Tendances de la sécurité et de la sûreté : ce que 2026 a changé, ce que 2027 va exiger

En 2022, nous identifiions dans ces pages quatre grandes tendances pour la sécurité physique : l’intelligence artificielle, la protection de la vie privée, la convergence entre sécurité physique et cybersécurité, et l’interopérabilité des systèmes. Quatre ans plus tard, aucune n’a disparu. Mais leur statut a changé : ce qui relevait de la prospective technologique est devenu, en 2026, une affaire de droit, de responsabilité et de preuve.

C’est le fil conducteur de cette analyse. L’année 2026 a transféré une part croissante de la charge de la sûreté vers les organisations elles-mêmes. L’année 2027 sera celle où elles devront démontrer qu’elles l’assument.

Ce que 2026 a réellement changé

Une délinquance qui se déplace vers les personnes

Le bilan définitif de la délinquance enregistrée en 2025, publié par le SSMSI en juillet 2026, confirme une tendance de fond : les atteintes aux personnes progressent, les atteintes aux biens reculent.

• Les violences physiques enregistrées repartent à la hausse (+5 %) et les violences sexuelles progressent de 8 %.

• Les cambriolages de logement reculent de 3 % et les vols de véhicules de 9 %.

• Les escroqueries augmentent de 7 %, et 53 % d’entre elles sont désormais liées au numérique.

Pour un responsable sûreté, la lecture est opérationnelle. Dans de nombreux établissements recevant du public, le risque dominant n’est plus l’intrusion nocturne. C’est la tension en face-à-face : à l’accueil, au guichet, dans le service. C’est ce que nous observons dans les établissements de santé comme dans les collectivités. La protection périmétrique reste indispensable, mais elle ne traite pas le risque relationnel.

L’automne 2026 ajoute un signal. Le 17 octobre, selon le ministère de l’Intérieur, des groupes très mobiles ont pillé de nombreux commerces et visé des lieux de pouvoir dans plusieurs villes. Le ministère a depuis demandé aux préfets de tenir compte des commerces situés sur les parcours de manifestation. Pour les enseignes de centre-ville, un épisode de violences urbaines redevient un scénario à planifier, et non une hypothèse lointaine.

Vigipirate : la culture de sécurité devient un pilier officiel

Le nouveau plan Vigipirate, en vigueur depuis le 22 juin 2026, repose sur trois stades : « vigilance », « vigilance renforcée » et « alerte attentat ». Il s’appuie aussi sur trois piliers, dont le premier est explicitement le développement d’une culture de la sécurité au sein de la société. La posture été-automne 2026, au stade intermédiaire, fixe trois priorités :

• la menace des drones ;

• les sites touristiques et zones d’affluence ;

• les bâtiments publics et institutionnels.

Ce glissement est structurant. L’État ne se contente plus de fixer des niveaux d’alerte : il attend des organisations qu’elles disposent de personnels capables de repérer, signaler et réagir. Le document public du SGDSN, « Faire face ensemble », en fait le cœur du dispositif. La formation des équipes non spécialistes devient ainsi une composante à part entière de la protection nationale.

Le périmètre devient tridimensionnel

La posture Vigipirate relève une recrudescence des survols de drones en Europe et sur le territoire national. Le législateur en a tiré une conséquence majeure. La loi n° 2026-791 du 16 août 2026, qui actualise la programmation militaire, autorise désormais les opérateurs d’importance vitale (OIV) à utiliser des dispositifs de neutralisation de drones. Leurs prestataires de sécurité privée peuvent le faire aussi, le cas échéant. Le rapport du Sénat sur le texte détaille l’encadrement de cette délégation.

Pour les OIV, la question n’est plus de savoir s’il faut un dispositif anti-drones. Il s’agit désormais de savoir qui l’opère, avec quelle formation et selon quelles règles d’engagement. Les autres sites sensibles ne disposent pas de cette prérogative. Pour eux, l’enjeu se joue en amont : détection, procédures d’alerte, protection des zones exposées à l’observation aérienne.

La technologie entre dans le droit commun, sous conditions

La loi RIPOST du 18 août 2026 marque un tournant pour la vidéoprotection et la sécurité privée.

