Réseaux d’eau, usines, énergie : les alertes s’empilent. Y a-t-il un pilote dans l’avion ?

Avant-propos : le problème n’est plus seulement de savoir, mais d’agir

Le 21 août 2026, Le Figaro publie un article au titre particulièrement inquiétant : « Réseaux d’eau piratés, usines menacées… Cette alerte du FBI qui fait planer le spectre de défaillances industrielles en France ». À première vue, l’actualité peut donner l’impression d’une menace nouvelle, surgie aux États-Unis et susceptible de traverser l’Atlantique. Une lecture chronologique des textes français, européens et américains conduit pourtant à une conclusion beaucoup plus dérangeante : la vulnérabilité des systèmes industriels essentiels n’est ni inconnue, ni récente, ni dépourvue de précédents.

Depuis plus d’une décennie, la France a construit un cadre juridique de protection de ses opérateurs vitaux. L’ANSSI a documenté des incidents dans le secteur de l’eau, des équipements exposés à Internet, des installations anciennes et des niveaux de maturité très inégaux. L’Union européenne a, de son côté, adopté de nouvelles obligations de cybersécurité et de résilience. Pourtant, certaines transpositions ont pris assez de retard pour conduire la France devant la Cour de justice de l’Union européenne. Dans le même temps, les États-Unis ont rapporté à l’été 2026 des attaques d’automates d’eau produisant des pertes de pression et des inondations, puis une campagne active visant des automates Siemens S7 au moyen, notamment, de scripts d’exploitation assistés par intelligence artificielle. [1][2][3][4][9][10][11]

Note méthodologique et juridique

Ce dossier distingue volontairement trois niveaux. Premièrement, les faits établis par des documents officiels ou des sources de presse identifiées. Deuxièmement, les questions politiques que ces faits rendent légitimes. Troisièmement, l’opinion éditoriale portée par Delta-Sierra. Le mot « incompétence », lorsqu’il est employé, désigne ici une appréciation politique sur la qualité du pilotage, de la décision ou de l’exécution ; il ne constitue pas l’affirmation d’une infraction pénale ni l’imputation d’une faute personnelle à l’ensemble des agents de l’État.

De même, ce texte ne prétend pas qu’une attaque relevant de la campagne américaine contre les Siemens S7 a été constatée en France. Les sources utilisées permettent d’établir l’existence d’une menace active aux États-Unis, l’existence en France de vulnérabilités structurelles comparables et l’existence de compromissions françaises dans les secteurs de l’eau et de l’énergie. Elles ne permettent pas de confondre ces trois éléments. Cette distinction est essentielle à la solidité du dossier. [3][8][11][12]

La chronologie en une page

I. Treize années d’alertes et de normes : le scénario n’était pas invisible

18 décembre 2013 : la France reconnaît officiellement la cybermenace contre ses infrastructures vitales

La loi de programmation militaire du 18 décembre 2013 introduit un ensemble de dispositions spécifiques à la protection des infrastructures vitales contre la cybermenace. Le Premier ministre se voit confier la définition de la politique et la coordination de l’action gouvernementale en matière de sécurité et de défense des systèmes d’information, tandis que des obligations particulières sont prévues pour les opérateurs dont une atteinte grave pourrait diminuer le potentiel économique, la sécurité ou la capacité de survie de la Nation. [1]

Cette date interdit déjà une première facilité rhétorique : celle de la surprise. En 2013, l’État considère officiellement la cyberattaque d’une infrastructure essentielle comme un risque stratégique suffisamment sérieux pour justifier des règles spécifiques. Cela ne signifie évidemment pas que toutes les vulnérabilités futures étaient connues. Cela signifie que le risque de compromission d’infrastructures critiques appartient depuis longtemps au champ de la sécurité nationale.

