Seveso IV : PFAS, cybersécurité et lacunes de Seveso III

La directive Seveso III n'est pas en cours de révision : le rapport COM(2025)508 de la Commission n'annonce aucun projet législatif. Mais trois pressions convergentes interrogent le statu quo : des défauts de mise en œuvre que la Commission relève elle-même, l'irruption des PFAS dans la gestion des risques industriels, et l'absence de volet cybersécurité dans un texte qui date de 2012. Pour les exploitants de sites classés seuil haut, la question est de savoir si le cadre va bouger, quand, et dans quelle direction.

Le diagnostic de la Commission : une directive bien appliquée, des points de vigilance#

Le rapport COM(2025)508, publié le 19 septembre 2025, est le deuxième rapport de mise en œuvre de Seveso III, après celui de la période 2015-2018. Il couvre 2019-2022 et conclut que « dans l'ensemble, la directive Seveso III est bien appliquée dans l'UE, et que la mise en œuvre de ses dispositions s'est améliorée par rapport à la période de référence précédente ». Les chiffres d'accidents restent contenus : vingt-deux accidents majeurs par an en moyenne sur 2019-2022 dans l'Union, contre moins de trente par an sur 2005-2022. En France, le BARPI recense environ quatre-vingts accidents par an sur des sites Seveso, un nombre stable ces dernières années selon l'inventaire 2023. La tendance n'est pas à l'explosion. Mais le rapport relève trois points de vigilance.

Premier point : les inspections. La directive couvre plus de onze mille établissements. Soixante-cinq pour cent des établissements seuil haut ont été inspectés au moins une fois par an, contre soixante-neuf pour cent à la période précédente, les autres relevant d'un programme fondé sur une évaluation systématique des dangers. Côté seuil bas, la part des établissements inspectés au moins une fois tous les trois ans est passée de soixante-cinq à quatre-vingt-six pour cent. Plusieurs États membres invoquent la pandémie de COVID-19. En France, le ministère de la Transition écologique recensait en 2025 sept cent deux établissements seuil haut et cinq cent quatre-vingt-dix-sept sites seuil bas ; sur le volet inspection, voir les actions prioritaires de la DREAL.

Deuxième point : les plans d'urgence externes. En 2022, vingt et un pour cent des plans existants n'avaient pas été testés au cours des trois années précédentes, alors que la directive impose un réexamen et un test à intervalles de trois ans au plus (article 12, paragraphe 6). La Commission l'explique généralement par les difficultés causées par la pandémie, puis par le manque de ressources humaines et financières. Quand on se souvient qu'AZF, le 21 septembre 2001, a fait trente et un morts, plus de trente blessés graves, et creusé un cratère de soixante-cinq mètres sur quarante-cinq dans Toulouse, on mesure ce que représente une préparation défaillante.

Troisième point : l'information du public. Elle est en permanence à la disposition du public pour quatre-vingt-seize pour cent des établissements de l'Union, et l'information sur la conduite à tenir a été directement mise à la disposition du public concerné pour quatre-vingt-seize pour cent des établissements seuil haut, contre quatre-vingt-onze pour cent à la période précédente. Reste que la Commission relève, pour les plans d'urgence comme pour l'information du public, « quelques problèmes persistants dans certains États membres », reconnaît « la nécessité de redoubler d'efforts pour informer le public », et qu'elle examinera si ces écarts sont structurels, auquel cas elle envisagera des procédures d'infraction, s'il y a lieu. Le transfert de la base eMARS du JRC vers l'Agence européenne pour l'environnement au 1er janvier 2026 pourrait améliorer les choses, mais c'est une réorganisation institutionnelle, pas une réponse aux difficultés de terrain.

PFAS et mousses anti-incendie : un enjeu direct pour les sites Seveso#

C'est probablement le point de pression le plus concret pour les exploitants Seveso. Le règlement (UE) 2025/1988 de la Commission, du 2 octobre 2025, ajoute l'entrée 82 à l'annexe XVII de REACH : les PFAS ne peuvent plus être mis sur le marché ni utilisés dans les mousses anti-incendie, à une concentration égale ou supérieure à 1 mg/L, à partir du 23 octobre 2030. Les établissements relevant de la directive 2012/18/UE bénéficient d'une dérogation jusqu'au 23 octobre 2035, que la Commission doit réexaminer avant son terme. Ça semble confortable. Ça ne l'est pas tant que ça.

