Le bâtiment intelligent est-il sûr ? L'IoT, de la base à l'inspection IT-Label

D'abord la base : qu'est-ce que l'IoT dans un bâtiment ?

IoT veut dire Internet of Things, ou Internet des objets : des appareils qui mesurent, commandent et envoient des données par un réseau. Dans un immeuble de bureaux, il y en a souvent des centaines. Par exemple :

• des capteurs qui mesurent si une pièce est occupée, et s'il y fait chaud ou si l'air y est lourd ;
• le système de gestion technique du bâtiment, qui règle le chauffage, le refroidissement, la ventilation et l'éclairage ;
• les portiques d'accès, les lecteurs de badges et les serrures intelligentes ;
• les caméras et l'enregistreur qui stocke les images ;
• les ascenseurs, les stores et les bornes de recharge du parking ;
• les compteurs intelligents et les onduleurs des panneaux solaires ;
• les imprimantes, les écrans de réunion et les systèmes de réservation.

Ensemble, ils rendent un bâtiment confortable, économe et facile à gérer. Pour savoir comment cela fonctionne, consultez la page Technologie Smart Building de notre base de connaissances. Cet article traite d'une autre question : tout cela est-il sûr ?

Pourquoi l'IoT est vulnérable

Un ordinateur portable reçoit des mises à jour chaque mois et il est géré par le service informatique. Pour les appareils intelligents d'un bâtiment, c'est souvent différent. Les points faibles les plus fréquents :

• Les mots de passe par défaut. Beaucoup d'appareils sont livrés avec un mot de passe comme « admin ». Il n'est pas toujours changé lors de l'installation.
• Pas de mises à jour. Le fabricant publie des mises à jour, mais personne ne les installe. Ou le fabricant arrête les mises à jour après quelques années.
• Une longue durée de vie. Un bâtiment et ses installations durent souvent vingt ans. Le logiciel d'un appareil est souvent dépassé bien plus tôt.
• Pas de responsable. L'installateur pose l'appareil, les services généraux l'utilisent et le service informatique n'en sait rien. Personne ne se sent responsable.
• Un seul réseau partagé. Les caméras, les capteurs et les ordinateurs portables sont sur le même réseau. Un appareil faible devient alors une porte vers le reste.
• L'accès à distance. Les fournisseurs se connectent de l'extérieur pour la maintenance. Si cet accès est mal protégé, quelqu'un d'autre peut aussi l'utiliser.
• Invisibles. Les appareils sont dans les faux plafonds, les locaux techniques et les armoires. Ce que l'on ne voit pas, on ne le contrôle pas.

Qu'est-ce qui peut mal tourner ?

Deux exemples connus montrent ce qui peut arriver.

Mirai, 2016. En octobre 2016, de grands sites comme Twitter, Netflix et Spotify ont été difficiles d'accès pendant des heures. L'attaque venait de centaines de milliers de caméras, d'enregistreurs et de routeurs qui avaient été piratés. Les attaquants sont entrés avec une courte liste de mots de passe par défaut. Les propriétaires des appareils ne se sont rendu compte de rien.

Target, 2013. Fin 2013, chez la chaîne de magasins américaine Target, les données d'environ 40 millions de cartes de paiement ont été volées. Les pirates sont entrés avec les identifiants d'un fournisseur d'installations de climatisation. Ce fournisseur avait accès au réseau pour la maintenance. De là, les pirates ont pu aller plus loin dans le réseau.

La leçon de ces deux exemples : le risque ne vient pas seulement de l'appareil, mais de la façon dont il est raccordé, de qui y a accès et de savoir si quelqu'un le surveille.

Que disent les règles ?

Le législateur s'intéresse lui aussi de plus en plus aux appareils intelligents :

• Cyber Resilience Act. Cette loi européenne fixe des exigences pour les produits qui contiennent un logiciel, comme des réglages par défaut sûrs et des mises à jour. Depuis le 11 septembre 2026, les fabricants doivent signaler les failles activement exploitées. À partir du 11 décembre 2027, toutes les exigences s'appliquent.
• Exigences européennes pour les appareils sans fil. Depuis le 1er août 2025, les nouveaux appareils sans fil avec une connexion internet doivent respecter des exigences de sécurité, par exemple sur les mots de passe.
• La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet). Depuis le 15 août 2026, cette loi demande à de nombreuses organisations de protéger leurs réseaux et systèmes d'information, y compris l'environnement physique dans lequel ils se trouvent.

Les nouvelles règles visent surtout les nouveaux produits. Les appareils déjà installés dans un bâtiment restent sous la responsabilité du propriétaire et de l'utilisateur.

Comment une inspection IT-Label examine l'IoT

À quoi cela ressemble-t-il en pratique ? Nous parcourons un immeuble de bureaux imaginaire de quatre étages, avec quelques locataires, un parking et un système de gestion technique du bâtiment. C'est un exemple, pas le compte rendu d'une vraie inspection. Les étapes montrent à quoi un inspecteur fait attention.

Étape 1 : la vue d'ensemble

L'inspecteur commence par une question au gestionnaire : quels systèmes intelligents y a-t-il, et qui les gère ? Dans notre exemple, il existe une liste des installations, mais les caméras du parking et les bornes de recharge n'y figurent pas. Elles ont été posées plus tard par un autre fournisseur. Une vue d'ensemble complète est la base de tout : ce qui n'est pas sur la liste n'est pas mis à jour.

Étape 2 : le réseau

Les systèmes du bâtiment ont-ils leur propre réseau, séparé du réseau du bureau, des invités et des autres locataires ? Dans notre exemple, le système de gestion technique du bâtiment a son propre réseau. Mais les écrans de réunion et les imprimantes d'un locataire sont sur le même réseau que les ordinateurs portables. C'est un point d'attention.