17 juin 2016 : l’eau fait l’objet de règles spécifiques

Trois ans plus tard, un arrêté spécifique fixe les règles de sécurité et les modalités de déclaration applicables aux systèmes d’information d’importance vitale du secteur « Gestion de l’eau ». Les opérateurs concernés doivent notamment identifier leurs systèmes critiques, appliquer des règles de sécurité, tenir leur cartographie à jour et déclarer certaines catégories d’incidents à l’ANSSI. L’arrêté est entré en vigueur le 1er juillet 2016 et demeure en vigueur en 2026. [2]

Le cadre juridique existe donc depuis une décennie. Mais il ne couvre pas de manière uniforme toutes les installations françaises. La gestion de l’eau est fragmentée entre collectivités, établissements intercommunaux, syndicats, régies, délégataires privés, intégrateurs et prestataires. Cette hétérogénéité est précisément l’un des facteurs de risque que l’ANSSI soulignera ensuite : un grand opérateur national et une petite régie locale ne disposent pas des mêmes compétences, du même budget, ni de la même capacité à remplacer des automatismes industriels anciens.

2021 à 2024 : les incidents français ne sont déjà plus théoriques

Le 28 novembre 2024, le CERT-FR publie « Secteur de l’eau : état de la menace informatique ». L’agence y indique qu’entre janvier 2021 et août 2024, 46 entités du secteur de la gestion de l’eau ont été touchées par un événement informatique traité par l’ANSSI. Elle décrit un secteur exposé à des cybercriminels opportunistes, à des acteurs de déstabilisation, et dans une moindre mesure à des activités d’espionnage ou de positionnement stratégique. [3]

Le diagnostic technique est particulièrement important. L’ANSSI souligne l’héritage d’installations parfois anciennes, la dispersion géographique des sites, des budgets de sécurité parfois faibles, des niveaux de maturité très variés et des interfaces industrielles accessibles depuis Internet. La généralisation de la télégestion augmente la surface d’attaque. Les protocoles industriels historiquement conçus pour la disponibilité et la simplicité, non pour un Internet hostile, peuvent présenter des protections insuffisantes en matière d’authentification ou de chiffrement. [3]

Une interface de supervision ou un automate industriel n’est pas un simple poste bureautique. Il peut commander une pompe, une vanne, un dosage chimique, un niveau de réservoir, une pression ou un moteur. À partir de ce moment, l’attaque informatique est susceptible de devenir un événement physique. Ce basculement est au cœur du dossier de 2026.

17 octobre 2024 : l’échéance européenne passe

La directive NIS 2 et la directive sur la résilience des entités critiques ont été conçues pour élargir et homogénéiser les obligations de cybersécurité et de continuité des services essentiels. La date limite de transposition était le 17 octobre 2024. La France n’achève pas sa transposition dans les délais. Des procédures européennes suivent, jusqu’à des saisines de la Cour de justice de l’Union européenne en 2026. [4][9]

Une loi ne bloque pas un pirate à elle seule. Elle ne remplace ni un pare-feu, ni une segmentation réseau, ni une authentification forte. Mais elle fixe le périmètre des organismes concernés, leurs obligations, les autorités de contrôle, les procédures de déclaration et les conséquences d’un manquement. Lorsque le niveau de menace augmente plus vite que la capacité normative et opérationnelle, le retard juridique devient un facteur de retard dans la généralisation de la protection.

12 mars 2025 : le Sénat vote, mais le chronomètre continue

Le Gouvernement a déposé un projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le Sénat l’adopte en première lecture le 12 mars 2025. Le dossier poursuit ensuite sa route parlementaire. Le sujet est donc identifié, travaillé et politiquement reconnu. C’est justement ce qui rend la durée de la procédure difficile à dissocier du débat sur le pilotage : la menace ne suspend pas son calendrier pendant que la norme suit le sien. [5]

Juin 2025 : la Cour des comptes demande un pilotage interministériel renforcé

En juin 2025, la Cour des comptes publie un rapport consacré à la réponse de l’État aux cybermenaces pesant sur les systèmes d’information civils. Elle reconnaît les progrès accomplis mais appelle notamment à un pilotage interministériel renforcé, à une meilleure programmation des moyens et à une sensibilisation accrue des dirigeants publics aux enjeux cyber. [6]

