Due diligence : relier risque cyber et contrats publics
Pour un investisseur ou une banque, l’examen du risque cyber d’une entreprise intervenant auprès du secteur public doit relier les équipements exploités, les engagements contractuels et les hypothèses financières. Une maintenance récurrente ne s’apprécie pas seulement à travers son chiffre d’affaires : il faut aussi examiner les moyens nécessaires pour assurer le service promis.
Le 12 octobre 2026, le CERT-FR de l’ANSSI a publié une alerte sur des compromissions de contrôleurs à distance d’installations de réfrigération, actualisée le 13 octobre. Cette publication ne vise pas spécifiquement les marchés publics. Elle fournit néanmoins un point de départ concret pour examiner, lorsqu’une cible fournit ou entretient ces équipements pour des clients publics, l’articulation entre sécurité technique et exécution contractuelle. CERT-FR
Partir du parc réellement exploité par la cible
La première vérification consiste à rapprocher l’inventaire technique et le portefeuille commercial. Quels équipements la cible installe-t-elle ou maintient-elle ? Pour quels clients ? Qui administre les accès à distance ? Quels matériels restent suivis par leurs fabricants ?
La salle de données devrait permettre de relier chaque installation significative à un contrat, un responsable et un historique d’intervention. Un inventaire global sans correspondance avec les clients ne suffit pas pour mesurer l’exposition économique. À l’inverse, l’absence d’un équipement dans l’inventaire ne démontre pas son absence sur les sites.
L’objectif est de constituer un périmètre vérifiable, puis de faire examiner les situations sensibles par les spécialistes techniques compétents.
Lire les responsabilités dans les pièces du marché
La due diligence commande publique doit ensuite rapprocher les prestations vendues et les responsabilités acceptées. L’accès distant est-il prévu ? Qui autorise sa modification ? Qui finance les mises à jour et les remplacements ? Quelles modalités d’alerte, de continuité et de rétablissement sont documentées ?
Ces questions se traitent à partir des pièces contractuelles, des engagements de l’offre et des échanges d’exécution. Elles évitent d’assimiler trop rapidement une intervention corrective à une prestation supplémentaire facturable.
Le CERT-FR invite d’ailleurs à vérifier les conditions contractuelles d’assurance avant de couper certaines remontées de données. Pour l’investisseur, cette précision justifie de réunir les contrats de maintenance, les polices disponibles et les procédures d’intervention dans une même revue. CERT-FR
Passer du constat technique au scénario financier
Une fois le périmètre établi, l’analyse peut tester les effets d’une remise à niveau : temps d’intervention, déplacement, matériel, mobilisation des équipes et éventuelle interruption de facturation. Chaque poste doit être étayé par les données de la cible ou par un chiffrage identifié.
Il convient de séparer les coûts déjà inclus dans les prévisions, ceux restant à estimer et les dépenses dont la prise en charge demeure à clarifier. Aucun montant forfaitaire de risque ne devrait remplacer cette distinction.
Pour une banque, le scénario peut rapprocher le calendrier des décaissements et celui des encaissements attendus. Pour un fonds, il peut éclairer la marge prévisionnelle et les investissements nécessaires. Ces simulations constituent des outils de décision, sans préjuger des conséquences juridiques d’un incident.
Examiner les preuves derrière la récurrence commerciale
Le contrat de maintenance, les factures et les comptes rendus d’intervention doivent être lus ensemble. Quels services sont effectivement rendus ? Quelles réserves restent ouvertes ? Les engagements commerciaux correspondent-ils aux capacités techniques et humaines disponibles ?
L’enjeu n’est pas de déduire d’une alerte nationale que la cible serait compromise. Il consiste à vérifier si les revenus présentés comme récurrents reposent sur une organisation capable de tenir ses engagements.
Cette lecture complète l’analyse du carnet de commandes : elle relie le revenu attendu aux conditions concrètes de sa réalisation.
Organiser une feuille de route après l’investissement
Les constats peuvent alimenter un plan d’action hiérarchisé : compléter l’inventaire, clarifier les responsabilités, traiter les équipements prioritaires, former les intervenants et suivre les mesures correctives.
Chaque action devrait comporter un responsable, une échéance, un budget documenté et une preuve de réalisation. Le suivi peut ainsi relier exploitation, finance et pilotage des contrats, avec l’appui des experts cyber et des conseils juridiques selon les besoins.
Conclusion : relier la sécurité du service à la qualité du revenu
L’alerte du CERT-FR invite à poser une question précise avant une acquisition ou un financement : les moyens prévus permettent-ils d’assurer les prestations sur lesquelles repose le business plan ?
Avec son accompagnement des investisseurs, ST Agency et Sébastien TAUPIAC apportent une lecture stratégique et opérationnelle des clients, contrats et risques propres à l’achat public. Les références et cas clients du cabinet illustrent cette approche de la commande publique.
Vous examinez une entreprise de maintenance ou d’équipements connectés présente dans les marchés publics ? Échangeons pour rapprocher portefeuille contractuel, hypothèses financières et priorités post-investissement.