Le dossier de l'ECHA sur lequel s'appuie le règlement établit qu'environ trente mille tonnes de mousses anti-incendie sont produites chaque année dans l'Union, dont dix-huit mille tonnes (soixante pour cent) contiennent des PFAS. Pour les établissements Seveso, le comité d'analyse socio-économique de l'ECHA a estimé que la disponibilité de solutions de remplacement appropriées n'avait pas encore été pleinement démontrée, d'où une période de transition de dix ans que la Commission juge suffisante « pour la mise en œuvre réussie de solutions de remplacement ». Dès le 23 octobre 2026, l'utilisation de mousses contenant des PFAS est soumise à conditions : usage limité aux feux de liquides inflammables, collecte séparée des stocks et des eaux usées lorsque c'est techniquement et pratiquement possible, et surtout un plan de gestion propre au site, réexaminé chaque année et conservé au moins quinze ans, qui doit comporter une stratégie de remplacement par des mousses sans fluor.

Or Seveso III ne mentionne pas les PFAS. Le texte de 2012 classe les substances par catégories de danger CLP, et le terme n'y figure pas. Le règlement 2025/1988 rappelle pourtant que le Conseil a invité la Commission, dès 2019, à élaborer un plan d'action pour éliminer toutes les utilisations non essentielles des PFAS. Les vagues de restrictions PFAS créent ainsi un angle mort réglementaire que la directive n'a pas anticipé. La transition PFAS sur les sites Seveso n'est donc pas qu'un sujet environnemental : les mousses servent à éteindre des feux de liquides inflammables, c'est un sujet de sécurité industrielle.

Cybersécurité : le trou que NIS2 ne comble pas seul#

Seveso III a été adoptée le 4 juillet 2012. À l'époque, la cybersécurité des systèmes industriels n'était pas un sujet de directive environnementale, et le texte n'en dit rien. Quatorze ans plus tard, la menace est documentée : l'Ineris explique que les systèmes de contrôle industriels (ICS), qu'on regroupe sous le terme OT (operational technology), sont de plus en plus interconnectés avec les systèmes d'information de l'entreprise, donc plus vulnérables à des cyberattaques qui peuvent générer des dangers majeurs pour les personnes et l'environnement. Le rapport COM(2025)508 range d'ailleurs parmi les nouveaux défis « des risques de sécurité liés à l'agression russe contre l'Ukraine et aux activités hybrides hostiles ».

La directive NIS2 (2022/2555) couvre dix-huit secteurs, onze hautement critiques (annexe I) et sept autres secteurs critiques (annexe II), dont la fabrication, production et distribution de produits chimiques. Son article 21 impose aux entités essentielles et importantes des mesures « techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information ». Les États membres devaient la transposer au plus tard le 17 octobre 2024. En France, la transposition passe par le projet de loi Résilience, et l'ANSSI indiquait le 18 mars 2026 que les travaux législatifs et réglementaires de transposition n'avaient pas encore eu lieu. L'ANSSI a mis à disposition le 17 mars 2026 le Référentiel Cyber France (ReCyF), en version document de travail, par défaut non obligatoire.

Mais NIS2 et Seveso III restent deux textes sans renvoi de l'un à l'autre : NIS2 ne mentionne pas la directive Seveso, et le texte de Seveso III ne contient aucune disposition de cybersécurité. Un exploitant Seveso seuil haut relevant de NIS2 devra se conformer à NIS2 pour la partie cyber, et à Seveso III pour la partie risques industriels. C'est là que ça se complique et que j'ai moins de certitudes sur la manière dont Bruxelles va articuler les deux cadres.

