L’ANSSI a publié en avril 2026 un guide dédié à la cybersécurité des systèmes de GTB/GTC. Il traduit, en recommandations concrètes, les points qu’une entreprise peut exiger de son intégrateur ou de son mainteneur : réseau d’administration dédié, accès distant chiffré, automates durcis, journalisation. Aucune de ces recommandations n’est obligatoire en elle-même, mais elles donnent une base de négociation précise avec un prestataire.
Que recommande l’ANSSI pour la GTB ?
Le guide s’intitule « Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (GTB/GTC) », référence ANSSI-PA-110, version 1.0 du 27 avril 2026. Il s’adresse aux développeurs, administrateurs, RSSI (responsables de la sécurité des systèmes d’information), DSI et utilisateurs d’un système de GTB.
Sauf disposition réglementaire contraire, ces recommandations n’ont pas de caractère normatif : l’ANSSI précise que leur pertinence doit être validée, au préalable, par l’administrateur du système ou les responsables de la sécurité des systèmes d’information. Le guide emploie volontairement le verbe « devoir », plus prescriptif que « il est recommandé », pour chaque mesure ; il les classe aussi par échéance de mise en œuvre, notée N1 (court ou moyen terme) ou N2 (moyen ou long terme), un indicateur de calendrier qui ne reflète pas un niveau d’obligation.
Quels 10 points exiger de votre intégrateur ?
Le guide détaille vingt-deux recommandations numérotées (R1 à R22). En voici dix, reprises dans l’ordre où un exploitant peut les demander à son intégrateur ou à son mainteneur.
| Point à exiger | Ce qu’il évite |
|---|---|
| Un réseau d’administration dédié, cloisonné du reste du système d’information (R1, R2) | Qu’un poste bureautique compromis serve de rebond vers la GTB |
| Des protocoles d’administration chiffrés (TLS, SSH), ou un tunnel VPN à défaut (R3) | La capture d’identifiants d’administration en clair sur le réseau |
| Un cloisonnement du système par VLAN et par fonction, avec filtrage par pare-feu entre sous-systèmes (R4, R5) | Qu’un automate compromis permette d’atteindre tous les autres |
| Un tunnel VPN IPsec, ou à défaut TLS v1.3, pour tout accès distant, y compris celui du mainteneur (R6) | Qu’une connexion de prise en main à distance circule en clair |
| La désactivation de la fonctionnalité « Foreign Device » et un filtrage des échanges BACnet/IP ou Modbus TCP (R7) | Une partie de la surface d’attaque propre à ces protocoles |
| Des commutateurs durcis, ports Ethernet inutilisés désactivés ou mis en quarantaine (R9, R10) | Un branchement non autorisé sur une prise murale |
| Des mots de passe par défaut changés sur chaque automate, services inutilisés désactivés (R15, R16) | L’accès le plus simple laissé ouvert à un attaquant |
| Une journalisation activée des accès et des évènements de sécurité (R18) | L’impossibilité de reconstituer un incident après coup |
| Des ports USB bloqués, ou un sas de contrôle avant tout support externe (R19, R21) | L’introduction d’un code malveillant par clé USB |
| Des protocoles sécurisés pour les éventuelles liaisons sans fil entre automates et capteurs (R22) | La substitution d’un capteur par un équipement malveillant |
Ces dix points couvrent l’essentiel des chapitres 3.2 à 3.4 du guide. Les annexes techniques, dédiées au filtrage détaillé des protocoles Modbus et BACnet, s’adressent plutôt à l’intégrateur qui configure les équipements qu’à l’exploitant qui les exige.
Accès distant du mainteneur : que vérifier ?
Le guide recommande un tunnel VPN IPsec pour tous les accès distants à la GTB, avec une authentification robuste, par exemple multifacteur par certificat. À défaut d’IPsec, un VPN TLS en version 1.3 est toléré. Les protocoles de prise en main à distance non chiffrés par nature, comme le VNC, ne sont pas considérés comme sûrs par le guide et doivent être encapsulés dans un tunnel pour être utilisés.
