Sécurité physique et informatique : un duo inséparable, encore plus vrai en 2026

il y a 12 heures
7 min de lecture

En 2024, cet article expliquait pourquoi la sécurité physique et la sécurité informatique ne pouvaient plus être pensées séparément. Deux ans plus tard, ce n'est plus une intuition de bon sens : c'est une exigence légale. La directive NIS2 impose explicitement aux entités concernées de protéger « l'environnement physique » de leurs systèmes d'information, au même titre que leurs réseaux. Et le dernier Panorama de la cybermenace de l'ANSSI, publié en mars 2026, confirme que les frontières entre menace numérique et menace physique continuent de s'effacer sur le terrain.

Cet article fait le point sur ce qui a réellement changé depuis 2024 : les faits observés en 2025, ce que la réglementation exige concrètement, et surtout comment structurer une coordination entre sûreté physique et cybersécurité sans confondre les deux métiers.

2025, l'année où la convergence est sortie de la théorie

Le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, dresse un constat que les responsables sûreté ne peuvent plus ignorer. L'agence a traité 1 366 incidents de sécurité en 2025, un niveau stable par rapport à 2024, mais avec une évolution qualitative marquée : la menace devient plus discrète, plus hybride et plus difficile à qualifier.

Trois éléments de ce panorama concernent directement la sûreté physique des organisations :

Le sabotage d'infrastructures critiques s'installe comme scénario réel, pas hypothétique. L'ANSSI cite explicitement les attaques informatiques coordonnées à visée destructive qui ont frappé les infrastructures électriques polonaises fin 2025 — une première pour un État membre de l'Union européenne. Le directeur général de l'ANSSI, Vincent Strubel, y voit le signal d'un scénario auquel la France doit se préparer d'ici 2030 : une intensification des attaques dites « hybrides », combinant cyberattaque et effets physiques concrets sur les infrastructures critiques.

Les groupes hacktivistes élargissent leurs cibles vers de petites installations industrielles. L'agence observe que des groupes pro-russes ne se limitent plus au déni de service ou à la défiguration de sites web : ils ciblent désormais des installations industrielles de taille modeste, avec des effets physiques qui restent limités mais dont la portée est avant tout démonstrative et psychologique.

L'ingénierie sociale reste la porte d'entrée numéro un — et elle ne s'arrête pas au clavier. L'attaque contre Allianz Life en juillet 2025, qui a exposé les données personnelles de 1,4 million de clients américains, n'est pas partie d'une faille technique : elle a visé un prestataire externe via une manipulation humaine classique. Le mécanisme est identique à celui qui permet à un faux technicien ou un faux livreur de franchir un contrôle d'accès physique mal formé. Le vecteur change ; la faille humaine, elle, reste la même des deux côtés de la frontière physique/numérique.

Ce que ces cas ont en commun : dans chacun, la vulnérabilité exploitée n'était ni purement physique ni purement informatique. Elle se situait dans l'interstice — là où deux dispositifs de sécurité bien conçus séparément ne communiquent pas entre eux.

Ce que la directive NIS2 change concrètement

Jusqu'à récemment, un responsable sûreté physique pouvait légitimement se demander en quoi une directive de cybersécurité européenne le concernait. La réponse tient dans un seul article, désormais central pour toute entité essentielle ou importante au sens de NIS2.

L'article 21 de la directive (UE) 2022/2555 impose que les mesures de gestion des risques reposent sur une approche « tous risques », qui vise à protéger les réseaux et systèmes d'information ainsi que leur environnement physique contre les incidents. Ce n'est pas une formulation accessoire : elle place la sécurité physique des locaux, des zones sensibles et des équipements hébergeant les systèmes critiques au même rang juridique que le chiffrement ou la gestion des vulnérabilités logicielles.

Concrètement, pour une organisation entrant dans le périmètre NIS2 — et ce périmètre s'est élargi de façon spectaculaire, passant d'environ 300 entités concernées en France sous l'ancienne directive à près de 18 000 aujourd'hui — cela signifie que :

Un audit de conformité qui se limite au système d'information est structurellement incomplet. Il ne révèle pas si une salle serveur reste accessible en quelques minutes à un visiteur non accompagné.
La direction générale porte une responsabilité personnelle sur l'approbation des mesures de gestion des risques, y compris physiques, en vertu de l'article 20 de la directive.
Les obligations de notification d'incident (article 23) s'appliquent aussi lorsque l'origine ou l'aggravation d'un incident relève d'une défaillance physique — badge non désactivé, accès non tracé, zone non surveillée.

Nous avons détaillé la mécanique précise de ces obligations, secteur par secteur, dans notre article sur NIS2 pour les non-techniciens, ainsi que le calendrier exact de notification dans notre analyse de l'article 23 sur le signalement d'incidents.

Les quatre points de convergence qui comptent vraiment

Au-delà du cadre réglementaire, quatre zones opérationnelles concentrent l'essentiel du risque de convergence. Elles n'ont pas changé dans leur nature depuis 2024 — mais leur enjeu s'est déplacé de la bonne pratique à l'obligation documentée.

Le contrôle d'accès. Un badge physique et un identifiant informatique décrivent de plus en plus souvent la même personne, dans le même système. Quand un employé quitte l'organisation, la désactivation doit être simultanée des deux côtés — un décalage de quelques jours entre les deux est l'une des failles les plus fréquemment relevées lors de nos audits de sûreté.

