Votre projet de tunnel européen pourrait être retardé par une cyberattaque

Qui décide des délais et des coûts du projet ? Une gouvernance complexe entre États et acteurs privés

Le tunnel de base du Brenner, projet phare du corridor européen reliant l’Italie à l’Autriche, est cofinancé par les États membres et des acteurs privés comme BBT SE, la société chargée de sa construction et de son exploitation. Les décisions sur les éventuels retards ou surcoûts relèvent d’un comité de pilotage réunissant les gouvernements italien et autrichien, la Commission européenne, et les actionnaires du consortium. En cas de cyberattaque, c’est ce comité qui évalue les impacts et propose des ajustements, sous réserve d’un accord politique. Aucune règle ne prévoit explicitement une indemnisation automatique des victimes, mais les contrats publics incluent souvent des clauses de force majeure. Les délais de décision varient : une réponse sous 30 jours est courante pour les ajustements techniques, mais les arbitrages politiques peuvent prendre plusieurs mois.

Quels risques pour les voyageurs et les entreprises ? Des perturbations en cascade

Pour les particuliers : des trajets perturbés et des coûts imprévus

Les billets déjà achetés ne sont pas concernés par des annulations, mais les retards pourraient entraîner des remboursements partiels pour les trajets combinés (train + hôtel). À plus long terme, une hausse des prix des billets est envisageable si les coûts de construction augmentent, bien que BBT SE n’ait pas encore communiqué sur ce point.

Pour les entreprises : des chaînes logistiques sous pression

Le tunnel est un maillon clé pour le transport de marchandises entre l’Europe du Nord et la Méditerranée. Une perturbation prolongée pourrait alourdir les coûts logistiques pour les secteurs dépendants de ce corridor, comme l’automobile ou l’agroalimentaire. Les assureurs spécialisés dans les risques cyber pourraient être sollicités pour couvrir les pertes, mais les franchises élevées rendent cette option coûteuse pour les PME. Les géants du transport, comme DB Cargo ou Hupac, disposent de plans de contingence pour dévier les flux, mais leur activation dépend de la durée effective des perturbations.

Pour les pouvoirs publics : un précédent inquiétant pour les grands projets

Au-delà des conséquences immédiates, cette cyberattaque pose une question de sécurité pour les infrastructures critiques européennes. Le tunnel du Brenner, comme d’autres projets similaires (comme le tunnel de Lyon-Turin), repose sur des systèmes informatiques interconnectés, dont la protection est souvent sous-traitée à des sociétés spécialisées. Les États membres pourraient être incités à renforcer les exigences en matière de cybersécurité dans les appels d’offres publics, ce qui alourdirait les budgets. La Commission européenne pourrait aussi examiner si les fonds structurels alloués au projet couvrent les surcoûts liés à des attaques extérieures, un sujet encore flou dans les directives actuelles.

Qui sont les responsables et quelles sont leurs marges de manœuvre ?

BBT SE : entre transparence et limites techniques

La société a confirmé l’attaque sans détailler son ampleur, se limitant à indiquer que des données « accessibles depuis Internet » avaient été compromises. Cette formulation suggère que les pirates ont exploité une faille dans les systèmes exposés au réseau public, une méthode courante pour les groupes cherchant à maximiser leur impact avec un effort minimal. BBT SE dispose d’un budget dédié à la cybersécurité, mais comme beaucoup d’entreprises du BTP, elle doit concilier investissements préventifs et pression sur les coûts. Les experts estiment qu’une réponse efficace passe par l’isolement des systèmes critiques et la collaboration avec les autorités, comme l’Office fédéral de la cybersécurité autrichien (BSI) ou son équivalent italien (ACN).

