Sécuriser la supply chain de la BITD : un enjeu de souveraineté et de Défense nationale ?

L'essentiel de votre hack'tu cybersécurité, Défense, et supply chain

• La supply chain de la BITD est une cible privilégiée des cyberattaques : les fournisseurs peuvent servir de porte d’entrée vers des acteurs stratégiques de la Défense et des armées ;  
• Les donneurs d’ordre de la BITD renforcent leurs exigences de cybersécurité et de conformité, notamment via le Référentiel de maturité cyber entériné par le ministère des Armées et l'ANSSI⁽¹⁾, mais aussi via les réglementations NIS2 et CRA ;  
• L’accompagnement adapté d’Orange Cyberdefense aide les PME à sécuriser leurs systèmes, à satisfaire les critères requis et à accéder aux appels d’offres de la BITD.

Renforcer la Défense face aux cyberattaques visant la supply chain

Le contexte géopolitique actuel, en particulier les conflits entre la Russie et l’Ukraine et au Moyen-Orient, affecte directement les entreprises sous-traitantes des grands groupes industriels français du secteur de la Défense. Pourquoi et comment ces fournisseurs sont-ils impactés ? Quels sont les enjeux de cybersécurité, et donc de sécurité nationale, qui pèsent aujourd’hui sur les épaules de ces PME, ETI et groupes plus importants qui sont des maillons essentiels de notre ligne de Défense ? Analyse avec Pierre Guiho, Chief Technical Officer Défense et Sécurité d’Orange Cyberdefense.  

Les acteurs industriels du secteur de la Défense : des colosses aux talons fragiles ?

Dans un tel contexte dit « HEM » pour « Hypothèse d’Engagement Majeur », renforcer les moyens de Défense n’implique pas seulement d’augmenter le budget logistique. Cela nécessite aussi une plus grande vigilance sur la sécurisation des flux numériques et logiciels ⁽²⁾. Et donc des prestataires œuvrant auprès des grands groupes industriels tels que Dassault, Ariane, Airbus, Naval Group, Safran ou MBDA pour en citer quelques-uns.  

Pourquoi ? Parce que ces 20 dernières années ont vu émerger des groupes malveillants alignés sur des intérêts étatiques. L’ère de la contre-culture, qui pouvait se fondre initialement avec les idéaux de certains hackers, souhaitant pirater le système, est aujourd’hui révolue, nous dit en substance Charl van der Walt, Head of Security Research d'Orange Cyberdefense, qui a très bien suivi et analysé cette tendance de fond au cours des dernières éditions du Security Navigator.  
 
En clair nous sommes passés de David contre Goliath à David avec Goliath. Et que font de plus en plus ces agents du système ? Qu’ils soient indépendants ou directement financés par les Etats eux-mêmes, ces groupes de cybercriminels ont pour objectif d’écouter, infiltrer, gripper, compromettre et déstabiliser les ressources publiques, médiatiques, économiques, énergétiques et militaires de leurs opposants. 

Les attaques visant la chaîne d’approvisionnement sont une tendance majeure que nous avons observée entre 2025 et 2026, rappelle Pierre-Yves Amiot, Directeur opérationnel du CERT d’Orange Cyberdefense. 

Et ils ont besoin pour cela de pouvoir exploiter toutes les failles, chemins et scénarios d’attaque à leur disposition. 

La chaîne de sous-traitance du secteur de la Défense est devenue une porte d’entrée vers ces systèmes d’informations, précise Pierre Guiho, Chief Technical Officer Défense et Sécurité d’Orange Cyberdefense.  

Ils passent donc pour cela par le talon d’Achille des grandes organisations, à savoir leurs fournisseurs et prestataires de services. Cette tendance de fond a un nom : on parle d’attaque via la « supply chain » ou chaîne d’approvisionnement. Et dans ce contexte géopolitique multipolaire très sensible, la règlementation se renforce et est de plus en plus stricte auprès des fournisseurs en matière de cybersécurité. 

Quels enjeux de cybersécurité et de sécurité nationale impactent aujourd'hui la BITD ?

La Base Industrielle et Technologique de Défense, que l’on nomme également « Industrie de défense » ou « Industrie de souveraineté », regroupe les grands acteurs du secteur ainsi que les entreprises en charge de produire les différents composants logistiques militaires.

Nous estimons qu’il existe en France environ 4000 entreprises qui constituent les principaux fournisseurs des acteurs industriels de la BITD, précise Pierre Guiho. 

Dans le cadre des appels d’offre, ces grands donneurs d’ordre durcissent les exigences de mise en conformité auxquelles doivent se soumettre leurs fournisseurs. Et ce précisément pour les raisons évoquées plus haut. Ces entreprises, qui peuvent tout aussi bien être des PME, des ETI mais aussi des groupes plus importants, ont un niveau de « maturité cyber » variable. Et bon nombre de ces sociétés n’ont pas forcément les reins suffisamment solides en matière de cybersécurité et de conformité réglementaire. Les failles présentes dans leurs propres systèmes, logiciels et ressources numériques peuvent être exploitées comme talons d’Achille et servir de porte d’entrée aux hackers pour compromettre leurs clients. Avec des conséquences qui peuvent s’avérer dramatiques sur le plan de la Sécurité intérieure et de la ligne de Défense nationale. 

