NIS2 dans le secteur de l'eau : ce que les services d'eau potable et d'assainissement doivent prouver

Le 17 juillet 2026, la date limite a expiré pour que les États membres recensent les entités critiques au titre de la directive REC (UE) 2022/2557. L''eau potable et les eaux usées relèvent toutes deux de cette directive. Tout opérateur d''eau recensé est désormais automatiquement une entité essentielle au sens de NIS2 — l''article 3(1)(e) le dit directement, et aucun effectif ni chiffre d''affaires ne change ce résultat.

Si vous conseillez des services d''eau, ce courrier est déjà arrivé sur le bureau de certains de vos clients. La plupart ne vous l''ont pas dit.

Le problème de NIS2 dans le secteur de l''eau n''est pas que les règles soient floues. C''est que les opérateurs d''eau exploitent des réseaux de contrôle-commande vieux de vingt ans, emploient deux ou trois personnes capables de les comprendre, et n''ont jamais été supervisés par une autorité de cybersécurité. L''écart entre ce que demande l''article 21 et ce qu''un service régional peut prouver aujourd''hui est le plus large de tous les secteurs où j''interviens.

L''annexe I place l''eau dans le niveau de supervision le plus strict

NIS2 inscrit l''eau potable comme secteur 6 et les eaux usées comme secteur 7 de l''annexe I — les secteurs hautement critiques. Ce classement détermine la sévérité de la supervision, pas seulement l''appartenance au périmètre.

Les entités de l''annexe I au-dessus du plafond des grandes entreprises — plus de 250 salariés, ou un chiffre d''affaires supérieur à 50 millions d''euros et un total de bilan supérieur à 43 millions d''euros — sont des entités essentielles. Les entités de l''annexe I dans la tranche moyenne sont des entités importantes.

La différence n''est pas cosmétique. Les entités essentielles relèvent d''une supervision ex ante au titre de l''article 32 : inspections sur site, audits de sécurité réguliers et ciblés, et analyses de sécurité que l''autorité peut ordonner sans qu''aucun incident ne se soit produit. Les entités importantes sont supervisées ex post au titre de l''article 33 — l''autorité agit sur indices de non-conformité, généralement après un problème.

Pour un service d''eau, ex ante signifie qu''un auditeur peut entrer dans l''usine de traitement le trimestre prochain. Il n''y a pas d''incident à attendre.

Deux exclusions méritent d''être connues. Les distributeurs pour lesquels la distribution d''eau n''est pas une part essentielle d''une activité commerciale plus large sortent du secteur 6. Les entreprises pour lesquelles le traitement des eaux usées n''est pas une part essentielle de leur activité générale sortent du secteur 7 — c''est ainsi que de nombreux sites industriels dotés d''un traitement sur place restent hors périmètre.

Les seuils de taille ne règlent pas le périmètre des services d''eau

C''est là que la plupart des consultants se trompent. Ils appliquent le test d''effectif, comptent 38 salariés et referment le dossier.

L''article 2(2) écarte la règle de taille dans plusieurs cas qui touchent précisément les opérateurs d''eau :

Article 2(2)(b) — l''entité est le seul prestataire dans un État membre d''un service essentiel au maintien d''activités sociétales ou économiques critiques. Le seul distributeur d''eau potable d''une commune y répond couramment.
Article 2(2)(c) — une perturbation du service pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique. Une eau potable contaminée ou interrompue est le cas d''école.
Article 2(2)(d) — une perturbation pourrait induire un risque systémique, en particulier dans les secteurs où l''impact peut être transfrontalier.
Article 3(1)(e) — l''entité a été recensée comme entité critique au titre de la directive REC.

Dans le secteur de l''eau, ce ne sont pas des cas marginaux. C''est la voie normale d''entrée dans le périmètre pour les petits opérateurs. Un syndicat des eaux de 30 personnes peut être une entité essentielle alors qu''un éditeur de logiciels de 400 personnes reste entièrement hors périmètre.

La NIS2 s'applique-t-elle à votre organisation ?
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui▼
Non▼
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
✗
La NIS2 ne s'applique pas directement à votre organisation.
Oui▼
Non▼
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui▼
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
1
Votre organisation opère-t-elle dans un secteur essentiel ou important (énergie, transport, santé, infrastructure numérique, etc.) ?
Oui ↓Non →
2
Votre organisation compte-t-elle 50 employés ou plus, ou réalise-t-elle un chiffre d'affaires annuel supérieur à 10 millions d'euros ?
Oui ↓Non →
3
Votre organisation est-elle un opérateur d'infrastructure critique ou un prestataire de services de confiance qualifié ?
Oui ↓Non →
✗
La NIS2 ne s'applique pas directement à votre organisation.
✓
La NIS2 s'applique à votre organisation en tant qu'entité essentielle ou importante.
!
La NIS2 pourrait s'appliquer à votre organisation — consultez un juriste pour confirmer votre statut.
S'applique
Possiblement applicable
Ne s'applique pas

