Cyber : où en est la sécurité des protocoles de communication dans le bâtiment ?

Le 15 octobre s’est tenue au salon IBS à Paris, une conférence dotée d’un titre particulièrement long : "Les protocoles sont en constante évolution avec les menaces cyber, embarquent-ils tous un aspect cybersécurité (BACnet Secure & KNX Secure), mais quid du bon vieux Modbus et panorama 2026 des protocoles pour un bâtiment Cyber Resilient ?"

Elle a rassemblé Dan Napar, président de l’association BACnet France, Johann Andrey, membre de l’association KNX France et directeur marketing de Hager France, et Mohamed Salhani, ingénieur support logiciel chez Sauter Régulation.

Une forte actualité

Bien sûr, comme le rappelait Pascal Tigreat, la cybersécurité est un thème particulièrement d’actualité, après les récentes attaques informatiques contre des super- et hypermarchés. Il expliquait également que deux textes importants portant sur la cybersécurité devraient intervenir rapidement.

Le premier est la directive Européenne NIS2 que la France tarde à transposer. Ce qui a conduit la Commission européenne à saisir la Cour de justice de l'Union européenne (CJUE) d'un recours pour défaut de transposition. Le délai de transposition fixé par l'UE expirait le 17 octobre 2024. Le projet de loi (projet de loi relatif à la résilience des infrastructures critiques) a franchi l’étape du Sénat, mais attend encore son adoption définitive à l'Assemblée nationale.

En France, NIS2 devrait concerner environ 15.000 organisations, contre environ 300 sous l'ancienne directive NIS1. Depuis le 17 mars 2026, l'Anssi (Agence nationale de la sécurité des systèmes d'information) met à disposition le Référentiel Cyber France (ReCyF) en tant que document de travail pour guider les 15.000 futurs assujettis.

Le CRA entre progressivement en vigueur jusqu'en décembre 2027

La directive NIS2, rappelle Pascal Tigreat, porte avant tout des points d’organisation : gestion des identités et mécanisme d’authentification, architectures sécurisées pour les accès à distance à un réseau, les comptes d’administration, leur maîtrise et leur protection. Tandis que le second texte, européen lui-aussi, est le CRA (Cyber Resilience Act) ou règlement n° 2024/2847, et ne requiert pas de transposition.

Le CRA porte moins sur les procédures que sur les produits. Son but est de renforcer la cybersécurité des produits comportant des éléments numériques en établissant un cadre juridique uniforme et en imposant des obligations de cybersécurité aux fabricants, importateurs et distributeurs, dès la conception et tout au long du cycle de vie des produits. Les produits porteront le marquage CE pour indiquer qu’ils sont conformes aux exigences du CRA.

Ce dernier prévoit des exigences essentielles de cybersécurité sur les produits et la gestion des vulnérabilités, et établit des procédures d’évaluation de la conformité des produits. Il entre progressivement en vigueur entre juin 2026 et décembre 2027. À cette échéance, un produit non-conforme au CRA perdra le marquage CE et ne pourra plus être vendu dans l’Union européenne.

La conformité de la GTB

Intervenant en premier, Dan Napar a expliqué que le monde BACnet a produit une réponse aux problèmes de sécurité : le nouveau protocole BACnet SC ou BACnet Secure. C’est un changement de couche de transport. La diffusion UDP (User Datagram Protocol) sur les réseaux BACnet/IP est abandonnée au profit de connexions sécurisées sur WebSocket, sur le protocole TLS 1.3 (Transport Layer Security), un standard de chiffrement, authentification mutuelle par certificats X.509 (une norme spécifiant les formats pour les réseaux à clefs publiques pour lier une identité à la clef publique) entre chaque nœud du réseau.

Le tout étant placé sous une autorité de certification propre au site ou à l’organisation. Ce qui permet de faire passer le trafic BACnet sur des réseaux IP sans exposer les messages. BACnet SC est organisé autour d’un hub central qui distribue les messages entre les nœuds du réseau. Mais, soulignait Dan Napar, la migration vers BACnet SC n’est pas une simple mise à jour logicielle. Elle exige une gestion du cycle de vie des certificats (émission, renouvellement, révocation) et un inventaire précis des dispositifs existants sur le réseau, capables de supporter TLS 1.3 et la pile WebSocket.

Dan Napar regrettait que les acteurs de terrain sont encore trop peu sensibilisés aux questions de cybersécurité. Pourtant, il faut une prise de conscience quant au fait que celles-ci concernent toute la chaîne d’une entreprise équipée d’une GTB : le service informatique, les concepteurs et utilisateurs de la GTB, les intégrateurs et installateurs.

L’association BACnet France a engagé depuis mars 2024 une campagne d’information et d’accompagnement sur le déploiement de BACnet SC. Il s’agit en effet d’un projet d’architecture réseau qui touche à la fois le terrain (automates, contrôleurs et passerelles), l’infrastructure informatique pour l’autorité de certification, la segmentation du réseau et la supervision, et l’organisation pour gérer la répartition des responsabilités entre exploitant, intégrateur et service informatique du site.

