Quand l'eau devient un terrain de guerre numérique : le réveil tardif d'une ETI industrielle européenne

# Quand l'eau devient un terrain de guerre numérique : le réveil tardif d'une ETI industrielle européenne

En 2026, les réseaux d'eau ne sont plus seulement des infrastructures physiques. Ils sont devenus des cibles. Des incidents répétés en Europe centrale et en Méditerranée ont mis en lumière une réalité que beaucoup de DSI refusaient encore d'admettre il y a trois ans : les systèmes de pilotage des infrastructures de distribution d'eau sont aujourd'hui aussi exposés qu'un réseau d'entreprise classique — souvent plus, parce qu'on les a longtemps crus invisibles.

Ce retour terrain s'appuie sur le cas d'une ETI industrielle de 800 salariés, opérateur privé délégué d'un réseau d'eau potable dans une zone urbaine de taille moyenne en Europe de l'Ouest. Son nom ne sera pas cité. Ce qui s'est passé chez elle, en revanche, mérite d'être raconté.

Un incident qui n'aurait pas dû arriver

L'alerte est venue d'un superviseur de nuit, pas d'un outil de détection. Une anomalie de pression sur un segment du réseau, une interface SCADA qui répond avec un décalage inhabituel, puis plus rien. Pendant plusieurs heures, l'équipe technique navigue à l'aveugle sur une partie de son infrastructure.

L'enquête post-incident révèle l'essentiel : le vecteur d'entrée n'était pas le système industriel lui-même, mais la couche de supervision — un outil de monitoring hébergé chez un prestataire américain, connecté en permanence aux automates via une passerelle mal segmentée. L'attaquant avait exploité une vulnérabilité dans la chaîne d'authentification de cet outil tiers pour se déplacer latéralement vers les composants opérationnels.

La direction technique de l'ETI résume la situation avec une franchise rare : *« On avait sécurisé nos automates. On n'avait pas sécurisé la fenêtre que notre prestataire américain avait ouverte dessus. »*

La dépendance invisible aux outils US dans les OT

Ce cas illustre une dynamique structurelle qui dépasse largement cet opérateur. Dans les environnements OT (Operational Technology), la couche de supervision — les outils qui permettent de visualiser, piloter, alerter — a été massivement colonisée par des acteurs américains au cours des quinze dernières années. Pas par idéologie, mais par défaut : ces outils étaient disponibles, bien documentés, et souvent imposés par les grands intégrateurs systèmes.

Le problème n'est pas seulement technique. Il est juridique et géopolitique. Ces outils sont soumis au droit américain. Leurs éditeurs peuvent être contraints de coopérer avec des agences fédérales. Leurs infrastructures cloud — même lorsqu'elles sont physiquement localisées en Europe — restent sous juridiction du Cloud Act. Pour une infrastructure critique dont les données de fonctionnement décrivent en temps réel l'état d'un réseau d'eau public, c'est une exposition que peu d'élus locaux ou de régulateurs ont jusqu'ici pleinement mesurée.

En 2026, avec la montée en puissance de la directive NIS2 et son extension explicite aux opérateurs de réseaux d'eau, cette question est devenue réglementaire. Les autorités nationales de cybersécurité commencent à poser des questions sur la localisation des données et la chaîne de sous-traitance des outils de supervision. Certains opérateurs découvrent à cette occasion que leur conformité formelle cache une dépendance réelle.

Ce que l'incident a réellement coûté — et ce qu'il a révélé

L'ETI en question n'a pas subi de coupure d'eau. Elle a eu de la chance, et elle le sait. Mais l'incident a déclenché un audit complet de la chaîne de dépendances numériques — un exercice que beaucoup d'opérateurs de taille similaire n'ont jamais conduit.

Le résultat est instructif. Sur les outils critiques de supervision et de détection d'anomalies, la quasi-totalité des briques logicielles provenaient d'éditeurs hors Union européenne. Pas par choix délibéré, mais parce que la question n'avait jamais été posée comme telle. Les contrats avaient été signés sur des critères fonctionnels et budgétaires. La souveraineté n'était pas une variable dans les appels d'offres.