Un point mérite une attention particulière : les postes des prestataires externes ne sont, par construction, pas maîtrisés par l’exploitant. Le guide recommande que leurs accès distants transitent par une chaîne d’accès dédiée, complétée par un bastion, plutôt que par le même tunnel que les postes internes. Ces exigences se retrouvent, en termes plus contractuels, parmi les clauses à vérifier dans un contrat de maintenance GTB : comptes nominatifs, information préalable avant connexion, traçabilité des interventions.
À retenir : ce que le guide recommande : un tunnel chiffré et une authentification robuste pour tout accès distant. Ce qui dépend du contrat : qui, du client ou du mainteneur, héberge et administre ce tunnel. Ce que Probat Énergie applique : les accès laissés par un ancien prestataire font partie des points vérifiés lors d’une reprise de maintenance GTB.
Que vérifier sur l’intégrité et les sauvegardes ?
Le guide recommande de vérifier périodiquement l’intégrité du logiciel d’ingénierie, du micrologiciel et de la configuration de chaque automate, afin de détecter si une bibliothèque ou une fonction a été modifiée. Certains logiciels d’ingénierie intègrent une fonction d’auto-test à cet effet.
Le guide ne détaille pas de politique de sauvegarde à proprement parler. En complément de cette vérification d’intégrité, conserver une copie à jour de la configuration de chaque automate, en dehors du système de GTB lui-même, reste une pratique courante pour restaurer rapidement une installation après un incident ou un remplacement de matériel.
Que faire d’une GTB déjà en service, sans ces protections ?
Le guide distingue les recommandations à mettre en œuvre à court ou moyen terme (N1) de celles à moyen ou long terme (N2). Pour une GTB déjà en exploitation, cette hiérarchie donne un ordre de priorité réaliste : réseau d’administration dédié, changement des mots de passe par défaut et VPN pour les accès distants d’abord ; cloisonnement fin par VLAN privés ou journalisation centralisée ensuite.
Ce travail de mise à niveau se mène généralement en même temps qu’une visite de maintenance ou une reprise de GTB abandonnée, puisqu’il suppose d’intervenir sur les automates, les protocoles utilisés et, sur un parc de plusieurs bâtiments, sur chaque site raccordé. Nous vérifions ces points avant toute intervention sur une installation existante, sans présumer de leur état avant la visite.
Questions fréquentes
Le guide ANSSI est-il obligatoire pour une GTB ?
Non. Sauf disposition réglementaire contraire, ses recommandations n’ont pas de caractère normatif ; elles doivent être validées par l’administrateur du système avant d’être appliquées. Elles restent la référence technique la plus précise disponible sur la sécurité d’une GTB.
Qu’est-ce qu’un VPN IPsec, et pourquoi le guide le recommande-t-il pour la GTB ?
C’est un tunnel chiffré entre deux points du réseau. Le guide le recommande pour tout accès distant à la GTB, y compris celui d’un mainteneur, afin qu’une connexion de prise en main à distance ne circule jamais en clair.
Une petite GTB, avec quelques automates, est-elle concernée par ces recommandations ?
Oui : le guide s’applique à tout système de GTB/GTC, quelle que soit sa taille. Les mesures classées en échéance N1 restent accessibles à une installation modeste : réseau d’administration dédié, mots de passe par défaut changés, accès distant par VPN.
Qui est responsable de la sécurité d’une GTB confiée à un prestataire ?
Cela dépend du contrat signé avec le mainteneur ou l’intégrateur. Le guide s’adresse autant aux prestataires qu’aux exploitants ; demander à son intégrateur de documenter les points appliqués, parmi ceux listés ci-dessus, permet de clarifier cette répartition avant signature.
Sources : ANSSI, « Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (GTB/GTC) », référence ANSSI-PA-110, version 1.0 du 27 avril 2026. Guide consulté le 8 octobre 2026.
Une maintenance ou une reprise de GTB à sécuriser ?
Vous gérez un bâtiment concerné ? Décrivez-nous votre installation, nous vous répondons après visite.