• Elle prolonge jusqu’au 31 décembre 2030 l’expérimentation de la vidéoprotection algorithmique née avec les Jeux de Paris.

• Elle l’étend à certains bâtiments exposés, avec des durées d’autorisation que le Conseil constitutionnel a strictement encadrées.

• Elle ouvre une expérimentation de caméras individuelles pour certains agents de sécurité privée.

Le cadre européen se précise dans le même temps. Le règlement omnibus sur l’IA, publié en juillet 2026, a reporté au 2 décembre 2027 les obligations applicables aux systèmes d’IA à haut risque de l’annexe III. Certains usages biométriques en relèvent notamment.

En 2022, nous présentions l’intelligence artificielle comme la tendance numéro un. Elle reste en tête des Security Megatrends 2026 de la Security Industry Association. Mais elle est désormais autorisée par morceaux, finalité par finalité, avec des exigences de proportionnalité et de traçabilité. Un projet de vidéoprotection algorithmique ou de contrôle d’accès biométrique se pilote aujourd’hui autant avec un juriste et le délégué à la protection des données qu’avec un intégrateur.

La surface d’attaque physique passe par le numérique

Le Panorama de la cybermenace 2025 de l’ANSSI, publié en mars 2026, dresse trois constats :

• 3 586 événements de sécurité ont été traités ;

• la menace étatique reste orientée vers l’espionnage et le pré-positionnement ;

• les équipements de bordure restent une cible très prisée.

Le directeur général de l’agence y évoque un scénario d’augmentation massive, d’ici 2030, des attaques hybrides aux effets concrets sur les infrastructures critiques.

Caméras IP, contrôleurs d’accès, interphones, gestion technique du bâtiment : ces équipements sont précisément des points d’entrée connectés. Depuis le 11 septembre 2026, le Cyber Resilience Act oblige les fabricants de produits numériques à signaler les vulnérabilités activement exploitées. C’est un progrès, mais ce n’est pas une garantie pour le parc déjà installé. Nous le soulignions dans notre article sur la sécurité physique et informatique : la sûreté et les équipes cyber doivent travailler sur la même cartographie des équipements.

Une réglementation à plusieurs vitesses

Enfin, 2026 a été marquée par un paradoxe. Le projet de loi Résilience doit transposer en droit français la directive NIS2 et la directive sur la résilience des entités critiques (REC). Il a été adopté par le Sénat en mars 2025. Il était inscrit à l’ordre du jour de l’Assemblée nationale à partir du 7 octobre 2026, puis il en a été retiré la veille. Les organisations concernées restent donc dans une zone d’incertitude juridique.

Attendre le texte définitif serait pourtant une stratégie risquée. Les mesures attendues (analyse de risques, continuité d’activité, gouvernance, protection physique des sites) demandent des mois de travail.

Ce qui attend les organisations en 2027

Si 2026 a été l’année des textes, 2027 sera celle des échéances. Plusieurs calendriers vont se superposer.

Fin 2026 – début 2027 : la sauvegarde intercommunale. Les intercommunalités concernées doivent adopter leur plan intercommunal de sauvegarde (PICS) au plus tard le 26 novembre 2026. Celles qui n’y seront pas parvenues aborderont 2027 en situation de non-conformité, avec un risque juridique réel en cas de crise.

Avril-mai 2027 : une séquence électorale sous tension. L’élection présidentielle est fixée aux 18 avril et 2 mai 2027. Rassemblements, manifestations, déplacements de candidats, exposition des élus et des bâtiments publics : la période appelle une anticipation des plans de sûreté événementielle et de continuité. Le Beauvau de la sécurité privée, lancé en septembre 2026, pourrait par ailleurs redéfinir la place de la filière dans le continuum de sécurité. Son issue reste toutefois suspendue au calendrier politique.

2027 : l’entrée en vigueur probable des obligations NIS2 et REC. La directive REC prévoyait l’identification des entités critiques au plus tard le 17 juillet 2026, leurs obligations s’appliquant dix mois après notification. En France, ce calendrier dépend du vote de la loi Résilience. Une fois le texte adopté, les entités désignées devront démontrer des mesures de résilience qui dépassent largement le cyber : protection physique des sites, maîtrise des accès, continuité, notification des incidents.

