Le problème à 1,4 mille milliards de dollars : comment les interruptions d'activité OT imprév

• Les interruptions d'activité OT imprévues coûtent chaque année 1,4 mille milliards de dollars aux 500 plus grandes entreprises mondiales, soit 11 % de leur chiffre d'affaires total (Source : Siemens, 2024).
• L'interruption d'activité OT inclut désormais la perte de visibilité et la perte de contrôle, et pas seulement les arrêts de production. En vertu de NIS2 et de l'IEC 62443, ces conditions peuvent déclencher un reporting d'incident obligatoire.
• Les chiffres du coût horaire (2,3 millions de dollars dans l'automobile, médiane de 125 000 dollars tous secteurs confondus) sous-estiment l'impact total, car les coûts secondaires augmentent de manière non linéaire avec la durée.
• La formule de perte salariale (collaborateurs × heures d'interruption d'activité × salaire horaire) fournit une base de calcul des coûts de main-d'œuvre inactive que tout responsable des opérations peut appliquer immédiatement.
• La restauration OT manuelle — réinstallation des systèmes d'exploitation, reconfiguration des IHM et des systèmes SCADA — est un multiplicateur de coûts caché qui fait passer le MTTR de quelques minutes à plusieurs heures.
• Le MTTR est la variable la plus maîtrisable sur le plan financier. Les solutions de restauration automatisée comme Acronis Cyber Protect for OT réduisent le MTTR et réduisent directement le coût total de l'interruption d'activité.
• L'estimation des coûts propre à chaque site, à l'aide d'outils comme l'Acronis OT Downtime Calculator, transforme le risque d'interruption d'activité d'une préoccupation abstraite en une donnée quantifiée pour les décisions de dépenses d'investissement (CAPEX), d'assurance et de conformité.

L'interruption d'activité OT imprévue n'est plus un simple casse-tête de maintenance localisé. C'est un risque systémique, financier et de conformité, qui augmente avec la complexité des opérations industrielles modernes. À mesure que la convergence IT/OT relie les automates programmables industriels, les systèmes SCADA et les IHM aux réseaux de l'entreprise, un point de défaillance unique dans la technologie opérationnelle peut entraîner simultanément des arrêts de production, des incidents de sécurité, une exposition réglementaire et des perturbations de la chaîne d'approvisionnement.

Les chiffres confirment cette évolution. Selon le rapport Siemens True Cost of Downtime 2024, les interruptions d'activité imprévues coûtent environ 1,4 mille milliards de dollars par an aux 500 plus grandes entreprises mondiales, soit 11 % de leur chiffre d'affaires total, contre 8 % en 2019. Dans la fabrication automobile, une ligne de production à l'arrêt coûte jusqu'à 2,3 millions de dollars par heure (Source : Siemens, 2024). L'enquête Value of Reliability d'ABB a révélé un coût médian d'environ 125 000 dollars par heure dans les secteurs industriels, avec plus de deux tiers des entreprises subissant au moins une interruption d'activité par mois (Source : ABB, 2023).

Quantifier avec précision le coût de l'interruption d'activité OT est désormais une exigence pour les conseils d'administration : cela oriente les décisions de dépense d'investissement, façonne les négociations d'assurance et détermine si un incident déclenche un reporting obligatoire au titre de NIS2. Cet article présente le cadre, les formules et les données vérifiées dont les responsables des opérations et les dirigeants ont besoin pour estimer le coût réel de l'interruption d'activité OT et agir en conséquence.

L'interruption d'activité OT désigne toute interruption imprévue des systèmes industriels qui contrôlent la production physique — y compris les défaillances des automates programmables industriels, des serveurs SCADA, des IHM, des systèmes de contrôle distribués (DCS) et des systèmes historiques, ainsi que l'ensemble du cycle de restauration et de validation requis avant une reprise sûre de la production.

La définition traditionnelle de l’interruption d'activité OT — une ligne de production qui s’arrête — n’est plus suffisante. Dans les cadres réglementaires modernes, l’interruption d'activité va bien au-delà d’un arrêt physique.

