Cyberattaque du tunnel de Fehmarnbelt : des pirates perturbent la construction de la liaison Danemark-Allemagne

Lors de l'incident, les cartes électroniques du personnel ont cessé de fonctionner, les employés ont perdu l'accès aux systèmes internes et au Wi-Fi officiel, et les processus opérationnels ordinaires ont dû être effectués manuellement. Des navires offshore spécialisés, des grues flottantes et des plateformes utilisées pour positionner les énormes sections en béton du tunnel ont également été immobilisés après que les outils numériques de navigation et de logistique sont devenus indisponibles.

L'ampleur exacte de la perturbation reste floue. Les médias danois et allemands ont rapporté que les attaquants ont exploité une vulnérabilité de sécurité non divulguée pour accéder à un large éventail de systèmes internes. Ni les auteurs ni la méthode précise d'entrée n'avaient été officiellement identifiés au 14 octobre. Aucune confirmation officielle de la reprise des opérations normales n'a non plus été apportée.

Pour un projet déjà en proie à des retards, le moment ne pouvait guère être pire. Mais l'incident soulève une question qui dépasse largement le calendrier de construction : qui est responsable de la sécurisation d'un grand corridor de transport européen lorsque son infrastructure physique est livrée par un réseau international d'entreprises privées ?

Quand la défaillance numérique arrête le travail physique

Le tunnel de Fehmarnbelt illustre de manière particulièrement claire à quel point les systèmes numériques sont profondément intégrés à l'ingénierie lourde. Ce tunnel immergé d'environ 18 kilomètres reliera Rødbyhavn, sur l'île danoise de Lolland, à Puttgarden, sur l'île allemande de Fehmarn. Ses 89 éléments en béton préfabriqués sont fabriqués et installés dans le cadre d'un projet destiné à raccourcir les trajets entre la Scandinavie et l'Europe centrale.

Le troisième élément a été immergé avec succès en août 2026. Cette opération nécessitait la coordination de grandes structures, d'équipements marins spécialisés et de processus logistiques complexes. Lorsque les logiciels et les systèmes de communication qui soutiennent ce type de travail deviennent indisponibles, les conséquences ne se limitent pas à l'administration de bureau.

Une carte d'accès désactivée est un désagrément isolé. La perte des outils numériques nécessaires à la coordination des équipements offshore est d'une autre nature. Les travailleurs peuvent encore être présents, les machines peuvent rester physiquement opérationnelles et les éléments du tunnel peuvent être intacts, mais l'entrepreneur ne peut plus accomplir les tâches essentielles selon ses procédures normales.

Les solutions de contournement manuelles peuvent maintenir certaines activités, mais elles ne constituent pas nécessairement un substitut sûr ou pratique aux systèmes intégrés utilisés sur un grand chantier de construction. Les opérations de levage lourd et les opérations marines dépendent de la coordination, d'informations fiables et de procédures clairement définies. Continuer sans confiance dans ces systèmes peut être plus dangereux que s'arrêter.

L'incident met donc en évidence une distinction que les stratégies de sécurité des infrastructures ont souvent eu du mal à intégrer. Protéger les équipements contre les dommages physiques n'est pas la même chose que garantir que ces équipements peuvent être exploités en toute sécurité lorsque leur environnement numérique a été compromis.

Rien dans les informations disponibles n'indique que les attaquants ont directement pris le contrôle des machines de construction ou causé des dommages physiques. La perturbation signalée a néanmoins été suffisamment importante pour interférer avec les opérations. Cela suffit à démontrer l'emprise qu'une intrusion numérique peut acquérir sans qu'un seul morceau de béton ou d'acier ne soit détruit.

La vulnérabilité se situe au-delà du maître d'ouvrage

Le projet de Fehmarnbelt est supervisé par Sund & Bælt, une société publique danoise, mais la construction est réalisée par FLC, un consortium réunissant des entreprises du Danemark, de France, d'Allemagne, de Belgique et des Pays-Bas.

Cette répartition des responsabilités est au cœur du problème de sécurité.

Les autorités publiques peuvent conserver la propriété d'un actif stratégique tout en s'appuyant sur des entrepreneurs privés pour concevoir, construire et exploiter les systèmes qui le font fonctionner. Ces entrepreneurs, à leur tour, maintiennent leurs propres environnements informatiques et coordonnent leurs activités avec des sous-traitants, des fournisseurs et des prestataires d'équipements spécialisés. La sécurité doit fonctionner à travers ces relations, et pas simplement au sein de l'organisation formellement responsable du projet.

