9 623 services d’eau : l’alerte américaine et nos moyens

Le fait

Paul Nakasone, ancien directeur de la NSA et ancien chef du commandement cyber américain, aujourd’hui à la tête d’un institut de sécurité nationale à l’université Vanderbilt, s’est exprimé le 7 août à la conférence DEF CON. Son message, rapporté par The Register : les automates de commande des réseaux d’eau ne devraient pas être joignables depuis internet, et le secteur doit relever son niveau d’exigence. « We have to have higher standards », a-t-il déclaré, soit des exigences plus élevées que celles d’aujourd’hui.

Le contexte tient en une ligne. Des systèmes d’eau ont été touchés dans au moins douze États américains en juillet, avec des soupçons qui pointent vers l’Iran, sans que l’attribution officielle soit actée. Le décor, lui, est documenté : la CISA recense plus de 152 000 systèmes publics d’eau potable aux États-Unis, dont environ 50 000 systèmes communautaires qui alimentent plus de 80 % de la population. Un secteur vital, éclaté en dizaines de milliers d’opérateurs de toutes tailles.

Notre regard

Cet éclatement, c’est exactement notre situation, et c’est le vrai sujet. Le rapport national Sispea publié en juin 2026, sur données 2024, recense 9 623 services d’eau potable et 11 085 services d’assainissement collectif, soit 22 856 services portés par 12 685 collectivités. La moyenne nationale s’établit à 7 081 habitants par service d’eau potable, mais elle ne dit rien du terrain : 55 % des services desservent moins de 1 000 habitants, et ceux de moins de 3 500 habitants pèsent 74 % du total pour seulement 6 % de la population.

Un ordre de grandeur manque à ce tableau : nous avons croisé ces deux proportions, et il en ressort que les quelque 7 100 plus petits services desservent en moyenne moins de 600 personnes chacun. À cette échelle, il n’y a pas d’équipe de sécurité, souvent pas d’informaticien à temps plein, et le pilotage technique repose sur un prestataire qui passe quelques jours par an. Ce n’est pas de la négligence : c’est une question de taille. L’asymétrie est là, pas dans la sophistication des attaquants.

Les signalements le confirment à leur manière. Entre janvier 2021 et août 2024, l’ANSSI a reçu notification de 46 incidents dans le secteur de l’eau, dont trois quarts émanant de collectivités, selon la note relayée par la Banque des territoires. Rapporté à 9 623 services, ce total est trop bas pour refléter la réalité : il mesure surtout la capacité à détecter et à déclarer, qui dépend elle aussi des moyens. Le même angle mort se retrouve dans les chiffres de la cybermalveillance en France.

La nuance

Atteindre un équipement de pilotage et empoisonner un réseau sont deux choses différentes, et les confondre dessert tout le monde. Les incidents documentés côté français ont d’abord frappé l’administratif et la supervision : facturation à l’arrêt, conduite d’installation à reprendre autrement. La menace la plus courante y reste le rançongiciel, pas la manipulation d’un traitement.

Surtout, l’exploitant n’est pas seul juge de l’eau qu’il distribue. Le contrôle sanitaire relève des agences régionales de santé, indépendamment de l’opérateur, et vient s’ajouter à l’autosurveillance que celui-ci pratique. En cas de dépassement, l’ARS peut prescrire des restrictions d’usage et l’exploitant doit informer les usagers, en lien avec les maires. À cela s’ajoutent des barrières physiques, des seuils et des redondances : un réseau d’eau ne se conduit pas comme un interrupteur, et une anomalie de qualité laisse des traces mesurées par d’autres que celui qui exploite.

La bonne inquiétude n’est donc pas le scénario du poison. Elle porte sur la continuité du service : la durée d’une coupure dans une commune sans plan de reprise, et le temps qu’il faut à un petit service pour reprendre la main sur ses installations.

À surveiller

Le cadre français avance sur deux jambes. La première : le CERT-FR a publié le 22 janvier 2026 des recommandations pour l’eau et l’énergie, destinées aux exploitants comme aux installateurs, avec un parti pris utile pour les petites structures, celui de s’appuyer sur l’équipement déjà en place plutôt que d’acheter des solutions supplémentaires.

La seconde : la directive NIS 2, qui doit faire entrer beaucoup de collectivités et d’opérateurs d’eau dans un périmètre réglementé. Le projet de loi de transposition, adopté par le Sénat le 12 mars 2025, n’était toujours pas voté définitivement à l’été 2026, comme le montre son dossier législatif. L’ANSSI a pris les devants en publiant en mars 2026 le Référentiel Cyber France, mentionné à l’article 14 du projet, et met à disposition un simulateur pour savoir qui sera concerné. C’est la même agence qui, sur d’autres terrains, diffuse ses mises en garde sur l’IA avant que la règle existe.

Reste la question des moyens. Un syndicat intercommunal de quelques milliers d’habitants ne devient pas conforme parce qu’un texte le lui demande. Ce qu’il faudra regarder : si l’obligation arrive accompagnée d’un financement et d’un appui mutualisé, ou toute seule. En attendant, un geste simple : votre commune ou votre syndicat publie chaque année un rapport sur le prix et la qualité de l’eau. Demandez-y qui répond la nuit en cas d’incident, et avec quel budget.