Plan Vigipirate : que doit faire un commerce ou une entreprise ?

Le plan Vigipirate organise la réponse de l’État à la menace terroriste. Sa nouvelle édition s’applique depuis le 22 juin 2026, au stade « vigilance renforcée ». Pour un commerce ou une entreprise, il crée peu d’obligations directes mais attend des mesures précises : accès réduits et surveillés, alerte distincte de l’alarme incendie, personnel informé, lien établi avec la police ou la gendarmerie.

Qu’est-ce qui change avec l’édition de juin 2026 ?

Le secrétariat général de la défense et de la sécurité nationale (SGDSN), rattaché au Premier ministre, a publié en juin 2026 une nouvelle version du plan. Elle remplace celle de décembre 2016 : une procédure interne qui renvoie aux anciens niveaux est à mettre à jour. Comme la précédente, elle comporte deux volets : un document public intitulé « Faire face ensemble », destiné à mobiliser toute la population, entreprises comprises, et un document classifié destiné aux administrations et aux opérateurs d’importance vitale.

Le changement le plus visible porte sur le nom des niveaux d’alerte.

Deux autres évolutions intéressent un exploitant. Le plan se recentre explicitement sur le terrorisme : le volet cyber relève désormais du plan de défense et de sécurité nationale (PDSN). Et le stade sommital a désormais une durée fixe : au bout de 12 jours, la posture revient d’office au niveau intermédiaire, sauf renouvellement. Le plan compte 249 mesures, réparties entre un socle permanent et des mesures additionnelles activées selon la menace.

Pour un responsable de site, la question pratique ne change pas d’une édition à l’autre : combien d’accès restent ouverts au public, qui les surveille, en combien de temps on les ferme. Elle relève du contrôle d’accès en entreprise, que le plan cite parmi les mesures de protection d’un site.

Quel est le niveau actuel, et qui le fixe ?

Le niveau est décidé par le Premier ministre, à partir de l’évaluation de la menace réalisée par les services de renseignement ; le SGDSN pilote le plan. Il vaut pour la métropole comme pour les outre-mer. Il s’inscrit dans une « posture », directive interministérielle qui précise les mesures actives et leur durée. Ce document est protégé : chaque ministère et les préfets en déclinent les consignes.

Au 14 octobre 2026, la posture en vigueur est la posture « été-automne 2026 », appliquée depuis le 22 juin 2026 au stade « vigilance renforcée ». Le SGDSN indique qu’elle insiste sur trois sujets : la menace des drones, la sécurité des sites touristiques et des zones d’affluence en vue des vacances d’été et de Noël 2026, et celle des bâtiments publics et institutionnels. Une rue commerçante, une galerie marchande ou un hôtel parisien relèvent typiquement du deuxième.

Le niveau peut changer sans préavis, après un attentat ou avant un grand événement. L’état à jour figure sur la page « Vigipirate » du SGDSN.

Une entreprise privée est-elle tenue d’appliquer Vigipirate ?

Le plan distingue deux régimes. Certaines entreprises sont désignées opérateurs d’importance vitale (OIV) : la loi leur impose des mesures de protection propres, issues de la réglementation sur la sécurité des activités d’importance vitale et du plan lui-même. Pour toutes les autres, l’édition 2026 pose un principe général : les entreprises publiques et privées veillent à leur propre sécurité et à celle des personnes qu’elles accueillent, en appliquant les mesures adaptées « dans la limite des prérogatives que la loi leur accorde ».

Ses mesures ont « soit un caractère de recommandation, soit un caractère d’obligation prévu par la loi ». Pour un commerce, des bureaux ou un hôtel, l’essentiel relève de la recommandation. Le plan encourage tout responsable d’établissement recevant du public à décliner Vigipirate dans son propre plan de sûreté d’entreprise : les mesures à prendre en cas de menace, d’attentat ou de simple découverte d’un objet abandonné, et la part de chaque salarié.

L’obligation arrive par d’autres textes. Un arrêté du préfet, à Paris du préfet de police, peut constater des circonstances liées à des menaces graves et ouvrir les palpations de sécurité aux agents privés, sur des lieux et pour une durée qu’il fixe. Un périmètre de protection peut aussi être institué en application de l’article L226-1 du code de la sécurité intérieure. Enfin, l’obligation générale de sécurité de l’employeur couvre les risques d’agression auxquels l’activité expose ses salariés.

Quelles mesures concrètes pour un site qui reçoit du public ?

La partie publique du plan consacre une section aux directeurs et responsables de sites accueillant du public. Ses conseils sont à adapter à chaque site. Ceux qui touchent à la protection physique se lisent ainsi dans un commerce ou des bureaux.

Le plan cite aussi le filtrage et la fouille aux accès, la mesure la plus visible et la plus encadrée.

Qui peut inspecter les sacs à l’entrée ?

L’article L613-2 du code de la sécurité intérieure réserve ce geste aux agents de surveillance et de gardiennage, qui exercent l’activité définie au 1° de l’article L611-1. Ils peuvent inspecter visuellement les bagages et, avec le consentement du propriétaire, les fouiller. Les palpations exigent davantage : un arrêté préfectoral constatant des menaces graves pour la sécurité publique, ou un périmètre de protection, le consentement exprès de la personne et un agent du même sexe.

Un vendeur ou un gérant n’a aucun de ces pouvoirs. Si la fouille fait partie de votre dispositif, elle passe par une entreprise de sécurité privée, dont les agents n’opèrent qu’à l’intérieur des bâtiments ou des lieux dont ils ont la garde, sauf autorisation préfectorale exceptionnelle sur la voie publique (article L613-1).