L’effort de communication de BACnet France, regrettait Dan Napar, n’a pas rencontré le succès escompté : les acteurs de terrain sont encore trop peu sensibilisés aux questions de cybersécurité. Pourtant, il faut une prise de conscience quant au fait que celles-ci concernent toute la chaîne d’une entreprise équipée d’une GTB : le service informatique, les concepteurs et utilisateurs de la GTB, les intégrateurs et installateurs. Il soulignait que BACnet France collabore étroitement avec l’Anssi, et les deux organisations devraient rapidement mettre au point des séminaires communs sur BACnet SC.

KNX Secure offre une double protection

Concernant KNX, Johann Andrey expliquait que KNX Secure garantit une protection maximum en offrant une double protection. KNX IP Secure étend le protocole IP de telle sorte que tous les télégrammes et données transférées sont entièrement cryptés. KNX Data Secure protège efficacement les données d'utilisateurs contre l'accès non autorisé et la manipulation grâce au cryptage et à l'authentification. KNX Secure protège les données qui sortent du bâtiment et remontent vers le cloud pour analyse et exploitation, tout en gérant les autorisations d’accès au réseau de chaque site.

Il soulignait qu’avec le décret BACS (Building Automation and Control Systems), de nombreux bâtiments de relativement petite taille seront équipés d’une GTB, ce qui étend la responsabilité de la filière en matière de cybersécurité. Un protocole sécurisé comme KNX Secure ne suffit pas, les fabricants doivent simplifier sa mise en œuvre, former et accompagner les acteurs pour s’assurer que la cybersécurité, qui n’est plus une option mais une obligation, est bien mise en œuvre sur le terrain. La mise à jour des logiciels et du firmware des automates doit devenir un réflexe.

Johann Andrey indiquait aussi un ensemble de réflexes de bon sens. Une attention particulière devrait être accordée, selon lui, aux installations comportant des zones publiques : même un système KNX câblé peut alors s’avérer vulnérable aux attaques. Dans le cas d’installations utilisant la communication sans fil, l’emploi de KNX Secure sur ce support est fortement recommandé. Si une installation est reliée à Internet, il est absolument impératif d’utiliser un tunnel VPN pour y accéder via Internet.

Dan Napar et Mohamed Salhani rappelaient que la cybersécurité reste principalement une question technique, l’organisation de la filière et la conscience des dirigeants de tous les bâtiments concernés en constituant le point clef.

Lorsqu'on utilise une interface KNX Secure Tunneling, il faut veiller à utiliser des mots de passe forts suggérés par ETS (l'outil de configuration des réseaux KNX). Si l'on dispose d’une zone KNX IP et d’autres réseaux IP, il convient d'utiliser une séparation VLAN et d'autoriser la communication entre le réseau KNX IP et les autres réseaux uniquement à travers un pare-feu approprié.

Beaucoup de ces problèmes peuvent être résolus par des mesures très simples et, bien sûr, par l’utilisation de KNX Secure. Il offre tellement d’occasions pour rendre les bâtiments intelligents qu’il serait dommage de tout gâcher avec des attaques de sécurité qu’il est possible d’éviter ! KNX fournit toutes les pièces nécessaires du puzzle : il suffit de tout assembler dans le bon ordre.

Modbus n’est pas sécurisé

Mohamed Salhani expliquait pour sa part que les réseaux Modbus ne sont pas sécurisés en eux-mêmes. Modbus ne comporte pas de chiffrement, ni d’authentification, ni de contrôle d’intégrité. Il faut donc employer Modbus seulement sur des segments de réseaux sécurisés par ailleurs, notamment en utilisant le serveur d’authentification Radius et le protocole d’accès 802.1X.

Radius gère l'authentification, l'autorisation et la traçabilité (AAA). Le serveur Radius détient ou interroge la base de données (Active Directory, LDAP) pour valider les identifiants. Le protocole d’accès 802.1X agit pour sa part comme un garde-barrière au niveau du commutateur (switch) ou de la borne Wi-Fi, bloquant tout trafic tant que l'utilisateur ou la machine n'est pas authentifiée.

Il rappelait aussi que les clefs utilisées sur un réseau BACnet SC sont renouvelables à une échéance donnée. Si elles ne sont pas renouvelées à temps, le système s’arrête. L'ingénieur support logiciel indiquait également que si le client utilisateur d’un système de GTB Sauter Régulation n’est pas formé à BACnet SC, Sauter peut prendre la main et créer une autorité de certification qui gèrera ces autorisations pour son réseau. En conclusion, Dan Napar et Mohamed Salhani rappelaient que la cybersécurité reste principalement une question technique, l’organisation de la filière et la conscience des dirigeants de tous les bâtiments concernés en constituant le point clef.