Cette appréciation est particulièrement importante pour le présent dossier. Elle montre que le problème n’est pas seulement technique. Une organisation peut disposer de bons ingénieurs, de bons analystes et de bonnes alertes tout en conservant une faiblesse de gouvernance. Autrement dit, la question n’est plus seulement « avons-nous vu le risque ? », mais « qui a l’autorité, le budget et le calendrier pour le faire corriger ? »

2024 : les petites collectivités révèlent une fragilité de préparation

Une étude publiée par Cybermalveillance.gouv.fr auprès d’élus et d’agents de collectivités de moins de 25 000 habitants révèle un niveau de préparation très inégal. Seule une minorité des collectivités interrogées se déclare bien préparée à une cyberattaque, tandis que les moyens humains, budgétaires et procéduraux apparaissent souvent limités. Il serait abusif d’en déduire que les réseaux d’eau de ces collectivités sont nécessairement vulnérables ; l’enquête documente en revanche une difficulté structurelle de maturité cyber dans l’écosystème territorial. [7]

22 janvier 2026 : l’ANSSI constate encore des compromissions dans l’eau et l’énergie

Le 22 janvier 2026, le CERT-FR publie de nouvelles recommandations destinées aux acteurs français de l’énergie et de l’eau. L’agence indique recevoir depuis plusieurs mois de nombreux signalements de ciblage d’entités françaises par des groupes hacktivistes et avoir constaté plusieurs compromissions dans ces secteurs. Elle décrit encore des équipements accessibles depuis Internet, parfois sans authentification suffisante, parfois protégés par des identifiants par défaut, et des protocoles industriels exposés sans garanties adaptées. [8]

Le CERT-FR va jusqu’à recommander, lorsque les mesures minimales de sécurisation ne peuvent pas être déployées, de déconnecter l’installation d’Internet et de la gérer localement. Il rapporte également un cas ayant provoqué l’arrêt pendant plusieurs heures d’un parc éolien. Nous sommes alors en janvier 2026 : les faiblesses élémentaires ne sont donc pas seulement des reliques de rapports anciens, elles continuent d’être observées sur le terrain. [8]

29 avril puis 8 juillet 2026 : deux contentieux européens

Le 29 avril 2026, la Commission européenne décide de saisir la Cour de justice de l’Union européenne à propos de la transposition de la directive sur la résilience des entités critiques. Le 8 juillet 2026, une nouvelle saisine concerne cette fois l’absence de notification d’une transposition complète de NIS 2. La France n’est pas le seul État concerné, ce qui interdit de présenter ces procédures comme une singularité française. Elles n’en constituent pas moins un indicateur objectif du retard pris sur deux textes directement liés à la cybersécurité et à la résilience des services essentiels. [4][9]

30 juillet 2026 : aux États-Unis, l’attaque informatique produit des effets physiques

Le 30 juillet, le FBI et l’Environmental Protection Agency publient une alerte sur des attaques visant des automates Rockwell Automation / Allen-Bradley MicroLogix 1100 et 1400 dans des installations d’eau et d’assainissement de plusieurs États américains. Des attaquants accèdent à des équipements exposés à Internet, modifient notamment des adresses IP et des mots de passe, et provoquent des pertes de visibilité ou de contrôle. [10]

Le point de bascule se trouve dans les effets décrits : le FBI rapporte notamment des pertes de pression et des inondations. Une baisse de pression dans un réseau d’eau peut, selon les circonstances, favoriser l’intrusion d’eau non traitée dans les conduites. L’enjeu n’est donc plus seulement la confidentialité d’une donnée ou la disponibilité d’un logiciel. Le cyber peut modifier les conditions physiques d’un service essentiel. [10]