2 décembre 2027 : l’IA à haut risque. Les fournisseurs et déployeurs de systèmes d’IA classés à haut risque devront disposer d’une gestion des risques, d’une documentation et d’une supervision humaine conformes au règlement européen. Les acheteurs de solutions de sûreté dites intelligentes ont intérêt à intégrer ces exigences dès leurs cahiers des charges 2027.

11 décembre 2027 : la sécurité dès la conception. Le Cyber Resilience Act devient pleinement applicable. Les produits comportant des éléments numériques mis sur le marché européen devront satisfaire à des exigences essentielles de cybersécurité pour porter le marquage CE. Caméras, lecteurs de badges et interphones IP sont directement concernés.

Les trois mouvements de fond que nous anticipons

Au-delà du calendrier, trois tendances structurelles se dessinent.

De la conformité déclarée à la conformité démontrée. Plans rédigés mais jamais testés, procédures inconnues des équipes, autorisations de vidéoprotection non renouvelées : les textes de 2026 et 2027 déplacent l’exigence vers la preuve. Exercices, registres et retours d’expérience deviennent des pièces du dossier.

Un périmètre de sûreté élargi. Il inclut désormais trois dimensions nouvelles :

• l’espace aérien ;

• les prestataires et sous-traitants, que l’ANSSI identifie comme un vecteur de compromission ;

• l’exposition numérique de l’organisation, celle qui permet de préparer une intrusion physique.

C’est l’objet de notre analyse sur le croisement entre audit de sûreté et exposition numérique.

Le facteur humain au centre. Vigipirate mise sur la culture de sécurité, les atteintes aux personnes progressent, les technologies exigent une supervision humaine. Tout converge vers la qualité de la formation et de l’encadrement. Le rôle du directeur sécurité-sûreté s’en trouve renforcé, à condition qu’il dispose d’une gouvernance claire et d’un mandat transversal.

Par où commencer

Pour aborder 2027 sans subir son calendrier, nous recommandons cinq chantiers prioritaires :

1. Qualifier vos obligations : statut d’OIV, d’entité essentielle ou importante au sens de NIS2, d’entité critique potentielle, obligations de sauvegarde pour les collectivités.

2. Actualiser votre analyse de risques en y intégrant les drones, les violences urbaines et votre exposition numérique.

3. Recenser les équipements de sûreté connectés avec vos équipes ou partenaires cyber, et intégrer les exigences du Cyber Resilience Act et du règlement sur l’IA dans vos achats.

4. Tester vos plans par des exercices réalistes, notamment sur des scénarios de période électorale ou de violences urbaines.

5. Former au-delà des spécialistes : accueil, encadrement intermédiaire, agents, pour donner corps à la culture de sécurité désormais attendue.

C’est la logique de nos missions, en trois temps :

• partir de l’exposition réelle de l’organisation avec notre méthode Red Traffic Analyses ;

• construire une protection cohérente à l’échelle du site selon le Security Circle Model ;

• éprouver la capacité de l’organisation à tenir dans la durée.

Selon votre situation, cela passe par un audit de sûreté, un accompagnement en gestion de crise ou un programme de formation fondé sur notre système TASK.

Conclusion

Les tendances de 2022 ne se sont pas démodées : elles se sont institutionnalisées. L’IA, la vie privée, la convergence et l’interopérabilité sont désormais encadrées par des textes, assorties d’échéances et, de plus en plus, de contrôles. En 2027, la différence ne se fera pas entre les organisations qui connaissent ces tendances et celles qui les ignorent. Elle se fera entre celles qui auront transformé la vigilance en organisation et celles qui découvriront leurs obligations au moment de la crise.

---

Contactez nos experts CARINEL

📅 RDV gratuit : www.carinel.com/test-avec-nos-experts

📞 Téléphone : 01 89 71 59 06

📧 Email : info@carinel.com

🌐 Site : www.carinel.com