Avant de dire à un client du secteur de l''eau qu''il est hors périmètre, vérifiez si l''autorité nationale l''a désigné. Dans plusieurs États membres, la liste de désignation n''est pas publique et l''opérateur ne l''apprend que par courrier. Demandez la correspondance. Vérifiez ensuite quelle autorité est réellement compétente — pour les opérateurs multi-sites ce n''est pas toujours évident, et nous avons traité la logique de l''article 26 dans quelle autorité vous supervise.

Il n''existe pas d''acte d''exécution européen pour l''eau — et cela coupe des deux côtés

Le règlement d''exécution (UE) 2024/2690 de la Commission fixe des exigences techniques et méthodologiques détaillées pour les mesures de l''article 21. Il s''applique aux fournisseurs DNS, registres de noms de domaine de premier niveau, fournisseurs de cloud et de centres de données, CDN, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, places de marché en ligne, moteurs de recherche, réseaux sociaux et prestataires de services de confiance.

Il ne s''applique pas à l''eau.

L''article 21(5) obligeait la Commission à adopter cet acte pour les catégories numériques. Pour tout autre secteur, y compris l''eau, elle peut en adopter un. Elle ne l''a pas fait à ce jour.

Conséquence pratique : vos clients du secteur de l''eau sont jugés sur l''article 21(2) tel qu''il est rédigé, interprété par leur autorité nationale, sans référentiel européen indiquant ce que signifie « approprié et proportionné » dans une station de pompage. Certaines autorités ont publié des lignes directrices sectorielles. D''autres renvoient à l''IEC 62443 et s''arrêtent là.

Cette ambiguïté est un risque pendant un audit et une opportunité dans une proposition. Le service d''eau ne peut pas acheter une réponse certifiée sur étagère. Quelqu''un doit rédiger la justification fondée sur les risques pour chaque mesure — et la défendre. C''est du travail facturable, et c''est le travail qui détermine si l''audit se passe bien.

L''article 21 dans un service d''eau signifie l''OT, pas le réseau bureautique

Chacune des dix mesures de l''article 21(2) doit atteindre l''environnement de contrôle-commande. La documentation de la plupart des services s''arrête au pare-feu de l''entreprise.

Article 21 — 10 Mesures de Cybersécurité NIS2
🛡️
Article 21
10 Mesures de Cybersécurité
📊Gouvernance & Stratégie
1Analyse des risques & politiques de sécurité de l'information
6Évaluation de l'efficacité des mesures de sécurité
🚨Incidents & Continuité
2Gestion des incidents & notification
3Continuité des activités & reprise après sinistre
🔗Chaîne d'approvisionnement & Systèmes
4Sécurité de la chaîne d'approvisionnement
5Sécurité dans le développement des systèmes d'information
🔐Contrôles Techniques
8Cryptographie & chiffrement
10Authentification multifacteur & communications sécurisées
👥Personnel & Actifs
7Cyber-hygiène & formation
9Sécurité RH & contrôle d'accès

Là où les opérateurs d''eau échouent en pratique :

Inventaire des actifs. L''article 21(2)(i) exige une gestion des actifs. Demandez à un service la liste de chaque automate, RTU, IHM et poste d''ingénierie sur tous ses sites, avec les versions de firmware. D''expérience, moins d''un sur cinq peut la produire sans un projet de découverte. On ne peut pas évaluer le risque de ce que l''on n''a pas compté.

Segmentation réseau. Les réseaux SCADA sur Modbus, DNP3 et CEI 60870-5-104 n''ont pas d''authentification native. Tout ce qui atteint le segment peut le commander. La mesure que l''auditeur veut voir est une frontière documentée et appliquée entre IT et OT, avec un inventaire de chaque flux autorisé — le même combat que celui décrit pour les industriels et la frontière IT/OT.

Accès à distance. Les VPN d''intégrateurs vers le réseau de contrôle sont de loin le constat le plus fréquent. L''article 21(2)(j) couvre les communications vocales, vidéo et textuelles sécurisées et l''authentification multifacteur. Un compte fournisseur partagé avec accès permanent est indéfendable.

Correctifs. L''article 21(2)(e) porte sur le traitement des vulnérabilités. Une installation qui ne peut pas s''arrêter a besoin de mesures compensatoires et d''une justification écrite du report, pas du silence.