19 août 2026 : le même jour, l’État reconnaît ses faiblesses et les États-Unis alertent sur les Siemens S7

Le 19 août 2026 constitue désormais une date charnière. D’un côté, le Premier ministre Sébastien Lecornu reconnaît, dans un courrier rendu public, que « peu de ministères sont au niveau requis » en matière de cybersécurité et estime la situation inacceptable. Il demande à l’ANSSI de constituer une nouvelle unité cyber capable d’apporter une réponse opérationnelle plus réactive aux attaques visant l’État. [13]

« Peu de ministères sont au niveau requis. » — Sébastien Lecornu, Premier ministre, 19 août 2026 [13]

De l’autre côté de l’Atlantique, la NSA, la CISA, le FBI, le Department of Energy et l’EPA diffusent une alerte conjointe relative à une menace active contre les automates Siemens S7. Les agences décrivent des acteurs utilisant des services de balayage d’Internet pour repérer des équipements exposés ou mal protégés et des scripts d’exploitation générés ou assistés par intelligence artificielle, parfois déguisés en outils de supervision légitimes. L’eau, l’énergie, l’industrie manufacturière, la chimie et l’agroalimentaire figurent parmi les secteurs concernés. [11]

Cette simultanéité ne signifie évidemment pas que le courrier du Premier ministre répondait à l’alerte Siemens, ni qu’une campagne S7 a été observée en France. Elle montre en revanche deux réalités qui se rejoignent : au moment où la menace industrielle se professionnalise et peut être accélérée par l’intelligence artificielle, le chef du Gouvernement reconnaît lui-même que le niveau cyber de nombreux ministères n’est pas celui attendu.

20 août 2026 : Siemens apporte un contrepoint indispensable

Le lendemain, Siemens indique ne pas avoir détecté d’augmentation du nombre d’attaques visant ses systèmes de contrôle industriels, ni de vulnérabilité inconnue. L’entreprise précise que l’avis américain attire notamment l’attention sur l’exploitation d’erreurs de configuration déjà documentées. Ce contrepoint doit être conservé : le dossier ne doit pas créer artificiellement l’image d’une faille secrète nouvelle qui rendrait tous les automates Siemens vulnérables par nature. [12]

Paradoxalement, cette nuance renforce plutôt qu’elle n’affaiblit la question de fond. Si une part importante du risque repose sur des erreurs de configuration, des systèmes directement exposés, des versions anciennes ou des mesures de durcissement insuffisantes, nous revenons précisément au problème décrit depuis plusieurs années par l’ANSSI : la difficulté à faire appliquer partout les règles de base, jusque dans les installations dispersées et anciennes. [3][8][12]

21 août 2026 : le débat arrive dans la presse française

C’est dans ce contexte que paraît l’article du Figaro à l’origine de ce dossier. Pris isolément, le titre peut donner l’impression d’un risque nouveau. Replacé dans la chronologie, il ressemble davantage au dernier épisode d’une longue suite : cadre juridique depuis 2013, règles sectorielles depuis 2016, incidents français recensés depuis 2021, retards européens à partir de 2024, nouveaux constats de compromission en janvier 2026, attaques physiques contre l’eau aux États-Unis en juillet, reconnaissance politique de faiblesses ministérielles et alerte industrielle américaine en août.

II. Quand un service étranger prévient : quatre précédents instructifs

Pour comprendre la difficulté de transformer le renseignement en action, il faut sortir un instant de la seule cybersécurité. L’histoire récente offre plusieurs précédents où une information étrangère, un signal ou une analyse avait circulé avant un événement grave. Aucun de ces cas ne permet de soutenir qu’une alerte suffisait mécaniquement à empêcher l’événement. Ils montrent en revanche que recevoir une information, l’interpréter correctement et agir à temps sont trois opérations différentes.

