Ce sont des documents plus que sensibles, susceptibles de mettre en péril les dizaines de milliers de personnes qui vivent aux alentours du site nucléaire de Flamanville. Ces fichiers ne sont en théorie consultables que par certains professionnels, sélectionnés pour leur sérieux, validés par la préfecture et habilités par EDF. Pourtant, ils nous sont parvenus, en très grand nombre, via Greenpeace, à l’initiative d’une personne qui fait ainsi savoir au grand public que les procédures censées garantir la confidentialité des secrets de la sécurité nucléaire ne sont, en réalité, pas respectées.
Plans précis au mètre près du site où se côtoient les trois réacteurs nucléaires, schémas des clôtures électriques et des alarmes qui y sont reliées, positions exactes des caméras et des détecteurs anti-intrusion, vues des caméras et détails de leurs angles morts, plan des sas d’accès sécurisé et des détecteurs d’explosifs, fonctionnement des portillons : c’est une grande partie du système de sécurité de la zone d’accès contrôlée (ZAC) du chantier le plus important, le plus coûteux et le plus stratégique du système nucléaire français que nous avons pu consulter.
Ces documents nous ont été montrés par Greenpeace afin d’alerter le grand public sur la faille de sécurité révélée par le seul fait que ces dossiers lui soient parvenus. L’ONG a été destinataire de ces fichiers informatisés car ils circulent au sein d’entreprises prestataires, embauchées à un moment ou à un autre sur le chantier de l’EPR. Alors qu’ils sont couverts par différents régimes de secret et de confidentialité, des documents relatifs au chantier de sécurité du site nucléaire de Flamanville circulent par courriel, traînent sur des ordinateurs personnels, passent par des clefs USB. « Greenpeace reçoit régulièrement des envois, par courrier ou autres, mais jamais on n’avait vu ce type de contenus, décrit Jean-François Julliard, directeur général de l’ONG. C’est très inquiétant. Ce sont des docs importants. Ils révèlent une faille préoccupante de la sécurité nucléaire. »
L’association a décidé de prévenir Mediapart et de lui donner accès aux fichiers en assumant un rôle de lanceuse d’alerte. « Aujourd’hui, nous n’avons pas confiance en la manière dont la sécurité des installations est assurée par EDF. Il est important de le dénoncer auprès d’un média afin de garantir que le problème sera traité, et ne sera pas glissé sous le tapis. »
Mediapart ne publiera pas les notes, fiches d’évaluation, bilans techniques, courriers, photos, codes d’accès, etc., que nous avons vus. Le contenu de ces informations n’est pas d’intérêt public. Le fait de les obtenir dans ces conditions est, lui, d’intérêt général.
Informé de l’ampleur de la fuite, EDF, exploitant de 56 réacteurs nucléaires en France, en minimise la portée. « Le fait de disposer des plans de la zone d’accès contrôlé de Flamanville ou encore de disposer de l’emplacement des caméras ou de détecteurs n’est pas une information protégée ni classifiée, puisque ces informations sont visibles et peuvent être constatées à l’œil nu par tout à chacun sur les sites. » Sans leur transmettre aucun document, Mediapart leur avait pourtant envoyé une liste indiquant que les informations consultées allaient bien au-delà. Mais l’entreprise a refusé d’entrer dans le détail des documents consultés. Tout en reconnaissant que « l’accumulation d’informations non classifiées et leur diffusion peuvent aboutir à un ensemble pouvant malgré tout poser difficulté pour la protection du secret de la défense nationale ».
Un prestataire du chantier de Flamanville s’inquiète au téléphone, une fois contacté par Mediapart, car son nom figure parmi des dizaines d’autres dans des rapports que nous avons lus : « C’est grave que vous ayez cela, je dois prévenir mon entreprise. »
Interrogé au début de cette enquête sur quel type d’information est classé secret défense, le haut fonctionnaire de défense adjoint, chef du service du haut fonctionnaire de défense et de sécurité (SHFDS) au ministère de l’écologie, Mario Pain, répond que « sont classifiées les informations concernant les systèmes de sécurité des installations nucléaires (systèmes de détection des intrusions, systèmes de surveillance, procédures de sécurité), les plans des locaux sensibles… ». Pourquoi ? « Il s’agit de toutes les informations permettant la préparation d’un acte malveillant », précise-t-il. Quelles informations doivent rester confidentielles ? « Du point de vue de la sécurité, celles qui donnent un avantage à un agresseur éventuel », ajoute le représentant du HFDS.
