Secteur · Énergie

Sensibilisation cybersécurité
pour l’énergie

Un accès distant de trop, et c’est tout le réseau qui tremble. ROOMCA® entraîne exploitants, ingénieurs OT et techniciens sur les pièges des prestataires et des firmwares.

Producteurs
Distributeurs
Utilities (eau, gaz)
Renouvelables
OIV énergie
Sous-traitants maintenance

24 hpour l’alerte précoce à l’autorité après un incident important (NIS2, art. 23)

24 hpour l’alerte précoce à l’autorité après un incident important (NIS2, art. 23)Source : EUR-Lex · Union européenne, Directive NIS 2 (UE) 2022/2555, texte officiel
30parcs éoliens et solaires attaqués le même jour en Pologne, le 29 décembre 2025Source : CERT Polska, Attaque contre le secteur de l’énergie en Pologne (décembre 2025)
4,8 M$coût moyen d’une fuite de données dans l’énergie (IBM 2025)Source : IBM, Cost of a Data Breach Report 2025 (PDF)

Sur le terrain

Là où vos équipes travaillent, le piège arrive.

Du bureau au terrain, chaque métier du secteur reçoit son propre piège. Exemples tirés des immersions du secteur.

Salle de conduite
Exploitant reçoit : « Accès VPN admin pour 48 h, patch à appliquer avant ce soir. »
Local technique
Ingénieur OT reçoit : « Firmware RTU joint, à installer sans attendre la maintenance. »
Poste source
Technicien terrain reçoit : « Donnez-moi le code du portail et le VPN, mon badge ne passe pas. »

Une journée type · Énergie

Un accès distant de trop, et c’est tout le réseau qui tremble.

Ingénieurs, exploitants, techniciens de maintenance : dans l’énergie, l’attaquant passe souvent par un prestataire. ROOMCA entraîne vos équipes OT et IT sur ces demandes, en respectant vos fenêtres de maintenance.

07:00Exploitant
Le piègeLe « support SCADA » veut un accès VPN administrateur hors fenêtre de maintenance.
Vérifier auprès du prestataire, par le contrat.
10:15Ingénieur OT
Le piègeUn faux bulletin constructeur propose un firmware à télécharger.
Télécharger uniquement depuis le portail du constructeur.
13:30Technicien terrain
Le piègeUne clé USB oubliée dans la salle de contrôle.
La remettre à la sécurité, jamais sur un poste de supervision.
16:00Acheteur
Le piègeUn faux appel d’offres arrive avec un cahier des charges piégé.
Vérifier l’émetteur sur la plateforme d’achat.

Les pièges du métier

4 pièges qui visent l’énergie.

Techniciens SCADA, opérateurs OT, ingénieurs contrôle-commande, sous-traitants

Attaque systèmes industriels
Malware de type Stuxnet ou Industroyer visant les PLC et RTU.
Clé USB piégée
Un sous-traitant branche un support contaminé sur un poste SCADA.
Phishing sous-traitant
Usurpation d’un intégrateur pour obtenir accès VPN ou mots de passe OT.
Faux firmware par email
Mise à jour critique « urgente » qui installe une porte dérobée.

Ce que vos équipes reçoivent en immersion

« Mise à jour firmware urgente envoyée par email »
« Un technicien prestataire demande un accès VPN temporaire »
« Une clé USB trouvée sur le parking contient un "rapport maintenance" »

À vous de jouer

Ce message vous arrive. Que faites-vous ?

Vous êtes exploitant en salle de conduite.

Votre réflexe ?

3 indices se cachent dans ce message.

Le piège, décortiqué

Ce que vos équipes reçoivent, et ce qu’elles apprennent à voir.

3 pièges du secteur, sur leur vrai support. Chaque pastille est un indice que l’apprenant retrouve au débrief.

Un bulletin envoyé hors du portail du constructeur
L’incitation à sauter la fenêtre de maintenance
Un firmware joint par mail, sans somme de contrôle publiée

Dans les immersions

Des situations vécues,et des jeux pour ancrer le réflexe.

Les immersions ROOMCA alternent mises en situation réalistes et jeux sur un sujet de cybersécurité. Quelques exemples du catalogue, tous secteurs confondus.

Mises en situation

Boîte mail
Virement
Porte badgée
Assistant IA

Jeux

Salle d'évasionChaque porte est verrouillée par un réflexe cyber : trouvez le bon pour avancer vers la sortie.
Chasse aux mails piégésTapez les mails suspects, laissez passer les légitimes.
Machine à pincePilotez la pince et rangez chaque capsule dans le bon tube.
Objection !Confrontez un faux témoin aux pièces du dossier.