Les autorités : entre répression et prévention

Les soupçons pèsent sur le même groupe criminel ayant ciblé Stadler Rail cet été, une entreprise spécialisée dans les trains à grande vitesse. Ce recoupement renforce l’hypothèse d’une campagne ciblée contre des acteurs clés des transports européens. Les services de police judiciaire, comme Eurojust, pourraient coordonner une enquête transfrontalière, mais les délais pour identifier et neutraliser ces réseaux restent longs. À moyen terme, les États pourraient envisager des sanctions pénales plus lourdes pour les cybercriminels ciblant les infrastructures stratégiques, une piste déjà discutée dans le cadre de la révision de la directive NIS 2.

Un schéma criminel qui se précise : l’extorsion comme modèle

Cette attaque s’inscrit dans une tendance observée depuis 2024 : des groupes organisés ciblent les entreprises du secteur des transports pour obtenir des rançons, en misant sur leur dépendance aux systèmes informatiques et leur volonté d’éviter les perturbations. Contrairement aux ransomwares classiques, ces attaques visent rarement à paralyser les systèmes, mais à voler des données sensibles (plans, contrats, données clients) pour les revendre ou les utiliser comme levier de chantage. Stadler Rail avait payé 10 millions de francs suisses pour éviter une fuite de données, un montant qui pourrait servir de référence pour BBT SE. Les spécialistes soulignent cependant que céder au chantage encourage les nouveaux assauts, d’où l’importance d’une réponse collective.

Que faire concrètement ? Trois vérifications pour les usagers et professionnels

Les voyageurs et entreprises concernés peuvent vérifier si leur trajet ou leur chaîne logistique transitera par le tunnel dans les prochains mois via les plateformes officielles de BBT SE ou des opérateurs ferroviaires. Les assurances « protection juridique » incluent parfois une couverture pour les retards dus à des cyberattaques : il convient de consulter son contrat pour connaître les limites. Enfin, les collectivités locales dépendantes du trafic ferroviaire (comme les gares de Fortizza ou de Brennero) peuvent se renseigner auprès des préfectures sur les plans de continuité d’activité prévus en cas de crise.

Une question ouverte : jusqu’où les États sont-ils prêts à aller pour protéger ces infrastructures ?

Le vrai débat ne porte pas sur la responsabilité de BBT SE, mais sur le niveau de protection acceptable pour des projets d’une telle envergure. Faut-il imposer des audits cybersécurité obligatoires pour tout contrat public dépassant un certain seuil ? Les États doivent-ils mutualiser leurs moyens de défense, comme le propose une partie de la Commission européenne ? Et surtout, comment concilier sécurité et coûts, alors que les budgets publics sont déjà tendus ? Les réponses à ces questions détermineront si le tunnel du Brenner restera une vitrine de l’intégration européenne… ou un symbole de ses failles.

Les limites de la réponse technique : pourquoi la prévention reste difficile

Même avec des investissements massifs, les cyberattaques ciblées restent difficiles à anticiper. Les groupes criminels évoluent plus vite que les systèmes de défense, et les failles zero-day (inconnues des éditeurs de logiciels) sont leur arme favorite. Une solution souvent avancée est la segmentation des réseaux : isoler les systèmes critiques des autres pour limiter les dégâts. Mais cette approche, coûteuse et complexe à mettre en œuvre sur un chantier comme celui du Brenner, nécessite une refonte profonde des infrastructures. À court terme, la formation des employés et les simulations de crise (comme celles menées par le BSI) restent les outils les plus efficaces, mais leur impact est limité sans une volonté politique forte.

Le tunnel du Brenner : un projet trop ambitieux pour être protégé ?

Avec un budget initial de 25 milliards d’euros et une durée de construction prévue jusqu’en 2032, le tunnel incarne les défis de l’Europe : concilier mégaprojets, innovation et sécurité. Les cyberattaques ne sont pas une fatalité, mais elles révèlent une vulnérabilité structurelle : celle d’un continent qui mise sur l’interconnexion sans toujours en maîtriser les risques. La question n’est plus de savoir si une nouvelle attaque aura lieu, mais quand, et surtout, comment les acteurs publics et privés réagiront.