Ce que le ministère de la Défense a découvert

Le correspondant défense du Telegraph, Richard Holmes, a rapporté le 9 août 2026 que des caméras de surveillance installées sur les drones marins K3 Scout de la Royal Navy, utilisés par les Royal Marines et étroitement liés aux opérations du Special Boat Service depuis Poole, contenaient des composants fabriqués en Chine envoyant des "communications heartbeat" vers un appareil situé en Chine. Un porte-parole du ministère de la Défense a confirmé l'essentiel de l'affaire : les transmissions avaient été repérées lors d'une "évaluation de routine de la vulnérabilité informatique" de la flotte K3, et les informations échangées confirmaient seulement que la caméra était connectée et fonctionnelle, sans données opérationnelles. Après cette découverte, le MoD a coupé toute connectivité internet des caméras concernées.

La position officielle du MoD, répétée à plusieurs médias, est qu'une enquête ultérieure n'a trouvé aucune preuve que des données ou des systèmes du MoD aient été consultés, compromis ou transmis à l'extérieur. C'est une affirmation plus restreinte que de dire que les composants étaient sûrs : elle confirme l'absence d'exfiltration connue, pas que ce comportement d'appel vers l'extérieur ait été voulu, déclaré ou prévu.

La flotte de 12 millions de livres derrière Project Beehive

Le K3 Scout est un véhicule de surface sans équipage de 8,4 mètres construit par Kraken Technology Group, un industriel britannique de défense basé à Fareham, dans le Hampshire. La Royal Navy a chargé Kraken de fournir 20 unités K3 Scout et leurs systèmes de contrôle au sol dans le cadre de Project Beehive, un programme visant à intégrer des embarcations sans équipage à grande vitesse dans les opérations de la flotte ; les unités peuvent transporter des charges utiles de capteurs, de fret ou d'armement, et ont aussi été testées lors d'essais tels qu'un largage aérien depuis un A400M de la Royal Air Force. La flotte, d'une valeur de 12 millions de livres, est en service auprès des Royal Marines depuis mars 2026, certaines unités étant réservées, selon des informations, à un déploiement dans le Golfe pour protéger la navigation dans le détroit d'Ormuz.

Kraken Technology Group a déclaré aux journalistes que les caméras étaient conformes à la norme NDAA - la norme américaine d'achat de défense qui exclut certains fournisseurs chinois -, tout en reconnaissant que les unités contenaient "un petit nombre de composants provenant de l'extérieur du Royaume-Uni", achetés selon elle à un fournisseur tiers ayant donné des garanties de sécurité. Kraken a soutenu qu'aucune information sensible n'avait été partagée.

Où la chaîne de garanties s'est vraiment rompue

La chaîne comporte ici trois maillons : Kraken a construit et vendu le K3 Scout à la Royal Navy ; Kraken a acheté le module caméra à un fournisseur tiers ; ce fournisseur a donné à Kraken des garanties de sécurité sur le composant. Aucune de ces garanties n'a détecté le trafic heartbeat avant que les unités ne soient déployées. Il n'a été mis au jour qu'environ cinq mois après le début de l'utilisation opérationnelle, lorsque le MoD a mené une évaluation de routine de la vulnérabilité informatique - le type de contrôle qui a lieu périodiquement, pas celui intégré à l'intégration de la pièce d'un nouveau fournisseur.

La ministre de l'ombre chargée de la sécurité, Alicia Kearns, a déclaré que l'épisode montrait comment des vulnérabilités de la chaîne d'approvisionnement pouvaient compromettre une capacité de défense souveraine, même lorsque le maître d'œuvre est britannique et qu'une norme de conformité (NDAA) a été formellement respectée. C'est précisément ce que la paperasse de conformité ne capture pas : un composant peut satisfaire une norme nommée et une garantie écrite d'un fournisseur tout en se comportant, en production, d'une manière que personne, en amont, n'a testée ni déclarée.

Ce que cela signifie pour les entreprises de l'UE et du Royaume-Uni au-delà de la défense

Ce n'est pas seulement un problème du ministère de la Défense. Les modules de caméra et de capteur fabriqués en Chine équipent une immense variété de matériel commercial acheté par des entreprises ordinaires de l'UE et du Royaume-Uni : caméras de sécurité, systèmes de contrôle d'accès, capteurs de bâtiments intelligents, équipements de surveillance industrielle, voire bornes destinées au public. Le cas du K3 Scout montre qu'une garantie documentaire d'un fournisseur - "conforme à la NDAA", "aucune donnée sensible partagée", un questionnaire de sécurité signé - n'équivaut pas à l'affirmation "nous avons vérifié ce que cet appareil fait réellement sur le réseau", et les deux peuvent diverger sans que personne dans la chaîne ne s'en aperçoive, jusqu'à ce qu'un audit indépendant le découvre par hasard.

Au titre de NIS2, les entités essentielles et importantes de toute l'UE (énergie, santé, infrastructures numériques, fabricants de produits critiques, et plus encore) portent une obligation explicite de gestion des risques de la chaîne d'approvisionnement : l'article 21(2)(d) exige d'évaluer les pratiques de sécurité des fournisseurs directs et des prestataires de services, pas seulement leur paperasse. En France, cette obligation se traduit dans la transposition de NIS2, avec l'ANSSI comme autorité de référence pour les entités concernées. L'épisode de la Royal Navy illustre concrètement pourquoi cette obligation devrait se traduire par une étape technique, et pas seulement contractuelle. Une équipe achats qui veut éviter de découvrir son propre problème de "heartbeat" cinq mois après la mise en service devrait exiger, avant tout déploiement, une capture indépendante du trafic réseau de tout module de caméra, de capteur ou d'IoT tiers, en vérifiant où il se connecte réellement, et pas seulement ce que le fournisseur affirme qu'il ne fait pas. Le Royaume-Uni échappe à la juridiction de NIS2, mais fait face à la même exposition pratique, raison pour laquelle son propre NCSC a publié des recommandations similaires sur les garanties de la chaîne d'approvisionnement.

À lire ensuite: Changez chaque clé de CI utilisée le 4 août  |  Le correctif signe les fichiers neufs, pas l'archive