Comment protéger son entreprise de l’espionnage industriel ?
Plusieurs cas publiés en 2025 par la DGSI ne commencent pas par un piratage : une porte secondaire restée ouverte, un visiteur qui photographie l’atelier, un badge falsifié après trois visites guidées. Protéger son entreprise de l’espionnage industriel, côté physique, revient à décider qui entre dans quelle pièce, accompagné de qui, et à pouvoir le prouver.
Où passe la frontière entre veille concurrentielle et espionnage ?
Observer un concurrent n’est pas interdit. Lire ses brevets, visiter son stand sur un salon, acheter son produit et le démonter : l’article L151-3 du code de commerce range l’observation, l’étude, le démontage ou le test d’un produit rendu public ou détenu licitement parmi les modes d’obtention licite d’une information, sauf clause contractuelle contraire. C’est le terrain de l’intelligence économique.
L’espionnage industriel commence quand l’information est secrète et qu’on l’obtient sans l’accord de celui qui la détient. L’article L151-4 du code de commerce vise précisément l’accès non autorisé à tout document, objet, matériau, substance ou fichier numérique qui contient le secret, ainsi que son appropriation ou sa copie. Un plan posé sur une table, un prototype sur un établi, une formulation affichée sur un tableau blanc sont concernés au même titre qu’un serveur.
Ce guide ne traite que ce volet matériel, pas la sécurité informatique.
Pourquoi la protection des locaux compte-t-elle devant un juge ?
L’article L151-1 du code de commerce ne protège une information au titre du secret des affaires que si trois conditions sont réunies. Elle n’est pas aisément accessible, elle a une valeur commerciale du fait de son caractère secret, et elle fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances.
La troisième condition est la seule qui dépend entièrement de l’entreprise. Une entreprise qui laisse son bureau d’études ouvert à tous, sans registre des visiteurs ni distinction entre salariés et prestataires, aura du mal à soutenir devant un juge qu’elle protégeait raisonnablement ce qui s’y trouvait. Les mesures physiques servent donc deux fois : elles freinent la fuite, et elles aident à démontrer que l’information faisait bien l’objet d’une protection.
Sur un site de production, ce raisonnement s’applique d’abord au magasin, au bureau des méthodes et aux zones où l’on règle les machines. La hiérarchie complète d’un site, de la clôture au local outillage, figure dans notre présentation de la sûreté d’un site industriel ou d’un atelier.
Un relevé sur place montre quelles portes séparent réellement vos zones sensibles du reste du site. C’est la base d’une sécurisation de site industriel utile face à un intrus comme en cas de litige sur vos secrets.
Par où l’information sort-elle d’un site, d’après les cas de la DGSI ?
La DGSI publie régulièrement un « Flash ingérence » qui raconte, sans nommer les entreprises, des cas dont elle a eu connaissance. Le n° 110 (février 2025) porte sur les visites publiques de sites industriels et de laboratoires, le n° 113 (mai 2025) sur les défaillances de sûreté bâtimentaire. Les failles décrites sont banales.
| Cas publié | Faille | Mesure qui l’aurait traitée |
|---|---|---|
| Intrusion de nuit dans un site sensible placé sous alarme, nombreuses photos de zones précises (Flash n° 113) | Entrée secondaire laissée non verrouillée | Vérification quotidienne de la fermeture de chaque accès, mesure que la DGSI cite elle-même |
| Vol par effraction pendant un week-end prolongé : ordinateurs, coffre-fort, jeux de clés du site (Flash n° 113) | Bureaux d’un étage intermédiaire sans alarme ni vidéo, accessibles par la façade | Détection sur les ouvrants des étages, pas seulement du rez-de-chaussée ; clés hors des bureaux |
| Vol de plus d’une dizaine d’ordinateurs portables et de disques durs dans un centre de recherche (Flash n° 113) | Détecteurs présents uniquement dans les couloirs, fenêtres des bureaux brisées | Détection dans les pièces qui contiennent le matériel, pas seulement sur les circulations |
| Tentative d’intrusion avec un badge falsifié et des cartes d’accès volées, après trois visites guidées (Flash n° 110) | Flux visiteurs et salariés mélangés dans le hall | Séparation stricte des flux à l’accueil, caméras sur le hall, révocation des cartes perdues |
| Au fil de plusieurs visites, un visiteur prend plus de cinquante photos non autorisées puis insiste pour entrer dans une salle interdite (Flash n° 110) | Parcours de visite peu encadré | Parcours balisé, salles sensibles fermées à clé, interdiction des prises de vue annoncée au départ |
Dans le deuxième cas, les jeux de clés partis avec le coffre-fort ouvrent encore les portes le lundi matin. Après un vol de clés, le changement des cylindres concernés fait partie de la réponse à l’incident, pas d’un projet à budgéter l’année suivante. Avec des badges, la révocation se fait en quelques minutes : c’est l’un des arguments les plus concrets en faveur d’un passage au contrôle d’accès par badge.
