Le Radar CARINEL — Octobre 2026 : l'essentiel de la sûreté et de la sécurité physique
CARINEL | Cabinet d'Audit – Conseil – Formation en Sécurité« Votre sécurité est notre métier »
Faits, décisions et publications sélectionnés sur la période du 1er au 31 octobre 2026. Sources consultées le 1er novembre 2026. Quelques rappels antérieurs, signalés comme tels, sont mentionnés pour la bonne compréhension du contexte.
Synthèse — Les 5 faits marquants du mois
Ordre public — Violences urbaines des 17 et 24 octobre
Deux journées de mobilisation contre la vie chère dégénèrent en pillages dans plusieurs villes. Cellule interministérielle de crise, couvre-feux locaux et conseil de sécurité présidé par le chef de l'État le 22 octobre. 1 435 interpellations le seul 24 octobre.
Terrorisme — Attentat raciste de Trappes et La Verrière (23 oct.)
Un homme ouvre le feu sur des passants dans les Yvelines : un mort et cinq blessés, dont une fillette de 12 ans. Le parquet national antiterroriste s'est saisi de l'affaire.
Sécurité privée — Échéance Dracar Ultimate (1er oct.)
Les entreprises de sécurité privée doivent désormais déclarer nominativement leurs agents sur le téléservice du CNAPS.
Cyber — Un mois de vulnérabilités critiques
Patch Tuesday record de Microsoft (plus de 1 400 vulnérabilités), failles PHP sous tentatives d'exploitation, attaques contre des contrôleurs de réfrigération. L'ANSSI publie ses principes pour sécuriser l'IA agentique.
NIS2 — Nouveau report de la loi Résilience (6 oct.)
Le texte est retiré de l'ordre du jour de l'Assemblée nationale, sans nouvelle date. La France compte désormais deux ans de retard sur la transposition.
Sûreté & Sécurité physique
Sécurité privée — Dracar Ultimate : l'échéance du 1er octobre 2026 est passée
Le décret n° 2025-1344 du 26 décembre 2025 fixait au 1er octobre 2026 au plus tard les nouvelles obligations liées au téléservice du CNAPS, appelé « Dracar Ultimate ». Les entreprises de sécurité privée doivent disposer d'un compte individualisé, déclarer nominativement leurs salariés, tenir cette liste à jour et contrôler régulièrement la validité des cartes professionnelles. Seules la Polynésie française, la Nouvelle-Calédonie et Wallis-et-Futuna bénéficient d'un délai jusqu'au 31 décembre 2026.
Enjeu pour les donneurs d'ordre : toute prestation de gardiennage externalisée doit faire l'objet d'une vérification de conformité auprès du prestataire. Un défaut de déclaration expose le donneur d'ordre à un risque en cas de contrôle du CNAPS.
Sécurité cynophile — 18 ans d'attente pour un décret
Le 3 octobre 2026, l'association ARGOS 42 a annoncé avoir mis en demeure le Premier ministre de publier le décret sur les conditions d'emploi des chiens de sécurité privée, prévu par la loi du 20 juin 2008 et toujours attendu. Faute de réponse sous 60 jours, l'association saisira le Conseil d'État.
Le sujet a des conséquences concrètes. Le 28 octobre, le CNAPS a fait état d'un jugement du tribunal judiciaire de Melun du 30 juin 2026 : un agent cynophile dont les chiens avaient été retrouvés dénutris en février 2026 a été condamné à 12 mois avec sursis et à une interdiction définitive de détenir un animal. Le CNAPS lui a retiré sa carte professionnelle.
Enjeu : en l'absence de texte sur les conditions de vie des chiens hors mission, les acheteurs publics et privés ont intérêt à fixer eux-mêmes des exigences dans leurs cahiers des charges.
Marchés publics de sécurité — vers des contrats intégrés
Les acheteurs recherchent de plus en plus des intégrateurs capables de combiner vidéoprotection, contrôle d'accès et gardiennage, plutôt que de simples fournisseurs d'équipements. Exemple récent : SYTRAL Mobilités (réseau lyonnais, 262 communes) a voté le 30 septembre un plan sûreté 2026-2032. Il prévoit la création d'une brigade interne dès 2027 (200 agents en 2032) et un recours renforcé aux sociétés de sécurité privée hors du périmètre métropolitain.