«Les dossiers ne sont pas censés sortir du chantier»
Un puzzle d’images, de formulaires, de plannings, de procès-verbaux, de rapports, de chiffres, de schémas et de plans : beaucoup d’informations et de documents ont circulé, de façon plus ou moins sécurisée, entre des prestataires et leur donneur d’ordres, EDF, en 2018 et 2019, selon les centaines de courriels lus par Mediapart.
Reporting, planning de travaux, coordination d’interventions, synthèse des chantiers précédents : les échanges par courriel sont incessants entre le commanditaire et ses sous-traitants, ainsi qu’entre les sous-traitants eux-mêmes, dont certains jouent un rôle de coordinateur. Des documents circulent dans leurs boîtes mails, souvent classés « diffusion restreinte protection site » ou « confidentiel ».
Ainsi, un plan extrêmement précis du site de Flamanville, avec ses trois réacteurs, la piscine de stockage du combustible usagé, le périmètre exact de la zone de protection renforcée, où figurent les cotes ainsi que les noms de code des segments de clôture utilisés par le poste de commandement de crise sécuritaire, est envoyé en pièce jointe d’un courriel.
Autre exemple : un ingénieur sécurité d’EDF reçoit à sa demande le détail du fonctionnement des lasers de détection – ce qui indique par déduction comment les mettre à l’arrêt –, accompagné de schémas, de l’explication du logiciel qui le commande et du voltage des alarmes qui y sont reliées. Un membre de la mission sécurité d’EDF se fait envoyer par un sous-traitant un document englobant tous les contrôles et essais concernant la sécurité des réacteurs 1 et 2, et s’en excuse : « Désolé de t’ennuyer. » Celui-ci les lui envoie et lui rappelle qu’une partie des documents est accessible sur la « data room », le serveur dédié aux documents du programme sécuritaire.
Les accès au box sécurisé dysfonctionnent parfois. « Finalement je veux bien les documents, problème avec la Security box de XX [le nom de la personne a été anonymisé – ndlr], je passerai à ton bureau avec une USB », écrit un prestataire. Un sous-traitant se fait envoyer les schémas de l’installation électrique de la zone d’accès contrôlé de l’EPR. Une personne envoie le détail du positionnement des modules de câbles microphoniques, par zone d’affectation. Un prestataire envoie le tableau des alarmes du site en pièce jointe car les réglages effectués pendant l’été ne fonctionnent pas en raison de la météo de la fin de l’année. Un coordinateur de projet, côté EDF, envoie à 40 personnes un mot de passe pour un reporting sur le plateau sécuritaire.
Bout par bout, des pans entiers du système de sécurité de Flamanville s’éparpillent. Tous les échanges de mails ne traitent pas de sécurité. Un chef de section EDF s’inquiète du code du travail : « Suite à un audit sur le suivi d’une de mes prestations, je suis mis en difficulté pour justifier comment je réduis au maximum le risque d’exposition au prêt de main-d’œuvre. » Certains partagent des conseils de sorties culturelles. Ou des vidéos pornographiques. Une petite communauté d’hommes, entre eux, qui construisent une grosse centrale nucléaire.
En dehors des échanges de mails, des milliers de pages de documents sont parvenues à Greenpeace. On y voit des captures d’écran des images infrarouge produites par les caméras de surveillance du site, y compris avec leurs angles morts. Plusieurs plans détaillés de Flamanville et du moindre bâtiment qui s’y trouve. Des schémas et plans de coupe des clôtures de l’EPR si précis que l’on voit quel type de vis et de boulon utiliser pour monter les grilles – information pouvant logiquement conduire à savoir les démonter.