2014–2015 : le signalement espagnol d’Ayoub El-Khazzani avant le Thalys

Les travaux parlementaires sur les attentats de 2015 reviennent sur le cas d’Ayoub El-Khazzani. Les services français avaient été alertés par leurs homologues espagnols ; l’intéressé réapparaît ensuite en Allemagne puis en Belgique. Le 21 août 2015, il monte dans le Thalys Amsterdam–Paris lourdement armé et est finalement neutralisé par des passagers. [15]

Ce dossier n’autorise pas à conclure qu’un service français disposait d’un renseignement opérationnel suffisant pour intercepter à coup sûr l’auteur avant son passage à l’acte. Il révèle toutefois le problème de la circulation, de l’harmonisation et de l’exploitation des signaux entre pays européens. L’un des responsables auditionnés résumera la difficulté en expliquant que l’information doit pouvoir remonter en temps réel à un service capable de l’évaluer. [15]

2015 : Bataclan, Abaaoud, Mostefaï et l’« échec global du renseignement »

Après les attentats de novembre 2015, la commission d’enquête de l’Assemblée nationale analyse les informations détenues par les différents services, les échanges avec des partenaires étrangers et les limites du suivi de plusieurs protagonistes. Les auditions montrent une connaissance partielle de certains réseaux et des difficultés à suivre des individus circulant entre la Syrie, la Belgique, la Turquie, la Grèce et la France. [14]

« Les attentats de 2015 représentent un échec global du renseignement. » — Patrick Calvar, alors directeur général de la DGSI [14]

Cette phrase est importante parce qu’elle vient du responsable du service lui-même. Elle ne signifie pas que les agents n’ont pas travaillé ou qu’ils étaient « incompétents » individuellement. Elle signifie qu’un système complexe peut échouer malgré des informations, des surveillances et des coopérations existantes. C’est exactement la distinction qu’il faut conserver lorsqu’on examine aujourd’hui les infrastructures critiques : critiquer la chaîne de décision n’équivaut pas à mépriser les professionnels qui produisent les alertes.

2021–2022 : les États-Unis anticipent l’invasion russe de l’Ukraine plus fermement que Paris

Avant l’invasion russe de l’Ukraine, les États-Unis et le Royaume-Uni adoptent une lecture beaucoup plus alarmiste des concentrations de forces russes. Les services français disposent d’informations alliées mais interprètent différemment les intentions de Moscou. Après le déclenchement de la guerre, le chef d’état-major des armées françaises, le général Thierry Burkhard, reconnaît publiquement que les Américains avaient correctement anticipé l’attaque. [24]

« Les Américains disaient que les Russes allaient attaquer, ils avaient raison. » — Général Thierry Burkhard, mars 2022 [24]

Ce précédent est particulièrement utile car il ne porte pas sur la transmission de l’information mais sur son interprétation. Le renseignement n’est pas seulement un flux de données. Il doit être transformé en appréciation, puis en décision. Une information exacte peut donc perdre sa valeur si elle est filtrée par un cadre d’analyse trop rassurant ou trop rigide.

2017 : MacronLeaks, le contre-exemple qui prouve que la coopération peut fonctionner

Pour être intellectuellement honnête, il faut également examiner les cas où la chaîne fonctionne. Avant l’élection présidentielle française de 2017, des alertes américaines et françaises sur des opérations d’influence et des tentatives d’intrusion visant la campagne d’Emmanuel Macron conduisent à une préparation renforcée. Lorsque des courriels et documents sont finalement diffusés peu avant le second tour, les mesures prises par les autorités, les médias et la campagne contribuent à limiter l’effet de l’opération. [17]

Ce contre-exemple est capital. Il interdit de soutenir que la coopération internationale ou le renseignement sont intrinsèquement inefficaces. Ils peuvent produire un résultat concret lorsque l’alerte est comprise, que les responsabilités sont claires et que les mesures sont préparées à temps. La question devient alors plus exigeante : pourquoi cette transformation de l’alerte en action fonctionne-t-elle dans certains cas et pas assez vite dans d’autres ?