Vidéosurveillance & Vidéoprotection
IA et caméras augmentées — le calendrier de l'AI Act a changé
Attention aux informations dépassées : le « Digital Omnibus » sur l'IA, entré en vigueur le 27 juillet 2026, a reporté les obligations applicables aux systèmes d'IA à haut risque. Elles s'appliqueront le 2 décembre 2027 pour les systèmes autonomes (annexe III) et le 2 août 2028 pour l'IA intégrée à des produits réglementés (annexe I). Seules les obligations de transparence sont entrées en application le 2 août 2026.
Le cadre français reste inchangé sur le fond : la reconnaissance faciale et l'identification biométrique en temps réel dans l'espace public restent exclues, hors exceptions strictement encadrées.
Recommandation : tout projet de caméra « augmentée » ou d'analyse comportementale doit faire l'objet d'une analyse d'impact relative à la protection des données (AIPD) préalable et respecter le régime d'autorisation préfectorale de la vidéoprotection.
Rappel — Vidéosurveillance, premier motif de sanctions simplifiées de la CNIL
En juillet, la CNIL a fait le bilan de 23 sanctions simplifiées prononcées depuis janvier 2026 (133 750 € au total), dont 19 à la suite de plaintes, souvent de salariés, de clients ou de voisins. Des entreprises de restauration rapide, de transport urbain et de commerces en gare ont été sanctionnées pour des caméras sans autorisation préfectorale ou filmant leurs salariés en permanence.
Depuis mai 2026, le plafond de l'amende en procédure simplifiée est de 20 000 €, porté à 100 000 € pour les organismes réalisant plus de 50 M€ de chiffre d'affaires mondial. L'astreinte est plafonnée respectivement à 100 € et 500 € par jour de retard.
Gestion de crise & Résilience
Violences urbaines — activation de la chaîne de crise de l'État
Après les violences du 17 octobre, une cellule interministérielle de crise a été activée. Le 19 octobre, le Premier ministre a demandé aux préfets de prendre des couvre-feux partiels et localisés. Plusieurs villes, dont Paris, Lyon, Lille et Nice, ont été concernées. Le 22 octobre, le président de la République a réuni un conseil de sécurité pour faire le point sur le renseignement et la sécurisation des semaines suivantes.
À Nantes, le préfet de la Loire-Atlantique a interdit les attroupements de 21 h à 6 h jusqu'au 24 octobre dans le centre-ville et dans plusieurs zones commerciales (Saint-Herblain, Saint-Nazaire).
Enjeu : cet épisode rappelle l'importance d'un plan de continuité d'activité (PCA) opérationnel et d'un protocole de mise en sûreté des bâtiments publics et commerciaux dans les zones exposées.
5e Journée nationale de la résilience — 13 octobre 2026
Portée par le ministère de l'Intérieur et le ministère de la Transition écologique, la 5e édition de la Journée nationale de la résilience a mobilisé plus de 12 000 actions labellisées en 2026, et plus de 40 000 depuis 2022. La DGSCGC et la DGPR ont été particulièrement mobilisées pour renforcer la culture du risque auprès des élus et des citoyens.
Le 13 octobre est aussi la Journée internationale de la réduction des risques de catastrophe, dont le thème 2026 retenu par l'ONU est « La résilience commence à la maison ». Il invite à faire du foyer le premier niveau de préparation aux crises.
Terrorisme & Radicalisation
Attentat de Trappes et La Verrière — 23 octobre 2026
Le 23 octobre au matin, un homme de 39 ans a tiré en rafale depuis son véhicule à Trappes et La Verrière (Yvelines), notamment en direction d'une aire de jeux, d'une station-service et d'un centre de santé. Le bilan est d'un mort (26 ans) et de cinq blessés, dont une fillette de 12 ans. L'auteur a été interpellé à Coignières par la brigade anti-criminalité.
Le parquet national antiterroriste s'est saisi de l'affaire pour assassinat et tentatives d'assassinat en relation avec une entreprise terroriste, à raison de la race ou de la religion. Selon la presse, le suspect aurait déclaré avoir voulu « venger » les commerçants pillés le 17 octobre. Sa garde à vue a été suspendue le 25 octobre pour raisons psychiatriques.
Enjeu : cet attentat confirme la nécessité d'une vigilance sur les signaux faibles de radicalisation d'ultra-droite, au même titre que les autres formes d'extrémisme violent, en particulier dans les périodes de tensions sociales.