Visiteurs et prestataires : jusqu’où peuvent-ils aller seuls ?
Les deux flashs dessinent une règle simple : personne d’extérieur ne circule seul au-delà de l’accueil, sauf si son badge le limite déjà aux portes dont il a besoin.
Pour les visiteurs, cela se traduit par une identité demandée à l’avance (pour une visite de groupe, la DGSI conseille de l’exiger plusieurs jours avant), un badge porté de façon visible, un accompagnement permanent et un parcours défini qui exclut les zones sensibles.
Les prestataires posent un problème différent. Nettoyage, maintenance des machines, contrôle des installations : ils entrent hors production, parfois seuls, avec une connaissance des lieux qu’aucun visiteur n’a. Le badge d’un prestataire ouvre les portes de son contrat, sur ses plages horaires, jusqu’à une date de fin saisie dès l’attribution. Quand le contrat change de titulaire, les anciens badges cessent de fonctionner sans changer une serrure.
La salle de réunion, angle mort habituel
Un visiteur y passe une heure, parfois seul quelques minutes, au milieu de ce que l’équipe a écrit la veille. Trois habitudes changent beaucoup : effacer le tableau et retirer le paperboard avant d’y faire entrer quelqu’un d’extérieur, placer les salles qui reçoivent du public côté accueil plutôt qu’au fond du plateau technique, et ne jamais y laisser un visiteur seul avec un poste connecté. Aucune ne coûte un équipement.
Quelles zones protéger en premier, et avec quels moyens ?
Le premier conseil de la DGSI, dans le flash n° 113, est un audit de sûreté bâtimentaire : cartographier les locaux, les hiérarchiser selon leur sensibilité, puis identifier les failles. Le matériel vient après, et des mesures purement organisationnelles relèvent déjà nettement le niveau.
| Niveau | Exemples de locaux | Accès | Détection et trace |
|---|---|---|---|
| Accueil | Hall, salle de réunion visiteurs, sanitaires visiteurs | Ouvert pendant les horaires, visiteurs badgés | Caméra sur l’entrée et le sas, registre des visiteurs |
| Zone de travail | Bureaux, atelier, magasin | Badge salarié, prestataires sur plages horaires | Alarme intrusion hors présence, journal des passages aux portes intérieures |
| Zone réservée | Bureau d’études, laboratoire, salle des prototypes, archives techniques | Liste nominative courte, visiteurs uniquement accompagnés | Contact d’ouverture avec report, détection propre à la pièce, journal consulté en cas d’incident |
La zone réservée reçoit sa propre détection, pour la raison qu’illustre le troisième cas du flash n° 113.
La vidéo couvre les entrées, l’accueil et l’accès aux zones réservées. Elle ne filme pas les postes de travail : la CNIL exclut la surveillance continue des salariés, et les règles sont reprises dans notre guide sur la loi sur les caméras de surveillance au travail.
Le journal des badges a ses propres limites. Selon la CNIL, les données de journalisation d’un dispositif d’accès aux locaux devraient être supprimées trois mois après leur enregistrement. Ces dispositifs peuvent viser les visiteurs comme les salariés, et les uns comme les autres doivent être informés du traitement de leurs données. La biométrie, souvent évoquée pour la zone réservée, reste subsidiaire et encadrée : notre guide sur la biométrie en entreprise fait le partage.
Votre site relève-t-il d’une zone à régime restrictif ?
Certains établissements, publics ou privés, détiennent des savoirs dont la captation pourrait affaiblir les capacités de défense du pays, servir une prolifération ou le terrorisme. Le dispositif de protection du potentiel scientifique et technique de la nation (PPST), piloté par le SGDSN, les protège par des zones à régime restrictif (ZRR), définies à l’article R413-5-1 du code pénal. La foire aux questions du SGDSN précise qu’une ZRR est créée par arrêté du ministre concerné et qu’aucune mesure de protection physique n’est exigée en dehors d’un espace clos.
Dans une ZRR, l’accès pour y effectuer notamment un stage, préparer un doctorat, participer à une recherche, réaliser une prestation de service ou exercer une activité professionnelle est soumis à l’autorisation du chef d’établissement, après avis favorable du ministre qui a déterminé le besoin de protection. S’introduire sans autorisation dans des locaux de ce type est puni par l’article 413-7 du code pénal de six mois d’emprisonnement et de 7 500 euros d’amende.
La plupart des PME ne sont pas en ZRR et n’ont pas à le devenir pour se protéger. Pour celles qui le sont, la liste des personnes autorisées ne se décide pas seule, et le contrôle d’accès de la zone doit écarter quiconque n’y figure pas. Le flash n° 110 rapporte le cas d’un laboratoire en ZRR qui voulait accueillir un atelier ouvert au public : le haut fonctionnaire de défense et de sécurité du ministère de tutelle a demandé un relevé des identités, la consigne des téléphones et une surveillance constante des participants.