Continuité d''activité. L''article 21(2)(c) porte sur la sauvegarde et la gestion de crise. Pour un service d''eau, cela inclut le repli manuel : l''installation peut-elle fonctionner en commande locale si le SCADA tombe, et quelqu''un l''a-t-il testé cette année ? Notre analyse sauvegarde et continuité montre à quoi ressemble la preuve.

La notification démarre à l''impact process, pas quand l''IT s''en aperçoit

L''article 23 prévoit trois délais pour un incident important : une alerte précoce sous 24 heures, une notification d''incident sous 72 heures et un rapport final sous un mois.

Calendrier de Notification des Incidents NIS2
24h
⚡Alerte Précoce
Notifiez l'autorité compétente (CSIRT/ANC) dans les 24 heures suivant la prise de connaissance d'un incident significatif.
Étape 1
72h
📋Notification d'Incident
Soumettez une notification détaillée dans les 72 heures avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission.
Étape 2
1mo
📊Rapport Final
Remettez un rapport final complet dans un délai d'un mois couvrant l'analyse des causes, les mesures prises et l'impact transfrontalier.
Étape 3
24h
⚡Alerte Précoce
Notifiez l'autorité compétente (CSIRT/ANC) dans les 24 heures suivant la prise de connaissance d'un incident significatif.
72h
📋Notification d'Incident
Soumettez une notification détaillée dans les 72 heures avec une première évaluation de la gravité, de l'impact et des indicateurs de compromission.
1mo
📊Rapport Final
Remettez un rapport final complet dans un délai d'un mois couvrant l'analyse des causes, les mesures prises et l'impact transfrontalier.

Le piège dans le secteur de l''eau, c''est le déclencheur. Un incident important au sens de l''article 23(3) est un incident qui a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières, ou qui a affecté d''autres personnes en causant un préjudice matériel ou immatériel considérable.

Pour un service d''eau, « susceptible de causer » englobe une anomalie de dosage chimique, une liaison de télémesure perdue vers un réservoir distant ou un poste compromis sur le réseau d''ingénierie. Aucun de ces événements ne ressemble à un incident cyber pour un opérateur d''exploitation. Cela ressemble à un mardi.

Si l''équipe d''exploitation ne sait pas qu''une anomalie de dosage d''origine indéterminée déclenche un compteur de 24 heures, l''entité manque le délai quelle que soit la qualité de la pile de sécurité. La mesure qui corrige cela n''est pas technique. C''est une liste de déclencheurs écrite, validée avec l''exploitation, posée à côté de la console SCADA.

Rédigez-la dans leur langage. « Changement de consigne inexpliqué » vaut mieux que « violation d''intégrité ».

La plupart des opérateurs d''eau portent désormais deux régimes à la fois

REC et NIS2 ont été conçues en binôme. REC couvre la résilience physique — sûreté des sites, vérification du personnel, continuité du service physique. NIS2 couvre le volet cyber. L''eau potable et les eaux usées figurent dans les annexes des deux textes.

Un opérateur recensé comme entité critique au titre de REC doit désigner un point de contact, réaliser une évaluation des risques, prendre des mesures de résilience et notifier les incidents perturbateurs — tout en satisfaisant aux articles 21 et 23 de NIS2, face à une autorité différente dans plusieurs États membres.

Ne menez pas cela comme deux projets. L''évaluation des risques, le registre des actifs, la procédure d''incident et le programme d''exercices doivent former un seul jeu de livrables servant les deux régimes. Les services qui les séparent finissent avec deux registres de risques contradictoires et un auditeur qui trouve la contradiction en premier.

Par où commencer

Trois choses, dans cet ordre.

D''abord, établir le périmètre par écrit. Test de taille, motifs de désignation au titre de l''article 2(2), statut REC et autorité nationale compétente. Mettez-le sur papier et faites-le signer par l''organe de direction du client.

Ensuite, inventorier le parc OT. Chaque équipement, chaque chemin réseau, chaque accès distant, chaque tiers capable d''atteindre le réseau de contrôle. Rien en aval ne fonctionne sans cela.

Enfin, confronter l''existant aux dix mesures de l''article 21 et consigner les écarts avec un responsable et une date. C''est le document qu''un superviseur demande en premier, comme nous l''exposons dans la checklist des preuves d''audit.

Pour situer rapidement un client du secteur de l''eau avant de cadrer la mission, faites-lui passer notre scan rapide NIS2. Cela prend quelques minutes et donne une vue structurée des écarts sur laquelle bâtir la proposition.

Le secteur de l''eau a hérité du niveau de supervision le plus strict de NIS2 et du moins de lignes directrices de mise en œuvre. Cette combinaison explique pourquoi ces clients ont besoin de vous — et pourquoi ceux qui attendent que leur autorité leur explique les exigences finiront par s''expliquer eux-mêmes.