Cybersécurité GTB/GTC en 2026 : obligations BACS, NIS2, CRA et architecture de défense pour des bâtiments réellement sûrs

Au 17 octobre 2026, la cybersécurité des systèmes de gestion technique du bâtiment (GTB) et de gestion technique centralisée (GTC) n’est plus un sujet « IT optionnel », mais un enjeu d’exploitation critique. Les GTB/GTC pilotent CVC, éclairage, ascenseurs, sûreté, comptages énergétiques et données OPERAT ; ils sont donc au cœur du hard FM, de la performance énergétique et de la continuité d’activité des sites tertiaires. Le cadre réglementaire français et européen s’est densifié (Décret BACS, Décret Tertiaire, NIS2, Cyber Resilience Act), tandis que l’ANSSI publie désormais une doctrine dédiée GTB/GTC. Voici ce que tout directeur immobilier, facility manager ou acheteur FM doit acter, et comment sécuriser opérationnellement ses installations.

Pourquoi la cybersécurité des GTB/GTC devient critique en 2026

• Surface d’attaque en hausse : convergence IT/OT, accès distants prestataires, capteurs IoT, API cloud, et interconnexions multi-sites.
• Impacts concrets : perte de supervision, dérives énergétiques, indisponibilité CVC/ascenseurs, compromission des contrôles d’accès ou de la vidéoprotection, fuites de données d’occupation.
• Exigences de conformité : inspections BACS, obligations de résultats du Décret Tertiaire, exigences NIS2 pour certaines entités et exigences « sécurité dès la conception » du CRA pour les équipements et logiciels embarqués.

Cadre réglementaire et normatif applicable aux GTB/GTC

1) Décret BACS : qui, quoi, quand

Le Décret BACS impose un système d’automatisation et de contrôle (type GTB) dans les bâtiments tertiaires :

• Puissance > 290 kW : obligation pour les bâtiments existants au 1er janvier 2025 (échéance passée) ; les bâtiments neufs sont visés dès le dépôt de permis depuis le 21 juillet 2021.
• Puissance 70–290 kW : pour les existants, l’échéance initiale de 2027 a été reportée au 1er janvier 2030 par le décret n° 2025‑1343 du 26 décembre 2025 ; pour les neufs (PC déposé à compter du 8 avril 2024), l’obligation s’applique dès la construction.
• Inspections BACS : une inspection périodique est obligatoire tous les 5 ans maximum, ramenée à 2 ans après installation/remplacement du BACS ou d’un système technique raccordé. La 1re inspection des systèmes déjà en place au 8 avril 2023 devait intervenir avant le 1er janvier 2025.

Les textes précisent des fonctionnalités minimales (surveillance/recording des consommations, pilotage/programmation, détection des pertes d’efficacité et information de l’exploitant, interopérabilité…). En pratique, viser une GTB de classe B (a minima) bien intégrée vaut mieux qu’une conformité formelle sans effet.

2) Décret Tertiaire & OPERAT : fiabilité des données et cybersécurité

Le Décret Tertiaire impose des réductions de consommation finale de –40 % en 2030, –50 % en 2040 et –60 % en 2050 (par rapport à une année de référence postérieure à 2010) et un reporting annuel des consommations sur OPERAT. Prochain jalon : la déclaration des consommations 2025 doit être déposée avant le 30 septembre 2026. La disponibilité et l’intégrité des données GTB conditionnent ces obligations : une compromission ou une perte de données peut dégrader votre trajectoire réglementaire et vos arbitrages CEE/CPE.

3) NIS2 et Référentiel Cyber France (ReCyF) : ce qui change pour l’OT bâtiment

La directive NIS2 (UE 2022/2555) est en cours de transposition en droit français. Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF), qui liste des mesures pour atteindre les objectifs NIS2. Pour les entités concernées (essentielles/importantes – énergie, santé, eau, transport, etc.), les GTB/GTC relèvent de l’OT et doivent être intégrées au SMSI/SMCS, au plan de gestion des risques, à la supervision et à la gestion d’incident (délais de notification CSIRT/ANSSI selon la transposition nationale).