Un consortium multinational offre une expertise d'ingénierie considérable. Il crée aussi un large environnement organisationnel dans lequel les autorisations d'accès, les logiciels, les procédures opérationnelles et les normes de sécurité doivent fonctionner ensemble. Plus l'opération est interconnectée, plus il peut être difficile d'établir l'origine d'une vulnérabilité et l'étendue de la propagation d'une intrusion.

La faiblesse précise exploitée chez FLC reste non divulguée. Il serait donc prématuré d'attribuer la brèche à un fournisseur, un système ou une défaillance particulière des contrôles internes. Il n'existe pas non plus de preuve identifiant les attaquants comme un État étranger, un groupe de rançongiciels ou un syndicat criminel.

Mais l'incertitude sur la méthode ne supprime pas l'inquiétude sous-jacente. Si le réseau interne d'un entrepreneur soutient à la fois l'administration courante et la logistique essentielle de construction, la compromission de ce réseau peut affecter un projet public stratégique même lorsque les systèmes propres du client public ne sont pas touchés.

Le périmètre de sécurité d'un projet d'infrastructure moderne n'est plus défini par les limites de l'actif lui-même. Il s'étend aux réseaux commerciaux et technologiques dont dépend la construction.

C'est un problème plus compliqué que la sécurisation d'un système informatique gouvernemental ou d'un seul opérateur de transport. Il exige que les clients publics comprennent non seulement si leurs entrepreneurs disposent de politiques de cybersécurité, mais si ces politiques protègent les systèmes dont la défaillance pourrait arrêter le travail sur le terrain.

Copenhague face à un test de responsabilité

La réponse danoise a déjà dépassé les difficultés techniques immédiates de l'entrepreneur. Sund & Bælt a confirmé que FLC avait signalé l'incident et a déclaré rester en communication avec le consortium pendant la poursuite des enquêtes. La ministre des Transports Signe Munk et la ministre de la Sécurité publique et de la Gestion des catastrophes Lisbeth Bech-Nielsen ont toutes deux évoqué la gravité de la situation.

Le 14 octobre, Bech-Nielsen a convoqué les partis parlementaires pour discuter de la résilience numérique nationale et des protocoles de réponse.

L'attention politique est compréhensible. Un entrepreneur de construction peut être une entité commerciale privée, mais la perturbation d'un grand projet d'infrastructure transfrontalière soulève des questions de responsabilité publique. L'État doit établir si le site est sécurisé, si les opérations peuvent reprendre en toute sécurité et si des faiblesses similaires existent ailleurs dans les réseaux qui soutiennent les infrastructures de transport critiques.

Ces questions ne peuvent pas être résolues simplement en rétablissant l'accès aux ordinateurs ou en reconnectant les services numériques. Les enquêteurs doivent établir l'étendue de l'intrusion et vérifier l'intégrité des systèmes concernés avant que la confiance dans les opérations normales puisse être rétablie.

La distinction est importante car le rétablissement technique immédiat et la réponse de sécurité à plus long terme sont des tâches distinctes. Un système qui semble fonctionner à nouveau peut encore nécessiter un examen si le point d'entrée initial reste inconnu ou si l'ampleur complète de l'accès non autorisé n'a pas été établie.

Les informations disponibles ne permettent pas d'établir si les autorités allemandes ou des agences de sécurité transfrontalières plus larges participent directement à l'enquête médico-légale. Compte tenu de la structure internationale du projet et de son rôle futur dans la liaison entre les deux pays, la coopération entre juridictions sera une considération importante. Elle ne doit toutefois pas être confondue avec un dispositif opérationnel confirmé.

Pour Copenhague, l'incident présente également un équilibre politique difficile. Une réponse ferme peut être nécessaire pour démontrer que la sécurité des infrastructures stratégiques est prise au sérieux. Mais le gouvernement doit éviter de traiter une attaque non identifiée comme la preuve d'une menace géopolitique particulière avant que les éléments ne soutiennent cette conclusion.

La priorité immédiate est d'établir ce qui s'est passé. Le défi institutionnel est de veiller à ce que la prochaine enquête ne commence pas seulement après qu'un autre chantier de construction se soit arrêté.

L'Europe a déjà répété le scénario plus large

L'attaque intervient dans un contexte de préoccupation européenne croissante face aux cybermenaces pesant sur les transports et la logistique. En juin 2026, l'UE a mené Cyber Europe 2026, son plus grand exercice de crise cybernétique, simulant des attaques coordonnées contre les réseaux ferroviaires et maritimes transfrontaliers. Les agences de sécurité ont également suivi des campagnes d'hameçonnage ciblant la logistique européenne, les bourses de fret et les plateformes de cartes carburant, notamment des campagnes attribuées à des groupes tels que Diesel Vortex.