L'audit a aussi mis en évidence un second problème : l'absence de visibilité sur les mises à jour appliquées par le prestataire américain sur sa propre infrastructure. L'ETI ne savait pas, concrètement, quand une mise à jour avait été déployée sur la couche de supervision, ni ce qu'elle contenait. Dans un environnement OT, où la stabilité prime sur la nouveauté, c'est une perte de contrôle fondamentale.

La réponse opérationnelle : segmentation et requalification des fournisseurs

Suite à l'incident, l'ETI a engagé deux chantiers distincts.

Le premier est technique : une segmentation renforcée entre les couches IT et OT, avec des passerelles à sens unique (diodes de données) pour les flux critiques, et une revue complète des droits d'accès accordés aux tiers. Ce chantier n'a pas nécessité de révolution budgétaire — il a surtout exigé de la méthode et du temps.

Le second est stratégique : une requalification des fournisseurs sur le critère de souveraineté. L'ETI a commencé par cartographier ses outils selon leur origine juridique et leur modèle d'hébergement. Elle s'est ensuite donné dix-huit mois pour substituer les briques les plus exposées par des alternatives européennes ou open source auditables. Pas une migration en bloc — une substitution progressive, priorisée par le niveau de criticité.

Ce calendrier est représentatif de ce que l'on observe chez les opérateurs qui s'engagent sérieusement dans cette direction. La migration ne se fait pas en quelques semaines. Elle suppose de trouver des alternatives matures, de former les équipes, et souvent de convaincre des directions générales habituées à acheter des noms connus.

Où en est le marché européen ?

La question des alternatives est légitime. Sur le segment de la supervision industrielle et de la détection d'anomalies OT, le marché européen n'est pas vide — mais il est fragmenté et encore peu visible pour les acheteurs.

Des acteurs existent, notamment en France, en Allemagne et dans les pays nordiques, avec des approches centrées sur la souveraineté des données et l'auditabilité du code. Certains ont été labellisés par des agences nationales de cybersécurité. Mais leur visibilité reste faible face aux grandes plateformes américaines dont les équipes commerciales sont dix fois plus nombreuses.

Le vrai goulot d'étranglement n'est pas l'offre — c'est la demande. Tant que les appels d'offres des opérateurs d'infrastructures critiques ne formalisent pas la souveraineté comme critère d'évaluation, les acteurs européens resteront structurellement désavantagés. La directive NIS2 crée une opportunité réglementaire pour changer cette dynamique. Elle n'y suffira pas seule.

Ce que ce cas enseigne aux DSI d'ETI industrielles

Première conclusion : le risque OT ne se gère plus séparément du risque IT. L'époque où l'isolement physique suffisait à protéger les automates industriels est révolue. La connexion — même partielle, même encadrée — crée une surface d'attaque. Cette surface doit être auditée avec les mêmes exigences que le reste du SI.

Deuxième conclusion : la question de la souveraineté n'est plus accessoire dans les cahiers des charges. Elle est devenue un critère de risque opérationnel. Un outil soumis à une juridiction étrangère est un outil sur lequel on n'a pas le dernier mot — ni en cas d'incident, ni en cas de pression politique.

Troisième conclusion, peut-être la plus inconfortable : beaucoup d'ETI industrielles ne savent pas précisément de quoi elles dépendent. L'audit de la chaîne de dépendances numériques — fournisseurs, sous-traitants, outils tiers — reste un exercice rare. C'est souvent un incident qui le déclenche. Mieux vaut ne pas attendre l'incident.

En 2026, les réseaux d'eau sont devenus un marqueur. Ce qui se joue autour d'eux n'est pas qu'une question de cybersécurité. C'est une question de contrôle — sur les infrastructures, sur les données, sur les décisions. Et cette question, l'Europe ne peut pas continuer à la sous-traiter.