Rappel — Vigipirate : « vigilance renforcée » maintenu
La posture Vigipirate « été-automne 2026 », en vigueur depuis le 22 juin, maintient l'ensemble du territoire au stade « vigilance renforcée ». Le nouveau plan compte trois stades : « vigilance », « vigilance renforcée » et « alerte attentat ». Ses principes sont décrits dans le document « Faire face ensemble » du SGDSN. Les plans de sûreté des collectivités doivent être mis en cohérence avec cette nouvelle terminologie.
Criminalité & Délinquance
Interstats Conjoncture n° 133 (6 octobre) — la délinquance de septembre 2026
Selon le SSMSI, les principales évolutions sur le mois de septembre 2026 sont les suivantes :
Vols violents sans arme : +8 %
Violences physiques hors cadre familial : +7 %
Violences intrafamiliales : +3 %
Vols avec armes : −3 %
Violences sexuelles : −9 %
Homicides : −22 % sur les trois derniers mois (293 victimes de juillet à septembre)
Enquête « Vécu et ressenti en matière de sécurité » — 29 octobre
L'édition 2025 de l'enquête VRS, menée auprès d'environ 200 000 personnes, montre un taux de victimation stable mais un sentiment d'insécurité en nette hausse. Le recours à la plainte reste faible : seules 21 % des victimes de violences physiques hors vol subies en 2024 ont porté plainte, et 4 % pour l'ensemble des violences sexuelles, physiques ou non. Le sentiment d'inutilité et la crainte de ne pas être pris au sérieux figurent parmi les motifs de non-recours.
Traite des êtres humains — bilan sur dix ans
Publié mi-octobre par le SSMSI et le SSER, à l'occasion de la journée européenne de lutte contre la traite, le bilan 2016-2025 recense 2 200 victimes de traite ou d'exploitation en 2025, soit une hausse moyenne de 5 % par an depuis 2016. Le nombre de mineurs victimes (560) a doublé en dix ans.
Enjeu : ces données concernent directement les collectivités, notamment pour l'hébergement d'urgence, la protection de l'enfance et la coopération avec les forces de l'ordre.
Violences urbaines du 24 octobre — le bilan
Le 24 octobre, « acte II » de la mobilisation, environ 410 000 personnes ont participé à 289 actions sur la voie publique, selon le ministère de l'Intérieur. Le bilan dressé le 26 octobre fait état de 1 435 interpellations, dont plus de 100 pour détention d'armes par destination, de 267 policiers et gendarmes blessés et d'environ 150 manifestants blessés, dont trois grièvement à Toulouse, Reims et Clermont-Ferrand. De nombreux commerçants ont protégé leurs vitrines par crainte de nouveaux pillages.
Cybersécurité & CERT-FR
Les alertes majeures du CERT-FR en octobre 2026
CERTFR-2026-ALE-012 (12 oct.) — Contrôleurs de réfrigération : compromissions d'équipements Danfoss (AK-SM, AK-SC), Copeland xweb et Dixell xweb. Campagne en cours.
CERTFR-2026-ALE-013 (14 oct.) — Ivanti Connect Secure : CVE-2026-104935, activement exploitée, permettant l'exécution de code à distance.
CERTFR-2026-ALE-014 (20 oct., mise à jour le 27) — PHP : CVE-2026-109618 et CVE-2026-109619, exécution de code à distance.
CERTFR-2026-AVI-1394 (27 oct.) — Citrix NetScaler ADC & Gateway : les mêmes failles PHP, via le composant PHP embarqué.
CERTFR-2026-AVI-1421 (30 oct.) — Apple Xcode : CVE-2026-112602 et CVE-2026-112605, atteinte à la confidentialité des données.
PHP : de la correction aux tentatives d'exploitation en cinq jours
L'équipe PHP a publié le 21 octobre les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Des preuves de concept étaient connues dès le 22 octobre, et le CERT-FR a observé des tentatives d'exploitation le 26. Pour les branches 5.x, 7.x, 8.0 et 8.1, qui ne sont plus maintenues, le CERT-FR préconise une migration vers une version prise en charge. Une troisième faille (CVE-2026-115560), divulguée le 23 octobre, n'était pas encore corrigée en fin de mois.
Autres vulnérabilités significatives (semaines 41 et 42)
Atlassian Confluence / Jira (CVE-2026-21589, CVSS 9.3) : lecture de fichiers, exploitée.
HPE Aruba Networking AOS (CVE-2026-76742 et CVE-2026-76743, CVSS 9.8) : contournement de la politique de sécurité.
