Page 6 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

guide ANSSI GTB/GTC – s’adressent aux exploi- tion rapide des vulnérabilités exploitées s’ap- critiqué à propos du guide ANSSI GTB/GTC.
tants et aux intégrateurs : ce sont eux qui doivent plique dans les prochains jours, alors même
sécuriser des installations construites avec du que l’échéance de décembre 2027, plus loin- Ce que nos membres fabricants doivent
matériel dont la robustesse native n’est pas taine, concentre encore l’essentiel de l’attention engager dès maintenant
garantie. Le Cyber Resilience Act (CRA), règle- du secteur.
ment européen entré en vigueur le 10 décembre Pour les fabricants membres de l’association,
2024, change cette focale : il s’adresse directe- Ce que le CRA exigera des fabricants l’échéance de septembre 2026 sur la notifi-
ment aux fabricants de produits comportant des de matériel BACnet cation des vulnérabilités actives n’est plus une
éléments numériques, et impose des exigences perspective : elle est immédiate. Il est temps de
de sécurité dès la conception, avant même la À l’échéance de décembre 2027, un fabricant vérifier qu’un point de contact et une procédure
mise sur le marché. C’est le texte qui, structu- de produits connectés devra démontrer, pour de remontée vers l’ENISA sont opérationnels,
rellement, répond à la critique souvent adressée chaque produit mis sur le marché européen, de cartographier les gammes de produits qui
aux guides précédents – que la charge de sécu- une sécurité intégrée dès la conception : gestion entrent dans le périmètre du règlement, et d’en-
risation retombe uniquement sur celui qui achète sécurisée des mises à jour, absence de vulné- gager, dès maintenant, les travaux de mise en
et exploite le matériel. rabilités connues exploitables au moment de la conformité visant l’échéance de décembre 2027
commercialisation, mécanismes d’authentifica- – un délai qui, à l’échelle d’un cycle de dévelop-
Le CRA couvre un périmètre volontairement très tion appropriés, et une politique de gestion des pement produit industriel, laisse moins de marge
large : tout produit matériel ou logiciel connecté, vulnérabilités maintenue pendant toute la durée qu’il n’y paraît.
dès lors qu’il est susceptible d’échanger des de support annoncée du produit. Un dossier de
données avec un réseau ou un autre appareil. documentation technique devra être constitué et Anticiper plutôt que subir
Les automates de GTB, les contrôleurs BACnet, tenu à disposition des autorités de surveillance
les passerelles de supervision et les logiciels de du marché, retraçant l’analyse de risque effec- Le message que porte ce numéro est simple :
gestion technique entrent sans ambiguïté dans tuée et les mesures de sécurité mises en œuvre. le flou du calendrier législatif ne doit pas être
ce périmètre – un fabricant de matériel BACnet confondu avec l’absence d’obligation. L’ANSSI a
vendant dans l’Union européenne devient un Pour un fabricant d’automates ou de passerelles publié ses outils, la Commission européenne fait
fabricant assujetti au CRA, au même titre qu’un BACnet, cela signifie concrètement : documen- pression sur le calendrier français, et les enti-
fabricant d’objet connecté grand public. ter la capacité – ou l’incapacité – d’un produit tés qui seront demain classées essentielles ou
à supporter BACnet/SC et son cycle de mise à importantes commencent déjà, aujourd’hui, à
Un calendrier en quatre échéances, jour firmware, formaliser une procédure de trai- revoir leurs exigences vis-à-vis de leurs pres-
pas une seule tement des vulnérabilités remontées par la com- tataires. Pour nos membres, l’anticipation de
munauté ou par des tiers, et anticiper l’intégra- ces exigences – plutôt que l’attente passive de
Le CRA ne bascule pas en un seul jour : son tion d’un marquage de conformité cybersécurité la promulgation de la loi – constitue le meilleur
application se déploie sur quatre échéances dis- en plus du marquage CE existant. Les produits levier pour transformer une contrainte réglemen-
tinctes, dont deux sont déjà derrière nous et qui ne pourront pas démontrer cette maîtrise à taire en avantage concurrentiel.
deux restent à venir. l’échéance de 2027 risquent, à terme, de ne
ƒ 10 décembre 2024 – entrée en vigueur du plus pouvoir être commercialisés sur le marché Rejoignez-nous dans cette action, devenant
règlement, ouvrant la période transitoire. européen – une perspective qui doit peser dès membres de BACnet France. Contactez donc
ƒ 11 juin 2026 – mise en place des aujourd’hui dans les feuilles de route produit des notre Délégué Général, Mr Florent Trochu, en
organismes notifiés chargés d’évaluer la fabricants. écrivant à florent.trochu@acr-regulation.com. À
conformité des produits, une étape déjà suivre aussi l’espace BACnet/SC sur notre site
franchie qui structure l’écosystème de Une convergence à lire avec NIS2, web www.bacnetfrance.org.
certification à venir. pas en silo
ƒ 11 septembre 2026 – entrée en applica-
tion des obligations de notification des Le CRA et NIS2 ne sont pas deux textes indé-
vulnérabilités activement exploitées : tout pendants pour notre filière : ils couvrent les deux
fabricant devra signaler à l’ENISA et au faces d’une même chaîne de responsabilité.
CSIRT compétent, sous 24 heures pour NIS2 impose à l’exploitant régulé de sécuriser
une notification d’alerte précoce, toute son système d’information, y compris ses sys-
vulnérabilité exploitée activement dans l’un tèmes de GTB. Le CRA impose au fabricant de
de ses produits. livrer un produit dont la sécurité native limite pré-
ƒ 11 décembre 2027 – application complète cisément l’effort que l’exploitant devra ensuite
du règlement, incluant l’ensemble des déployer. Un automate conforme au CRA, doté
exigences de sécurité par conception, la d’une gestion native des mises à jour et d’une
documentation technique et le marquage politique de vulnérabilités documentée, réduit
CE cybersécurité. d’autant la charge de sécurisation que l’exploi-
tant devra assumer pour être conforme à NIS2 –
Pour les fabricants qui lisent ce journal, la date et inversement, un matériel qui ne répond pas au
qui doit retenir l’attention immédiate est celle CRA reporte cette charge intégralement sur l’in-
de septembre 2026 : l’obligation de notifica- tégrateur et l’exploitant, exactement le schéma

6 6 BACnet France Journal 19 09/26