« Cybersecurity by design », nouvel enjeu de la construction

Aujourd’hui, l’environnement bâti est conçu, construit et géré à l’aide de technologies numériques et d’objets connectés. Les bâtiments eux-mêmes, avec leurs systèmes de gestion technique deviennent des objets connectés. Ceci présente de nombreux avantages et permet l’émergence de bâtiments de plus en plus intelligents. Le revers de la médaille est toutefois une exposition accrue à la cybercriminalité à ne pas sous-estimer. La cyberattaque d’un bâtiment peut avoir un impact potentiellement important sur la vie privée des occupants, leur confort, voire leur sécurité, outre celle du bâtiment et de ses équipements.

La cybersécurité est une responsabilité partagée qui implique les fabricants et fournisseurs de logiciels, les divers intermédiaires et prestaires, jusqu’à l’utilisateur final. Comme toujours en matière de gestion de risques, le point de départ est une analyse de risques rigoureuse, l’application de politiques, technologies et procédures d’atténuation appropriées et le partage des responsabilités en fonction de la maîtrise que chaque maillon de la chaîne peut avoir sur les facteurs de risque.

Dans ce domaine le droit de l’Union européenne évolue. Après la nouvelle Directive sur la sécurité des réseaux et des systèmes d’information (NIS2) entrée en vigueur début 2023, le Règlement sur la cyber-résilience, actuellement en négociation entre colégislateurs européens, vise à renforcer la cybersécurité des appareils connectés en édictant des normes minimales (dont le principe de « security by design »), un monitoring et des mises à jour continues.

Diverses recommandations et normes, nationales et internationales existent en matière de cyber­sécurité. Elles constituent une base de référence à adapter au contexte de la construction. Les organisations du secteur y travaillent.

La digitalisation des bâtiments entraîne des responsabilités nouvelles en matière de cybersécurité. Les différents acteurs de la filière construction doivent en avoir conscience. Elle implique un effort général de relèvement des compétences, des standards appropriés et la mise en place d’accords contractuels qui attribuent clairement les tâches et responsabilités des uns et des autres.