Le catalogue complet, secteur par secteur, se découvre en démo ou depuis votre espace.

Jouer une immersion

Déjà arrivé

Dans l’énergie, le piège a déjà marché.

Des cas publics, chacun avec sa source : ANSSI, communiqués officiels, presse.

VPN exposés sans MFA, mots de passe d’usine

En une journée, l'attaquant entre par les VPN des sites, se connecte aux équipements de contrôle restés avec leurs mots de passe par défaut et lance des logiciels d'effacement. Les parcs perdent le contact avec les gestionnaires de réseau et des équipements de terrain sont détruits.

29 décembre 2025 · Parcs éoliens et solaires, centrale de chaleur (Pologne)
Au moins 30 sites touchés ; la production n'a pas été coupée, mais l'attaquant avait les accès pour le faire

Source : CERT Polska, rapport d’incident, janvier 2026

Incidents publics du secteur

2025Parcs éoliens et solaires (Pologne)Effacement de données, VPN sans MFA
29 décembre 2025 : au moins 30 sites et une centrale de chaleur attaqués le même jour, équipements de terrain détruits.
CERT Polska, 2026
2025EDF Prime ÉnergieBourrage d’identifiants
Février 2025 : EDF dément une fuite massive mais reconnaît une centaine de connexions illicites.
Next, 2025
2021Colonial Pipeline (US)Rançongiciel DarkSide
Mai 2021 : compte VPN hérité sans MFA ; oléoduc arrêté environ six jours, 4,4 millions de dollars de rançon.
Dark Reading, 2021
2015Réseau électrique ukrainienBlackEnergy et KillDisk
Décembre 2015 : environ 225 000 clients privés d’électricité.
CISA, 2016

Ce que vous obtenez

Six modules concrets, taillés pour l’énergie.

Ce qui se trouve dans la plateforme, ce que ça contient, et le résultat attendu.

1 / 6

Immersions énergie

Phishing fournisseur SCADA
Faux audit OT
Ransomware SI énergétique
Compromission supply chain
Vol session sur poste OT

Opérateurs et ingénieurs OT jouent les angles énergie réels.

2 / 6

Quishing énergie

Templates fournisseur SCADA, qualité, direction (bientôt)
Posters QR code Wi-Fi salle de contrôle
Variants A/B par site (bientôt)
Add-in Outlook signalement (bientôt)

Mesurez le scan par site ; le clic e-mail arrive bientôt.

3 / 6

Cadres réglementaires énergie

NIS2 énergie (entités essentielles)
IEC 62443 (OT)
RGPD données salariés
Politique d'accès SI critique

Une preuve d’actions de sensibilisation, datée et nominative, à verser à votre dossier pour NIS2 ou audit OT.

4 / 6

Affiches énergie

Affiches A4 en salle de contrôle
Pack « 5 réflexes accès SCADA »
Affiches MFA et accès privilégié

Le mur fait le travail entre deux quarts.

5 / 6

Veille cyber énergie

Alertes CVE OT (Schneider, Siemens, ABB)
Breach timeline énergie
Rapport mensuel direction

Le RSSI ne lit que ce qui touche votre stack OT.

6 / 6

Pilotage RSSI énergie

Score risque par site critique
Tableau de bord par filière
Export PDF Executive
Comparaison sites

Vous prouvez à votre direction que la formation réduit le rayon d'impact.

Le verdict secteur

ROOMCA coche 5/6 critères.

6 critères qu’un RSSI énergie retient pour évaluer une plateforme de sensibilisation. Sa grille, pas la nôtre.

ROOMCATaillé pour l’énergie

5/6

Immersions énergie OT (phishing fournisseur SCADA, faux audit OT, ransomware)Bibliothèque dédiée
Preuve d’actions de sensibilisation dans un contexte NIS2 énergie + IEC 62443 (OT)Rapport de sensibilisation exportable, par équipe et dans le temps
Multi-langue natif pour groupes énergie internationaux (>10 langues)FR + EN seulement
Format mobile pour personnel terrain et postes OT5 à 15 min smartphone ou borne
Affiches salle de contrôle et accès SCADAPack PDF imprimable inclus
Reporting direction multi-sites critiquesPDF Executive consolidé

Outils génériquesPensés pour tous les secteurs

1/6

Immersions énergie OT (phishing fournisseur SCADA, faux audit OT, ransomware)Bureautique générique
Preuve d’actions de sensibilisation dans un contexte NIS2 énergie + IEC 62443 (OT)NIS2 partiel, IEC 62443 absent
Multi-langue natif pour groupes énergie internationaux (>10 langues)Les acteurs établis couvrent plus de 30 langues
Format mobile pour personnel terrain et postes OTFormat ordi inadapté terrain
Affiches salle de contrôle et accès SCADASouvent génériques, à adapter
Reporting direction multi-sites critiquesÀ reconstruire à la main

Mise en route

5 étapes, et vous êtes autonome.

