Cybersécurité BTP: obligation pour les ouvrages sensibles en 2027

Cybersécurité : vers une obligation pour les ouvrages sensibles, les ingénieurs passent à l’offensive

La transformation numérique accélère dans le BTP. GTB, IoT de chantier, supervision des réseaux techniques : les bâtiments et infrastructures deviennent connectés. En parallèle, les attaques informatiques se multiplient et ciblent aussi bien des hôpitaux que des collectivités ou des entreprises du secteur.

À l’approche de 2027, l’organisation professionnelle des sociétés d’ingénierie, présidée par Frédéric Metz, met la cybersécurité au cœur de 12 propositions destinées à renforcer compétitivité, souveraineté et résilience de l’économie. Sa mesure phare pour le bâtiment et les travaux publics : instaurer une obligation de cybersécurité pour certaines catégories d’ouvrages sensibles.

Une proposition clé parmi 12 mesures en faveur de la compétitivité et de la souveraineté

Le document programmatique appelle à un choc de fiabilité numérique des infrastructures. Objectif : protéger les systèmes de contrôle-commande, garantir la continuité de service et éviter des chantiers à risque. Le dispositif proposé s’articulerait autour d’un “dossier cybersécurité” obligatoire intégré au processus de conception et de réalisation.

Quels ouvrages seraient concernés ? Les projets présentant des fonctions critiques, ou intégrant des systèmes techniques connectés. Sont visés, de manière graduée, les :

• Établissements recevant du public sensibles (hôpitaux, établissements de santé, grands équipements culturels et sportifs).
• Infrastructures de réseaux (eau, énergie, mobilité, stations d’épuration, postes sources, tunnels et ponts connectés).
• Bâtiments tertiaires dotés de GTB/GTC et d’IoT métiers au-delà d’un certain seuil de surface ou d’occupation.
• Centres de données, sites industriels et plateformes logistiques automatisées.

La profession recommande d’inscrire cette exigence dans la commande publique (CCAG Travaux et MOE) et, à terme, dans les cadres contractuels privés. Des référentiels s’appuieraient sur des normes reconnues (ISO 27001, IEC 62443) et sur les guides de l’ANSSI, pour éviter les sur-spécifications et favoriser l’homogénéité.

Le “dossier cybersécurité” deviendrait une pièce maîtresse à chaque étape :

• Conception : analyse de risques, exigences techniques, architecture réseau et segmentation OT/IT.
• Exécution : qualification des équipements, durcissement, tests et recettage de sécurité.
• Réception : preuves de conformité, inventaires, procédures et clés de gestion.
• Exploitation : plan de maintenance et de mise à jour, supervision, plan de réponse aux incidents.

Ce que cela change pour la maîtrise d’ouvrage et la maîtrise d’œuvre

Pour les maîtres d’ouvrage (MOA), l’enjeu est de piloter la cybersécurité comme un lot transverse, avec un budget, des jalons et des livrables dédiés. La proposition suggère de nommer un référent cybersécurité côté MOA et d’intégrer des critères d’attribution spécifiques dans les appels d’offres.

Côté maîtrise d’œuvre (MOE) et ingénieries, le rôle s’élargit. Il s’agit d’embarquer la sécurité “by design” dès l’esquisse, en cohérence avec le BIM et les lots techniques. Les exigences clés pourraient inclure :

• Analyse de risques de type EBIOS adaptée aux systèmes techniques du bâtiment et de l’infrastructure.
• Segmentation réseau claire entre OT (technique) et IT (bureautique), gestion des accès et authentification forte.
• Journalisation, horodatage fiable et supervision des évènements de sécurité.
• Recettage dédié (FAT/SAT sécurité), tests d’intrusion sur périmètres critiques et procédures de remédiation.
• Dossier des Ouvrages Exécutés “sécurisé” (inventaire des actifs, versions logicielles, paramètres de référence, comptes et clés).

Contractuellement, des clauses types préciseraient responsabilités, pénalités en cas de non-conformité, modalités de maintenance logicielle (MCO/MCS) et exigences de mises à jour de sécurité. L’objectif est de sécuriser le DGD sans litiges dus à des zones grises numériques.

