Secteur · Énergie

Sensibilisation cybersécurité
pour l’énergie

Un accès distant de trop, et c’est tout le réseau qui tremble. ROOMCA® entraîne exploitants, ingénieurs OT et techniciens sur les pièges des prestataires et des firmwares.

Producteurs
Distributeurs
Utilities (eau, gaz)
Renouvelables
OIV énergie
Sous-traitants maintenance

Mise en situationVous êtes exploitant en salle de conduite.

Énergie en chiffres

24 hpour l’alerte précoce à l’autorité après un incident important (NIS2, art. 23)Source : EUR-Lex · Union européenne, Directive NIS 2 (UE) 2022/2555, texte officiel
30parcs éoliens et solaires attaqués le même jour en Pologne, le 29 décembre 2025Source : CERT Polska, Attaque contre le secteur de l’énergie en Pologne (décembre 2025)
4,8 M$coût moyen d’une fuite de données dans l’énergie (IBM 2025)Source : IBM, Cost of a Data Breach Report 2025 (PDF)

L’essentiel en 30 secondes · Énergie

La sensibilisation à la cybersécurité dans l’énergie et les utilities forme exploitants, salles de conduite, maintenance, techniciens terrain et fonctions support aux attaques qui passent de l’informatique de gestion aux systèmes industriels : télémaintenance détournée, clé USB sur un poste de conduite, faux fournisseur, faux ordre de délestage. Le 29 décembre 2025, 30 parcs éoliens et solaires ont été attaqués le même jour en Pologne. NIS2 impose aux entités du secteur une alerte précoce à l’autorité sous 24 heures après un incident important : le réflexe de signalement se travaille avant.

30 parcs éoliens et solaires attaqués le même jour (Pologne, déc. 2025)
Alerte précoce sous 24 h après un incident important (NIS2)
Immersions salle de conduite, terrain et achats
Secteur hautement critique de NIS2

Le bon outil pour le bon problème

Le bon outil pour chaque problème de l’énergie

Chaque menace du secteur, et l’outil ROOMCA qui la traite.

Problème
La télémaintenance qui n’était pas prévue
Un technicien du constructeur appelle pour une intervention urgente sur l’automate. L’immersion fait vérifier auprès du responsable avant d’ouvrir l’accès.
Outil ROOMCAImmersions
Problème
La clé USB en salle de conduite
Une clé trouvée sur le parking, une mise à jour « à installer avant la relève » : des immersions écrites pour l’exploitation et la maintenance.
Outil ROOMCAImmersions
Problème
Des équipes postées sans messagerie
Affiches A4 en salle de conduite et en atelier : clé USB inconnue, mot de passe par défaut, intervention non annoncée.
Outil ROOMCAAffiches de prévention
Problème
Le quart d’heure sécurité
Le quiz se joue sur téléphone à la prise de poste, comme on parle déjà des risques physiques. On rejoint avec un code, sans compte.
Outil ROOMCAKelca, le quiz en direct
Problème
Suivre la menace sur les systèmes industriels
Roomy Watch suit les incidents et fuites publiés, filtrés sur votre secteur et vos outils.
Outil ROOMCARoomy Watch (veille cyber)
Problème
Documenter la sensibilisation pour NIS2
Rapports PDF datés, attestations par personne, suivi par site et par équipe : la trace attendue d’une entité essentielle.
Outil ROOMCAAnalytics & rapports

20 minutes, on part de vos métiers et de ce que vous avez déjà tenté.

Sur le terrain

Là où vos équipes travaillent, le piège arrive.

Du bureau au terrain, chaque métier du secteur reçoit son propre piège. Exemples tirés des immersions du secteur.