La directive NIS2 (directive (UE) 2022/2555), la directive mise à jour de l’Union européenne sur la cybersécurité des infrastructures critiques, définit un incident significatif comme un incident qui « a causé ou est susceptible de causer une grave perturbation opérationnelle des services ou une perte financière » (NIS2, article 23(3)). Cette définition n’exige pas d’arrêt de production. La perte de visibilité opérationnelle (incapacité à surveiller l’état du système), la perte de contrôle (incapacité à commander les processus physiques) ou l’incapacité à restaurer en toute sécurité sont autant de situations susceptibles de déclencher un reporting d’incident obligatoire dans les 24 heures.

La norme IEC 62443, norme internationale relative à la sécurité des systèmes d’automatisation et de contrôle industriels (IACS), renforce cette portée élargie. Les évaluations des risques de l’IEC 62443 examinent explicitement la perte de visibilité (LOV, loss of view) et la perte de contrôle (LOC, loss of control) comme des impacts significatifs — même lorsque les processus physiques se poursuivent dans leurs paramètres nominaux (source : IEC 62443-3-2, cadre d’évaluation des risques). Un tableau de bord SCADA qui s’éteint n’arrête peut-être pas immédiatement une turbine, mais il crée une condition non surveillée que les autorités de régulation, les assureurs et les ingénieurs en sécurité considèrent comme une interruption d'activité.

Pour les organisations soucieuses de la conformité, les calculs du coût de l’interruption d'activité OT doivent donc tenir compte des incidents où la production se poursuit techniquement, mais où l’intégrité opérationnelle est compromise.

L’interruption d'activité OT se produit à plusieurs niveaux du modèle de référence de Purdue. Une défaillance de PLC au niveau 1 peut arrêter une machine ; une défaillance SCADA au niveau 2 prive les opérateurs de visibilité sur toute une zone de production ; une défaillance IHM supprime l’interface principale de contrôle humain ; et une défaillance du système historique au niveau 3 perturbe l’assurance qualité et la collecte de données réglementaires.

Point essentiel, l’interruption d'activité OT ne se termine pas lorsque le composant défaillant est réparé. L’interruption d'activité totale comprend le MTTR : détection de la panne, diagnostic, réparation, validation du système, contrôles de sécurité et remise en cadence de la production avant la reprise de la pleine capacité de production.

La convergence IT/OT a relié des systèmes industriels auparavant isolés aux réseaux d’entreprise, aux services cloud et aux voies d’accès à distance. Cela signifie qu’un événement côté IT — une attaque de ransomware, une règle de pare-feu mal configurée, une mise à jour logicielle ayant échoué — peut se propager dans l’environnement OT et déclencher une interruption d'activité ayant un impact sur la production. La surface d’attaque de l’interruption d'activité OT inclut désormais toute voie numérique reliée à l’atelier de production.

Le coût de l’interruption d'activité OT varie selon le secteur et l’installation, mais les chiffres vérifiés restent systématiquement très élevés. Le coût dépend de deux variables : le taux horaire de production perdue et la durée totale de la panne.

Les rapports sectoriels citent généralement les coûts d’interruption d'activité par heure, mais cette approche sous-estime l’exposition totale. Une panne de quatre heures n’est pas simplement quatre fois une panne d’une heure : l’accumulation de rebuts augmente, les seuils de non-respect des accords de niveau de service (SLA) sont franchis, la validation de sécurité allonge la séquence de redémarrage et les heures supplémentaires de main-d’œuvre grimpent.

Le coût total de l’interruption d'activité OT se comprend le mieux ainsi : coût total = taux horaire x durée + coûts secondaires croissants. La composante durée, déterminée par le MTTR, est la variable la plus maîtrisable sur le plan financier.

Le tableau suivant résume les valeurs de référence vérifiées des coûts d’interruption d'activité OT dans les principaux secteurs industriels :

Ces chiffres ne représentent que les pertes directes de production. L’inclusion des coûts indirects augmente considérablement l’impact financier réel.

L’exemple suivant montre l’accumulation des coûts pour un site industriel généraliste, sur la base du taux horaire médian d’ABB de 125 000 $ :

Au bout de 8 heures, ABB estime le coût à environ 1 million de dollars, sur la seule base du taux horaire médian (source : ABB, 2023). Au bout de 24 heures, les pénalités liées à l’accord de niveau de service (SLA), les expéditions accélérées, les rebuts et les heures supplémentaires peuvent doubler ou tripler la perte de base. C’est pourquoi la réduction du MTTR est l’investissement offrant le plus fort effet de levier qu’une équipe opérationnelle puisse réaliser.

