Télégestion, supervision SCADA, capteurs et cybersécurité des ouvrages

Cadre réglementaire et référentiels de la cybersécurité des ouvrages d'eau

La directive NIS 2 : un texte français à venir

La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, impose un niveau élevé commun de cybersécurité dans l'Union européenne. Elle classe l'eau potable et les eaux usées parmi les secteurs hautement critiques et la gestion des déchets parmi les secteurs critiques. Les entités concernées, dites essentielles ou importantes selon leur taille et leur activité, devront gérer leurs risques, notifier les incidents significatifs et répondre de leur gouvernance devant une autorité. Les États membres devaient la transposer avant le 17 octobre 2024.

En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le Sénat l'a adopté en mars 2025 et l'Assemblée nationale devait l'examiner à partir du 7 octobre 2026 ; son adoption définitive n'est pas confirmée à la date de rédaction de cette page. Les obligations nationales sont donc à venir : nous proposons une préparation, jamais une mise en conformité à NIS 2. La page de l'ANSSI consacrée à la directive et le texte de la directive sur EUR-Lex sont les références à suivre.

Le régime actuel : opérateurs d'importance vitale et services essentiels

Aujourd'hui, la sécurité de certains systèmes d'information est encadrée par la loi de programmation militaire du 18 décembre 2013 (article 22, codifié notamment à l'article L. 1332-6-1 du Code de la défense). Les opérateurs d'importance vitale (OIV) désignés dans un secteur d'activités d'importance vitale, dont celui de la gestion de l'eau, déclarent leurs systèmes d'information d'importance vitale, appliquent des règles de sécurité fixées par arrêté sectoriel (pour l'eau, l'arrêté du 17 juin 2016), notifient leurs incidents et peuvent être contrôlés. La foire aux questions de l'ANSSI sur les systèmes d'importance vitale précise ces obligations ; les listes de systèmes y sont protégées par le secret de la défense nationale. La loi n° 2018-133 du 26 février 2018, issue de la première directive NIS (Network and Information Security, sécurité des réseaux et des systèmes d'information), vise les opérateurs de services essentiels.

Les audits de sécurité des systèmes d'importance vitale relèvent de prestataires d'audit qualifiés par l'ANSSI (PASSI). Un prestataire non qualifié ne peut pas se présenter comme tel. Les opérateurs concernés connaissent leur statut ; la plupart des services d'eau et d'assainissement de taille moyenne n'en font pas partie aujourd'hui, mais ils exploitent des systèmes comparables et sont exposés aux mêmes risques.

Les référentiels pour les systèmes industriels

L'ANSSI publie des guides pour la sécurité des systèmes industriels : une méthode de classification en version 2.0 de mars 2025, qui répartit les systèmes en classes selon leurs enjeux, et un guide de mesures détaillées en version 2.0 de novembre 2025, qui traduit chaque classe en mesures. Ces guides ne sont pas normatifs, sauf disposition réglementaire contraire. La série de normes IEC (Commission électrotechnique internationale) 62443, élaborée avec l'IEC, organise la sécurité des automatismes industriels autour des zones, des conduits et de niveaux de sécurité, et distingue les rôles de l'exploitant, de l'intégrateur et du fabricant.

Le règlement (UE) 2024/2847 sur la cyberrésilience (CRA) impose aux fabricants de produits comportant des éléments numériques des exigences de sécurité et de notification des vulnérabilités ; les obligations de notification s'appliquent depuis le 11 septembre 2026 et l'essentiel des exigences à partir du 11 décembre 2027. Il concerne surtout les fabricants et les importateurs, mais il influence les clauses à demander aux fournisseurs. La CNIL reste compétente pour les données personnelles issues, par exemple, de la télérelève des compteurs.

Enjeux d'un service d'eau ou d'assainissement

Une architecture construite par étapes

Un réseau de télégestion relie des ouvrages distants à un poste central. Chaque poste local comprend un automate, des entrées et sorties, un moyen de communication et des capteurs. La communication emprunte des réseaux mobiles, des liaisons radio ou des réseaux bas débit. L'extinction progressive des réseaux 2G et 3G des opérateurs oblige à remplacer des modems anciens, ce qui est l'occasion de revoir l'architecture. Le poste de supervision (SCADA) centralise les alarmes, les historiques et les commandes ; il est souvent connecté à la bureautique pour l'édition de rapports et à l'extérieur pour la maintenance.

Ces ouvrages sont dispersés, peu surveillés physiquement et exploités par une équipe réduite. Les risques sont concrets : accès distant de prestataires non maîtrisé, mots de passe partagés ou inchangés depuis l'installation, automates accessibles depuis un réseau étendu, absence de sauvegarde des programmes, postes de supervision non mis à jour. Un incident peut arrêter un pompage, dérégler une consigne de traitement ou falsifier une donnée d'autosurveillance.

Capteurs, débitmètres et métrologie

La fiabilité d'une supervision dépend d'abord de la mesure. Capteurs de niveau, de pression, de débit, de turbidité, de chlore ou d'ammonium doivent être choisis pour leur plage et leur environnement, installés selon les règles de l'art, entretenus et vérifiés. La gestion métrologique fixe les périodicités de vérification et d'étalonnage, la traçabilité des raccordements et le traitement des dérives. Pour l'assainissement, les dispositifs d'autosurveillance suivent le manuel d'autosurveillance du système et les prescriptions de l'arrêté du 21 juillet 2015. La radiorelève et la télérelève des compteurs ajoutent des enjeux de protection des données et de sécurité des liaisons.

