Numérique et IoT pour installations d’eau et pompes

Ce dossier présente un panorama pratique du numérique et des objets connectés pour les installations liées à l’eau : pompes, surpresseurs, forages et systèmes d’assainissement. Il explique les usages pertinents, les risques majeurs, les obligations réglementaires à connaître et les bonnes pratiques de déploiement sans promettre de résultat technique ou sanitaire.

Pourquoi une rubrique « Numérique & IoT » pour la verticale eau‑pompes

Les équipements hydrauliques intègrent de plus en plus d’éléments numériques. Capteurs, actionneurs et passerelles coexistent désormais avec des pompes et des fosses. L’objectif de cette rubrique est de donner un panorama pragmatique. Elle vise à aider le propriétaire ou le technicien à comprendre les enjeux, à repérer les risques et à préparer un cahier des charges.

Cette page ne donne pas de conseils tarifaires. Aucun prix n’est indiqué. Elle n’affirme pas non plus qu’un dispositif connecté rende une eau potable ou conforme : la potabilité relève des autorités sanitaires et des analyses. Voir le bloc « Potabilité » pour la mise en garde et les renvois.

Le registre est professionnel et prudent. Le contenu décrit des obligations et des bonnes pratiques. Il n’est pas une expertise opérationnelle en cybersécurité. Pour un audit technique, faites appel à un prestataire qualifié.

Qu’est‑ce que l’IoT appliqué aux pompes et aux installations d’eau ?

L’IoT, appliqué ici, désigne l’ensemble des composants qui collectent, transmettent et exploitent des données pour piloter un équipement d’eau. On y trouve des capteurs (niveau, débit, état), des actionneurs (relais, variateurs), des passerelles locales et des plateformes distantes (cloud ou serveurs privés). Une application mobile ou web complète souvent l’ensemble.

Les usages varient. La surveillance permet d’alerter en cas de défaut. La télésurveillance affiche l’état d’une pompe à distance. La maintenance prédictive signale une dégradation fonctionnelle en amont. Le pilotage horaire gère l’arrosage automatique selon un calendrier. Ces cas d’usage sont décrits ici comme exemples, sans chiffrage ni promesse de performance.

Il faut distinguer clairement l’IoT domestique et l’IIoT industriel. Le domestique concerne des installations chez des particuliers ou de petites structures. L’IIoT relève d’installations professionnelles et implique des référentiels de sécurité plus stricts, comme la série IEC/ISA 62443 citée dans les sources.

Risques principaux à connaître

La cybersécurité reste la première préoccupation. Un équipement connecté exposé sans protections peut donner lieu à des accès non autorisés, à une prise de contrôle ou à une interruption de service. Les protocoles historiques d’automatisme, s’ils sont exposés tels quels, augmentent ce risque. Les recommandations d’ANSSI, d’ENISA et la série IEC/ISA 62443 offrent des principes à appliquer pour réduire ces risques.

La protection de la vie privée est un autre enjeu. Les objets connectés collectent des données personnelles. Le responsable de traitement doit limiter la collecte, informer les personnes concernées et fixer des durées de conservation. La CNIL publie des fiches pratiques pour les objets connectés et détaille les obligations à respecter.

Une compromission peut aussi avoir des conséquences physiques. Un accès mal maîtrisé peut conduire à un pompage inapproprié, à des risques d’inondation ou d’assèchement selon le contexte. Ces impacts doivent être évalués et pris en compte dans l’analyse de risque préalable.

Enfin, la conformité réglementaire autour de l’eau reste du ressort des autorités compétentes. Pour les usages liés à l’eau potable ou à l’assainissement, l’ARS et le SPANC conservent la compétence sanitaire et de contrôle. L’IoT ne doit pas être présenté comme remplaçant ces contrôles.

Bonnes pratiques de déploiement

Avant tout projet, cartographez les flux de données. Définissez le périmètre fonctionnel des objets connectés et identifiez les données sensibles. Cette étape permet d’orienter les choix techniques et contractuels.

Intégrez la sécurité dès la conception. Exigez l’authentification forte, le chiffrement des communications et une politique de mises à jour sécurisées. Vérifiez la traçabilité des versions logicielles et la chaîne d’approvisionnement des composants, comme le recommandent ENISA et ANSSI.

Architectez le réseau en cloisonnant les équipements IoT du réseau administratif. La segmentation OT/IT et l’utilisation de VLAN ou de pare‑feu permettent de limiter les frontières d’attaque. Contrôlez les accès et appliquez le principe du moindre privilège.

Contractualisez la maintenance logicielle. Demandez au fournisseur les modalités de support et de mise à jour, la politique d’end‑of‑life et les garanties sur la gestion des vulnérabilités. Intégrez dans le contrat des obligations de notification en cas d’incident.

Mettez en place la journalisation et un plan d’incident. Collectez les logs nécessaires à l’enquête et définissez une procédure de reprise. Préparez une chaîne de communication claire pour informer les personnes concernées en cas de fuite de données.

Respectez le RGPD pour la confidentialité : information des personnes, minimisation des données collectées, durée de conservation justifiée et droits d’accès. La CNIL détaille ces obligations et propose des guides pratiques.

Cas pratiques et scénarios

Scénario A — capteur de niveau avec alerte SMS. Le bénéfice est une alerte en cas de débordement. Les risques concernent la sécurité du canal de notification et la confidentialité du numéro. Pensez à sécuriser la passerelle et à limiter les informations transmises par SMS.

