Des exigences élargies pour les infrastructures critiques avec la directive NIS 2
La transposition de la directive NIS 2 en droit national a considérablement élargi le cercle des organisations concernées. Alors que la notion d'infrastructure critique a longtemps été associée aux grandes centrales électriques, aux distributeurs d'eau centraux ou aux nœuds ferroviaires, cette vision est obsolète depuis 2026. En raison des dernières adaptations de la loi sur le BSI, des entreprises de taille intermédiaire des secteurs du transport, de la logistique, de la santé et du traitement des déchets, ainsi que des administrations et services publics, relèvent aujourd'hui elles aussi d'obligations strictes de notification et d'exigences de sécurité.
Qui ignore ces nouveaux standards s'expose non seulement à des interruptions d'exploitation dramatiques, mais aussi à de lourds risques de responsabilité personnelle et à des sanctions. La vulnérabilité ne se limite pas aux éléments numériques d'une infrastructure – comme l'ont montré les attaques mécaniques contre l'alimentation électrique à Berlin en septembre 2025.
La mise en réseau crée de nouvelles surfaces d'attaque
L'automatisation du bâtiment est aujourd'hui presque toujours connectée. Que ce soit par Wi-Fi, radio ou bus filaires : chaque porte automatisée, chaque fenêtre intelligente et chaque système d'évacuation de fumée et de chaleur constitue un point terminal potentiel dans un réseau. Chacun de ces systèmes devient ainsi une porte d'entrée possible pour des cyberattaques si sa sécurisation ne correspond pas à l'état de l'art.
L'interface entre la sécurité informatique et la sécurité physique est à cet égard particulièrement problématique. Un exemple classique tiré de la pratique illustre le risque : lorsqu'une porte automatique présente un défaut en cours d'exploitation, elle est souvent bloquée mécaniquement dans l'agitation quotidienne, par commodité ou par méconnaissance – on la « cale ouverte ». Dans un contexte d'infrastructure critique, ce n'est pas une broutille, mais une faille de sécurité qui supprime la séparation physique censée garantir la protection contre les accès non autorisés.
Sécurité physique et numérique comme un tout
L'intégrité d'une installation d'infrastructure critique dépend de la protection physique de son enveloppe extérieure ainsi que des interfaces internes entre les zones sensibles et les espaces accessibles au public. Une véritable conformité exige donc un changement de mentalité : la protection numérique et la fiabilité mécanique doivent être conçues et exploitées comme un tout indissociable.
Des approches de conception intégrées pour la conformité
Les nouvelles exigences légales déplacent fortement les priorités de conception. On observe aujourd'hui une augmentation des conflits de fonctions. Des barrières de sécurité élevées et des contrôles d'accès restrictifs entrent inévitablement en conflit, au niveau des portes et autres éléments de l'enveloppe extérieure, avec la volonté d'un confort d'usage maximal, d'une accessibilité complète et d'une maintenance aussi réduite que possible.
Pour éviter des reprises coûteuses, voire une refonte complète, les responsables de la construction et de l'exploitation doivent solliciter des experts plus tôt que jamais. Une approche de conception intégrée considère le bâtiment non comme la somme de corps de métier isolés, mais comme un système global.
Les défis de la modernisation de l'existant
La modernisation de l'existant est particulièrement délicate. De nombreux bâtiments relevant des infrastructures critiques disposent de systèmes hérités du passé, fonctionnant souvent comme des îlots. La question pressante est la suivante : comment mettre à niveau des composants obsolètes conformément aux exigences sans devoir remplacer toute l'infrastructure ?
Un inventaire approfondi constitue la première étape pour identifier les interfaces à la fois sûres et fonctionnellement pérennes. L'objectif doit être de trouver une solution qui réponde aux exigences strictes de protection sans paralyser l'exploitation du bâtiment par une complexité excessive.
Des standards techniques pour une interopérabilité sûre
L'interopérabilité constitue un levier technique décisif pour la mise en œuvre de solutions conformes. Les solutions automatisées de portes et de fenêtres doivent aujourd'hui accomplir simultanément des tâches complexes : les prescriptions de protection incendie doivent être respectées, les voies d'évacuation et de secours garanties à tout moment et l'accessibilité préservée. Le système doit en même temps être pleinement intégré à la gestion technique du bâtiment afin de fournir des états en temps réel.
Les experts misent résolument sur des standards de communication ouverts et sécurisés afin de garantir la transparence et la sécurité nécessaires. Actuellement, OPC UA constitue la base d'un échange de données indépendant des plateformes et sécurisé. Dans une perspective d'avenir et compte tenu des exigences croissantes de sécurité des réseaux, BACnet/SC (Secure Connect) jouera également un rôle central.
Le chiffrement comme condition de base
Ces standards permettent non seulement de piloter les fonctions de sécurité, mais aussi de communiquer de manière chiffrée et de surveiller sans faille. Dans une architecture conforme aux exigences des infrastructures critiques, ce chiffrement au niveau du protocole est une condition de base pour empêcher les attaques de type « homme du milieu » contre les équipements techniques du bâtiment.
Recommandations pratiques pour une automatisation du bâtiment conforme
Pour la mise en œuvre pratique, les nouvelles exigences se traduisent par des recommandations concrètes :
- Intégration précoce d'experts en sécurité dès la phase de conception
- Considération du bâtiment comme système global plutôt que comme corps de métier isolés
- Inventaire approfondi avant toute opération de modernisation
- Recours à des standards de communication ouverts et sécurisés
- Mise en place d'un chiffrement de bout en bout au niveau du protocole
- Vérification et adaptation régulières des mesures de sécurité
S'agissant en particulier des systèmes de contrôle d'accès, il faut veiller à ce que les mesures de sécurité mécaniques ne soient pas contournées par des solutions de fortune en exploitation. Les défauts doivent être corrigés de manière systématique plutôt que de donner lieu à des contournements improvisés.
Perspectives : la sécurité, une mission permanente
La conformité aux exigences des infrastructures critiques n'est pas un projet ponctuel, mais une mission permanente sur tout le cycle de vie d'un bâtiment. Face à une situation de menace en constante évolution et à une législation dynamique, une planification anticipée est la seule voie vers la résilience.
L'intégration de la sécurité informatique et de la sécurité physique du bâtiment deviendra encore plus importante à l'avenir. Les entreprises qui investissent aujourd'hui dans des solutions pérennes peuvent faire de la sécurité un avantage concurrentiel plutôt qu'un obstacle. Avec les bons partenaires et une automatisation du bâtiment intelligemment connectée, la sécurité devient le garant d'une exploitation stable et tournée vers l'avenir.
L'élargissement des exigences applicables aux infrastructures critiques le montre clairement : la protection des infrastructures critiques commence dès l'enveloppe du bâtiment et exige un changement de mentalité sur toute la phase de conception et d'exploitation des biens immobiliers.