C’est en exploitant ces chemins d’attaque que les cybercriminels, hackers et autres hacktivistes de tous horizons peuvent écouter, recueillir et exfiltrer des informations confidentielles, compromettre, geler voire détourner des ressources et/ou lancer des campagnes de désinformation sur des acteurs critiques de la Défense nationale.  

Des exigences de conformité qui se durcissent en conséquence

80 % des atteintes recensées contre la sphère Défense visent les sous-traitants des grands maîtres d'oeuvre ⁽³⁾. Pour s’en prémunir, les donneurs d’ordre du secteur de la Défense ont grandement augmenté le niveau d’exigence en matière de conformité dans le cadre de leurs appels d’offres.

En moins d’un an, les appels d’offres du secteur de la Défense sont passés de 7 à 40 exigences. Celle concernant la cybersécurité peut représenter à elle seule de 100 à 400 critères à satisfaire, selon trois échelons Bronze, Silver ou Gold. Orange Cyberdefense a toute la légitimité et la capacité d’aider ces petites et moyennes entreprises, regroupées par exemple au sein du cluster Eden, du Pôle Excellence Cyber et de collectifs du ministère de l’armement tels que GICAT, GICAN et GIFAS à être pleinement conformes, développe Pierre Guiho.  

Au regard de ces exigences, tous ne sont pas forcément logés à la même enseigne. Certains sont déjà avancés dans leur cybersécurité et d’autres vont devoir partir de zéro. 
Si les réglementations européennes NIS2 et CRA vont englober les entreprises essentielles de la BITD, un Référentiel de maturité cyber, entériné par le ministère des Armées et l'ANSSI, exige une mise en conformité échelonnée sur trois niveaux, Bronze, Silver et Gold, selon la criticité de la PME dans la chaîne de production. 

Si auparavant il suffisait de renseigner à titre indicatif son niveau de maturité cyber, le respect des critères, que l’on soit « Bronze », « Silver » ou « Gold » est désormais obligatoire, autrement dit, « sine qua non ».  

Comment assurer la mise en conformité des PME de la BITD ?

Pour atteindre les exigences accrues de ce référentiel et permettre aux entreprises de la BITD d’être pleinement conformes, Orange Cyberdefense a mis plusieurs dispositifs en place. En complément de Dynamic SOC, l’offre Dynamic CISO lancée en 2026 apporte le meilleur de la cybersécurité aux structures les plus fragiles et potentiellement les plus ciblées. 

Si le cœur de métier de certains fournisseurs, de composants ou même de services n’est pas nécessairement lié au secteur de l’armement, leurs liens avec les acteurs de la Défense les rend critiques. C’est pourquoi leur chaîne d’apprivoisement, de plus en plus ciblée, fait aujourd’hui l’objet d’une plus grande exigence réglementaire en matière de conformité. Grâce à nos experts Conseil et Audit et notre dispositif Dynamic CISO, nous avons toute l’expertise et la légitimité pour renforcer leur niveau de cybersécurité et de mise en conformité. Et ainsi contribuer aux enjeux de sécurité et de Défense nationale, détaille Pierre Guiho. 

Auprès des PME de la BITD, un référent attitré – on parle également de RSSI externalisé - est ainsi en mesure d’établir une feuille de route précise pour répondre aux exigences de conformité aujourd’hui plus fortes. Pour ces entreprises, cet accompagnement va être obligatoire et favoriser trois points essentiels : 

1. Renforcer la cybersécurité de leurs ressources numériques et de leur activité ; 
2. Etre conforme aux regards des exigences réglementaires de la BITD d’une part mais aussi de la directive NIS2 et du CRA ;
3. Accéder aux appels d’offres de la BITD. 

Au travers de Dynamic CISO, l'engagement d'Orange Cyberdefense est pleinement tourné vers la réalisation des objectifs de mise en conformité du client, tout en respectant son contexte. 

Cette volonté, alliée à la souplesse que nous apportons au client et notre expertise technique dans le déploiement et gestion de solutions exigées par le référentiel, comme l’authentification à multiple facteurs – le MFA – ou le déploiement d’un dispositif de détection EDR pour citer deux exemples concrets, nous positionne comme un partenaire légitime sur ce secteur régalien. Notre ambition, dans ce contexte de souveraineté nationale, est de pleinement jouer notre rôle qui est de construire une société numérique plus sûre, conclut Pierre Guiho.  

Pour en savoir plus sur la cybersécurité des PME de la BITD, rendez-vous sur notre bouton ci-dessous. 

Sources et notes