CYBERATTAQUES DANS LE TRANSPORT MARITIME ET RESPONSABILITÉ JURIDIQUE

I. Introduction

Dans le commerce maritime, les systèmes numériques ne sont plus de simples outils auxiliaires utilisés dans les processus administratifs. Aujourd'hui, l'expédition des navires, la surveillance des systèmes de propulsion, le contrôle de la température des cargaisons, les procédures d'entrée dans les ports, le suivi des conteneurs, le paiement du fret et l'établissement des documents de transport sont largement effectués grâce à des systèmes d'information.

À bord des navires, les systèmes d'affichage et d'information cartographiques électroniques, les systèmes de positionnement global, les radars, les systèmes d'identification automatique, les systèmes de commande des moteurs et de la direction, la gestion des ballasts, les pompes de chargement et l'infrastructure de communication fonctionnent de manière interconnectée. Dans les ports, les systèmes d'exploitation des terminaux, l'automatisation des grues, les registres d'entrée et de sortie, les systèmes douaniers et les applications de guichet unique maritime reposent sur une infrastructure numérique.

Cette transformation a ajouté un nouveau type de risque aux dangers maritimes classiques. Outre les événements physiques tels que les tempêtes, les collisions, les incendies ou les échouements, les logiciels malveillants, les rançongiciels, le phishing, l'accès non autorisé aux systèmes, la manipulation de données et l'usurpation d'identité par satellite menacent également la sécurité des navires et la continuité du commerce maritime.

L’Organisation maritime internationale (OMI), dans sa version actualisée du 28 mai 2026, définit le risque cybernétique maritime comme le risque de défaillance opérationnelle, de sûreté ou de sécurité des activités maritimes dû à la perturbation, à la perte ou au détournement d’informations ou de systèmes, résultant de menaces pesant sur les systèmes informatiques. Cette version préconise une évaluation conjointe des systèmes informatiques embarqués et des systèmes de technologies opérationnelles qui contrôlent les processus physiques.

II. Types de cyberattaques dans les communications maritimes

Les cyberattaques dans le secteur maritime peuvent se manifester de différentes manières selon le système ciblé et leurs conséquences. Une attaque peut viser le réseau de contrôle du navire, ou directement les systèmes de navigation, de moteur ou de gestion de la cargaison.

Les attaques par rançongiciel chiffrent les systèmes informatiques d'une compagnie maritime ou d'un port, les rendant inaccessibles, et exigent une rançon pour rétablir l'accès. Ces attaques peuvent perturber les réservations, le suivi des marchandises, les déclarations en douane, la facturation et les opérations portuaires.

Lors d'attaques par usurpation d'identité ciblant les systèmes de positionnement par satellite, le navire reçoit des informations de localisation inexactes. Le brouillage, quant à lui, empêche la réception des signaux satellitaires. Ceci peut amener le navire à suivre une mauvaise route, à pénétrer dans des eaux dangereuses ou à risquer une collision avec un autre navire.

La modification des données du système d'identification automatique peut engendrer des informations inexactes concernant le nom, la position, le cap ou la cargaison d'un navire. La manipulation des cartes électroniques peut entraîner l'omission de dangers pour la navigation ou leur affichage comme étant des dangers inexistants.

Les attaques contre les systèmes technologiques opérationnels peuvent avoir des conséquences physiques bien plus graves. Le contrôle à distance du moteur principal, du gouvernail, des systèmes de ballast, du transfert de carburant, des pompes de chargement ou des dispositifs de refroidissement peut entraîner l'immobilisation du navire, la détérioration de la cargaison ou une pollution environnementale.

Les cyberattaques ne sont pas nécessairement menées de l'extérieur. L'abus d'autorité du personnel, l'utilisation de mots de passe faibles, la connexion d'appareils personnels au réseau du navire, l'ouverture de courriels frauduleux et les mises à jour logicielles non autorisées peuvent également entraîner des failles de sécurité.