Entreprises du BTP et artisans : comment se préparer efficacement

Les TPE/PME et artisans sont en première ligne. Bonne nouvelle : beaucoup d’actions sont pragmatiques et peu coûteuses si elles sont anticipées. Pour se mettre au niveau attendu, les professionnels peuvent engager dès maintenant :

• Cartographier les équipements connectés (GTB, capteurs IoT, automates, caméras, bornes, contrôleurs d’accès) et identifier les flux critiques.
• Nommer un référent cyber au sein de l’entreprise et documenter des procédures simples (gestion des mots de passe, mises à jour, contrôle des accès prestataires).
• Sécuriser les bases : authentification multifacteur, sauvegardes 3-2-1, EDR/antivirus à jour, segmentation des réseaux de chantier, durcissement des configurations par défaut.
• Choisir des matériels compatibles avec des référentiels industriels (IEC 62443) et s’assurer de la disponibilité des correctifs et mises à jour sur la durée.
• Intégrer une ligne “cybersécurité” dans les chiffrages: audit rapide, paramétrage sécurisé, tests de recette, documentation et temps de formation utilisateur.
• Prévoir des clauses de maintenance logicielle dans les contrats et organiser un calendrier de patching trimestriel.
• Former les équipes de terrain à reconnaître les signaux faibles (phishing, comportements anormaux, connectiques suspectes) via des modules courts et réguliers.
• Évaluer l’opportunité d’une assurance cyber incluant assistance en cas d’incident et prise en charge de la remédiation.

Selon la taille du projet et le niveau de criticité, le surcoût initial peut rester maîtrisé, allant de quelques milliers d’euros pour des bâtiments tertiaires simples à des enveloppes plus conséquentes pour des sites industriels complexes. La clé est l’anticipation, qui évite les reprises et les immobilisations coûteuses.

Commande publique, financements et écosystème de confiance

Pour faciliter l’adoption, les ingénieurs plaident pour des outils contractuels et financiers concrets. Leur feuille de route évoque :

• Des clauses types “cyber” dans les marchés publics, harmonisées entre CCAG Travaux, CCAG MOE et CCAP, afin de sécuriser les rôles et livrables.
• Un dispositif d’amorçage financier pour les TPE/PME (chèques cybersécurité, subventions d’audit, prêts bonifiés) et un crédit d’impôt pour l’investissement de sécurisation des systèmes techniques.
• La promotion de prestataires qualifiés et de labels reconnus, avec un guichet unique listant les compétences (audit, intégration OT, supervision, réponse à incident).
• L’alignement avec le BIM : modèles d’objets “sécurisés”, gestion des secrets dans les environnements collaboratifs et contrôle des accès aux maquettes numériques.

Pour les groupements d’entreprises, une approche est encouragée : associer un intégrateur OT/cyber aux lots CVC, CFO/CFA et GTB dès la phase PRO/EXE. Cela réduit les interfaces et clarifie la responsabilité technique. Les maîtres d’ouvrage gagneraient à prévoir des points d’arrêt de validation cyber, au même titre que les visas techniques habituels.

Points de vigilance et calendrier possible d’entrée en vigueur

La profession appelle à une obligation proportionnée. L’idée n’est pas de surcharger les petits projets sans enjeu critique, mais de concentrer l’effort là où l’impact d’une attaque serait majeur. Une gradation par catégories d’ouvrages est ainsi suggérée, avec des niveaux d’exigence progressifs.

Un calendrier réaliste pourrait s’étaler en trois temps :

• Phase pilote 2025 : expérimentation sur des projets volontaires financés par la puissance publique et retours d’expérience sectoriels.
• Montée en charge 2026 : extension à de nouvelles typologies d’ouvrages, publication des référentiels définitifs et des clauses types.
• Généralisation 2027 : obligation pour les ouvrages sensibles, avec contrôles de conformité et accompagnement des TPE/PME.

Points de vigilance à intégrer dès maintenant : articulation avec le Code de la commande publique, compatibilité avec le Code de la construction et de l’habitation, veille sur la responsabilité des acteurs, et évitement de doublons avec d’autres réglementations (sécurité incendie, sûreté, RGPD pour les données issues des capteurs).

Conclusion : saisir l’opportunité d’un avantage concurrentiel

La cybersécurité n’est plus une option pour le BTP. L’obligation visée pour les ouvrages sensibles formaliserait des pratiques qui s’imposent déjà sur le terrain. Pour les artisans et entrepreneurs, se structurer dès maintenant, documenter les bonnes pratiques et intégrer des briques de sécurité dans les offres, c’est gagner en fiabilité et en compétitivité.

Conseil pratique : démarrez par un audit léger de vos chantiers types, établissez une check-list cyber à joindre à vos plans qualité, et contractualisez la maintenance logicielle. En 2027, ceux qui auront pris de l’avance transformeront la contrainte réglementaire en véritable avantage commercial et technique.