Les coûts visibles de l’interruption d'activité OT — factures de réparation, heures de production perdues — ne représentent que la partie émergée de l’iceberg. Les coûts indirects dépassent souvent les coûts directs dans une proportion de deux à trois.

Les coûts directs de l’interruption d'activité OT incluent les pertes de revenus de production, les salaires de la main-d’œuvre inoccupée et les coûts de remédiation d’urgence (heures supplémentaires, pièces au prix fort, contrats de service express).

La formule de l’hémorragie salariale : quantification du coût de la main-d’œuvre inoccupée

T_perturbation = E_affectés x H_interruptionTotal des heures de perturbation = Collaborateurs affectés x Heures d’interruption d'activitéHémorragie salariale = Total des heures de perturbation x Salaire horaire moyen

Exemple concret : un site comptant 20 collaborateurs rémunérés en moyenne 30 $/heure subit 1 heure d’interruption d'activité.

• Total des heures de perturbation : 20 collaborateurs x 1 heure = 20 heures de perturbation
• Hémorragie salariale : 20 heures de perturbation x 30 $/heure = 600 $

Ces 600 $ représentent le plancher du coût d’une interruption d'activité — soit la perte minimale en salaires improductifs, avant même de prendre en compte la perte de revenus, la main-d’œuvre de restauration, les rebuts ou tout autre coût direct ou indirect. Pour un site de 200 personnes au même taux horaire, une seule heure d’interruption d'activité génère 6 000 $ d’hémorragie salariale. Rapporté à un poste de 8 heures, le seul coût de la main-d’œuvre inoccupée atteint 48 000 $.

L’hémorragie salariale peut être calculée immédiatement par tout responsable des opérations disposant des données de base sur les effectifs et les salaires — ce qui rend le coût de l’inaction concret à tous les niveaux de l’organisation.

Les coûts indirects sont plus difficiles à quantifier, mais souvent plus élevés au total. Ils comprennent : les rebuts et le gaspillage de matières dus à la dégradation des encours de production ; les inefficacités de redémarrage et les pertes de rendement lors de la montée en cadence ; les pénalités contractuelles et les livraisons urgentes dues aux violations d’accord de niveau de service (SLA) ; l’exposition réglementaire et de conformité (amendes, reporting NIS2 obligatoire, audits IEC 62443 déclenchés) ; les incidents de sécurité et les hausses de primes d’assurance ; ainsi que l’atteinte à la réputation à long terme et le taux d’attrition.

Le rapport Siemens True Cost of Downtime 2024 indique que les coûts cachés — y compris les salaires d’une main-d’œuvre inactive, les pièces d’urgence au prix fort et les pénalités contractuelles — ont entraîné une hausse de 62 % des coûts d’interruption d'activité depuis 2019, alors même que la fréquence des incidents a diminué (Source : Siemens, 2024).

L’un des coûts indirects les plus souvent négligés est l’allongement du temps de restauration dû à la reconstruction manuelle des systèmes OT. Sans restauration automatisée, les ingénieurs doivent réinstaller manuellement les systèmes d'exploitation, reconfigurer les IHM, reconstruire les serveurs SCADA et restaurer les bases de données historiennes — un processus long, sujet aux erreurs et dépendant de spécialistes qui ne sont pas forcément disponibles immédiatement.

Chaque heure supplémentaire de restauration manuelle prolonge la durée de l’interruption d'activité et, puisque le coût évolue avec cette durée, la restauration manuelle agit comme un multiplicateur de coût caché. Un site qui pourrait être remis en service en 30 minutes grâce à une restauration automatisée peut devoir faire face à 4 à 8 heures de reconstruction manuelle — transformant un incident à 12 500 $ en un événement à plus de 50 000 $.

Acronis Cyber Protect for OT répond directement à ce problème grâce à la sauvegarde d'image et à la restauration automatisée des terminaux OT, y compris des systèmes hérités depuis Windows XP. Acronis One-Click Recovery permet aux opérateurs locaux de restaurer les systèmes OT défaillants en quelques minutes, même dans des environnements isolés du réseau (Source : Acronis, Cyber Protect for OT, 2025), réduisant ainsi la variable de durée dans l’équation du coût de l’interruption d'activité.

