Hôpitaux, paiements, transports : construire le jumeau socio-cyber d’une infrastructure critique

Jean Langlois-Berthelot et Marc-Olivier Boisset

Un hôpital perd l’accès à ses résultats de biologie. Une banque interrompt une partie de ses paiements. Un réseau de transport ne peut plus informer ses voyageurs. Dans chacun de ces cas, la première carte de la crise est technique : équipements touchés, logiciels indisponibles, flux interrompus, données compromises. Pourtant, cette carte cesse rapidement de correspondre au territoire réel de l’incident.

Les patients se reportent vers un autre établissement. Les clients recherchent des espèces ou changent de moyen de paiement. Les voyageurs empruntent une ligne différente, utilisent leur voiture ou renoncent à se déplacer. Les centres d’appel reçoivent davantage de demandes. Les agents improvisent des procédures manuelles. Les décisions prises pour protéger le système déplacent parfois la perturbation vers un autre service.

Une infrastructure critique n’est donc pas seulement un assemblage d’actifs. Elle constitue un service rendu à une population. Sa robustesse dépend autant de la résistance de ses composants que de la manière dont ses utilisateurs, ses personnels et ses partenaires réagissent à leur indisponibilité.

Le jumeau numérique s’arrête encore trop souvent à la machine

Le principe du jumeau numérique est désormais bien établi. Un système réel possède une représentation virtuelle alimentée par des données historiques ou actualisées. Cette représentation permet de suivre son état, de tester des modifications, de détecter des anomalies et de simuler des évolutions sans mettre directement l’infrastructure en danger.

Le National Institute of Standards and Technology définit le jumeau comme une représentation électronique d’entités réelles et de leurs changements d’état. En février 2025, le NIST a consacré un rapport complet aux conditions de sécurité et de confiance nécessaires à cette technologie. Ce déplacement est significatif : le jumeau n’est plus seulement un outil d’ingénierie. Il devient lui-même un système numérique sensible, connecté à l’objet qu’il représente et susceptible d’influencer les décisions prises sur celui-ci.

Le cadre de référence est présenté dans le rapport Security and Trust Considerations for Digital Twin Technology publié par le NIST en février 2025.

L’Europe effectue le même mouvement. Le programme de travail Horizon Europe consacré à la sécurité civile en 2025 prévoit explicitement la création de jumeaux numériques pour les infrastructures critiques et pour les entités essentielles ou importantes relevant de NIS2. Il associe cet objectif au développement d’outils de gestion opérationnelle des crises cyber transfrontalières et à la coopération entre CSIRT, autorités publiques et réseau EU-CyCLONe.

Cette orientation figure dans le programme Horizon Europe 2025 consacré à la sécurité civile.

La logique reste pourtant principalement cyberphysique. Le modèle reproduit les machines, les capteurs, les flux, les dépendances techniques et parfois les équipes chargées de les opérer. Il décrit plus difficilement ce que font les milliers ou les millions de personnes qui dépendent du service lorsque celui-ci se dégrade.

Cette absence ne constitue pas un détail. Une solution de secours techniquement disponible peut devenir inutilisable si trop d’usagers s’y reportent simultanément. Une procédure manuelle peut fonctionner pendant deux heures et s’effondrer au bout de deux jours. Une communication exacte peut provoquer des comportements préventifs qui aggravent temporairement la saturation. La machine est alors correctement modélisée, mais l’impact de sa panne reste sous-estimé.

Ajouter les usages, les reports et les décisions

Un jumeau socio-cyber doit superposer trois représentations. La première est celle de l’infrastructure : ses composants, ses logiciels, ses données, ses dépendances et ses solutions de repli. La deuxième est celle des usages : qui dépend du service, à quel moment, avec quelles alternatives et sous quelles contraintes. La troisième est celle de la décision : quelles autorités interviennent, quels seuils déclenchent une action, quelles informations leur parviennent et quels effets leurs choix produisent sur le système.

Prenons un réseau hospitalier. Le jumeau classique peut reproduire les serveurs, les applications, les laboratoires, les stocks et les liaisons entre établissements. Le jumeau socio-cyber ajoute les catégories de patients, les motifs de consultation, les capacités de déplacement, les délais acceptables, les établissements de report et les réactions des personnels. Il peut alors simuler non seulement la panne d’un laboratoire, mais la géographie nouvelle des soins créée par cette panne.

Le même raisonnement s’applique aux paiements. Le modèle ne doit pas seulement représenter les processeurs, les terminaux et les banques. Il doit intégrer la part des commerçants capables de basculer vers une autre solution, la disponibilité des espèces, la localisation des distributeurs, les horaires, les files d’attente et les populations pour lesquelles le paiement numérique constitue l’unique accès pratique à un bien essentiel.