III. La réglementation internationale et l'approche de l'OMI

L'un des piliers internationaux fondamentaux de la cybersécurité dans le transport maritime est l'Orientation de l'OMI sur la gestion des cyber-risques dans le transport maritime. La quatrième révision de cette Orientation, datée de 2026, prévoit une gestion conjointe des risques liés à la numérisation, à l'automatisation, aux fournisseurs tiers, aux systèmes embarqués et aux chaînes d'approvisionnement en logiciels et matériels. Elle stipule que la cyber-résilience doit être assurée non seulement pendant la phase opérationnelle, mais aussi tout au long des étapes de conception, de fabrication, d'intégration, d'utilisation et de maintenance des systèmes du navire.

Selon l'approche de l'IMO, la gestion des cyber-risques repose sur la mise en place d'une structure de gouvernance, l'identification et la protection des systèmes critiques, la détection des attaques, la réponse aux incidents et la restauration des systèmes. Il est recommandé que la direction générale assume cette responsabilité, désigne une personne habilitée, établisse un inventaire des actifs numériques, identifie les interconnexions entre les systèmes critiques et élabore des plans de continuité d'activité.

La résolution MSC.428(98) du Comité de la sécurité maritime de l'OMI exige que les cyber-risques soient intégrés aux systèmes de gestion de la sécurité des compagnies maritimes conformément au Code international de gestion de la sécurité. Les administrations sont tenues de s'assurer que les cyber-risques sont pris en compte dans les systèmes de gestion de la sécurité des entreprises lors de la première vérification annuelle de leurs certificats de conformité après le 1er janvier 2021.

Des normes techniques relatives à la cybersécurité des navires neufs ont également été élaborées par les sociétés de classification. Les réglementations UR E26 et UR E27 de l'Association internationale des sociétés de classification (IACS) traitent de la cybersécurité globale du navire et de la sécurité des systèmes et équipements embarqués. Ces règles révisées s'appliquent aux navires neufs dont le contrat de construction a été signé à compter du 1er juillet 2024.

Même si ces réglementations n'entraînent pas systématiquement une responsabilité civile, elles sont essentielles pour définir l'étendue de l'obligation de diligence. Le défaut total d'une compagnie maritime d'appliquer les normes de cybersécurité largement reconnues pourrait avoir des conséquences défavorables pour elle, notamment en termes de prévisibilité des dommages et d'évaluation des responsabilités.

IV. Cybersécurité et navigabilité du navire

Selon l'article 932 du Code de commerce turc, la navigabilité est définie comme l'aptitude du navire à résister aux dangers habituels du voyage, en ce qui concerne ses éléments essentiels tels que la coque, les équipements généraux et les machines. L'organisation du navire, son chargement, son carburant, ses provisions et la compétence de son équipage sont également pris en compte. L'adéquation des compartiments affectés au transport et à la protection des marchandises est également une condition d'aptitude au transport.

Conformément à l'article 1141 du Code de commerce turc, le transporteur est tenu de maintenir le navire en état de navigabilité et apte au transport de marchandises pour tous les types de contrats de fret. Il est responsable des dommages causés à la cargaison par l'innavigabilité du navire, à l'exception des défauts qui n'auraient pu être constatés avant le départ malgré toute la diligence et le soin qu'on attend d'un transporteur prudent.

La loi ne définit pas explicitement la cybersécurité comme un concept distinct. Toutefois, si la navigation, la commande des machines ou la sécurité de la cargaison d'un navire dépendent de systèmes numériques, une grave faille de sécurité en matière de cybersécurité peut compromettre sa navigabilité, le bon déroulement du voyage ou l'aptitude du chargement à transporter des marchandises. Des cartes électroniques obsolètes, des logiciels présentant des vulnérabilités connues, l'absence de séparation des réseaux, l'absence de système de contrôle de secours ou le manque de formation du personnel à l'utilisation des systèmes peuvent être pris en compte lors de l'évaluation de la navigabilité.

