Stratégie CISA 2030 : ce que les exploitants d'infrastructures critiques doivent savoir

En octobre 2026, la CISA a publié « CISA 2030 : Défendre, Renforcer, Vaincre », sa stratégie visant à défendre et à renforcer les infrastructures critiques des États-Unis. Les propriétaires et exploitants d’infrastructures critiques font partie des partenaires auxquels elle fait appel, et elle se montre franche quant aux risques. Nick Andersen, directeur par intérim de la CISA, écrit : « [Il n’y a] aucune garantie qu’une défense solide permettra d’éliminer les intrusions. » La stratégie considère les intrusions comme un événement auquel il faut se préparer. Cela place la continuité des communications au cœur du plan de résilience d’une organisation.

Champ d'application et statut pour les propriétaires et les exploitants

Cette stratégie constitue la feuille de route de la CISA et revêt un caractère consultatif à l’intention des propriétaires et des exploitants. Elle définit les engagements de la CISA et invite les autorités fédérales, étatiques, locales, tribales et territoriales, ainsi que les propriétaires et les exploitants, à agir. Elle ne leur impose aucune obligation contraignante. Elle précise qu’elle s’inscrit dans le prolongement de la stratégie cybernétique du président pour l’Amérique (mars 2026) et du décret présidentiel n° 14239.

La CISA s'est fixé trois étapes clés. Dans un délai de 60 jours, elle entamera un examen programmatique de ses services et capacités essentiels. Dans un délai de 180 jours, elle présentera une approche visant à mettre en œuvre la stratégie et à mesurer les résultats. Dans un délai de 365 jours, elle fera le point sur l'avancement des travaux.

Les trois piliers de la CISA 2030

1. Défense : diriger la cyberdéfense nationale

La CISA intégrera les capacités de cyberdéfense des partenaires gouvernementaux, industriels, des États, des collectivités locales, des tribus et des territoires, ainsi que celles des organisations internationales. Elle indique qu’elle passera d’une défense passive à une approche anticipative, en éliminant les points d’ancrage des adversaires dans les infrastructures critiques pour la défense avant qu’ils ne puissent être utilisés à des fins malveillantes. Ce pilier couvre également la modernisation des technologies opérationnelles (OT), la sécurité des logiciels et la transparence de la chaîne d’approvisionnement, ainsi que la sécurisation des technologies émergentes.

2. Renforcer la sécurité des infrastructures nationales

La CISA délaissera les approches « toutes menaces confondues », indépendantes de la nature de la menace, au profit d’une analyse fondée sur les risques et axée sur les conséquences. Elle se concentrera sur les infrastructures dont la perturbation aurait le plus d’impact sur la santé et la sécurité publiques, la continuité de l’activité économique et la sécurité nationale, et elle aidera la Maison Blanche à élaborer un registre national des risques. La CISA prévoit également de perfectionner son processus de transformation des renseignements en actions opérationnelles pour permettre des alertes en temps réel, et de mettre en place des cadres permettant aux agences de gestion des risques sectoriels (SRMA), aux États, aux collectivités locales et aux opérateurs d’agir au niveau local.

3. Prevail : Mobiliser la résilience nationale

La CISA renforcera ses capacités par l’intermédiaire de ses dix bureaux régionaux et modernisera ses processus de planification et ses exercices. Elle réaffirme le rôle qui lui a été confié, à savoir diriger la mise en place et le rétablissement des communications relatives à la sécurité nationale et à la préparation aux situations d’urgence (NS/EP). Elle prévoit d’étendre les services prioritaires de voix, de vidéo, de données et d’information en recourant aux technologies 5G/6G et aux constellations de satellites commerciaux, et d’investir dans une infrastructure évolutive, cryptée et résiliente qui protège les communications d’urgence.

À quoi doivent s'attendre les équipes opérationnelles et de sécurité ?

Il faut s'attendre à un engagement accru des autorités fédérales en matière de détection et d'expulsion, même si le texte ne précise pas encore comment cela fonctionnera. Concernant les technologies opérationnelles (OT), la CISA s'engage à collaborer avec les propriétaires et les exploitants afin de moderniser les environnements de contrôle, d'améliorer la visibilité des actifs et la détection des anomalies, et de garantir l'intégrité de la chaîne d'approvisionnement. Une organisation incapable de recenser ses actifs OT ou de repérer des comportements inhabituels sur ceux-ci pourrait avoir des difficultés à participer à cette initiative.