Une révision de Seveso pourrait intégrer l'obligation de prendre en compte les risques cyber dans l'évaluation des dangers, comme un facteur aggravant ou un scénario initiateur. Ce serait cohérent avec la logique de la directive, qui vise à prévenir les accidents majeurs quelle qu'en soit la cause. Mais c'est de la prospective, pas du droit positif.

Quarante ans de Seveso : une directive qui a mûri par les catastrophes#

Le cadre Seveso n'est pas né d'une réflexion théorique. Seveso I, la directive 82/501/CEE du 24 juin 1982, est issue du rejet accidentel de dioxine survenu en 1976 sur la commune de Seveso, en Italie. Seveso II, la directive 96/82/CE du 9 décembre 1996, a été modifiée par la directive 2003/105/CE du 16 décembre 2003, dont les considérants citent l'accident de Baia Mare (Roumanie, janvier 2000), celui d'Enschede (Pays-Bas, mai 2000) et l'explosion de l'usine d'engrais de Toulouse en septembre 2001. Seveso III, la directive 2012/18/UE du 4 juillet 2012, abroge la directive 96/82/CE avec effet au 1er juin 2015 : les États membres devaient la transposer au plus tard le 31 mai 2015 et l'appliquer à partir du 1er juin 2015. Elle a aligné la classification des substances sur le règlement CLP.

Les deux premières étapes ont suivi des accidents. La troisième est d'une autre nature : la directive de 2012 répond à l'entrée en vigueur du règlement CLP, dont les classes de danger ne correspondaient que partiellement à celles des anciennes directives. La question légitime est de savoir si Bruxelles peut, pour une fois, anticiper plutôt que réagir. Le rapport COM(2025)508 n'ouvre pas cette voie à ce stade : il retient quatre leviers, l'amélioration de la mise en œuvre, des rapports simplifiés, le renforcement des échanges entre États membres et Commission, et les nouveaux défis liés au changement climatique et à la transition énergétique. Les dossiers PFAS et NIS2 créent, à mon sens, une fenêtre d'opportunité réglementaire.

En France, la loi Risques du 30 juillet 2003 a créé les plans de prévention des risques technologiques (PPRT), qui concernent les établissements seuil haut. En juin 2025, le ministère comptait trois cent quatre-vingt-six PPRT en vigueur, plus de huit cents communes concernées, plus de six cents biens (logements et activités) fortement exposés et environ quinze mille cinq cents logements concernés par des prescriptions de travaux. Cet outil d'urbanisme propre aux sites seuil haut peut donner du poids à Paris dans les négociations, si révision il y a.

Un parallèle me frappe entre la transposition de NIS2 et celle de Seveso. Pour NIS2, l'échéance du 17 octobre 2024 était passée sans que les travaux législatifs français de transposition aient eu lieu, selon l'ANSSI en mars 2026. Pour Seveso III, la Commission indique avoir engagé six procédures contre des États membres pour transposition incorrecte. La mécanique réglementaire européenne fonctionne par accumulation de pression, pas par rupture. À mon sens, une éventuelle Seveso IV ne tomberait pas avant plusieurs années, même si les travaux préparatoires commençaient demain.

Ce que les exploitants peuvent anticiper dès maintenant#

Sans attendre un texte qui n'existe pas encore, plusieurs chantiers sont déjà identifiables. Le remplacement des mousses PFAS découle du règlement 2025/1988, qui s'applique aux sites Seveso avec une dérogation jusqu'en 2035. Les mesures de gestion des risques cyber de l'article 21 de NIS2 s'imposent aux entités concernées, la transposition française n'étant pas achevée en mars 2026. Quant aux plans d'urgence externes, les exploitants fournissent aux autorités les informations nécessaires pour les établir (article 12 de Seveso III), et le rapport COM(2025)508 relève qu'une part d'entre eux n'avait pas été testée dans les délais.

Les exploitants qui auront traité ces trois chantiers avant une éventuelle révision seront en conformité anticipée. Ceux qui attendent le texte définitif pour bouger prennent le risque de subir un calendrier contraint. La directive IED révisée, adoptée le 24 avril 2024 (directive (UE) 2024/1785), montre que Bruxelles a rouvert récemment le cadre applicable aux installations industrielles.