L'incident de Fehmarnbelt ne doit pas être considéré comme la preuve qu'un scénario d'exercice particulier s'est matérialisé ou que l'attaque fait partie d'une campagne coordonnée. Aucun lien de ce type n'a été établi. Son importance réside dans le fait que la perturbation illustre le type de dépendance opérationnelle qui rend les infrastructures transfrontalières vulnérables aux interférences numériques.

Les réseaux de transport européens ne sont pas simplement des ensembles de routes, de voies ferrées, de ports et de ponts. Leur construction et leur exploitation reposent sur des systèmes interconnectés d'entrepreneurs, d'équipements, de communications et de logistique. Une intrusion affectant une organisation peut avoir des conséquences au-delà de ses locaux immédiats, en particulier lorsque cette organisation effectue un travail essentiel à un actif public plus vaste.

Cela crée un décalage potentiel entre l'ampleur du risque et la répartition de la responsabilité de sa gestion. L'importance stratégique d'un tunnel est évidente. L'importance des systèmes de contrôle d'accès, des réseaux internes ou des logiciels opérationnels de l'entrepreneur peut être moins visible jusqu'à ce que ces systèmes tombent en panne.

Le cadre de cybersécurité NIS2 de l'UE constitue un point de référence réglementaire existant pour renforcer la sécurité des entités essentielles. La pression politique consécutive à la brèche de Fehmarnbelt pourrait renforcer les arguments en faveur d'une conformité plus rigoureuse, d'obligations plus claires pour les entrepreneurs et d'un audit plus systématique des systèmes numériques soutenant les projets transfrontaliers.

Mais des règles supplémentaires ne peuvent à elles seules garantir la résilience. Les exigences doivent atteindre les organisations et les processus techniques dont dépend réellement l'infrastructure. Les clients publics doivent comprendre clairement quels systèmes des entrepreneurs sont essentiels aux opérations, comment l'accès est contrôlé, comment les incidents sont contenus et ce qui peut continuer en toute sécurité lorsque les services numériques deviennent indisponibles.

Il existe également une question pratique de proportionnalité. Les grands consortiums d'infrastructure réunissent des entreprises aux environnements techniques et aux capacités organisationnelles différents. Appliquer des normes cohérentes à travers ce réseau exige plus qu'une instruction générale d'améliorer la cybersécurité. Cela exige que le maître d'ouvrage sache où se situent les dépendances critiques et établisse comment ces dépendances seront protégées.

Un projet sujet aux retards face à une nouvelle incertitude

Pour FLC et Sund & Bælt, le problème de sécurité immédiat s'ajoute à un calendrier déjà difficile. L'ouverture initialement prévue du tunnel en 2031 a été abandonnée plus tôt en 2026, et un lancement révisé en deux étapes, avec le trafic routier précédant les services ferroviaires, a été envisagé. Les pressions sur la chaîne d'approvisionnement, l'inflation et la hausse des coûts associés aux liaisons allemandes d'arrière-pays ont déjà compliqué la livraison.

Il est trop tôt pour déterminer si la cyberattaque entraînera un retard durable ou augmentera matériellement le coût global du projet. Cela dépendra de la durée de la perturbation, de l'étendue des systèmes compromis et du travail nécessaire pour rétablir la confiance dans l'environnement numérique de l'entrepreneur.

Néanmoins, l'incident ajoute une nouvelle source d'incertitude à un projet dont le calendrier était déjà incertain. Les enquêtes de sécurité, la récupération des systèmes et la vérification de l'état de préparation opérationnelle peuvent imposer des coûts même si la construction physique ne subit aucun dommage.

Les conséquences ne se limitent pas à la réputation de FLC. Sund & Bælt doit répondre à des questions sur la résilience de la structure de livraison qu'il supervise, tandis que le projet dans son ensemble dépend de la confiance que le tunnel peut être achevé et exploité en toute sécurité. Une interruption prolongée pourrait compliquer un effort de coordination déjà exigeant, bien que l'ampleur d'un tel effet reste inconnue.

La tentation sera de considérer la brèche comme un événement exceptionnel et de se concentrer sur le rétablissement du calendrier de construction. Cela laisserait la question plus large sans réponse.

La prochaine génération d'infrastructures de transport européennes se construit à travers des combinaisons de plus en plus complexes de propriété publique, d'ingénierie privée et de coordination numérique. L'État peut commander le tunnel, mais il ne peut pas sécuriser le projet en protégeant uniquement l'État. Si le réseau compromis d'un entrepreneur peut immobiliser les machines nécessaires pour construire une liaison stratégique entre deux pays, la résilience numérique de l'entrepreneur est devenue partie intégrante de l'infrastructure elle-même.