Toute vulnérabilité logicielle ne rend pas automatiquement un navire impropre à la navigation. La défaillance doit être suffisamment importante pour compromettre la capacité du navire à effectuer un voyage donné en toute sécurité. Cette évaluation prend en compte plusieurs facteurs, notamment le type de navire, sa cargaison, sa zone de navigation, le niveau de connectivité du système et la disponibilité d'options de commande manuelle.

V. Responsabilité de l'armateur et de l'exploitant

L'armateur est le principal responsable de l'exploitation commerciale et technique du navire. Conformément à l'article 1062 du Code de commerce turc, il est responsable des dommages causés à des tiers par les fautes de l'équipage et des pilotes dans l'exercice de leurs fonctions. Des dispositions particulières relatives à la responsabilité du transporteur pour les dommages résultant des fautes de l'équipage s'appliquent aux passagers et aux personnes impliquées dans la manutention de la cargaison.

La responsabilité de l'armateur peut être engagée si une cyberattaque survient suite à l'ouverture d'un courriel falsifié, à la connexion d'un périphérique USB non autorisé au système ou à la violation des procédures de sécurité par un marin. Toutefois, l'incident ne saurait être imputé à la seule faute d'un employé. Il convient également de vérifier si l'armateur a mis en place la structure organisationnelle adéquate en matière de formation, de supervision, d'autorisation d'accès, de politique de mots de passe et de sécurité du système.

Le fournisseur peut tenter de se dédouaner en affirmant que l'attaque était extrêmement sophistiquée et inévitable. Toutefois, s'il a omis de corriger les vulnérabilités connues, d'effectuer les mises à jour système, de mettre en place des sauvegardes adéquates ou d'élaborer un plan de réponse aux incidents, le fait que l'attaque ait été menée par un tiers ne l'exonère pas de sa responsabilité.

Si une cyberattaque entraîne une collision entre deux navires, des dommages aux installations portuaires ou une marée noire, l'armateur peut être tenu responsable envers les tiers. Plusieurs fondements de responsabilité peuvent exister si le dommage résulte à la fois des actions de l'attaquant et des failles de sécurité de l'entreprise.

VI. Responsabilité du transporteur en cas de dommages à la cargaison

Conformément à l'article 1178 du Code de commerce turc, le transporteur est tenu d'exercer la diligence attendue d'un transporteur prudent lors du chargement, de l'arrimage, du transport, de la protection, de la surveillance et du déchargement des marchandises. Il est généralement responsable en cas de perte, d'avarie ou de retard de livraison survenant pendant la période où il exerce son contrôle.

Les cyberattaques peuvent provoquer des dysfonctionnements des systèmes de refroidissement, entraînant la détérioration des denrées alimentaires ou des médicaments. La perte de contrôle des pompes de chargement peut endommager les cargaisons liquides, et la défaillance des systèmes de suivi des conteneurs peut conduire au déchargement de la cargaison dans un port erroné. Les retards de livraison dus à l'effondrement des systèmes portuaires et des transporteurs peuvent également engager la responsabilité de ces derniers.

Pour être exonéré de responsabilité, le transporteur doit prouver que le dommage ne résulte ni de sa propre faute intentionnelle, ni de sa négligence, ni de celle de ses préposés. L'article 1179 du Code de commerce turc fait peser la charge de la preuve sur le transporteur.

Si le dommage résulte d'une action liée à la navigation ou à la gestion technique du navire, le transporteur ne peut être tenu responsable que de sa propre faute, conformément à l'article 1180 du Code de commerce turc. Toutefois, l'absence de politique de cybersécurité, une infrastructure technique inadéquate ou le défaut de corriger les vulnérabilités connues du système peuvent être considérés comme des fautes directes relevant de l'organisation du transporteur. Par ailleurs, les mesures prises pour protéger la cargaison ne sont pas couvertes par l'exception relative à la gestion technique.

