Les infrastructures d’eau font face à une montée des menaces cyber. Pour y répondre, des responsables politiques et des acteurs de la défense numérique lancent des initiatives coordonnées : une nouvelle proposition au niveau fédéral, et un dispositif de terrain porté par la communauté pour aider les petites structures à se protéger efficacement.
Au cœur de ce mouvement, le Water Cyber Shield vise à renforcer le contrôle et le financement de la sécurité des réseaux d’eau, tout en améliorant la capacité des opérateurs à détecter et corriger les failles.
Le Water Cyber Shield : objectifs et nouveaux leviers fédéraux
Des sénateurs américains, dont Adam Schiff et Amy Klobuchar, ont présenté la Water Cyber Shield Act. L’ambition est claire : accroître la surveillance et les moyens destinés à sécuriser l’eau, un secteur considéré comme critique pour le fonctionnement quotidien et, dans certains cas, pour des intérêts stratégiques.
Le texte prévoit notamment d’élargir le rôle de l’Agence de protection de l’environnement (EPA) en matière de cybersécurité. Concrètement, l’EPA pourrait être habilitée à réaliser des évaluations de cybersécurité, à imposer des mesures correctives et à contribuer à la définition de normes de sécurité. Ces actions s’inscriraient en lien avec d’autres organismes et cadres existants, notamment CISA et NIST.
Financement et obligations de sécurité pour les opérateurs
Au-delà des pouvoirs réglementaires, la loi prévoit des moyens financiers. Elle autorise 300 millions de dollars par an pour les fonds de renouvellement des États dédiés à l’eau potable et à l’eau propre (Drinking Water and Clean Water State Revolving Funds). L’objectif est de permettre aux services des utilités de financer des mises à niveau de sécurité, plutôt que de se limiter à des recommandations.
La proposition introduit aussi des exigences plus structurantes. Elle impose des évaluations des risques pour les systèmes de grande taille. Par ailleurs, elle prévoit d’étendre les obligations de signalement des incidents de cybersécurité, en incluant davantage d’installations détenues au niveau des États et localement.
Enfin, un point important concerne la protection des données sensibles : la loi cherche à empêcher que certaines informations des services ne soient divulguées publiquement. Cette approche vise à limiter les expositions inutiles tout en gardant une capacité de coordination face aux menaces.
Pourquoi ces mesures ? Une vague d’attaques contre des réseaux locaux
Ces initiatives s’inscrivent dans un contexte de pression croissante. Récemment, des cyberattaques coordonnées auraient ciblé plusieurs systèmes d’eau communautaires à travers au moins douze États. Parmi les exemples cités figurent notamment la Minnesota, le Michigan, la Géorgie, le Dakota du Sud, le New Jersey et l’Alabama.
Le message qui ressort est double : d’une part, les attaques ne visent pas uniquement de grands acteurs ; d’autre part, le risque est suffisamment répandu pour justifier une combinaison de règles, de financement et de soutien opérationnel.
Water Watch Center : une réponse de terrain pour les petites utilités
En parallèle du Water Cyber Shield, une démarche plus communautaire a été lancée. Lors de la conférence DEF CON à Las Vegas, DEF CON Franklin et la National Rural Water Association (NRWA) ont présenté le Water Watch Center (WWC).
Le dispositif se concentre sur les opérateurs de petite taille, souvent sous-dotés : les utilities qui desservent moins de 10 000 personnes. Ce segment représenterait environ 91 % des quelque 50 000 systèmes d’eau communautaires du pays. Autrement dit, l’enjeu n’est pas marginal : une grande partie du parc a besoin d’un accompagnement renforcé.
Détection et réponse gérées, et partage d’intelligence
Le WWC repose sur une logique de services. Cinq entreprises de cybersécurité — Defendify, Legato Security, L1 Secure, Rapid7 et Sentinel Technologies — doivent fournir des capacités de détection et réponse gérées directement aux petites utilities.
Le programme ne se limite pas à l’intervention : il prévoit également de partager des informations sur les menaces via la NRWA. Cette circulation d’alertes et de signaux vise à accélérer l’apprentissage collectif et à améliorer la réactivité, y compris lorsque les équipes locales sont réduites.
Le lancement a bénéficié d’un soutien financier initial apporté par Craig Newmark, fondateur de Craigslist.
Un programme en expansion, après un pilote de deux ans
Le Water Watch Center ne démarre pas ex nihilo. L’initiative s’appuie sur un pilote mené pendant deux ans, durant lequel près de 450 experts bénévoles ont été mobilisés aux côtés d’utilities situées dans sept États.
Cette phase a permis de tester une approche et de valider la valeur d’un accompagnement concret : mieux détecter, mieux répondre, et partager les connaissances entre pairs.
À présent, le WWC élargit son périmètre, notamment vers le Maryland, avec la volonté de protéger des systèmes d’eau destinés à soutenir des activités liées à la sécurité civile et à des actifs militaires.
Vers des défenses plus automatiques : jumelles numériques et agents IA
Pour aller plus loin que la seule réponse à incident, le Water Watch Center prévoit de travailler avec l’Université Vanderbilt. Le but est de s’appuyer sur des recherches issues du programme DARPA CASTLE.
Les travaux envisagent la construction de jumelles numériques des environnements liés à l’eau. Ces modèles seraient utilisés pour tester des stratégies de défense, puis pour aider à déployer des capacités capables de détecter et bloquer des intrusions.
Le plan met l’accent sur des agents de défense pilotés par l’IA, avec l’idée d’une action plus autonome face aux tentatives d’intrusion. L’objectif n’est pas uniquement d’alerter, mais de favoriser une réaction plus rapide et structurée, en s’alignant sur l’évolution des menaces.
Ce que ces deux démarches changent pour les réseaux d’eau
Pris ensemble, le Water Cyber Shield et le Water Watch Center dessinent une stratégie qui combine des niveaux d’action complémentaires.
- Niveau fédéral : le projet de loi renforce le cadre, donne davantage de leviers à l’EPA et prévoit des financements dédiés à la modernisation.
- Niveau opérationnel : le WWC propose un accompagnement concret, adapté aux contraintes des petites utilities, avec des services de détection et réponse.
- Niveau communautaire : le partage d’informations et l’héritage du pilote permettent d’améliorer la résilience de façon progressive.
- Niveau technologique : les jumelles numériques et l’IA ouvrent la voie à des défenses plus automatisées à terme.
Pour les opérateurs, l’enjeu consiste à traduire ces orientations en pratiques : évaluer les risques, corriger les faiblesses, organiser le signalement des incidents et réduire l’exposition des informations sensibles.
Conclusion
Le Water Cyber Shield propose un cadre plus solide pour sécuriser les réseaux d’eau, avec un appui financier significatif et des responsabilités renforcées pour l’EPA. Dans le même temps, le Water Watch Center offre une réponse pragmatique aux petites utilities, qui sont souvent les plus difficiles à protéger.
En combinant règles, financement, services gérés et innovations technologiques, cette double approche cherche à réduire le risque cyber sur un secteur essentiel — et à rendre la protection plus accessible à ceux qui en ont le plus besoin.