III. À quoi sert le renseignement si le dernier kilomètre de la décision ne suit pas ?

Le renseignement existe pour aider à la décision

La DGSI présente parmi ses missions la recherche, la centralisation et l’exploitation du renseignement intéressant la sécurité nationale et les intérêts fondamentaux de la Nation. La Coordination nationale du renseignement et de la lutte contre le terrorisme est chargée de favoriser la cohérence de l’action des services et l’information du Président de la République. Le principe est clair : le renseignement n’a pas pour finalité de produire de beaux rapports confidentiels, mais d’éclairer la décision. [18][19]

Dans le domaine cyber, l’écosystème est lui aussi considérable : ANSSI, CERT-FR, services de renseignement, ministères, autorités judiciaires, opérateurs, CSIRT sectoriels, partenaires européens et alliés. L’ANSSI participe aux réseaux européens d’échange et la France préside en 2026 le groupe de travail cybersécurité du G7. Les canaux de coopération existent donc bien. [25][26]

Le « dernier kilomètre » de la sécurité nationale

Le point faible peut se situer entre la détection et la correction. Un expert identifie une interface exposée. Une note remonte. Une recommandation est publiée. Puis il faut déterminer qui paie, qui décide, qui impose, qui planifie l’arrêt de l’installation, qui remplace un automate vieux de vingt ans, qui vérifie le prestataire, qui contrôle l’application de la mesure et qui accepte la responsabilité d’une interruption de service temporaire pour éviter un risque plus grave.

C’est ce que l’on pourrait appeler le dernier kilomètre de la sécurité nationale. Une chaîne de renseignement peut être techniquement excellente et perdre une partie de son utilité si le dernier kilomètre n’est pas parcouru. Dans le secteur de l’eau, la dispersion des acteurs rend ce problème particulièrement visible : l’État peut alerter, mais la correction concrète peut dépendre d’une collectivité, d’une régie, d’un délégataire, d’un prestataire industriel ou d’un budget voté localement.

Pourquoi autant d’efforts si la décision ne suit pas ?

La question peut paraître provocatrice, mais elle mérite d’être formulée. La France mobilise des analystes, des ingénieurs, des policiers, des militaires, des diplomates, des magistrats, des centres opérationnels et des moyens techniques considérables pour détecter les menaces le plus tôt possible. Cette dépense n’a de sens que si l’avance informationnelle obtenue permet de gagner du temps sur l’adversaire.

Or l’adversaire, lui, n’a pas besoin d’un vote budgétaire, d’une circulaire interministérielle ni d’une réunion de validation pour tester une configuration vulnérable découverte sur Internet. L’intelligence artificielle réduit encore le coût de certaines étapes de recherche, d’écriture de scripts et d’adaptation d’outils. Le danger n’est donc pas seulement que l’attaquant devienne plus puissant ; c’est que son cycle de décision devienne infiniment plus court que celui du défenseur. [11]

Si l’information arrive vite mais que l’action arrive lentement, l’État peut se retrouver dans une situation paradoxale : mieux renseigné qu’autrefois, mais incapable de transformer assez rapidement cette connaissance en réduction de risque. Le problème est alors moins celui de l’absence d’intelligence que celui de l’organisation de la volonté.

IV. Peut-on parler d’« incompétence politique » ?

Le terme est sévère. Utilisé comme une accusation personnelle et générale, il serait intellectuellement paresseux. Utilisé comme une appréciation politique sur des résultats mesurables, il peut cependant se discuter. Quatre éléments objectifs nourrissent aujourd’hui cette interrogation.

1. Le Premier ministre reconnaît lui-même un niveau ministériel insuffisant

Le 19 août 2026, le chef du Gouvernement affirme que peu de ministères sont au niveau requis en matière de cybersécurité et juge cette situation inacceptable. Cette déclaration est particulièrement lourde : elle ne provient ni de l’opposition, ni d’un éditorialiste, ni d’un militant. Elle vient du responsable de la coordination gouvernementale, au moment même où l’État vient de subir plusieurs attaques importantes. [13]

Il est donc difficile de soutenir que la critique d’un déficit de préparation cyber de l’État serait purement polémique. Le constat existe au sommet de l’exécutif. La question politique consiste à demander pourquoi il faut attendre 2026, après des années de rapports, pour que cette insuffisance soit formulée aussi nettement.