L’interruption d'activité OT et l’interruption d'activité IT sont fondamentalement différentes par leur impact financier et leurs caractéristiques de restauration. L’application de modèles de risque IT aux environnements OT sous-estime systématiquement le coût réel.

Dans les environnements IT, de nombreuses perturbations sont récupérables : un e-mail retardé est finalement livré, une transaction suspendue est relancée. L’interruption d'activité OT crée une perte permanente de production. Une chaîne d’assemblage automobile qui s’arrête pendant une heure a perdu définitivement ces véhicules — et, dans un environnement de fabrication en flux tendu sans stock tampon, cette production perdue se traduit directement par une perte de revenus, sans possibilité de rattrapage.

Les systèmes IT peuvent souvent être redémarrés et remis en service rapidement. La restauration OT est plus complexe : après réparation, les systèmes industriels nécessitent une vérification des interverrouillages de sécurité, une stabilisation des variables de processus, une validation de la qualité et, potentiellement, une approbation réglementaire avant la reprise de la production. Cette surcharge liée au redémarrage signifie que la fenêtre totale d’interruption d'activité s’étend bien au-delà du temps de réparation.

Les modèles de risque IT donnent la priorité à la confidentialité et à l’intégrité des données, la disponibilité étant une préoccupation secondaire. Les environnements OT inversent cette logique : la disponibilité est primordiale, car les processus physiques ne peuvent pas être mis en pause, mis en tampon ni relancés. Un modèle de risque centré sur l’informatique qui affecte une gravité modérée à une panne d’une heure peut sous-estimer fortement l’impact sur une usine chimique à processus continu ou sur une ligne automobile à grande vitesse. L’estimation du coût d’une interruption d'activité OT nécessite des variables propres à la production — cadence de production, valeur du lot, taux de rebut, surcharge de redémarrage — qui n’apparaissent pas dans les cadres standards de risque informatique.

Le MTTR (Mean Time to Recover, temps moyen de restauration) est le levier le plus maîtrisable pour réduire le coût total d’une interruption d'activité OT. La fréquence des incidents dépend de l’âge des équipements, des conditions environnementales et du paysage des menaces — des facteurs qui échappent en partie au contrôle d’une organisation. Le temps de restauration, en revanche, est directement déterminé par les outils, les processus et l’architecture que l’équipe des opérations déploie.

Comme le coût total = taux horaire x durée + coûts secondaires croissants, réduire le MTTR de 50 % peut diminuer le coût total de plus de moitié, puisque les coûts secondaires qui augmentent avec la durée sont eux aussi réduits. Réduire le MTTR moyen de 8 heures à 2 heures évite non seulement 6 heures de perte de production, mais aussi les pénalités d’accord de niveau de service (SLA), les heures supplémentaires et le rebut qui auraient été encourus.

La restauration OT manuelle — réinstallation des systèmes d’exploitation, reconfiguration des IHM et des serveurs SCADA, reconstruction des bases de données d’historisation — nécessite généralement des ingénieurs spécialisés et prend de 4 à 8 heures, voire plus, par système. La restauration automatisée basée sur des images ramène ce délai à quelques minutes.

Acronis Cyber Protect for OT offre cette capacité grâce à des sauvegardes d'image complète qui capturent l’état du système dans son intégralité. Acronis Universal Restore permet la restauration sur du matériel différent lorsque le matériel d’origine a subi une défaillance (Source : Acronis, Cyber Protect for OT, 2025), éliminant ainsi la dépendance à un matériel de remplacement ancien identique.

Une restauration prévisible signifie qu’une organisation peut indiquer, avec un niveau de confiance validé, combien de temps il faudra pour restaurer n’importe quel système OT à un état opérationnel après une défaillance, quelle qu'elle soit. Cela nécessite une sauvegarde d'image automatisée de tous les terminaux OT selon une planification définie ; des procédures de restauration testées et validées dans l’environnement spécifique ; et une capacité de restauration locale qui ne dépend ni d’un support informatique externe ni de la connectivité réseau. Les organisations qui parviennent à une restauration prévisible transforment le MTTR, d’une variable imprévisible, en une grandeur connue et budgétisable.

