GTB / GTC
Bâtiment intelligent et NIS2 : quand une cyberattaque ouvre les portes et coupe le désenfumage
Ce qui a été dit
Le 27 octobre, un article publié en marge d’Expoprotection (3 au 5 novembre, Paris Porte de Versailles) a donné la parole à trois intervenants du salon. Laurence Marchal, présidente d’Agrépi, plaide pour une gestion globale des risques et une protection renforcée des accès critiques, à commencer par la télémaintenance. Ronan Jezequel, du CNPP, insiste sur des produits résistants aux cyberattaques et cite le Cyber Resilience Act. Benoît Grunemwald, d’ESET France, résume l’enjeu : un bâtiment doit s’administrer comme un vrai système informatique, avec supervision, mises à jour et maintenance.
Les scénarios évoqués parlent d’eux-mêmes : accès ouverts sans autorisation, alarmes défaillantes, désenfumage inopérant, issues bloquées pendant une évacuation.
Pourquoi c’est un sujet de GTB
Dans un bâtiment tertiaire récent, la GTB voit presque tout : chauffage, ventilation, éclairage, comptage, parfois les ouvrants, les ascenseurs et des remontées d’état du SSI. Elle partage souvent le même réseau que le contrôle d’accès et la vidéo, et elle est télémaintenue par un ou plusieurs prestataires. Le décret BACS pousse en plus à connecter et superviser davantage d’équipements. Plus de capteurs et plus d’accès distants, c’est mieux pour l’énergie… et c’est aussi une surface d’attaque qui grandit.
Un point mérite d’être rappelé : la sécurité incendie doit rester autonome. La GTB peut afficher des états du SSI, mais elle ne doit jamais être dans la chaîne de commande des fonctions de mise en sécurité. Si une compromission informatique peut empêcher un désenfumage, c’est que l’architecture est fautive dès la conception.
NIS2, CER, CRA : qui est concerné ?
L’article rappelle la directive NIS2 sur la cybersécurité et la directive CER sur la résilience des entités critiques, en soulignant que leurs obligations dépendent du périmètre et de la transposition nationale. Concrètement, beaucoup de propriétaires de bâtiments ne sont pas directement « entité NIS2 ». Mais leurs locataires peuvent l’être, et ils exigeront des garanties sur les systèmes techniques. Côté fabricants, le Cyber Resilience Act imposera un suivi des vulnérabilités sur les produits connectés.
Ce que je recommande sur un projet GTB
| Thème | Ce qu’il faut prévoir |
|---|---|
| Réseau | VLAN dédiés GTB, contrôle d’accès et vidéo, filtrage entre eux, aucun automate exposé sur Internet |
| Télémaintenance | Passerelle unique, comptes nominatifs, authentification multifacteur, accès ouverts à la demande et journalisés |
| Mode dégradé | Fonctionnement local des régulations sans supervision, procédures manuelles écrites |
| Sécurité incendie | SSI indépendant, GTB en simple report d’états |
| Exploitation | Inventaire des équipements et des versions, plan de mises à jour dans le contrat de maintenance |
| Exercices | Scénario combiné incident informatique et intrusion physique, au moins une fois par an |
Ce dernier point est souvent oublié. Un exercice d’évacuation avec une supervision en panne, cela se prépare, et cela apprend beaucoup sur la réalité d’un site.
Mon avis
Je suis content de voir le sujet porté par des acteurs de la prévention et du CNPP, et pas seulement par des informaticiens. La convergence entre sûreté, GTB et cybersécurité n’est plus une tendance, c’est le quotidien des chantiers. Le meilleur moment pour s’en occuper reste la conception : après la réception, chaque correction coûte trois fois plus cher 🙂.