Des plans des installations électriques de la clôture au mètre près, le schéma général des câblages, de la fibre optique, le circuit reliant les alarmes aux coffrets des tableaux électriques. Mais aussi la nomenclature des équipements de surveillance – de quoi aller voir en boutique les capacités techniques de chaque lentille de caméra. Un schéma vu du dessus du sas d’entrée de l’EPR : on y voit l’amplitude des tourniquets d’entrée, la localisation des détecteurs d’explosifs, la présence du local informatique. Rien, en revanche, sur l’intérieur des locaux : les documents n’entrent pas à l’intérieur des bâtiments.
« Les dossiers ne sont pas censés sortir du chantier, ils restent sur des serveurs sécurisés et sont accessibles uniquement aux personnes autorisées », explique un prestataire joint par Mediapart. C’est ce qu’explique un chef de section électricité dans un mail à des collègues : « Ce n’est pas prévu » de pouvoir se connecter au serveur sécurisé lorsqu’on se trouve en dehors d’un site EDF, domicile ou lieu public. Le bénéficiaire de l’accès « doit se connecter depuis le site » de Flamanville.
L’accès à la base de données ne peut se faire que grâce à un code délivré par une application spécifique sur un téléphone portable. « C’est effectivement très contraignant, reconnaît-il, mais je n’ ai pas eu le choix des modalités d’accès à cette nouvelle base sécurisée ».
« On a tous rempli des certificats, des engagements de confidentialité », précise à Mediapart l’un des prestataires joints pour cet article, ainsi que tous les autres professionnels contactés. Ces règles de confidentialité interdisent d’enregistrer les dossiers sur son ordinateur, ajoute ce sous-traitant. « Les envois de mails étaient cryptés par un mot de passe », décrit un technicien. Les documents de travail étaient « boxés », conservés sur un serveur sur lequel chacun·e pouvait les consulter en fonction de son habilitation et de ses tâches.
Un prestataire se souvient que parmi les documents auquel il avait accès, ceux qui avaient le niveau de confidentialité le plus élevé (« confidentiel protection ») concernaient l’implantation du matériel de surveillance : capteurs et caméras, par exemple. Ils étaient numérotés et envoyés à un seul destinataire. À l’évidence, ces précautions n’ont pas suffi à empêcher la mise en circulation de ces dossiers.
Il n’y a aucun tampon « secret défense » dans les documents lus par Mediapart. Ils sont estampillés « confidentiel protection », « diffusion restreinte protection site » ou « confidentiel », parfois à l’encre rouge. Ce sont des appellations « internes mises à l’initiative des différents rédacteurs de ces documents », explique EDF, qui « visent simplement à spécifier qu’ils sont réservés de base aux personnels en charge de la sécurité » des centrales. « Ces appellations ne correspondent en rien à des documents classifiés au titre du secret de la défense nationale. Ces plans sans être classifiés sont une propriété patrimoniale d’EDF et sont donc réservés à ceux à qui on en donne l’utilisation pour honorer les contrats de prestation. »
Pourtant, dans un diaporama consulté par Mediapart où EDF énumère les informations devant faire l’objet d’« occultations au titre de la sécurité publique », on lit la liste suivante : « la description détaillée des bâtiments et ouvrages de génie civil (cotes, dimensions, épaisseurs de murs) », « les plans avec légendes précises des bâtiments et installations et mention des accès », « les repères de matériels, qui facilitent leur localisation », « les schémas mécaniques et électriques détaillés (notamment lorsqu’ils mentionnent les repères matériels) », « la localisation d’éventuels points sensibles liés à la sécurité de l’installation », « les noms et lieux des fabricants, installations d’essais, bureaux d’études ». Soit peu ou prou les informations contenues dans les dossiers arrivés sous nos yeux. Mediapart a eu accès aux noms des entreprises prestataires sur le chantier de la sécurisation de Flamanville et a décidé de ne pas les publier.
Interrogée sur son application des engagements sécuritaires concernant les informations du chantier, une entreprise répond : « Les dispositions concernées par vos questions étant couvertes par des clauses de confidentialité, il nous est impossible de vous répondre. » Les autres sociétés sollicitées n’ont pas donné suite.