2. La Cour des comptes pointe la gouvernance, les moyens et le pilotage

La Cour des comptes ne se contente pas d’énumérer des vulnérabilités techniques. Elle demande un pilotage interministériel renforcé, une meilleure programmation des moyens et une implication plus forte des dirigeants. Lorsque l’institution chargée d’évaluer l’action publique insiste sur la gouvernance, le débat sur la compétence politique n’est plus une simple affaire de ton. [6]

3. Les retards européens deviennent contentieux

La France a été renvoyée devant la Cour de justice de l’Union européenne en 2026 dans deux dossiers liés à la cybersécurité et à la résilience des entités critiques. La France n’est pas seule, mais ces procédures constituent un fait administratif et politique objectivable. Elles montrent qu’entre l’accord européen sur les objectifs et leur traduction complète dans le droit national, le calendrier n’a pas été tenu. [4][9]

4. Des faiblesses élémentaires continuent d’être constatées

Enfin, l’ANSSI continue de devoir rappeler en 2026 des principes aussi fondamentaux que l’absence d’exposition directe d’équipements industriels sensibles à Internet, la suppression des mots de passe par défaut, l’utilisation de mécanismes d’accès sécurisés et, lorsque nécessaire, la déconnexion d’Internet. Ces règles ne sont pas nouvelles : la CISA et Siemens les répètent depuis des années dans leurs avis sur les systèmes industriels. [8][21][22]

Pris isolément, aucun de ces éléments ne prouve une « incompétence » globale de l’État. Pris ensemble, ils autorisent une appréciation politique beaucoup plus précise : il existe une difficulté persistante de gouvernance, d’homogénéisation et de mise en œuvre qui peut être qualifiée d’incompétence politique lorsque des responsables disposent de l’alerte, de l’autorité et du temps nécessaires mais ne parviennent pas à obtenir la correction effective.

Un mot sur les agents et les services : ne pas se tromper de cible

Ce dossier serait injuste s’il faisait porter la critique sur l’ANSSI, les agents de la DGSI, les ingénieurs, les policiers ou les militaires simplement parce qu’ils appartiennent à l’État. Les documents cités montrent justement que beaucoup d’entre eux alertent. Patrick Calvar a lui-même parlé d’échec du renseignement après 2015. La Cour des comptes produit des recommandations. L’ANSSI publie des avis qui rendent les vulnérabilités visibles. La critique politique commence précisément là où l’expertise n’est pas suffisamment transformée en arbitrage, en moyens et en obligation. [3][6][8][14]

V. Sécurité de l’eau, de l’énergie et de l’industrie : un enjeu directement lié aux intérêts fondamentaux de la Nation

L’article 410-1 du Code pénal définit largement les intérêts fondamentaux de la Nation. Il vise notamment l’indépendance nationale, l’intégrité du territoire, la sécurité, les moyens de la défense et de la diplomatie, la sauvegarde de la population, l’équilibre de l’environnement et les éléments essentiels du potentiel scientifique et économique du pays. [20]

Cette définition résonne directement avec les infrastructures examinées ici. L’eau concerne la sauvegarde de la population. L’énergie conditionne la continuité économique et la sécurité. Les procédés industriels participent au potentiel économique. Les réseaux numériques irriguent désormais l’ensemble de ces secteurs.

Il faut toutefois conserver une distinction juridique fondamentale : affirmer qu’une mauvaise politique contribue à exposer les intérêts fondamentaux de la Nation ne signifie pas qu’un responsable commet pénalement une « atteinte aux intérêts fondamentaux de la Nation ». Une infraction suppose un texte précis, des éléments constitutifs et des preuves. Le présent dossier porte sur la responsabilité politique et administrative, non sur l’imputation d’un crime ou d’un délit.