Les moyennes du secteur fournissent des références utiles, mais chaque site possède un profil de coût d’interruption d'activité unique qui exige des données propres au site.

Un réacteur pharmaceutique par lot et une presse d’emboutissage automobile fonctionnent à des cadences de production différentes, présentent des valeurs d’inventaire différentes et sont soumis à des exigences réglementaires différentes. Utiliser un chiffre moyen unique du secteur comme coût d’interruption d'activité pour votre site entraînera des décisions erronées en matière de dépenses d'investissement et de gestion des risques.

Une estimation crédible et propre au site doit intégrer : le taux de revenus (valeur monétaire de la production par heure) ; le coût de la main-d’œuvre (le calcul des coûts salariaux ci-dessus, y compris le personnel de production et de support) ; le MTTR (temps moyen de restauration validé pour votre environnement) ; le temps de redémarrage et de validation (temps supplémentaire après réparation avant le retour à la pleine production) ; le rebut et les pertes de matières ; et les pénalités contractuelles (non-respect des accords de niveau de service (SLA), expéditions accélérées, indemnisations clients).

Les calculateurs d’interruption d'activité OT conçus à cet effet offrent des estimations plus structurées que les feuilles de calcul génériques. Des outils tels que l’Acronis OT Downtime Calculator permettent aux équipes opérationnelles de saisir des variables propres au site — taux de production, coût de la main-d’œuvre, MTTR, temps de validation du redémarrage — afin de générer une estimation des coûts sur mesure (Source : Acronis, « The Hidden Cost of Downtime », 2024). Le résultat sert de base aux propositions de dépenses d'investissement, aux négociations d’assurance et au reporting des risques à l’intention du conseil d’administration.

Lorsque le coût d’une interruption d'activité est quantifié au niveau du site, il devient une donnée directement comparable pour l’allocation de capital. Un investissement de 500 000 $ dans une restauration OT automatisée qui réduit le MTTR moyen de 8 heures à 1 heure peut être évalué par rapport au coût vérifié des interruptions d'activité évitées, transformant ainsi une demande de budget de maintenance en argumentaire économique avec un ROI mesurable. Des estimations documentées du coût d’une interruption d'activité renforcent également les négociations d’assurance en démontrant l’exposition financière à laquelle répondent les investissements de réduction des risques.

Une interruption d'activité OT n’est plus uniquement une préoccupation opérationnelle. Dans le cadre des dispositifs réglementaires modernes, certaines catégories d’interruption d'activité déclenchent un reporting obligatoire et peuvent entraîner des pénalités directes.

NIS2 impose aux entités essentielles et importantes de déclarer les incidents significatifs dans les 24 heures. Un incident significatif est défini comme un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave ou une perte financière (NIS2, article 23(3)). Pour les environnements OT, cela signifie qu’une perte de visibilité — l’incapacité à surveiller les processus industriels — peut constituer un incident à déclarer même si la production physique se poursuit. Un système SCADA rendu aveugle ou un tableau de bord de surveillance qui ne répond plus peut atteindre le seuil déclenchant une notification obligatoire, entraînant un examen réglementaire et d’éventuelles sanctions.

Les évaluations des risques de l’IEC 62443 examinent les conséquences selon des dimensions de sécurité, environnementales, financières et opérationnelles. Le cadre considère la perte de visibilité (LOV) et la perte de contrôle (LOC) comme des impacts significatifs nécessitant des contrôles de sécurité. Sur le plan opérationnel, les évaluations conformes à l’IEC 62443 doivent prendre en compte des scénarios d’interruption d'activité au-delà du seul arrêt de la production — y compris une surveillance dégradée, une capacité de contrôle altérée et des états de restauration qui ne peuvent pas être validés comme sûrs.

Les organisations qui ont quantifié leur coût d’interruption d'activité OT sont mieux placées pour démontrer leur conformité à la fois à NIS2 et à l’IEC 62443. Une estimation documentée des coûts montre aux autorités de régulation que l’organisation a évalué l’impact financier d’une perturbation, que les investissements sont proportionnés à l’exposition évaluée et que les capacités de restauration ont été validées au regard d’objectifs définis. Cette documentation appuie également les exigences de planification de la continuité des activités intégrées dans les deux cadres.

