Page 9 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

Référentiels ANSSI – Décryptage et liaison

avec BACnet/SC

Cet article propose le décriptage de deux cinq objectifs suivants, relevant d’un niveau de Ce que le ReCyF signifie pour les
référentiels publiés par lANSSI, à savoir : maturité plus avancé, ne concernent que les systèmes de gestion technique du
ƒ ReCyF – Référentiel Cyber France – issu le entités essentielles – celles dont la défaillance bâtiment
17 mars 2026 aurait un impact jugé plus critique sur la société
ƒ Recommandations de sécurité relatives à ou l’économie. Le référentiel s’applique à l’ensemble du
la gestion technique et centralisée du système d’information de l’entité régulée – une
bâtiment (GTB/GTC) – issu le 27 avril Cette architecture différenciée matérialise formulation qui, dans la pratique, ne distingue
2026 directement le principe de proportionnalité pas le système d’information « bureautique » du
Le décryptage consiste, en dehors d’une lecture qui irrigue tout le texte : le niveau d’effort de système de gestion technique du bâtiment dès
compréhensible des contenus, à faire la liaison sécurisation demandé varie selon la criticité lors que celui-ci participe au fonctionnement de
et donner les conséquences pour BACnet/SC. réelle de l’entité, plutôt que d’imposer un socle l’entité. Un automate CVC connecté au réseau
uniforme à des organisations aux moyens et aux de l’organisation, une passerelle de supervision
Le ReCyF, référentiel ANSSI pour NIS2 : enjeux très inégaux. L’ANSSI illustre ce principe accessible depuis le système d’information
ce que la GTB doit en retenir par des exemples concrets – les exigences général, un contrôle d’accès interfacé aux
relatives aux sauvegardes, par exemple, sont annuaires de l’entreprise : ces éléments relèvent,
Un document d’accompagnement avant volontairement allégées pour les entités les moins au sens du ReCyF, du périmètre à sécuriser au
d’être une obligation critiques. C’est un choix de méthode assumé : ne même titre que n’importe quel serveur applicatif.
Depuis le 17 mars 2026, l’ANSSI met à pas noyer une PME sous des exigences taillées
disposition le Référentiel Cyber France pour un opérateur d’importance vitale, tout en Les objectifs du socle commun – authentification
(ReCyF), diffusé pour l’instant en version de maintenant un plancher de sécurité commun à des utilisateurs et des équipements, protection
travail. Ce document n’est pas encore un texte tous. des communications, gestion des accès,
contraignant : il correspond au référentiel de journalisation et détection des incidents –
cybersécurité mentionné à l’article 14 du projet Un outillage déjà disponible, indépendant du trouvent une correspondance directe avec ce
de loi Résilience, celui-là même qui transpose calendrier législatif qu’apporte BACnet/SC au niveau du réseau de
l’article 21 de la directive NIS2 en droit français. Au-delà du document lui-même, l’ANSSI a mis en terrain : authentification mutuelle par certificats
Tant que la loi n’est pas promulguée, le ReCyF ligne un outil de comparaison de référentiels, qui X.509, chiffrement TLS des échanges,
reste, par défaut, non obligatoire. Mais l’ANSSI a permet de rapprocher les exigences du ReCyF architecture de confiance centralisée autour d’un
construit un mécanisme incitatif clair : les entités d’autres normes ou référentiels déjà en usage hub. Le référentiel ne prescrit pas de solution
qui décident de l’appliquer dès maintenant – une aide précieuse pour les organisations technique nommément – il fixe des objectifs de
pourront s’en prévaloir en cas de contrôle déjà engagées dans une démarche ISO 27001 sécurité, pas un cahier des charges protocolaire
ultérieur de l’agence. Anticiper le référentiel ou dans un dispositif sectoriel existant, qui – mais la cohérence entre les deux démarches
n’est donc pas un exercice gratuit – c’est un peuvent ainsi identifier les écarts réels plutôt est directe pour qui les lit en parallèle.
investissement qui pourra se faire valoir le jour que repartir d’une feuille blanche. Le portail
où le régime deviendra pleinement contraignant. MonEspaceNIS2, accessible sur cyber.gouv. Une invitation à agir, pas à attendre
fr, complète ce dispositif avec un simulateur Pour nos membres, le message porté par le
Le ReCyF a une vocation claire : traduire les d’éligibilité permettant à une organisation de ReCyF est sans ambiguïté : la version de travail
objectifs de sécurité fixés par NIS2 en mesures déterminer si elle sera vraisemblablement publiée en mars 2026 constitue déjà une base
concrètes et vérifiables, applicables à l’ensemble classée entité essentielle, importante, ou de travail suffisamment stable pour engager les
du système d’information de l’entité régulée – ce hors périmètre, ainsi que des modèles de premiers audits de conformité, en particulier
qui, on le verra, ne laisse pas les systèmes de documentation pour structurer la démarche de sur le périmètre GTB, trop souvent absent des
gestion technique du bâtiment hors périmètre. mise en conformité. premières cartographies de risque établies
par les directions des systèmes d’information.
Une architecture en vingt objectifs, répartis Ce découplage entre l’outillage technique, Attendre la promulgation définitive de la loi
en deux niveaux d’exigence disponible dès aujourd’hui, et le calendrier Résilience pour engager cette démarche revient
Le référentiel s’organise autour de vingt législatif, toujours suspendu à l’examen à retarder un chantier dont l’ANSSI a déjà
objectifs de sécurité, regroupés en quatre blocs parlementaire, est un point que l’ANSSI a donné le mode d’emploi – un luxe que peu
thématiques couvrant la gouvernance de la explicitement assumé : les organisations d’organisations, au vu de l’ampleur du parc à
sécurité numérique, la protection des systèmes, concernées sont invitées à engager leur sécuriser, peuvent réellement se permettre.
la défense face aux incidents et la résilience démarche de sécurisation sans attendre la
opérationnelle. Sa structure repose sur une version finale du texte, la logique du référentiel
distinction volontairement simple à appliquer : n’étant pas appelée à changer substantiellement
les quinze premiers objectifs s’imposent à toutes d’ici sa consolidation définitive.
les entités régulées, qu’elles soient classées
« importantes » (EI) ou « essentielles » (EE). Les

9
BACnet France Journal 19 09/26 9