VII. Responsabilités des capitaines et des membres d'équipage

En cas d'incident cybernétique, la responsabilité du capitaine en matière de navigation et de gestion technique du navire, de sécurité de la navigation et de prise des précautions nécessaires en situation d'urgence demeure. Si des indices laissent penser que les systèmes électroniques fournissent des informations inexactes, le capitaine ne doit pas s'y fier aveuglément ; il peut être nécessaire d'utiliser des méthodes alternatives telles que le radar, la navigation visuelle, les cartes papier ou des sources de positionnement indépendantes.

Il est crucial que le personnel détecte rapidement les cyberattaques et mette en œuvre les procédures établies. Cela comprend la déconnexion du système infecté du réseau, le passage au contrôle manuel, l'information des autorités côtières et des autorités compétentes, la conservation des enregistrements et la préservation des preuves.

Toutefois, lors de cyberattaques complexes, il serait inexact d'imputer l'entière responsabilité au seul capitaine ou à l'équipage. Il convient d'examiner en premier lieu les défaillances organisationnelles de l'entreprise, telles que le manque de formation adéquate, la non-modernisation des systèmes obsolètes et l'absence de procédures appropriées pour le personnel.

VIII. Responsabilité des exploitants portuaires et terminaux

Les ports sont des plateformes où de nombreux navires, chargeurs, autorités douanières, entreprises de transport et prestataires de services interagissent via une même infrastructure numérique. Les attaques contre l'automatisation portuaire peuvent entraîner des perturbations dans les files d'attente à l'amarrage des navires, des pertes de conteneurs, des livraisons à de mauvaises personnes, des arrêts de grues ou encore la modification d'informations relatives aux matières dangereuses.

La responsabilité de l'exploitant portuaire peut être déterminée dans le cadre des accords d'exploitation, des conditions générales de service du terminal, du Code des obligations turc et des dispositions relatives à la responsabilité civile, en fonction des circonstances propres à chaque cas. Les systèmes mis en place par l'exploitant doivent présenter un niveau de sécurité adéquat, les droits d'accès doivent être restreints, des enregistrements doivent être conservés et des capacités opérationnelles de secours doivent être prévues.

En cas de faille de sécurité dans le système portuaire entraînant une infection par un logiciel malveillant à bord d'un navire ou une attaque provenant du navire se propageant au réseau portuaire, une responsabilité partagée peut être engagée entre les parties. Il est donc essentiel que les responsabilités à l'interface navire-port soient clairement définies dans les contrats.

IX. Responsabilité des fournisseurs de logiciels et de systèmes

Dans le secteur maritime, les logiciels, le matériel et les services de maintenance à distance sont souvent fournis par des tiers. Si le fournisseur du système ne respecte pas les normes de sécurité prévues au contrat ou ne corrige pas une vulnérabilité connue dans les délais impartis, entraînant ainsi un dommage, sa responsabilité peut être engagée pour rupture de contrat.

Les fabricants et les fournisseurs sont responsables si un logiciel défectueux perturbe le système de manœuvre du navire ou induit des données erronées chez les dispositifs de contrôle de charge. Toutefois, la responsabilité du fabricant et les obligations de maintenance et de mise à jour du propriétaire du navire doivent être dissociées. L'exploitant qui n'a pas effectué les mises à jour malgré l'avertissement du fabricant a pu contribuer au dommage.

Les directives actuelles de l'OMI exigent également une évaluation des cyber-risques découlant des fournisseurs tiers, des systèmes embarqués, des équipements de maintenance et des chaînes d'approvisionnement en logiciels et en matériels.

