Page 5 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

La réglementation française de la

cybersécurité : où en est-on en août 2026 ?

Un cadre encore en gestation, mais déjà France – essentiellement des opérateurs d’im- automate de CVC connecté, une passerelle de
opérant dans les faits portance vitale (OIV) et des opérateurs de ser- supervision exposée sur le réseau IT de l’orga-
vices essentiels déjà identifiés de longue date. nisation, un système de contrôle d’accès inter-
La réglementation française en matière de Avec la transposition de NIS2, ce sont désor- facé au système d’information : ces éléments
cybersécurité suit les Directives européennes mais près de 15 000 entités qui entreront dans relèvent, au sens de la directive, du périmètre
NIS2 (sécurité réseaux et des systèmes d’in- le champ de la régulation, classées en deux à sécuriser, dès lors qu’ils participent du fonc-
formation) et CRA (règlementation sur la cyber- catégories : entités « essentielles » et enti- tionnement de l’entité régulée. C’est là que la
résilience). La transposition réglementaire peut tés « importantes », réparties sur dix-huit sec- frontière entre obligations réglementaires géné-
avoir des spécificités françaises. teurs critiques – santé, énergie, transport, eau, riques et pratiques métier de la GTB cesse d’être
infrastructures numériques, et bien d’autres où une question théorique.
À la rentrée 2026, la France reste l’un des quatre les systèmes de gestion technique du bâtiment
États membres de l’Union Européenne à ne pas jouent un rôle opérationnel de premier plan. Ce que cela signifie pour nos membres et
avoir formellement transposé la directive NIS2, le marché
aux côtés de l’Irlande, de l’Espagne et des Pays- Ce changement d’échelle transforme la nature
Bas. Le texte porteur de cette transposition, le même de l’exercice de conformité. Il ne s’agit Pour les intégrateurs, fabricants et bureaux
projet de loi relatif à la résilience des infrastruc- plus d’un cercle restreint de grands opérateurs d’études qui interviennent sur des sites appelés à
tures critiques et au renforcement de la cyber- disposant de moyens dédiés à la cybersécurité, devenir des entités essentielles ou importantes –
sécurité – dit « loi Résilience » –, a été adopté mais d’un ensemble beaucoup plus large d’orga- établissements de santé, sites industriels,
par le Sénat dès mars 2025, mais son examen nisations – hôpitaux de taille intermédiaire, ges- gestionnaires de grands parcs tertiaires –, l’enjeu
par l’Assemblée nationale a de nouveau glissé, tionnaires de parcs immobiliers tertiaires, exploi- n’est plus de se demander « si » la cybersécurité
reporté au mieux à la rentrée parlementaire de tants de data centers régionaux – pour qui la des systèmes BACnet sera un jour un sujet de
septembre 2026. La Commission européenne a sécurisation des systèmes d’information, y com- conformité, mais de constater qu’elle l’est déjà
saisi la Cour de justice de l’Union européenne à pris ceux qui pilotent le bâtiment, devient une en pratique, avant même le vote définitif de la
l’encontre des États retardataires, avec, à la clé, obligation légale et non plus seulement une loi. Les donneurs d’ordre engagés dans une
des astreintes financières potentielles. bonne pratique. démarche d’anticipation via MonEspaceNIS2
commencent à interroger leurs prestataires sur
Ce retard législatif ne doit toutefois pas donner Ce que la loi imposera concrètement la robustesse de leurs installations de GTB :
l’illusion d’un vide juridique confortable. D’une authentification des équipements, chiffrement
part, la directive NIS2 elle-même s’applique L’article 14 du projet de loi transpose l’article 21 des échanges, traçabilité des accès.
déjà au niveau européen depuis octobre 2024, de la directive NIS2 : les entités essentielles et
indépendamment du calendrier français. D’autre importantes devront prendre des mesures tech- Des réponses techniques existent déjà et sont
part, l’ANSSI (Agence nationale de la sécurité niques, opérationnelles et organisationnelles directement mobilisables dans ce cadre régle-
des systèmes d’information) n’a pas attendu le appropriées et proportionnées au regard des mentaire encore en formation. BACnet/SC, avec
vote de la loi pour outiller les futurs assujettis : risques auxquels elles sont exposées. Le prin- son authentification mutuelle par certificats
elle a publié, le 17 mars 2026, son Référentiel cipe de proportionnalité est ici central et directe- et son chiffrement TLS des communications,
Cyber France (ReCyF), qui recense les mesures ment transposé dans le ReCyF : le niveau d’exi- répond directement aux catégories de mesures
recommandées pour atteindre les objectifs de gence attendu varie selon que l’entité est classée que recense le ReCyF – authentification des
sécurité fixés parNIS2, et met à disposition le « essentielle » ou « importante », l’ANSSI don- identités, protection des communications, ges-
portail MonEspaceNIS2, avec un simulateur nant l’exemple d’exigences allégées en matière tion des accès. Le référentiel de l’ANSSI n’im-
d’éligibilité et des outils d’autoévaluation. de sauvegardes pour les entités les moins cri- pose pas de solution technique nommément,
L’appareil dans un mot technique de la tiques. Ce référentiel reste, à ce stade, non obli- mais les objectifs qu’il fixe convergent avec ce
conformité fonctionne déjà : seul son habillage gatoire par défaut, mais son application volon- que BACnet/SC apporte structurellement au
législatif et ses sanctions restent suspendus au taire permettra aux entités assujetties de s’en réseau de terrain.
vote du Parlement. prévaloir en cas de contrôle de l’ANSSI – une
manière, pour l’administration, d’inciter à l’an- Le Cyber Resilience Act : ce que les
Un changement d’échelle : ticipation avant même l’entrée en vigueur des fabricants de matériel BACnet doivent
de 500 à 15 000 entités régulées sanctions. anticiper

L’ampleur du changement à venir mérite d’être Ces obligations couvrent l’ensemble du sys- Un règlement qui déplace la responsabilité
mesurée. Le régime antérieur, issu de la loi de tème d’information de l’entité régulée – une for- vers la source
programmation militaire et de la directive NIS1, mulation qui, dans la pratique, n’exclut pas les Jusqu’ici, la plupart des textes de cybersécu-
concernait environ 500 entités régulées en réseaux de gestion technique du bâtiment. Un rité examinés dans ce journal – NIS2, ReCyF, le

5
BACnet France Journal 19 09/26 5