Salle de conduite
Exploitant reçoit : « Accès VPN admin pour 48 h, patch à appliquer avant ce soir. »
Local technique
Ingénieur OT reçoit : « Firmware RTU joint, à installer sans attendre la maintenance. »
Poste source
Technicien terrain reçoit : « Donnez-moi le code du portail et le VPN, mon badge ne passe pas. »

Du produit sectoriel, pas un module générique

Des immersions écrites pour l’énergie, puis mises à vos couleurs.

Chaque immersion du secteur est écrite à partir d’un cas réel, avec les mots, les outils et les interlocuteurs de l’énergie. Elle se personnalise ensuite à votre organisation : plus le décor ressemble au quotidien de vos équipes, plus la simulation est juste, et plus le réflexe tient le jour où le vrai message arrive.

Votre entreprise dans le décorLe nom de votre organisation, vos services et vos prénoms s’insèrent dans les messages piégés.
Vos outils et vos interlocuteursLes logiciels, portails et fournisseurs que l’énergie utilise vraiment, pas une messagerie anonyme.
Vos cas, écrits avec vousUn incident vécu, un process propre à votre maison : on en fait une immersion pour vos équipes.

Une immersion du secteur · 7 min

Phishing fournisseur OT, accès SI énergie

Un ingénieur reçoit : « Le fournisseur SCADA demande un accès temporaire pour patcher un firmware critique avant ce soir. »

L’apprenant choisit

Créer l'accès
Vérifier auprès du fournisseur
Signaler

Indices : demande hors fenêtre de maintenance, urgence, accès privilégié inhabituel. Score, badge anti-intrusion OT, immersion rejouable.

Jouer une immersion

Sans compte ni email, sur ordinateur ou téléphone. Choix, réflexes et progression suivis par équipe dans votre tableau de bord

Un ticket de support dans l’outil simulé d’une immersion ROOMCA. — ImmersionLe ticket de support qui demande un accès

Les pièges du métier

4 pièges qui visent l’énergie.

Techniciens SCADA, opérateurs OT, ingénieurs contrôle-commande, sous-traitants

Attaque systèmes industriels
Malware de type Stuxnet ou Industroyer visant les PLC et RTU.
Clé USB piégée
Un sous-traitant branche un support contaminé sur un poste SCADA.
Phishing sous-traitant
Usurpation d’un intégrateur pour obtenir accès VPN ou mots de passe OT.
Faux firmware par email
Mise à jour critique « urgente » qui installe une porte dérobée.

Ce que vos équipes reçoivent en immersion

« Mise à jour firmware urgente envoyée par email »
« Un technicien prestataire demande un accès VPN temporaire »
« Une clé USB trouvée sur le parking contient un "rapport maintenance" »

À vous de jouer

Ce message vous arrive. Que faites-vous ?

C’est le principe d’une immersion ROOMCA : une interface simulée, une décision, un verdict. Et comme c’est un jeu, on y revient.

Une interface simuléeMessagerie, SMS, portail, terminal : l’apprenant agit dans une copie de son outil, pas devant une vidéo.
Une décision sous pressionIl choisit comme au travail, avec l’urgence et le ton du vrai message. Puis les indices s’allument sur le support.
Un jeu, avec un scorePoints, badges, ScoreCyber par personne : on rejoue, on progresse, et le manager voit la courbe.

Vous êtes exploitant en salle de conduite.

Votre réflexe ?

3 indices se cachent dans ce message.

Et à côté des immersions

Deux autres solutions que l’énergie utilise.

Apprendre, vivre, ancrer, mesurer.Toutes les solutions ROOMCA tiennent dans une seule plateforme, hébergée en France.

Voir toutes les solutions

Déjà arrivé

Dans l’énergie, le piège a déjà marché.

Des cas publics, chacun avec sa source : ANSSI, communiqués officiels, presse.

VPN exposés sans MFA, mots de passe d’usine

En une journée, l'attaquant entre par les VPN des sites, se connecte aux équipements de contrôle restés avec leurs mots de passe par défaut et lance des logiciels d'effacement. Les parcs perdent le contact avec les gestionnaires de réseau et des équipements de terrain sont détruits.