X. Le droit de la cybersécurité et le nouveau régime juridique turc

La loi n° 7545 relative à la cybersécurité est entrée en vigueur le 19 mars 2025. Son champ d’application est vaste et concerne les institutions publiques, les particuliers, les personnes morales et les organisations non constituées en société qui exercent des activités ou fournissent des services dans le cyberespace. La cybersécurité est définie comme l’ensemble des activités visant à protéger les systèmes contre les attaques, à garantir la confidentialité, l’intégrité et l’accessibilité des données, à détecter les incidents et à rétablir les systèmes à leur état antérieur.

La loi confère à la Direction de la cybersécurité de larges attributions et pouvoirs concernant l'identification des infrastructures critiques, l'inventaire des actifs et l'analyse des risques, la mise en place d'équipes d'intervention en cas d'incident cybernétique, les processus de test et de certification, ainsi que les mécanismes d'audit et de contrôle. Si les infrastructures portuaires, de transport et de logistique sont classées comme infrastructures critiques, des obligations plus spécifiques peuvent incomber aux entreprises concernées.

La loi prévoit des sanctions pénales et administratives pour des actes tels que la conduite de cyberattaques, la diffusion de données obtenues grâce à de telles attaques, la violation de certaines obligations et le défaut de fournir les informations ou les systèmes nécessaires aux autorités de surveillance.

XI. Protection des données personnelles

Les systèmes des navires et des ports peuvent traiter une grande quantité de données personnelles concernant l'équipage, les passagers, les propriétaires de la cargaison, les employés des agents et les visiteurs. Les informations des passeports, les dossiers médicaux, les coordonnées, les enregistrements vidéo, les données de géolocalisation et les documents du personnel peuvent être compromis lors de cyberattaques.

Conformément à l'article 12 de la loi n° 6698, les responsables du traitement des données sont tenus de prévenir le traitement et l'accès illicites aux données à caractère personnel, d'assurer leur conservation et de prendre les mesures techniques et administratives nécessaires pour garantir un niveau de sécurité approprié. En cas d'obtention illicite de données, la violation doit être signalée sans délai aux personnes concernées et à la Commission nationale de l'informatique et des libertés (CNIL). Si le traitement des données est confié à un prestataire de services, le responsable du traitement et le sous-traitant peuvent être conjointement responsables des mesures de sécurité.

Par conséquent, une compagnie maritime doit mettre en place un système de cybersécurité intégré qui couvre non seulement la sécurité de ses navires, mais aussi la sécurité des données personnelles qu'elle traite.

XII. Répartition des cyber-risques dans les contrats

Les contrats d'affrètement, de gestion de navires, de terminaux et de services logiciels doivent définir clairement les responsabilités en cas d'incidents cybernétiques. Ces accords doivent préciser les normes de sécurité que chaque partie doit respecter, le délai de signalement des incidents, la partie responsable de la mise à jour des systèmes, la responsabilité des sous-traitants et la limitation des dommages-intérêts.

La clause de cybersécurité BIMCO 2019 est une disposition standard conçue pour réglementer les mesures de cybersécurité, la notification des violations de données, l'atténuation des dommages et la répartition des responsabilités entre les parties aux contrats maritimes.

Toutefois, l'inclusion de la clause standard dans le contrat peut s'avérer insuffisante pour certains projets. Des dispositions particulières doivent être prises en tenant compte des spécifications techniques du navire, de la sensibilité de la cargaison transportée, des systèmes portuaires utilisés et des relations avec les tiers.

XIII. Les cyber-risques dans l'assurance maritime

Une cyberattaque peut entraîner des dommages matériels au navire, des dommages à la cargaison, une interruption d'activité, une mise en cause de la responsabilité civile ou une fuite de données. La prise en charge de ces dommages par une assurance corps et machines, cargaison, protection et indemnisation, responsabilité civile ou une assurance cyber spécialisée dépendra des termes du contrat.

