouvernance cyber formalisée, politique de sécurité, gestion des risques, responsabilités clairement définies

Déclarer les incidents significatifs auprès de l'ANSSI dans des délais stricts (24h pour la notification initiale, 72h pour le rapport intermédiaire)

Sécuriser la chaîne d'approvisionnement, les prestataires et sous-traitants sont désormais dans le périmètre d'évaluation

Tester régulièrement les plans de continuité (PCA) et de reprise d'activité (PRA)

Pour une ETI du transport qui n'a pas encore structuré sa démarche cyber, NIS2 n'est pas une contrainte supplémentaire, c'est un cadre qui donne une feuille de route. Le RSSI externalisé est précisément le rôle qui permet de la mettre en œuvre sans recruter une ressource dédiée à temps plein.

Pour aller plus loin : Panorama de la cybermenace ANSSI 2024 · Directive NIS2, Commission européenne

Ce que pilote vraiment un RSSI dans une entreprise de transport

Le RSSI (Responsable de la Sécurité des Systèmes d'Information) est souvent mal compris. Il n'est pas le technicien qui gère les incidents au quotidien. Il n'est pas non plus le consultant qui passe deux jours par an pour produire un rapport que personne ne lit.

Son rôle est stratégique et de pilotage continu. Dans le contexte d'une entreprise de transport, cela couvre concrètement :

La politique de sécurité, définition des règles, des accès, des procédures. Ce document est la colonne vertébrale de tout le dispositif. Sans lui, chaque décision technique se prend sans référentiel.

La gestion des risques, cartographie des actifs critiques, identification des vulnérabilités, priorisation des actions correctives. Dans le transport, les actifs critiques incluent les systèmes de traçabilité, les accès EDI, les outils de gestion de flotte.

La coordination des audits, audits techniques (tests d'intrusion, revue de configuration), audits organisationnels (conformité NIS2, ISO 27001). Le RSSI planifie, choisit les prestataires, suit les plans de remédiation.

L'intégration des outils, EDR (Endpoint Detection and Response), supervision réseau, gestion des sauvegardes, protection des messageries. Ces outils n'ont de valeur que s'ils sont correctement paramétrés, supervisés et mis à jour.

Le PRA/PCA, rédaction, test, mise à jour régulière. Un plan de reprise d'activité qui n'a jamais été testé est une fausse sécurité. Le RSSI s'assure qu'il correspond à la réalité opérationnelle de l'organisation.

Le reporting direction, traduire les enjeux cyber en indicateurs compréhensibles pour des dirigeants dont le cœur de métier n'est pas l'IT. C'est ce qui permet des décisions éclairées sur les investissements en sécurité.

RSSI interne ou externalisé : ce qui fait sens pour une ETI du transport

Recruter un RSSI interne à temps plein est une option réelle, pour les organisations qui en ont les moyens et les besoins. Le profil est rare, la fourchette salariale se situe généralement entre 65 000 et 95 000 € annuels, et le recrutement peut prendre six à douze mois.

Pour une ETI du transport de 100 à 500 collaborateurs disposant d'une équipe IT interne réduite, ce modèle est rarement le plus pertinent. Non par manque d'ambition, mais parce que le volume de travail dédié ne justifie pas un temps plein, et parce que la dépendance à une seule personne crée un risque opérationnel en soi.

Le RSSI externalisé à temps partagé offre un modèle différent : un expert dédié, présent selon un volume calibré sur les besoins réels de l'organisation (1 à 5 jours par mois selon la maturité et les projets en cours), qui s'intègre dans la durée avec les équipes internes.

Ce modèle présente trois avantages structurels pour le secteur :

La réactivité, un RSSI externalisé est opérationnel rapidement, sans les délais d'un recrutement. Dans un contexte de transition ou de montée en charge, c'est souvent décisif.

La continuité, contrairement à un recrutement individuel, un partenaire externalisé s'appuie sur une équipe. Si le RSSI référent est indisponible, le dispositif ne s'arrête pas.

L'adaptation, le volume d'intervention peut évoluer selon les phases : plus soutenu lors d'un audit ou d'une mise en conformité NIS2, plus léger en phase de croisière.

En pratique

Chez Lahaye Global Logistics, groupe transport & logistique du Grand Ouest, le RSSI externalisé à 80 % par Atlas IP couvre depuis 2023 l'intégration des outils de sécurité, la coordination des audits et le pilotage de la posture cyber. Nicolas Morand, DSI du groupe :

« Atlas IP a structuré notre démarche cyber : RSSI externalisé à 80 %, intégration de nos outils de sécurité, coordination des audits. Résultat : une posture cyber qui progresse, tout en garantissant le maintien opérationnel et le développement upscale de notre dispositif. »

Ce que ce retour d'expérience illustre au-delà du cas Lahaye : la posture cyber peut progresser sans immobiliser l'organisation. Dans un secteur où la continuité opérationnelle est non négociable, c'est la condition pour que la démarche soit acceptée, et tenue dans la durée.