Étape 3 : l'accès physique

Les armoires de commande, l'enregistreur des caméras et les armoires réseau sont-ils fermés à clé ? Y a-t-il des appareils que tout le monde peut atteindre ? Dans notre exemple, l'enregistreur des caméras se trouve dans une armoire ouverte, dans le local à vélos. Une armoire fermée à clé ou un autre emplacement règle le problème.

Étape 4 : l'accès à distance

Comment les fournisseurs se connectent-ils pour la maintenance ? Est-ce convenu, protégé et noté ? Et cet accès peut-il être coupé quand il n'est pas nécessaire ? Dans notre exemple, l'installateur du système de climatisation a une connexion fixe, toujours ouverte. Personne ne sait exactement qui l'utilise.

Étape 5 : mots de passe et mises à jour

Les mots de passe par défaut ont-ils été changés ? Existe-t-il un accord sur qui installe les mises à jour, et à quelle fréquence ? Dans notre exemple, les mots de passe du système de gestion technique du bâtiment ont été changés, mais pas ceux des bornes de recharge. Il n'y a pas d'accord sur les mises à jour.

Étape 6 : courant et pannes

Qu'est-ce qui fonctionne encore si le réseau ou le courant tombe en panne ? Les portes s'ouvrent-elles ou restent-elles fermées ? Les gens peuvent-ils encore entrer et sortir du bâtiment ? Dans notre exemple, les portiques d'accès sont sur une alimentation de secours, mais le switch réseau qui les commande ne l'est pas.

Étape 7 : tout noter

Tout figure-t-il dans la documentation ? Et la liste de démarcation indique-t-elle qui est responsable de quoi : le propriétaire, le locataire ou le fournisseur ? Cela évite qu'un problème reste bloqué entre deux parties.

À la fin de la visite, le propriétaire sait ce qui va bien et ce qui peut être amélioré. Dans notre exemple, les améliorations sont simples : ajouter les appareils manquants à la liste, un réseau propre pour les appareils du locataire, une serrure sur l'armoire, un meilleur accord avec l'installateur et de nouveaux mots de passe.

Dix questions pour le propriétaire et le locataire

Vous voulez commencer vous-même ? Parcourez ces questions avec votre gestionnaire ou votre partenaire IT :

1. Existe-t-il une liste de tous les systèmes intelligents du bâtiment ?
2. Sait-on, pour chaque système, qui le gère ?
3. Les systèmes du bâtiment ont-ils leur propre réseau ?
4. Les locataires et les invités sont-ils séparés des systèmes du bâtiment ?
5. Tous les mots de passe par défaut ont-ils été changés ?
6. Existe-t-il un accord sur les mises à jour ?
7. Les appareils reçoivent-ils encore des mises à jour du fabricant ?
8. Comment les fournisseurs se connectent-ils, et cet accès peut-il être coupé ?
9. Les armoires de commande, les enregistreurs et les armoires réseau sont-ils fermés à clé ?
10. Qu'est-ce qui fonctionne encore si le réseau ou le courant tombe en panne ?

Vous ne pouvez pas répondre à une question ? Vous savez alors par où commencer.

Questions fréquentes

Un bâtiment intelligent est-il moins sûr qu'un bâtiment ordinaire ?

Pas forcément. Un bâtiment intelligent a plus d'appareils reliés au réseau, et donc plus de points à surveiller. Avec un réseau propre pour les systèmes du bâtiment, de bons mots de passe, des mises à jour et des accords clairs, un bâtiment intelligent peut être bien protégé.

Qui est responsable des systèmes IoT : le bailleur ou le locataire ?

Cela dépend des accords. Souvent, le propriétaire est responsable des systèmes du bâtiment, comme la climatisation et l'accès, et le locataire de ses propres appareils. Notez-le dans une liste de démarcation, pour que rien ne reste bloqué entre deux parties.

Le système de gestion technique du bâtiment doit-il avoir son propre réseau ?

C'est fortement conseillé. Un réseau propre et séparé évite qu'un problème sur le réseau du bureau touche aussi la climatisation ou l'accès au bâtiment, et inversement.

Le Security Audit examine-t-il aussi les caméras et les capteurs ?

Oui. L'IT-Label Security Audit examine les imprimantes, les caméras et les autres appareils non protégés ou inconnus sur le réseau. Il vérifie aussi si le réseau du bureau est séparé des systèmes du bâtiment, comme l'accès et la climatisation.

L'IoT compte-t-il pour l'IT-Label ?

L'IT-Label évalue un bâtiment dans six domaines : connectivité, infrastructure, performance, évolutivité, intégration et Smart Building. Les systèmes intelligents du bâtiment relèvent de l'intégration et du Smart Building. L'IT-Label examine alors l'infrastructure numérique sur laquelle ces systèmes fonctionnent.

Commencez par la base

Les systèmes intelligents améliorent un bâtiment, si la base est en ordre. Vous voulez savoir si l'IT et les systèmes intelligents de votre bureau sont sûrs ? Demandez un Security Audit. Vous voulez savoir où en est votre bâtiment sur le plan numérique ? Commencez par une pré-inspection. Et vous voulez que quelqu'un surveille en continu l'IT de votre bâtiment ? Découvrez IT-Label Smart Control.

Sources : Commission européenne, Cyber Resilience Act ; Nationaal Cyber Security Centrum (NCSC), le Centre national de cybersécurité néerlandais ; CISA, sur Mirai.