Palo Alto Networks PAN-OS (CVE-2026-0322, CVSS 8.6) : exécution de code à distance, exploitée.
Patch Tuesday Microsoft d'octobre : un record
Microsoft a corrigé en octobre plus de 1 400 vulnérabilités, un record historique, dont plus de 1 100 dans Windows. Le décompte exact varie selon les sources. Parmi elles, une faille zero-day exploitée dans Windows Shell (CVE-2026-96951, CVSS 8.8) permet de contourner la protection « Mark of the Web ». L'agence américaine CISA a imposé sa correction aux agences fédérales avant le 16 octobre.
Logiciels espions mercenaires — 8e vague de notifications Apple
Le CERT-FR a ajouté à son suivi la campagne de notifications Apple du 29 octobre 2026, la huitième depuis mars 2025. Les personnes notifiées ont pu être visées par des outils de surveillance très intrusifs (Pegasus, Predator, Graphite). Journalistes, avocats, militants, élus, hauts fonctionnaires et dirigeants d'organisations stratégiques sont les profils les plus exposés. Le CERT-FR leur recommande d'activer le mode Isolement d'Apple.
ANSSI : sept principes pour sécuriser l'IA agentique (30 octobre)
L'ANSSI a publié sur MesServicesCyber un document de sept principes pour sécuriser les systèmes d'IA capables d'utiliser des outils et d'agir de manière autonome. Elle recommande notamment de classer chaque opération en trois catégories : exécution autonome, approbation humaine obligatoire ou action interdite. Il s'agit de recommandations techniques, pas d'un nouveau texte réglementaire.
Énergie et eau : l'ANSSI met à jour ses recommandations (23 octobre)
L'ANSSI a actualisé sa recommandation sur les cyberattaques visant les installations d'énergie renouvelable et de gestion de l'eau, ciblées par des groupes hacktivistes et des acteurs liés à des États. Mesures minimales : filtrage par adresse IP source, accès via un tunnel VPN IPsec ou TLS, mots de passe robustes et uniques avec double authentification, logiciel d'accès à distance maintenu par l'éditeur, application des correctifs. À défaut, l'installation doit être déconnectée d'Internet.
Point de vigilance pour les collectivités : stations d'épuration, stations de pompage et petites installations d'énergie renouvelable communales entrent dans le périmètre de cette alerte. Les DSI concernées doivent vérifier rapidement la sécurisation de leurs interfaces de gestion industrielle.
NIS2 · DORA · Directive REC
Loi Résilience : nouveau report, sans date
Le 6 octobre 2026, la conférence des présidents de l'Assemblée nationale a retiré des séances des 7 et 9 octobre le projet de loi Résilience, qui transpose les directives NIS2 et REC et adapte le droit français à DORA. 397 amendements avaient été déposés. Aucune raison officielle n'a été donnée : Bercy évoque l'encombrement du calendrier parlementaire. Trois jours plus tôt, le gouvernement avait déposé un amendement supprimant l'article 16 bis, au cœur d'un désaccord entre parlementaires et services de renseignement.
Le 17 octobre 2026, la France a ainsi atteint deux ans de retard sur la date limite de transposition de NIS2 (17 octobre 2024). Aucune nouvelle date d'examen n'était fixée au 31 octobre.
Le parcours du texte :
Adoption au Sénat : 12 mars 2025
Texte de la commission spéciale de l'Assemblée : 10 septembre 2025
Inscription à l'ordre du jour (décidée le 22 septembre 2026) : retirée le 6 octobre 2026
Examen en séance publique : sans nouvelle date ⏳
Conséquence pratique : tant que la loi et ses décrets ne sont pas publiés, les obligations de NIS2 ne s'imposent pas en droit français. L'ANSSI invite néanmoins les organisations à vérifier si elles sont concernées sur MonEspaceNIS2 et à anticiper la conformité à l'aide du Référentiel Cyber France (ReCyF).
Rappel — DORA
Le règlement DORA s'applique au secteur financier depuis le 17 janvier 2025. Les délais et le contenu des notifications d'incidents sont fixés par le règlement délégué (UE) 2025/301 et le règlement d'exécution (UE) 2025/302. L'ANSSI a indiqué cet été préparer un formulaire commun de notification DORA/NIS2, sans fusion avec la notification RGPD. Une entité relevant de DORA n'a pas à appliquer NIS2 en parallèle sur le périmètre couvert (principe de lex specialis). Les collectivités ne sont pas concernées par DORA, mais plusieurs catégories d'entre elles entrent dans le périmètre du projet de loi Résilience.
