Une centrale britannique hors service quatre jours, jamais déclarée

Quatre jours de coupure dans une centrale britannique, révélés par un journal

The Telegraph a rapporté le 22 août 2026 que des pirates liés à l'Iran ont mis hors service une petite centrale électrique britannique pendant quatre jours, dans ce que plusieurs médias décrivent comme la première cyberattaque iranienne réussie à mettre hors service une installation électrique britannique. L'article citait des sources de sécurité et gouvernementales non identifiées, et des récits corroborants ont suivi en quelques heures via Iran International, GB News, le Jerusalem Post, Ynetnews et Israel Hayom.

Les autorités britanniques ont interprété l'intrusion comme une démonstration de capacité plutôt qu'une tentative de perturber le réseau national, car l'installation concernée était petite et le reste du réseau a continué de fonctionner sans interruption pendant les quatre jours de la panne. Cette lecture compte pour savoir à quel point les petits opérateurs doivent prendre l'incident au sérieux : une démonstration visant une petite installation reste la preuve de ce que le même acteur pourrait tenter contre une plus grande.

Pas un cas isolé : un schéma sur cinq pays plus une vague contre l'eau aux États-Unis

La brèche dans la centrale électrique britannique est survenue dans la même fenêtre qu'une vague d'attaques contre des services d'eau dans 12 États américains, des incidents qui, selon les informations rapportées, ont provoqué des inondations, des chutes de pression et des avis de non-potabilité pour les communautés touchées.

Ce calendrier fait suite à une série d'intrusions iraniennes présumées dans des infrastructures critiques ailleurs en Europe, en Allemagne, en Pologne, en Finlande, en Belgique et en Albanie, selon les mêmes informations. Mis ensemble, ces incidents ressemblent moins à des sondages dispersés qu'à un seul acteur testant des accès sur plusieurs secteurs et plusieurs pays à la fois.

Au-delà de la panne : une lacune de signalement que la NIS2 n'était pas conçue pour attraper

Le public n'a pas appris cette brèche dans l'infrastructure énergétique britannique par un quelconque régime obligatoire de signalement ; il l'a appris par une enquête journalistique, publiée des jours après la fin de la panne.

Les NIS Regulations britanniques et la directive NIS2 de l'UE construisent leurs obligations de signalement autour des opérateurs dits de services essentiels, une désignation pensée pour les grands gestionnaires de réseau, les sociétés nationales de transport et les grands fournisseurs, pas pour chaque petite installation de production indépendante raccordée au réseau plus large. En France, l'ANSSI applique un seuil bâti sur la même logique dans le cadre de la transposition de NIS2, et cette installation se trouvait exactement dans cette lacune : assez petite pour rester hors du périmètre évident de signalement, assez connectée pour être une cible réelle, et le résultat est une brèche dont le public a appris l'existence par hasard, pas par conception.

Ce que les opérateurs industriels et énergétiques britanniques et européens devraient vérifier maintenant

Tout opérateur britannique ou européen exploitant des infrastructures industrielles ou énergétiques a désormais une raison concrète de revérifier deux hypothèses : si sa propre installation déclencherait réellement une obligation de signalement au titre de NIS2 ou des NIS Regulations britanniques, et si sa séparation entre l'informatique et la technologie opérationnelle résisterait à la même voie d'intrusion utilisée ici.

Le schéma observé dans cinq pays, Allemagne, Pologne, Finlande, Belgique et Albanie, ajouté à la vague contre l'eau aux États-Unis, plaide contre le fait de traiter cela comme un cas isolé qu'on balaie d'un revers de main ; il plaide pour traiter l'exposition d'une petite installation comme une ligne réelle sur le même registre des risques que le plus grand fournisseur national, car l'acteur derrière tout cela ne trie pas ses cibles par taille.

À lire ensuite: Le sursis NIS2 de l'Allemagne a pris fin  |  Des agents IA autonomes ont attaqué le gouvernement taïwanais