Dans les transports, une panne d’information ou de billettique modifie les choix d’itinéraire. Ces choix affectent à leur tour la circulation routière, les réseaux voisins, les services d’assistance et parfois l’accès aux établissements de santé ou aux lieux de travail. Une simulation utile ne cherche donc pas simplement à calculer combien de trains restent disponibles. Elle cherche à comprendre comment la ville se reconfigure lorsque la confiance dans le réseau ou l’accès au service se dégrade.

La Commission européenne a déjà engagé cette extension à l’échelle urbaine. Son Local Digital Twin Toolbox, achevé en juin 2026, fournit aux villes une infrastructure ouverte et interopérable pour modéliser la mobilité, l’énergie, le climat urbain et l’espace public. Le dispositif comprend onze outils, six modèles d’intelligence artificielle et une plateforme européenne de données. Il ne constitue pas encore un jumeau socio-cyber complet, mais il démontre que des politiques urbaines, des flux physiques et des comportements opérationnels peuvent être réunis dans un même environnement de simulation.

La Commission présente l’achèvement et l’ouverture du EU Local Digital Twin Toolbox en juin 2026.

Un cas publié en juillet 2026 va plus loin : un modèle multi-agents reproduit les patrouilles de police, le réseau routier et les événements d’urgence afin d’évaluer les délais d’intervention et les goulets d’étranglement. L’intérêt n’est pas de prédire chaque déplacement réel, mais de faire émerger les effets de la distribution des véhicules, du trafic et de la densité des incidents.

Le démonstrateur est documenté dans la boîte à outils européenne sous le nom de SPADE Police Routing Tool.

Il devient alors possible d’imaginer l’étape suivante : injecter dans ce même environnement une panne de communications, la compromission d’un outil de répartition ou une campagne de faux appels d’urgence. Le jumeau mesurerait simultanément l’attaque, les réactions des opérateurs, la redistribution des moyens et les conséquences sur la population.

Transformer le jumeau en champ d’épreuve

Un jumeau socio-cyber ne doit pas être conçu comme une reproduction décorative de la réalité. Sa valeur réside dans les expériences qu’il permet de conduire. Il faut pouvoir y supprimer une ressource, modifier un comportement, introduire une information contradictoire, prolonger une panne ou déplacer l’attaque vers un prestataire commun à plusieurs secteurs.

L’exercice peut alors rechercher les seuils de rupture. Combien de temps les procédures dégradées restent-elles soutenables ? À partir de quel volume le service de substitution sature-t-il ? Quelle population perd l’accès en premier ? Quel message limite les comportements de précaution sans masquer la gravité de l’incident ? Quelle décision réduit l’impact local mais l’aggrave dans un secteur voisin ?

Cette approche modifie la préparation aux crises. Les équipes cyber ne travaillent plus seules sur une copie du réseau. Elles interagissent avec les responsables métiers, les opérateurs d’infrastructures, les communicants, les autorités et les décideurs publics. Chacun observe une partie différente du même incident, tandis que la simulation en restitue les effets combinés.

Elle impose également de protéger le jumeau. Un modèle connecté à des données opérationnelles peut révéler les dépendances les plus sensibles d’une infrastructure. S’il est altéré, il peut produire un diagnostic trompeur ou conduire les décideurs à engager des ressources au mauvais endroit. Le NIST insiste précisément sur l’intégrité des données, l’authentification des échanges, la traçabilité des changements et la confiance accordée aux modèles. Un jumeau de sécurité mal sécurisé deviendrait paradoxalement un instrument de reconnaissance ou de désinformation pour l’adversaire.

Il faut enfin accepter une limite : une population synthétique n’est jamais la population réelle. Ses comportements reposent sur des données incomplètes, des hypothèses et des règles simplifiées. La validation du modèle doit donc porter moins sur sa capacité à annoncer exactement la prochaine crise que sur sa capacité à reproduire des mécanismes connus, à faire varier explicitement les hypothèses et à rendre les résultats discutables par les experts.

Le bon jumeau ne dit pas ce qui arrivera. Il permet de découvrir ce que nous n’avions pas pensé à regarder.

La prochaine génération de cyber ranges devra accomplir cette jonction. Elle ne reproduira plus seulement les réseaux et leurs attaquants, mais aussi les services rendus, les comportements de report et les décisions institutionnelles. À ce moment, l’infrastructure critique cessera d’être modélisée comme une machine isolée. Elle apparaîtra pour ce qu’elle est réellement : un système technique habité par une société.