Scénario B — accès distant pour le réglage d’un variateur de pompe. L’accès distant facilite l’intervention. Il doit reposer sur un accès chiffré et une authentification forte. Limitez les droits des comptes et conservez un historique des actions réalisées à distance.

Scénario C — service cloud du constructeur. Les points à négocier apparaissent dans le contrat : conditions d’accès aux données, possibilités d’export, maintien des services et procédure d’effacement. Exigez la clarté sur la localisation des données et les modalités de reprise en cas de changement de fournisseur.

Rôles et responsabilités

Le propriétaire de l’installation reste responsable du traitement des données et de l’information des personnes concernées. En contexte locatif, le partage des responsabilités doit être formalisé contractuellement.

L’installateur ou l’intégrateur a des obligations contractuelles : documentation, sécurité minimale lors de la mise en service et modalités de support. Ces éléments doivent figurer dans le cahier des charges et le contrat.

Le fournisseur cloud ou l’éditeur est responsable de la sécurité applicative et de la disponibilité de ses services selon les termes contractuels. La répartition des responsabilités doit être explicite et documentée.

Les autorités compétentes à contacter varient selon la situation : ARS pour les questions de potabilité, SPANC pour l’assainissement non collectif, mairie pour certaines déclarations de prélèvement. Ne confiez pas à un dispositif IoT la responsabilité finale de conformité sanitaire.

Checklist réglementaire et normes à connaître

Consultez les documents de référence avant de lancer un projet : le guide ANSSI sur la sécurité des objets connectés, les recommandations d’ENISA pour l’IoT et la série IEC/ISA 62443 pour les environnements industriels. La CNIL publie des fiches pratiques pour les objets connectés et le RGPD.

Liens utiles et ressources officielles

Consultez ces documents pour approfondir les recommandations et les obligations. Relève la date de consultation au moment de votre lecture.

• ANSSI — Recommandations relatives à la sécurité des (systèmes d’) objets connectés (pdf). Consulté le 04/09/2026. URL : https://cyber.gouv.fr/uploads/2021/09/anssi-guide-securite_des_systemes_objets_connectes_iot-v1.0.pdf
• CNIL — Objets connectés (page de synthèse et fiches pratiques). Consulté le 04/09/2026. URL : https://www.cnil.fr/fr/technologies/objets-connectes
• ENISA — Baseline Security Recommendations for IoT. Consulté le 04/09/2026. URL : https://www.enisa.europa.eu/publications/baseline-security-recommendations-for-iot
• ENISA — IoT security : lignes guides et outils. Consulté le 04/09/2026. URL : https://www.enisa.europa.eu/news/enisa-news/iot-security-enisa-publishes-guidelines-on-securing-the-iot
• ISA / IEC 62443 — présentation de la série de normes pour la cybersécurité des systèmes d’automatisation industrielle. Consulté le 04/09/2026. URL : https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards
• Notice Modbus (page synthétique). Consulté le 04/09/2026. URL : https://fr.wikipedia.org/wiki/Modbus

Bloc Potabilité

Bloc Potabilité : la potabilité d’une eau relève des autorités sanitaires et d’analyses de laboratoire. Aucun dispositif IoT ne doit être présenté comme garant de potabilité. Pour toute question liée à la conformité sanitaire, contacter l’ARS compétente et procéder aux analyses prévues par la réglementation applicable.

Bloc Forage

Bloc Forage : tout prélèvement lié à un forage peut engager des obligations déclaratives. L’article L2224‑9 du Code général des collectivités territoriales prévoit des obligations de déclaration en mairie pour certains prélèvements domestiques. Vérifiez les obligations locales avant tout projet de prélèvement.

Bloc SPANC

Bloc SPANC : les installations d’assainissement non collectif sont soumises au contrôle du SPANC. Toute modification de l’installation susceptible d’affecter son fonctionnement ou sa conformité doit être évoquée avec le SPANC compétent. Ne substituez pas une solution IoT aux contrôles et aux obligations réglementaires du SPANC.

Bloc Choix d’une pompe

Bloc Choix d’une pompe : le choix technique d’une pompe repose sur des paramètres mesurés et vérifiés (débit, pression, HMT, caractéristiques du réseau). Ce dossier n’indique aucun paramètre chiffré. Pour le dimensionnement, conservez les relevés et faites appel à un professionnel qualifié pour réaliser les calculs adaptés au contexte.

Ce qu’il est recommandé de faire avant d’acheter ou d’installer

Demandez au fournisseur une fiche technique complète et sa politique de sécurité. Exigez une clause sur les mises à jour logicielles et sur l’effacement des données. Vérifiez la compatibilité OT/IT et l’isolation réseau proposée. Demandez un contact identifiable en français pour les questions de données et de sécurité. Réalisez une analyse de risque avant la mise en production et formalisez la répartition des responsabilités dans un contrat.

FAQ courte

• Un capteur connecté peut‑il rendre mon installation dangereuse ?

  Un capteur mal sécurisé peut permettre un accès non autorisé. Pour réduire le risque, appliquez les mesures de sécurité recommandées par ANSSI et ENISA : cloisonnement, authentification, chiffrement et mises à jour.

• Qui est responsable des données ?

  Le propriétaire ou le responsable du traitement reste responsable de la conformité au RGPD. Le contrat avec l’installateur et le fournisseur doit préciser les responsabilités respectives.

• Doit‑on déclarer quelque chose en mairie ou à l’ARS ?

  La déclaration de prélèvements peut être requise. Les questions de potabilité et de conformité sanitaire relèvent de l’ARS et du SPANC selon les cas. Consultez les autorités compétentes avant toute mise en service liée à l’eau potable ou à l’assainissement.