4) Cyber Resilience Act (CRA) : sécurité dès la conception

Le Règlement (UE) 2024/2847 dit Cyber Resilience Act est entré en vigueur en décembre 2024 ; l’application générale interviendra à partir de décembre 2027 (phases anticipées pour certaines obligations). Les fabricants/éditeurs de « produits comportant des éléments numériques » (contrôleurs, passerelles, logiciels embarqués) devront prouver la gestion des vulnérabilités, la fourniture de mises à jour de sécurité, la documentation (type SBOM) et des pratiques de développement sécurisé. Les donneurs d’ordre FM doivent anticiper ces exigences dans leurs appels d’offres et DCE.

5) Données personnelles et Data Act

La CNIL rappelle les principes RGPD (minimisation, information, AIPD pour les dispositifs de vidéoprotection étendus, maîtrise des durées de conservation). Par ailleurs, le Data Act impose, dès septembre 2026, la conception des objets connectés et services associés pour rendre accessibles les données qu’ils génèrent : un point clé pour récupérer et sécuriser les flux GTB/IoT sans bricolage.

Menaces types sur une GTB/GTC

• Exposition réseau : interfaces BACnet/Modbus/KNX accessibles depuis l’Internet ou depuis le réseau bureautique, absence de pare-feu L3/L7 et de règles de flux.
• Accès distants non maîtrisés : tunnels persistants d’intégrateurs, partages d’identifiants, absence de MFA et de journalisation.
• Obsolescence : firmwares non corrigés, postes d’exploitation Windows non patchés, versions anciennes d’outils d’ingénierie.
• Chaîne d’approvisionnement : composants OEM faiblement maintenus, défauts cryptographiques, mises à jour non signées.
• Erreurs d’exploitation : comptes techniques non révoqués, sauvegardes inexistantes, sauvegardes non testées, dérives de configuration après travaux.

Architecture cible de défense pour une GTB/GTC

Adoptez une approche IEC 62443 (zones/conduits) traduite en règles FM opérationnelles :

• Segmentation : zone OT dédiée pour GTB/GTC, VLAN par sous-système (CVC, éclairage, sûreté, comptages), DMZ d’interconnexion IT/OT, pare-feu avec listes de flux « deny by default » et inspection applicative.
• Accès distants : bastion d’administration, VPN IPSec/SSL avec MFA, comptes nominatifs, jours/heures d’accès et journaux horodatés exportés vers le SOC/SIEM.
• Durcissement : suppression des identifiants par défaut, politique de mots de passe/service accounts, désactivation des services non utilisés, verrouillage des bootloaders et chiffrement des supports lorsque possible.
• Supervision & sauvegardes : centralisation syslog/OPC-UA events vers le SIEM, sauvegardes hors-ligne de la base GTB, des projets/paramètres et des licences, tests de restauration trimestriels.
• Gestion des correctifs : fenêtre mensuelle/trimensuelle OT validée avec l’exploitant, évaluation de risques, environnement pilote sur maquette lorsque possible.
• Continuité : procédures fallback (mode manuel, consignes locales, by-pass), plan de reprise d’activité OT, et exercices « table-top » avec l’exploitant et la DSI.

Sécuriser les protocoles et intégrations

BACnet : passer à BACnet/SC quand c’est pertinent

BACnet/SC (Secure Connect) introduit le transport WebSocket sur TLS 1.3 avec authentification mutuelle par certificats X.509 (topologies hub-and-spoke et connexions directes). Recommandations :

• Exiger des contrôleurs/passerelles compatibles BACnet/SC sur les nouveaux lots CVC/GTB ; sinon, encapsuler via VPN et filtrage L7.
• Mettre en place une PKI (AC, CRL, renouvellement des certificats) ou recourir à un service managé sécurisé.
• Bloquer tout fallback non chiffré (BACnet/IP broadcast) hors des segments de migration contrôlés.

Modbus : sécuriser ou isoler

Modbus/TCP « historique » ne prévoit pas de sécurité intrinsèque ; utilisez Modbus/TCP Security (TLS) lorsque supporté, sinon segmentez strictement et encapsulez dans un VPN avec comptes nominatifs/MFA. Documentez les registres exposés et limitez les fonctions autorisées.

KNX : activer KNX Secure

Sur projets neufs/rénovations, activez KNX IP Secure et KNX Data Secure (intégrité, authenticité, chiffrement) et gérez la sécurité des clés (projet ETS, sauvegarde chiffrée, rotation). Évitez l’exposition Internet des interfaces IP/tunnels ETS et isolez la zone KNX via VLAN/pare-feu.