«Révéler le niveau de classement « défense » d’une information est interdit»
Depuis treize ans à Flamanville, sur le rivage du Cotentin, se déroule cahin-caha le chantier pharaonique de l’EPR, plombé par les retards, les accidents, les difficultés techniques et les surcoûts. Des milliers de travailleurs, des années de travaux. « Je n’ai jamais vu d’autre chantier de cette ampleur », témoigne un prestataire. En octobre dernier, EDF y a envoyé un premier chargement de combustibles. Le réacteur ne doit pas démarrer avant la fin 2023, au plus tôt. Deux tranches nucléaires y sont déjà en activité et y produisent de l’électricité depuis le milieu des années 1980.
Pour protéger la centrale de Flamanville contre le risque d’attaques et d’intrusions malveillante, plusieurs gros chantiers de sécurisation du site se sont enchaînés : construction d’une clôture de cinq mètres de haut, installation d’un réseau de caméras, de détecteurs laser, de câbles à choc, d’obstacles physiques pour empêcher des actions de type voiture-bélier, création d’un nouveau système d’information pour gérer les accès et les alarmes.
Le système sécuritaire de l’EPR est conçu pour être plus protecteur que sur le reste du parc, en particulier contre « les menaces terroristes de haute intensité ». Autour des réacteurs de Flamanville 1 et 2, ceux qui sont déjà en fonctionnement, EDF a fait ériger une « zone à protection renforcée » (ZPR), dotée d’un système de détection relevé par un ensemble de clôtures et de caméras devant permettre de retarder une éventuelle intrusion, et autour de l’EPR, une ZPR « encore plus renforcée », afin de « tripler » le système de détection et d’augmenter encore plus l’effet de retardement.
Les travaux de sécurisation étaient pilotés par EDF, commanditaire des travaux. Mais ils ont été largement sous-traités à des entreprises spécialisées, sous la forme de « groupements momentanés d’entreprises solidaires » (GMES). Dans cet organigramme à étages, des sociétés jouent un rôle pivot de contrôle des travaux réalisés par les autres prestataires. Ces entreprises « surveillent que le travail est bien conforme au cahier des charges, explique un prestataire joint par Mediapart. EDF ne fait que surveiller. Ce ne sont pas eux qui font les travaux ».
Selon ce professionnel qui a travaillé plusieurs années sur le chantier de Flamanville, elles « louent du personnel qualifié à EDF ». Leurs salarié·e·s bénéficiaient d’adresses électroniques « @edf.fr », complétées de la mention « externe » pour les distinguer des salarié·e·s du groupe d’électricité. Dans les mails lus par Mediapart, ils correspondent très régulièrement avec des personnes directement employées par l’industriel. Au total, neuf sociétés apparaissent dans l’organigramme du projet sécuritaire du CNPE Flamanville, et 39 personnes, presque toutes des hommes, sont nommées en tant que prestataires. Cette organisation à étages, entre des professionnels qui ne travaillent pas pour les mêmes employeurs et ne se trouvent pas au même endroit au même moment, les oblige à échanger des informations.
Officiellement, il n’est pas possible de savoir quels documents sont couverts par le secret défense : « Le fait de révéler à un tiers le niveau de classement “défense” d’une information est complètement interdit, répond EDF aux questions de Mediapart. Le premier niveau de défense d’un secret est, de fait, la non-mise en relief de ces informations et du fait même qu’il existe. »
« [Dans les années 1980,] tous les plans des centrales nucléaires étaient publics, se souvient Michel Lallier, représentant de la CGT au Haut Comité pour la transparence et l’information sur la sécurité nucléaire (HCTISN), dont il a présidé le groupe de travail Transparence et secret. Au moment de la privatisation d’EDF [en 2004 – ndlr], beaucoup de documents ont été classés “secret commercial” en raison de l’exposition de l’entreprise à la concurrence. À partir de 2001, est montée la question des actes malveillants. »
En 2018, l’IRSN (Institut de radioprotection et de sûreté nucléaire) avait dû noircir des pages entières de son rapport sur le cycle du combustible à la demande d’EDF et d’Orano pour dissimuler des informations relevant à leurs yeux de la sécurité des installations nucléaires ou du secret des affaires. Sur Google Map, le site de Flamanville est entièrement pixelisé.