29 décembre 2025 · Parcs éoliens et solaires, centrale de chaleur (Pologne)
Au moins 30 sites touchés ; la production n'a pas été coupée, mais l'attaquant avait les accès pour le faire

Source : CERT Polska, rapport d’incident, janvier 2026

Incidents publics du secteur

2025Parcs éoliens et solaires (Pologne)Effacement de données, VPN sans MFA
29 décembre 2025 : au moins 30 sites et une centrale de chaleur attaqués le même jour, équipements de terrain détruits.
CERT Polska, 2026
2025EDF Prime ÉnergieBourrage d’identifiants
Février 2025 : EDF dément une fuite massive mais reconnaît une centaine de connexions illicites.
Next, 2025
2021Colonial Pipeline (US)Rançongiciel DarkSide
Mai 2021 : compte VPN hérité sans MFA ; oléoduc arrêté environ six jours, 4,4 millions de dollars de rançon.
Dark Reading, 2021
2015Réseau électrique ukrainienBlackEnergy et KillDisk
Décembre 2015 : environ 225 000 clients privés d’électricité.
CISA, 2016

Ce que vous obtenez

Six modules concrets, taillés pour l’énergie.

Ce qui se trouve dans la plateforme, ce que ça contient, et le résultat attendu.

1 / 6

Immersions énergie

Phishing fournisseur SCADA
Faux audit OT
Ransomware SI énergétique
Compromission supply chain
Vol session sur poste OT

Opérateurs et ingénieurs OT jouent les angles énergie réels.

2 / 6

Quishing énergie

Templates fournisseur SCADA, qualité, direction (bientôt)
Posters QR code Wi-Fi salle de contrôle
Variants A/B par site (bientôt)
Add-in Outlook signalement (bientôt)

Mesurez le scan par site ; le clic e-mail arrive bientôt.

3 / 6

Cadres réglementaires énergie

NIS2 énergie (entités essentielles)
IEC 62443 (OT)
RGPD données salariés
Politique d'accès SI critique

Une preuve d’actions de sensibilisation, datée et nominative, à verser à votre dossier pour NIS2 ou audit OT.

4 / 6

Affiches énergie

Affiches A4 en salle de contrôle
Pack « 5 réflexes accès SCADA »
Affiches MFA et accès privilégié

Le mur fait le travail entre deux quarts.

5 / 6

Veille cyber énergie

Alertes CVE OT (Schneider, Siemens, ABB)
Breach timeline énergie
Rapport mensuel direction

Le RSSI ne lit que ce qui touche votre stack OT.

6 / 6

Pilotage RSSI énergie

Score risque par site critique
Tableau de bord par filière
Export PDF Executive
Comparaison sites

Vous prouvez à votre direction que la formation réduit le rayon d'impact.

Le verdict secteur

ROOMCA coche 5/6 critères.

6 critères qu’un RSSI énergie retient pour évaluer une plateforme de sensibilisation. Sa grille, pas la nôtre.

ROOMCATaillé pour l’énergie

5/6

Immersions énergie OT (phishing fournisseur SCADA, faux audit OT, ransomware)Bibliothèque dédiée
Preuve d’actions de sensibilisation dans un contexte NIS2 énergie + IEC 62443 (OT)Rapport de sensibilisation exportable, par équipe et dans le temps
Multi-langue natif pour groupes énergie internationaux (>10 langues)FR + EN seulement
Format mobile pour personnel terrain et postes OT5 à 15 min smartphone ou borne
Affiches salle de contrôle et accès SCADAPack PDF imprimable inclus
Reporting direction multi-sites critiquesPDF Executive consolidé