L’avis de l’équipe Secureo
Sur un site industriel, la demande arrive souvent formulée en caméras. Quand nous faisons le tour, le point faible est d’ordinaire une porte : l’issue de secours du bureau d’études calée pour aérer, la porte du quai qui donne sur l’atelier, le passe général rangé dans un tiroir de l’accueil. Nous commençons par lister qui détient quoi comme clé ou badge, et quelles portes séparent vraiment les zones. Cette liste oriente tout le reste du projet.
Que faire si vous soupçonnez une fuite ?
Commencez par geler ce qui s’efface. Exportez le journal des badges de la période concernée, que la CNIL recommande de supprimer au bout de trois mois, et isolez les séquences vidéo utiles avant leur effacement automatique. Rassemblez le registre des visiteurs et les contrats des prestataires présents. La DGSI insiste sur ce point dans le flash n° 110 : consigner précisément les faits, même anodins en apparence, et recueillir les témoignages.
Déposez plainte auprès de la police ou de la gendarmerie, et signalez l’incident à la DGSI à l’adresse qu’elle dédie à la protection économique : securite-economique@interieur.gouv.fr. Elle propose aussi, gratuitement et sur demande, des missions de conseil en sûreté bâtimentaire pour les entités sensibles.
Sur le terrain judiciaire, la qualification dépend des faits. Le salarié ou le directeur qui révèle ou tente de révéler un secret de fabrication encourt deux ans d’emprisonnement et 30 000 euros d’amende (article L1227-1 du code du travail). Le code de commerce prévoit aussi des mesures pour prévenir et faire cesser une atteinte au secret des affaires, aux articles L152-3 à L152-5. Lorsque l’enjeu touche aux éléments essentiels du potentiel scientifique et économique du pays, l’article 410-1 du code pénal le range parmi les intérêts fondamentaux de la nation. La voie se choisit avec un avocat.
Questions fréquentes sur la protection contre l’espionnage
Quelle est la différence entre intelligence économique et espionnage industriel ?
L’intelligence économique travaille sur des informations obtenues licitement : publications, salons, brevets, produit acheté et démonté. L’espionnage industriel obtient une information secrète sans le consentement de son détenteur, par un accès non autorisé, une copie ou un comportement déloyal.
Comment se protéger contre l’espionnage sans gros budget ?
Par l’organisation d’abord : fermer à clé les salles qui ne servent pas, accompagner tout visiteur, dresser la liste des clés en circulation et récupérer celles des anciens prestataires. L’équipement vient ensuite sur la zone la plus sensible, pas sur tout le site.
Une PME est-elle vraiment concernée ?
Oui. Le flash n° 100 de la DGSI (février 2024) rapporte l’approche d’une scientifique employée par une PME sous-traitante de grands groupes industriels. Une PME qui détient un procédé, un plan ou un fichier client a quelque chose à perdre, parfois derrière moins de barrières qu’un grand site.
Peut-on interdire les téléphones pendant une visite ?
Pour une visite de site, la DGSI recommande d’interdire par défaut toute prise de vue ou de son et de l’annoncer dès le début. Dans une ZRR, la consigne des téléphones fait partie des mesures demandées dans le cas qu’elle rapporte. La règle s’annonce avant la visite, pas à la porte de l’atelier.
Votre bureau d’études, votre laboratoire ou votre atelier de prototypes s’ouvre-t-il avec la même clé que le reste du site ? Nous relevons sur place les portes, les clés et badges en circulation, les accès des prestataires et les ouvrants des étages, puis nous vous disons ce qui relève de l’organisation et ce qui demande un équipement. Audit de sûreté d’un site industriel, gratuit et sans engagement, à Paris et en Île-de-France. Par téléphone au 01 48 45 17 71.
Information générale, à jour au 6 octobre 2026. Elle ne remplace pas l’avis d’un avocat sur une situation précise. Sources, dans leur version en vigueur à cette date : code de commerce, articles L151-1, L151-3, L151-4 et L152-3 à L152-5 (loi n° 2018-670 du 30 juillet 2018) ; code du travail, article L1227-1 ; code pénal, articles 410-1 (version du 26 mars 2025), 413-7 et R413-5-1 (version du 1er janvier 2025) ; SGDSN, « Protéger le potentiel scientifique et technique de la nation », mise à jour du 1er janvier 2025, et foire aux questions PPST, mise à jour du 22 novembre 2022 ; DGSI, Flash ingérence n° 113, mai 2025, n° 110, février 2025, et n° 100, février 2024 ; CNIL, « L’accès aux locaux et le contrôle des horaires sur le lieu de travail », mise à jour du 17 juin 2026.
À lire aussi