La stratégie aborde également sans détours la question de la CISA elle-même. Huit ans après sa création, indique-t-elle, l’évolution de son champ d’action et un manque de clarté dans la définition des priorités ont fait perdre à l’agence sa concentration et sa souplesse ; elle s’engage donc à modifier son modèle de fonctionnement. Les interactions quotidiennes entre les propriétaires, les exploitants et l’agence pourraient, de ce fait, évoluer.

Ce que les équipes chargées des achats et de la conformité doivent prendre en compte

Commencez par l’évaluation des conséquences. Si la CISA concentre son attention sur les infrastructures dont la perturbation causerait le plus de dommages, vous devez savoir où se situent vos actifs sur cette échelle. La CISA s’engage également à fournir des recommandations fondées sur des données concernant la sécurité des logiciels et la transparence de la chaîne d’approvisionnement ; attendez-vous donc à davantage de questions sur les logiciels et les fournisseurs auxquels vous faites appel. La stratégie ne fixe aucune exigence contraignante ; surveillez donc votre SRMA pour y trouver des orientations qui traduisent ces engagements en attentes concrètes.

Pourquoi la continuité des communications doit être au cœur d'un plan de résilience

Ces trois piliers mettent tous l'accent sur la fiabilité des communications. Les engagements pris par la CISA concernent ses propres services et non les exigences d'achat des organisations, mais le même principe s'applique aux propriétaires et aux opérateurs d'infrastructures. Si un intrus se trouve à l'intérieur du réseau de l'entreprise, les dirigeants et les opérateurs ne peuvent pas compter sur ce réseau comme seul moyen de coordination.

Lorsque vous évaluez des prestataires de services de communication, tenez compte de cinq éléments.

1. Vous devez contrôler l'infrastructure et les clés de chiffrement

2. La certification du produit doit être effectuée par des organismes indépendants, et le certificat, son champ d'application ainsi que la version du produit doivent pouvoir faire l'objet d'un examen.

3. L'identité de chaque participant doit être vérifiée.

4. Le service doit fonctionner « hors bande », c'est-à-dire via un chemin qui ne dépend pas de votre réseau principal.

5. Elle devrait également tenir des registres permettant de retracer les décisions prises, afin de pouvoir les reconstituer ultérieurement.

Définissez un canal souverain et certifié comme canal par défaut pour la coordination des informations sensibles. BlackBerry® Secure Communications fournit des systèmes de communication sécurisés et contrôlés de manière souveraine, destinés à assurer la continuité opérationnelle et la gestion des crises. Certifié conforme aux normes NIAP et « NATO Restricted », ce système combine la validation d’identité, le renforcement de la sécurité des terminaux, la protection des métadonnées et la gouvernance au niveau du système. Il ne détecte ni ne supprime les intrus, et ne remplace pas les services prioritaires gérés par la CISA.

Recommandations pour la planification de la continuité et de la résilience

Commencez par classer vos infrastructures par ordre d’importance. Dressez la liste des systèmes dont la perturbation causerait le plus de dommages à la santé et à la sécurité publiques, à l’économie ou à la sécurité nationale. La CISA indique qu’elle établira ses priorités sur cette base ; votre liste doit donc correspondre à ses critères. Contactez ensuite votre SRMA et votre bureau régional. La stratégie repose sur ces deux instances pour la mise en œuvre des mesures au niveau local ; demandez-leur donc quel soutien ils prévoient d’apporter.

Ensuite, comblez les lacunes en matière de visibilité dans le domaine de l'OT. Établissez un inventaire des actifs et mettez en place un système de détection des anomalies pour les systèmes de contrôle. La stratégie mentionne ces deux éléments, qui permettent tous deux de réduire le délai entre l'intrusion et sa détection. Organisez ensuite des exercices basés sur le scénario d'un attaquant ayant pris pied dans le système. Entraînez-vous à détecter, à expulser l'attaquant et à poursuivre vos activités en cas d'intrusion, y compris en cas de perte des communications de l'entreprise.

Mettez en place un canal de continuité souverain et certifié. Évaluez les options disponibles et exigez de chaque fournisseur qu’il présente son certificat, son champ d’application et sa version. Définissez qui utilise ce canal et à quel moment, puis vérifiez son bon fonctionnement en cas d’indisponibilité du réseau d’entreprise. Enfin, suivez les étapes clés définies par la CISA : l’examen programmatique, l’approche de mise en œuvre et le point d’avancement. Confirmez les dates dès que la CISA publie le début de chaque période.

Cette stratégie ne garantit pas que les défenses tiendront bon, et elle le précise clairement. Les opérateurs qui géreront le mieux la prochaine intrusion seront ceux dont le personnel sera encore en mesure de communiquer et d’assurer la continuité du service pendant que l’intrusion sera maîtrisée.