12 mesures opérables en 90 jours

1. Cartographie des automates, contrôleurs, superviseurs, passerelles, API cloud et accès distants.
2. Recherche d’expositions : audit d’adresses publiques, scans internes, listes de ports/protocoles utilisés.
3. Segmentation rapide : VLAN OT dédiés, listes de flux minimales entre GTB, sûreté, comptages et IT.
4. Comptes & mots de passe : suppression des défauts/fantômes, comptes nominatifs, coffre-fort à secrets.
5. Accès prestataires : bascule sur VPN/MFA/bastion, révocation automatique hors créneaux, journalisation.
6. Journalisation : envoi syslog vers SIEM, horodatage NTP de référence, corrélation basique d’événements.
7. Sauvegardes GTB/GTC et tests de restauration sur maquette.
8. Durcissement des OS et des applications d’exploitation (postes opérateurs), politiques de mises à jour.
9. Points d’API cloud : revue des clés, rotation, limitation par IP, TLS renforcé, suppression des comptes inactifs.
10. Procédures : journal des changements, revue par pairs après intervention, étiquetage réseau clair.
11. Sensibilisation des équipes d’exploitation et du PC sécurité sur les gestes cyber.
12. Table-top incident OT : scénario ransomware GTB, perte d’un automate, perte de la supervision centrale.

Gouvernance FM : intégrer la cyber dans le contrat d’exploitation

Dans vos marchés multiservices / FM intégré et contrats de hard FM :

• Périmètre cyber : inclure GTB/GTC, sûreté, IoT, API cloud et accès distants prestataires.
• KPI/SLA : délais de remédiation vulnérabilités/patchs, taux de sauvegardes vérifiées, disponibilité de la supervision, délai de production du rapport d’inspection BACS, MTTR après incident.
• Exigences techniques : segmentation, bastion, MFA, chiffrement en transit, compatibilité BACnet/SC/KNX Secure, journalisation vers SIEM.
• Conformité : prise en compte ReCyF (si NIS2), préparation CRA côté fournisseurs, RGPD/CNIL (DPIA si nécessaire).
• RACI DSI/Direction immobilière/prestataires : qui décide, qui opère, qui valide.
• Droit d’audit et exercices conjoints (PRA OT, table-top annuel).

Feuille de route 12–24 mois

• 2026 : mise à niveau « hygiène » (12 mesures), inventaire et segmentation, politique d’accès prestataires, plan de migration BACnet/SC/KNX Secure, alignement avec l’inspection BACS et la déclaration OPERAT 2026.
• 2027 : montée de maturité (SIEM/UEBA OT, PRA testé, SOC étendu OT). Anticiper l’application générale du CRA à partir de décembre 2027 dans les achats d’automates/passerelles.
• 2028–2029 : préparer la bascule des sites 70–290 kW vers un BACS conforme (échéance réglementaire au 1er janvier 2030) et sécuriser nativement chaque lot technique rénové.

Conclusion

La « cybersécurité GTB/GTC » n’est pas un supplément de DCE : c’est le garant de la disponibilité technique, de la facture énergétique, et de votre conformité. En 2026, vous disposez d’un cadre clair (BACS, Décret Tertiaire, NIS2/ReCyF, CRA) et d’une doctrine ANSSI spécifique aux GTB/GTC. L’enjeu est désormais d’exécuter : architecture, contrats, pilotage, et amélioration continue.

Sources

• ANSSI – Recommandations de sécurité GTB/GTC (guide dédié, publié le 4 juin 2026)
• Arrêté du 7 avril 2023 relatif aux systèmes d’automatisation et de contrôle des bâtiments tertiaires (inspection BACS)
• Portail réglementaire bâtiment – Mise à jour du calendrier BACS (décret n° 2025‑1343, report au 1er janvier 2030)
• Règlement (UE) 2024/2847 – Cyber Resilience Act (CRA)
• ANSSI – Directive NIS2 et Référentiel Cyber France (ReCyF)
• Décret n° 2019‑771 du 23 juillet 2019 (Décret Tertiaire) – objectifs –40/–50/–60 %

FAQ

Besoin d’un audit de votre stratégie GTB/FM et de votre posture cyber ? Contactez nos équipes pour un diagnostic express et un plan d’action priorisé sous 4 semaines.