Les polices d'assurance maritime classiques peuvent contenir des clauses excluant les cyberattaques ou ne couvrant que certaines conséquences matérielles. Par conséquent, l'assuré doit vérifier si la police couvre explicitement les cyberattaques, exclut les guerres ou les attaques commanditées par un État, et prendre en compte le paiement des rançons, les dommages liés à l'interruption d'activité et les coûts de récupération des données. Ce problème, connu dans le secteur de l'assurance sous le nom de « risque cybernétique silencieux », résulte de divergences de couverture dues à l'absence de mention explicite du risque cybernétique dans la police.

Selon l'article 1473 du Code de commerce turc, en matière d'assurance responsabilité civile, l'assureur couvre la responsabilité de l'assuré envers la partie lésée découlant d'un événement couvert par la police, jusqu'à la limite spécifiée dans le contrat.

XIV. Problèmes de démonstration et de causalité

L'une des difficultés majeures dans les litiges liés aux cyberattaques réside dans la détermination du mode opératoire et de la vulnérabilité à l'origine des dommages. L'attaquant peut dissimuler son identité, utiliser des systèmes situés dans différents pays ou supprimer des données après l'attaque.

Par conséquent, il est impératif de préserver les enregistrements électroniques, les journaux de serveur, les informations d'accès, les dates de mise à jour des logiciels, l'activité des utilisateurs, les données de l'enregistreur de données du navire, les cartes électroniques, les images radar et la correspondance du personnel. Toute réinstallation incontrôlée du système ou tout écrasement des enregistrements immédiatement après un incident pourrait entraîner la perte de preuves cruciales.

Le tribunal déterminera, par le biais d'une expertise, si l'attaque était un événement purement extérieur et inévitable, ou si elle a été facilitée par des failles de sécurité de l'entreprise. En cas de responsabilité partagée, les dommages et intérêts pourront être répartis entre l'attaquant, l'armateur, le transporteur, l'exploitant portuaire et le prestataire de services, en fonction de leur degré de responsabilité et de leur lien de causalité respectifs.

XV. Conclusion

Dans le domaine maritime, la cybersécurité est passée d'une simple question informatique réservée aux experts techniques à une question de droit maritime ayant une incidence directe sur la navigabilité, le devoir de diligence du transporteur, la responsabilité de l'armateur, la sécurité portuaire, la protection des données personnelles et les relations d'assurance.

Le fait qu'une cyberattaque soit perpétrée par un tiers n'exonère pas automatiquement le propriétaire ou l'opérateur de sa responsabilité. Il convient de vérifier si l'entreprise a pris en compte les menaces connues, réalisé un inventaire de ses systèmes, maintenu ses logiciels à jour, isolé ses réseaux, formé son personnel et mis en place un plan de réponse aux incidents efficace.

Les cybervulnérabilités affectant significativement la navigation, les machines ou les systèmes de chargement d'un navire peuvent le rendre inapte à la navigation, impropre au voyage ou au transport de marchandises, selon les circonstances. En cas de perte, d'endommagement ou de retard de la cargaison suite à une cyberattaque, la responsabilité du transporteur est engagée en vertu du Code de commerce turc. De plus, si le navire cause des dommages à un autre navire ou à une installation portuaire, l'armateur peut être tenu responsable envers les tiers.

Une gestion efficace des cyber-risques exige l'application conjointe de mesures techniques et juridiques. Il est fondamental d'intégrer l'évaluation des cyber-risques aux systèmes de gestion de la sécurité, d'identifier les systèmes critiques, de réaliser des tests et des mises à jour réguliers, de maintenir des sauvegardes manuelles, de former le personnel, d'élaborer des plans de réponse aux incidents et d'inclure des clauses de responsabilité claires dans les contrats.

En conclusion, la cybersécurité n'est pas une dépense informatique secondaire pour les entreprises maritimes ; c'est une obligation de diligence essentielle à la sécurité d'exploitation du navire et au bon déroulement des opérations de transport. À mesure que la dépendance aux systèmes numériques s'accroît, la cyber-résilience deviendra une composante indissociable de la notion de navigabilité.