La surveillance et la détection. Les caméras et systèmes de détection d'intrusion sont aujourd'hui des équipements réseau à part entière. Cela améliore la réactivité, mais transforme chaque caméra mal sécurisée en point d'entrée potentiel sur le réseau — un paradoxe que la sûreté physique seule ne peut ni voir ni corriger.

La protection des données à leur point d'ancrage physique. Le chiffrement protège les données en transit et au repos logique ; il ne protège pas un serveur contre un vol pur et simple, ni des documents imprimés contenant des informations sensibles laissés dans une zone accessible.

La gestion de crise. Un plan de continuité d'activité qui traite séparément un scénario d'intrusion physique et un scénario de rançongiciel passe à côté du scénario le plus probable en 2026 : les deux combinés, comme le redoute désormais l'ANSSI elle-même à l'horizon 2030.

Le rôle de CARINEL : coordonner la sûreté physique, pas remplacer votre RSSI

Il est important d'être précis sur ce point : CARINEL est un cabinet de conseil en sécurité physique et sûreté. Nous n'intervenons pas comme prestataire cybersécurité, et nous ne prétendons pas nous substituer à un RSSI, un DSI ou un pure player cyber.

Notre rôle dans cette convergence est celui de facilitateur et de coordinateur côté physique. Concrètement, cela signifie :

Auditer le périmètre physique — contrôle d'accès, zones sensibles, procédures visiteurs, sécurisation des salles techniques et serveurs — avec nos méthodologies propres, les Red Traffic Analyses (RTA) et le Security Circle Model (SCM), qui évaluent simultanément les vulnérabilités exploitables par un malveillant et les risques d'incident.
Documenter les preuves empiriques de conformité physique attendues dans une lecture convergente de l'article 21 de NIS2, en complément — et non en substitution — d'un audit cyber mené par un partenaire spécialisé.
Structurer la gouvernance qui manque le plus souvent : un comité où le responsable sûreté physique et le RSSI partagent effectivement l'information, plutôt que de découvrir après coup qu'un incident avait une origine mixte.
Former les équipes physiques aux enjeux cyber élémentaires, et sensibiliser les équipes IT aux réalités du terrain physique — deux cultures qui, dans la plupart des organisations que nous auditons, ne se parlent tout simplement pas assez.

Pour les aspects strictement techniques de cybersécurité — tests d'intrusion informatique, audits PASSI, réponse à incident cyber — nous orientons nos clients vers notre réseau de partenaires spécialisés, notamment Zero Trust, avec qui nous coanimons régulièrement des sessions de sensibilisation NIS2. Cette répartition claire des rôles évite deux écueils fréquents : le cabinet de sûreté physique qui improvise sur le cyber, et l'inverse.

Nous avons documenté cette articulation en détail dans notre retour sur le webinar CARINEL x Zero Trust consacré à NIS2, ainsi que dans notre article sur la gouvernance intégrée à mettre en place.

Cinq étapes pour structurer la convergence dans votre organisation

Plutôt qu'une liste de bonnes intentions, voici la séquence que nous recommandons concrètement aux DSS et directions générales qui nous sollicitent sur ce sujet :

Cartographier les zones à double dépendance — les lieux où une défaillance physique aurait un impact direct sur le système d'information (salles serveurs, locaux techniques, points de raccordement réseau) et inversement.
Mettre en place un comité de coordination restreint, réunissant a minima le responsable sûreté physique et le RSSI, avec un ordre du jour récurrent et des règles d'escalade définies — pas une réunion trimestrielle de courtoisie.
Faire converger les procédures d'habilitation : un départ de collaborateur ou la fin d'une mission prestataire doit déclencher simultanément la révocation du badge physique et des accès numériques.
Tester les deux volets ensemble, au moins une fois par an. Un test de pénétration physique isolé d'un test d'intrusion informatique ne révèle jamais les scénarios où les deux se combinent — ce que nous détaillons dans notre article sur les tests de pénétration physique comme révélateurs de vulnérabilités globales.
Documenter, pour NIS2 et pour vous-même. La conformité ne se prouve pas sur la base d'une politique écrite, mais sur la base de preuves d'application. C'est aussi, très concrètement, ce qui distingue une organisation résiliente d'une organisation qui coche des cases.

Ce qu'il faut retenir

La sécurité physique et la sécurité informatique ne sont plus seulement interdépendantes par nature : elles sont désormais liées par la loi, pour des dizaines de milliers d'organisations en France. Les incidents recensés par l'ANSSI en 2025 confirment que les attaquants, eux, n'ont jamais respecté cette frontière entre physique et numérique — ils exploitent simplement le point où la coordination fait défaut.

Traiter cette convergence comme un sujet purement technique, réservé aux équipes IT, revient à ignorer la moitié du problème. La traiter comme une transformation de gouvernance, impliquant la sûreté physique dès le départ, est ce qui distingue les organisations qui anticipent de celles qui découvrent leurs failles au moment d'un incident.

Vous souhaitez évaluer votre niveau de préparation sur le volet physique de cette convergence, en coordination avec vos équipes cyber ? Notre équipe d'experts CARINEL est à votre écoute pour construire ensemble un diagnostic adapté à votre organisation.

📞 Échangeons sur vos enjeux de sûreté et de formation :