Selon Michel Lallier, sur une centrale nucléaire, « la localisation des matériels à l’intérieur des bâtiments réacteur, bâtiments combustible, bâtiment auxiliaire nucléaire, est couverte par le secret défense », tout comme les informations concernant « le gardiennage, les barbelés, les caméras, le criblage (nom donné aux enquêtes conduites sur les personnels avant de les habiliter) ».
Une instruction du ministère de l’écologie sur la protection des sites nucléaires contre les actes malveillants est attendue d’ici la fin de l’année 2020. Un nouveau décret est par ailleurs en cours de publication pour renforcer les procédures de contrôle de la sécurité nucléaire. Depuis le 11 septembre 2001, le monde nucléaire français a dû apprendre à se protéger contre des attaques dont le risque semblait jusque-là théorique. En 2015, après les attentats de Paris et de Saint-Denis, Le PDG d’EDF, Jean-Bernard Lévy, avait déclaré montrer « un degré de vigilance extrême sur l’ensemble de nos installations », et parlé d’« alerte maximale ».
Selon le cadre réglementaire, le détenteur d’un document classifié est le responsable de sa protection. Il est tenu de remonter à l’autorité de sécurité (le HFDS cité plus haut) tout incident pouvant compromettre sa confidentialité. Pour accéder à des informations classifiées, il faut détenir une habilitation de niveau correspondant et « besoin d’en connaître », selon la formulation usuelle. L’organisation de la protection du secret défense est décrite par l’instruction générale interministérielle n° 1300 (dite IGI 1300), publiée au Journal officiel.
Mais ses implications concrètes sont floues. Par exemple, une note du 10 janvier 2018 lue par Mediapart sur les « essais d’ensemble des installations électriques de sécurité » de Flamanville explique que le « programme sécuritaire » de Flamanville « est pour partie classé confidentiel défense ». Mais le document qui le décrit n’est que classé « confidentiel protection de site (diffusion restreinte) », soit la catégorie la plus faible de secret, selon un prestataire qui a travaillé plusieurs années sur le projet.
« On ne peut pas empêcher les documents de circuler à l’intérieur des centrales, ne serait-ce que pour pouvoir travailler avec, ce serait encore une contrainte en plus pour les travailleurs, considère Michel Lallier, pour la CGT. Si l’on rajoute encore des contraintes, à un moment, plus personne ne voudra travailler en centrale nucléaire. »
Pour Jean-François Julliard, directeur général de Greenpeace France, ces documents « permettent de s’introduire sur le site, d’y circuler et de neutraliser les systèmes de secours : caméras, électricité. Beaucoup d’éléments ne sont pas visibles de l’extérieur : que filme exactement une caméra boule ? Comment est organisé le réseau électrique ? Ces informations peuvent servir à une attaque aérienne ou une attaque terroriste ».
Selon l’ONG, ces dossiers sortent du cercle de confidentialité dans lequel ils auraient dû rester en raison de l’empilement des entreprises qui interviennent sur le chantier de Flamanville. « La faute est collective. Ces documents devraient être couverts par le secret défense. Ils ne le sont pas. Et donc ils circulent entre des entreprises qui n’ont pas les habilitations nécessaires. »
Pour garantir le secret des informations décrites dans cet article, il faudrait des niveaux de contrôle et de surveillance sévèrement coercitifs. « Le problème vient de la nature même du nucléaire. Il ne peut pas survivre à la transparence. Le système engendré par l’utilisation de matières radioactives est dangereux. Au nom de l’existence du secret défense, on dit que le nucléaire est sécurisé. Mais la réalité, c’est que ce secret ne cherche qu’à cacher les défaillances des centrales nucléaires. » Selon Greenpeace, cela démontre que « le nucléaire n’est pas compatible avec la démocratie ».