Juridique & Sanctions CNIL
Fnac Darty : 7 millions d'euros pour des cookies non consentis (22 octobre)
Par une délibération du 22 octobre 2026 (SAN-2026-015), la CNIL a sanctionné FNAC DARTY PARTICIPATIONS ET SERVICES (6 M€) et FNAC DIRECT (1 M€). Saisie d'une plainte de l'association NOYB, elle avait constaté lors d'un contrôle en mars 2024 que l'application mobile de la Fnac transmettait des données de navigation à un domaine tiers sans consentement préalable, à des fins de personnalisation commerciale. La CNIL a assorti la sanction d'une injonction de mise en conformité sous un mois, sous astreinte de 10 000 € par jour de retard.
🔎 Pour les collectivités : les sites et applications des collectivités (portails usagers, applications de services) sont soumis aux mêmes règles sur les traceurs (article 82 de la loi Informatique et Libertés). Un audit du bandeau de consentement et des traceurs déposés est recommandé.
Fuites de données : démantèlement d'une plateforme et incident Vacaf
Plateformes « lookups » : ces sites permettent de rechercher des informations issues de fuites de données. La CNIL rappelle qu'ils ne lui paraissent pas conformes à la législation. Le 6 octobre, l'Office anti-cybercriminalité (OFAC) a interpellé les trois administrateurs de la plateforme Reacher/Stryxx et l'a mise hors ligne.
Vacaf (CNAF) : le 10 octobre, la CNAF a annoncé un incident de cybersécurité touchant la plateforme Vacaf et précisé avoir informé la CNIL et l'ANSSI.
Risques & Catastrophes
Dépression Adam (19-20 octobre) et 184 communes en catastrophe naturelle
Les 19 et 20 octobre, la dépression Adam a provoqué de fortes pluies orageuses stationnaires dans le Sud-Est : Bouches-du-Rhône, Gard, Var, Vaucluse, Hérault et Corse. Le bilan provisoire fait état de quatre morts (trois dans les Bouches-du-Rhône, un en Haute-Corse) et d'un disparu dans le Var.
Un arrêté interministériel du 27 octobre 2026, publié au Journal officiel du 29 octobre, reconnaît l'état de catastrophe naturelle pour 184 communes, au titre des inondations et coulées de boue des 19 et 20 octobre :
Bouches-du-Rhône : 72 communes
Haute-Corse : 34 communes
Gard : 33 communes
Vaucluse : 26 communes
Var : 19 communes
Les sinistrés ont jusqu'au 28 novembre 2026 pour déclarer leurs dommages à leur assureur.
⚠ Point de vigilance pour les collectivités : les communes concernées doivent activer leur plan communal de sauvegarde (PCS) si ce n'est déjà fait, coordonner les déclarations avec les gestionnaires de réseaux (eau, voirie) et vérifier la garantie catastrophes naturelles de leurs contrats d'assurance.
Tempête Austen — 23 octobre 2026
Première tempête de l'automne, Austen a balayé le nord-ouest de la France le 23 octobre, avec une rafale à 161 km/h à la pointe du Raz. Vingt-trois départements ont été placés en vigilance orange vents violents. Jusqu'à près de 290 000 foyers ont été privés d'électricité, principalement en Bretagne, Normandie, Hauts-de-France, Pays de la Loire et Centre-Val de Loire. Dans la Manche, un homme est mort d'un arrêt cardio-respiratoire en tronçonnant un arbre tombé.
Points d'action du mois
Sécurité privée : vérifier que vos prestataires de gardiennage déclarent bien leurs agents sur Dracar Ultimate.
Gestion de crise : tester le PCA et le protocole de mise en sûreté des bâtiments exposés aux violences urbaines.
Cyber : appliquer en priorité les correctifs PHP, Ivanti, Citrix et Microsoft, et sécuriser les accès à distance des installations d'eau et d'énergie.
Conformité : auditer les cookies de vos sites et applications, et anticiper NIS2 avec le ReCyF malgré le report de la loi.
Risques naturels : mettre à jour le PCS et vérifier les garanties d'assurance avant l'hiver.
Sources
CARINEL — Audit · Conseil · Formation | www.carinel.com
Commentaires