Outils génériquesPensés pour tous les secteurs

1/6

Immersions énergie OT (phishing fournisseur SCADA, faux audit OT, ransomware)Bureautique générique
Preuve d’actions de sensibilisation dans un contexte NIS2 énergie + IEC 62443 (OT)NIS2 partiel, IEC 62443 absent
Multi-langue natif pour groupes énergie internationaux (>10 langues)Les acteurs établis couvrent plus de 30 langues
Format mobile pour personnel terrain et postes OTFormat ordi inadapté terrain
Affiches salle de contrôle et accès SCADASouvent génériques, à adapter
Reporting direction multi-sites critiquesÀ reconstruire à la main

Vérifiez la grille sur vos propres critères.Un rendez-vous de 20 minutes : vos métiers, vos obligations, une immersion du secteur jouée en direct.

Mise en route

5 étapes, et vous êtes autonome.

Plateforme self-serve, calibrée pour l'énergie : NIS2 énergie, IEC 62443, postes OT, sensibilité face aux interruptions d'infrastructure critique.

Importez vos équipes par site
CSV ou SSO SAML/OIDC. Provisioning par site, par équipe OT / IT.
Choisissez vos immersions énergie
Bibliothèque énergie : phishing SCADA, faux audit OT, ransomware. Vous assignez par site.
Planifiez sans perturber l'exploitation
Étalement automatique, calendrier qui respecte les fenêtres de maintenance.
Pilotez le risque par site critique
Tableau de bord live : score par opérateur, taux de scan QR par site.
Sortez votre rapport de sensibilisation
Participation, taux de réussite et progression par équipe. Export PDF qui documente vos actions de sensibilisation, à verser à votre dossier NIS2 énergie et IEC 62443.

La première étape se fait avec nous : réserver un échange, et vous repartez avec un plan de déploiement.

Nos atouts

Pourquoi ROOMCA pour l’énergie.

Immersions OT / SCADA

Clé USB piégée en salle contrôle, faux firmware, prestataire qui demande un accès : les pièges industriels joués dans un environnement sûr.

Sensibilisation dans un contexte NIS2

Rapport de sensibilisation daté et nominatif, à verser à votre dossier NIS2 ou directive REC. Le suivi des exigences reste chez vous.

Hébergement souverain

Données des apprenants hébergées à Paris chez Scaleway, hébergeur français non soumis au CLOUD Act. Argument clé pour vos auditeurs OIV.

Référentiels couverts

NIS2 (opérateurs essentiels), IEC 62443 (sécurité OT), ISO 27001, directive REC (résilience des entités critiques).

Vos questions sur l’énergie.

La formation des équipes d’exploitation, de maintenance, de terrain et de support des énergéticiens et utilities aux attaques qui menacent la continuité de fourniture : télémaintenance détournée, supports amovibles, faux fournisseur, rançongiciel. Elle doit toucher aussi les équipes postées, par affiches et quiz collectifs.

ROOMCA sensibilise les personnes, pas les automates : les immersions reproduisent les situations vécues en salle de conduite et sur le terrain (télémaintenance, clé USB, faux fournisseur). La sécurisation des systèmes eux-mêmes suit la méthode de l’ANSSI et reste chez vos équipes.

Oui, les immersions sont écrites par métier OT : salle de contrôle, terrain, maintenance. Langage opérateur, pas jargon cyber. 5 minutes par module.

ROOMCA exporte un rapport de sensibilisation PDF, daté et nominatif : participation, résultats et progression par service. C’est une preuve de vos actions de sensibilisation, à verser à votre dossier NIS2. ROOMCA ne documente pas votre conformité exigence par exigence : ce travail reste celui de votre RSSI ou de votre auditeur.

Oui. Module dédié aux prestataires (maintenance, intégrateurs) avec campagnes séparées de votre effectif interne. Licences à la carte.

Une immersion de votre secteur, jouée en démo.

Vous jouez d’abord, on parle ensuite : vos équipes, vos métiers, ce que vous avez déjà tenté.Échange par emailHébergé en France, RGPDRéponse sous 48 h

Voir les tarifs