Plateforme self-serve, calibrée pour l'énergie : NIS2 énergie, IEC 62443, postes OT, sensibilité face aux interruptions d'infrastructure critique.

Importez vos équipes par site
CSV ou SSO SAML/OIDC. Provisioning par site, par équipe OT / IT.
Choisissez vos immersions énergie
Bibliothèque énergie : phishing SCADA, faux audit OT, ransomware. Vous assignez par site.
Planifiez sans perturber l'exploitation
Étalement automatique, calendrier qui respecte les fenêtres de maintenance.
Pilotez le risque par site critique
Tableau de bord live : score par opérateur, taux de scan QR par site.
Sortez votre rapport de sensibilisation
Participation, taux de réussite et progression par équipe. Export PDF qui documente vos actions de sensibilisation, à verser à votre dossier NIS2 énergie et IEC 62443.

Nos atouts

Pourquoi ROOMCA pour l’énergie.

Immersions OT / SCADA

Clé USB piégée en salle contrôle, faux firmware, prestataire qui demande un accès : les pièges industriels joués dans un environnement sûr.

Sensibilisation dans un contexte NIS2

Rapport de sensibilisation daté et nominatif, à verser à votre dossier NIS2 ou directive REC. Le suivi des exigences reste chez vous.

Hébergement souverain

Données des apprenants hébergées à Paris chez Scaleway, hébergeur français non soumis au CLOUD Act. Argument clé pour vos auditeurs OIV.

Référentiels couverts

NIS2 (opérateurs essentiels), IEC 62443 (sécurité OT), ISO 27001, directive REC (résilience des entités critiques).

Les autres secteurs

Finance & AssuranceComptables, DAF, trésoriers, gestionnaires de paie

SantéSecrétaires médicales, soignants, médecins, DSI santé, chercheurs et techniciens de laboratoire

TechDéveloppeurs, DevOps, SRE, admin sys, CTO, techniciens réseaux et télécoms

Commerce et distributionResponsables magasin, caissiers, conseillers boutique luxe, logistique et dispatch, réception hôtelière

IndustrieResponsables production, maintenance, automaticiens, bureau d’études, conducteurs de travaux, qualité agroalimentaire, achats

Secteur publicAgents administratifs, élus, fonctionnaires, enseignants et vie scolaire, DSI publiques

JuridiqueAvocats, notaires, juristes, paralegals, assistantes juridiques

ConseilConsultants, marketeurs, community managers, équipes médias, agents immobiliers et syndics

🛍️

E-commerceResponsables marketplace, e-merchandisers, customer care, équipes paiement

Vie quotidienneTout collaborateur, et les équipes RH, paie et administratives

Vos questions sur l’énergie.

La sensibilisation cybersécurité pour l'énergie forme opérateurs, ingénieurs OT et personnel siège à reconnaître les attaques par phishing fournisseur, ransomware sur SI énergétique, compromission supply chain et menaces sur infrastructures critiques. Colonial Pipeline a provoqué des pénuries de carburant aux États-Unis en 2021, et 30 parcs éoliens et solaires ont été attaqués le même jour en Pologne fin 2025. ROOMCA combine immersions métier énergie, une preuve de sensibilisation exploitable dans un contexte NIS2 énergie et IEC 62443 pour réduire le risque humain sur infrastructure critique.

Oui, les immersions sont écrites par métier OT : salle de contrôle, terrain, maintenance. Langage opérateur, pas jargon cyber. 5 minutes par module.

ROOMCA exporte un rapport de sensibilisation PDF, daté et nominatif : participation, résultats et progression par service. C’est une preuve de vos actions de sensibilisation, à verser à votre dossier NIS2. ROOMCA ne documente pas votre conformité exigence par exigence : ce travail reste celui de votre RSSI ou de votre auditeur.

Oui. Module dédié aux prestataires (maintenance, intégrateurs) avec campagnes séparées de votre effectif interne. Licences à la carte.

Une immersion de votre secteur, jouée en démo.

Vous jouez d’abord, on parle ensuite : vos équipes, vos métiers, ce que vous avez déjà tenté.Échange par emailHébergé en France, RGPDRéponse sous 48 h

Voir les tarifs