VI. Les questions auxquelles l’État devrait répondre publiquement

• Combien d’automates industriels utilisés dans les réseaux français d’eau et d’assainissement sont encore directement ou indirectement accessibles depuis Internet ?
• Combien sont protégés uniquement par des mécanismes considérés aujourd’hui comme insuffisants ou par des identifiants par défaut ?
• Quel inventaire national existe pour les automates utilisés dans les infrastructures essentielles et quelle part de cet inventaire est tenue à jour ?
• Après l’alerte américaine du 30 juillet 2026, quelles vérifications ont été demandées aux opérateurs français de l’eau ?
• Après l’alerte du 19 août 2026 sur les Siemens S7, quelles instructions ont été transmises aux opérateurs français et dans quels délais ?
• Des informations techniques non publiques ont-elles été échangées entre services américains et français sur cette campagne ? Si oui, à quelle date et vers quelles autorités ?
• Quel organisme vérifie que les recommandations de l’ANSSI sont effectivement appliquées dans les petites structures qui ne relèvent pas directement du régime historique des OIV ?
• Qui finance le remplacement d’un automate industriel obsolète lorsqu’une petite collectivité ne dispose pas des ressources nécessaires ?
• Combien d’exploitants peuvent basculer en fonctionnement manuel ou dégradé si leur système de supervision est compromis ?
• Qui porte, en dernier ressort, la responsabilité de vérifier qu’une alerte est devenue une correction et qu’une correction a été contrôlée ?

Répondre à ces questions serait plus utile qu’une déclaration générale affirmant que « les services sont mobilisés ». La mobilisation n’est pas le résultat. Le résultat se mesure à la disparition de la vulnérabilité, à la capacité de détecter une intrusion, à la continuité du service et au temps nécessaire pour revenir à un état sûr.

VII. Y a-t-il un pilote dans l’avion ?

Il serait faux d’écrire que l’État ne fait rien. La France dispose d’une agence nationale compétente, de services de renseignement puissants, d’une coopération européenne et internationale active, de textes juridiques, de mécanismes de déclaration et de nombreux professionnels qui travaillent quotidiennement à réduire les risques. Le problème est précisément que cette architecture impressionnante cohabite encore avec des faiblesses que ses propres institutions décrivent depuis plusieurs années.

Ce n’est pas l’absence de rapports qui inquiète, mais leur accumulation. Ce n’est pas l’absence d’alertes, mais leur répétition. Ce n’est pas l’absence de coopération internationale, mais l’incertitude sur la vitesse à laquelle certaines informations deviennent une action vérifiable sur le terrain. Et ce n’est pas l’absence de compétence technique, mais la question de la compétence politique à hiérarchiser, financer, imposer et contrôler.

Dans un État moderne, le renseignement sert à gagner du temps. S’il faut attendre qu’une vulnérabilité connue soit exploitée, que des données soient volées ou qu’un processus physique soit perturbé pour débloquer l’arbitrage qui aurait dû intervenir avant, alors l’avantage procuré par le renseignement a été en grande partie perdu.

Le véritable scandale ne serait pas qu’une vulnérabilité inconnue soit exploitée demain. Aucun État ne peut promettre le risque zéro. Le véritable scandale serait qu’un réseau d’eau, une installation énergétique ou une usine française subisse de lourdes conséquences à cause d’une faiblesse déjà identifiée, signalée et documentée depuis des années.

@ANSSI_FR @gouvernementFR @Ecologie_Gouv

Youhou, il y a quelqu’un dans la chaîne de commandement ?

Et du côté de la DGSI, puisque le renseignement sert officiellement à éclairer la décision politique, personne ne pourrait leur envoyer un petit SMS du genre : « Chefs, réveillez-vous ! »