Le coût moyen varie considérablement selon le secteur d’activité. Dans la fabrication automobile, le coût d’une interruption d'activité peut atteindre 2,3 millions de dollars par heure (Source : Siemens, True Cost of Downtime, 2024), tandis que la médiane dans l’ensemble des secteurs industriels est d’environ 125 000 dollars par heure (Source : ABB, Value of Reliability Survey, 2023). Dans l’industrie lourde, le coût d’une interruption d'activité peut atteindre 59 millions de dollars par heure. Ces chiffres représentent uniquement la perte directe de production ; le coût total, y compris les impacts indirects, est plus élevé.

Une interruption d'activité OT arrête la production physique, entraînant une perte irrécupérable — les biens qui n’ont pas été fabriqués pendant la panne ne peuvent ni être rattrapés ultérieurement ni être mis en file d’attente. Une interruption d'activité IT perturbe principalement l’accès aux données et la productivité, qui peuvent souvent être partiellement restaurés. La restauration OT nécessite également une validation de la sûreté et un séquencement du redémarrage que les systèmes IT n’exigent pas, ce qui augmente le coût total. Les environnements OT donnent la priorité à la disponibilité plutôt qu’à la confidentialité, tandis que les modèles de risque IT inversent généralement cette priorité.

Au titre de NIS2, tout incident provoquant ou susceptible de provoquer une perturbation opérationnelle grave ou une perte financière doit faire l’objet d’un reporting — y compris la perte de visibilité, la perte de contrôle et l’impossibilité de restaurer en toute sécurité. Les évaluations des risques IEC 62443 évaluent également la perte de visibilité (LOV) et la perte de contrôle (LOC) comme des scénarios d’impact significatifs. Il n’est pas nécessaire que la production physique s’arrête pour qu’un incident constitue une interruption d'activité devant faire l’objet d’un reporting dans le cadre de ces référentiels.

Le MTTR (Mean Time to Recover) mesure le temps moyen entre la survenue d’une défaillance et la restauration complète. C’est important, car coût total = taux horaire x MTTR + coûts secondaires croissants. Réduire le MTTR de 50 % peut réduire le coût total de plus de 50 %, car les coûts secondaires (rebuts, pénalités, heures supplémentaires) qui augmentent avec la durée sont eux aussi réduits. Le MTTR est la variable la plus directement contrôlable dans l’équation du coût de l’interruption d'activité.

La stratégie la plus efficace consiste à réduire le MTTR grâce à une restauration OT automatisée basée sur des images. Des solutions comme Acronis Cyber Protect for OT permettent une restauration rapide des IHM, des serveurs SCADA et des systèmes historiques sans réinstallation manuelle du système d’exploitation. Parmi les autres stratégies figurent la maintenance prédictive pour réduire la fréquence des incidents, l’estimation des coûts propre à chaque site pour prioriser les investissements, et la conformité à NIS2/IEC 62443 pour éviter les pénalités réglementaires.

La dérive des coûts salariaux correspond au coût des salaires versés à des collaborateurs incapables d’effectuer un travail productif pendant un événement d’interruption d'activité OT. Elle se calcule comme suit : collaborateurs concernés x heures d’interruption d'activité x salaire horaire moyen. Par exemple, 20 collaborateurs à 30 $/heure pendant une panne d’une heure représentent 600 $ de dérive des coûts salariaux. Cela représente le plancher absolu du coût d’une interruption d'activité avant de prendre en compte la perte de revenus, la main-d’œuvre de restauration, les rebuts ou les pénalités. C’est utile parce que ce coût peut être calculé immédiatement à partir de données de base sur les effectifs.

Ce contenu a été traduit à l’aide de l’IA et vérifié ponctuellement par les responsables régionaux d’Acronis. Bien que ce processus réduise le risque d’erreurs, des inexactitudes peuvent néanmoins subsister. En cas de divergence ou d’ambiguïté, la version anglaise officielle fait foi. Acronis décline toute responsabilité quant aux conséquences pouvant résulter d’erreurs de traduction.