Rôles et responsabilités

Le maître d'ouvrage décide des investissements et fixe les exigences de sécurité dans ses marchés. L'exploitant, régie ou délégataire, fait fonctionner le système et en répond au quotidien. L'intégrateur conçoit, programme et met en service ; le fabricant fournit les équipements et les correctifs. Le responsable de la sécurité des systèmes d'information, quand il existe, connaît mal les automates, tandis que l'automaticien connaît mal les risques informatiques : rapprocher ces deux cultures est un enjeu central. Les contrats doivent préciser qui détient les mots de passe, qui sauvegarde les programmes, qui peut se connecter à distance et comment les incidents sont signalés.

Objets connectés et télérelève

Les capteurs communicants à faible consommation, les compteurs à radiorelève et les objets connectés (IoT) se multiplient parce qu'ils sont peu coûteux à poser et à interroger. Ils déplacent pourtant la frontière du système : chaque passerelle, chaque plateforme d'hébergement des données et chaque application mobile de maintenance devient un point d'entrée possible. Avant de généraliser un réseau d'objets, il convient de décider qui héberge les données, comment les clés de chiffrement sont gérées, comment les équipements sont mis à jour pendant leur durée de vie, et ce qui se passe quand le fabricant disparaît ou change de plateforme. Ces questions se posent dans le cahier des charges, pas après la pose.

Situations de terrain

Segmentation, durcissement et détection

La segmentation sépare les réseaux selon leurs fonctions : bureautique, supervision, automates, accès distants. Les flux autorisés entre zones sont listés et filtrés, ce qui limite la propagation d'un incident. Le durcissement des postes de supervision et la sécurisation des automates retirent les services inutiles, imposent des comptes nominatifs, protègent les programmes par mot de passe et organisent les sauvegardes. La détection d'intrusion sur un réseau d'automates repose sur des sondes passives, adaptées aux protocoles industriels, qui observent le trafic sans le perturber.

Ces mesures se préparent avec l'exploitation : un correctif ne s'applique qu'après essai, et certains équipements anciens ne peuvent pas être mis à jour. On ajoute alors une protection autour d'eux. Les logiciels de supervision et d'automatisme du marché présentent des fonctions de sécurité variables ; leur choix reste le vôtre.

Tests, incidents et continuité

Un test d'intrusion sur un système en exploitation peut arrêter un ouvrage. Quand un tel test est utile, il s'effectue sur une maquette ou en dehors de l'exploitation, selon un cadre écrit, par un prestataire adapté. Le plan de réaction aux incidents précise qui prévient qui : exploitant, ARS (agence régionale de santé) pour un risque sanitaire, ANSSI quand le cadre l'exige. L'exploitation en mode dégradé, manuel ou local, doit être décrite et pratiquée régulièrement, car la meilleure protection contre une panne de supervision reste un exploitant qui sait faire sans.

La sensibilisation de l'encadrement et des élus est un préalable utile : un directeur qui comprend ce qu'un arrêt de la supervision implique pour la distribution décide plus vite des budgets de sauvegarde, de redondance ou de formation. Les exercices de crise, qui font jouer une panne de supervision ou une demande d'un tiers inconnu de se connecter à un poste, révèlent les procédures absentes avant qu'un incident réel ne le fasse. Ils s'appuient sur les moyens de gestion de crise du service et sur ses contacts avec les autorités sanitaires.

Ce que nous faisons, et ce que nous ne faisons pas

Les prestations

Optédif audite, conseille, conçoit, déploie et forme. Dans ce domaine, cela se traduit ainsi : audit documentaire et organisationnel de l'architecture de télégestion et de supervision, avec analyse d'écarts aux bonnes pratiques ; conseil en architecture, en instrumentation et en préparation à NIS 2 ; rédaction de cahiers des charges, de politiques de sécurité et de dossiers de segmentation ; déploiement de supervision, de capteurs et de mesures de durcissement, en pilote et avec retour arrière ; formation et sensibilisation de l'encadrement et des équipes. Nos livrables sont traçables, argumentés et présentables à la direction, aux élus ou à un prestataire qualifié. Les cas d'usage décrits sur ce site sont des exemples construits.

Quand nous préparons un cahier des charges ou une analyse d'offres, nous ne répondons pas ensuite à la consultation correspondante.

Ce que nous ne faisons pas

Nous ne réalisons aucun audit qualifié et nous ne sommes pas un prestataire d'audit de la sécurité des systèmes d'information qualifié par l'ANSSI. Nous ne réalisons aucun test d'intrusion sur un système en exploitation. Nous ne délivrons ni attestation de conformité à NIS 2, ni certification, ni label. Nous n'exploitons ni ne supervisons vos ouvrages, nous ne proposons pas d'assistance technique sur ce domaine, et nous ne remplaçons ni votre intégrateur ni votre responsable de la sécurité des systèmes d'information. Sur les points juridiques, nous recommandons de faire valider vos décisions par un conseil spécialisé.

Pour toute demande, une première réponse vous est apportée sous 48 heures ouvrées et un devis est établi après un échange sur votre besoin. Les informations sensibles (schémas, adresses, comptes) sont traitées selon des règles de confidentialité convenues par écrit avant tout échange.

Sources officielles

Les textes consolidés sont disponibles sur Légifrance, et les publications sur la sécurité des systèmes d'information sur les sites de l'ANSSI et du CERT-FR.