Filmer les abords du bâtiment

Une entreprise peut filmer les abords immédiats de ses bâtiments sur la voie publique, dans les lieux susceptibles d’être exposés à des actes de terrorisme (article L223-1 du code de la sécurité intérieure). Le système reste soumis à l’autorisation du préfet, comme toute caméra qui filme un lieu ouvert au public. Les démarches figurent dans notre guide pour déclarer sa vidéosurveillance à la préfecture ou à la CNIL.

Qui est le référent sûreté, et faut-il en nommer un en interne ?

Le terme recouvre deux rôles.

Le référent sûreté, au sens strict, est un policier ou un gendarme formé à la prévention situationnelle et à la vidéoprotection, présent dans chaque département. L’édition 2026 du plan le place au début de la préparation : la première mesure recommandée à un responsable de site consiste à établir un réseau avec le préfet, le maire et les forces de l’ordre. Ces dernières peuvent le conseiller sur le renforcement de ses mesures « en s’appuyant sur leurs référents sûreté ».

Le ministère de l’Intérieur précise que l’intervention du référent est gratuite, sans contrepartie ni obligation, et qu’il n’oriente jamais vers un prestataire. Ses niveaux d’intervention sont décrits dans notre article sur la différence entre sûreté et sécurité.

Le référent interne, lui, n’est pas une fonction réglementée dans un commerce ou des bureaux. Le plan parle de « responsable sûreté » pour les rassemblements, interlocuteur unique des forces de l’ordre et des secours. Dans un établissement courant, désigner une personne et son suppléant reste la condition pour que les mesures tiennent dans la durée. Son rôle :

• tenir la mallette de crise que décrit le plan, avec les numéros à joindre et les plans du site à remettre aux forces de sécurité ;
• connaître le moyen d’alerte et vérifier qu’il fonctionne ;
• faire changer les codes et révoquer les badges des partants ;
• contrôler à l’ouverture et à la fermeture que les issues de secours sont libres ;
• servir de contact au référent sûreté et aux commerces voisins.

Comment préparer le personnel et tester le dispositif ?

Le plan part d’une analyse des vulnérabilités. Il demande d’identifier pourquoi l’établissement pourrait être visé, ce qui pourrait l’être (personnes, installations, informations, produits susceptibles d’être volés pour préparer une action), puis les faiblesses physiques : nombre d’accès, portes qui ne ferment pas à clé, accès de livraison sans surveillance. Il ajoute les modes d’action à envisager (arme blanche, arme automatique, voiture-bélier, colis ou véhicule piégé) et la menace interne. La méthode de notation des scénarios est détaillée dans notre guide sur la prévention des actes de malveillance en entreprise.

L’alerte suit. Le plan recommande deux systèmes : un moyen décentralisé, qui permet à chacun de donner l’alerte (téléphone fixe, SMS, bipeur, radio), et un moyen centralisé qui prévient tout le site, distinct de l’alarme incendie. La différence entre attaque extérieure et attaque dans les murs, les zones de repli et la levée sont traitées dans notre guide pour organiser un confinement dans un ERP.

Les exercices doivent être progressifs et suivis d’un retour d’expérience collectif. Le plan en propose cinq formes :

1. un rappel des procédures et du rôle de chacun par le responsable du site ;
2. un exercice « sur table », scénarisé (lieu, nombre d’assaillants, armes), où chacun décrit sa réaction ;
3. un test technique du système d’alerte ;
4. des reconnaissances des itinéraires d’évacuation et des salles de confinement ;
5. une mise en situation avec une intrusion simulée, dont la police ou la gendarmerie doit impérativement être informée.

Reste le signalement. Face à un comportement qui l’étonne, un salarié peut engager la conversation par des questions ouvertes, puis informe sa hiérarchie ; si le doute persiste, il appelle le 17, le 112 ou le 114. Un drone qui survole le site de nuit se signale aussi au 17, avec son altitude et sa direction.

Questions fréquentes sur le plan Vigipirate en entreprise

Quels sont les trois niveaux du plan Vigipirate ?

Vigilance, vigilance renforcée et alerte attentat, depuis l’édition de juin 2026. Les anciens intitulés « sécurité renforcée, risque attentat » et « urgence attentat » ne correspondent plus à aucun niveau : une affiche interne qui les mentionne est à remplacer.

Le plan Vigipirate oblige-t-il un commerce à installer des caméras ou une alarme ?

Non. Hors opérateurs d’importance vitale, la vidéoprotection, les badges ou l’interphone sont des recommandations. Une caméra installée reste soumise aux règles habituelles, dont l’autorisation préfectorale pour les zones ouvertes au public.

Existe-t-il une formation Vigipirate pour les responsables d’établissement ?

Oui. Le SGDSN propose un MOOC gratuit sur vigipirate.gouv.fr, en trois modules d’environ 30 à 40 minutes ; le troisième s’adresse aux responsables d’établissements recevant du public. L’attestation de suivi n’est pas certifiante.

Où trouver un guide adapté à mon activité ?

Sur la page « Les guides » du site du SGDSN : espaces commerciaux, salles de spectacle, établissements de santé, enseignement supérieur, rassemblements culturels. La plupart sont antérieurs à l’édition 2026, comme le guide des centres commerciaux de février 2016 : leurs réflexes restent utiles, leurs références aux niveaux d’alerte ne le sont plus. Le document public du plan est téléchargeable sur la page « Le plan Vigipirate : faire face ensemble ».

Information générale, à jour au 14 octobre 2026. Elle ne remplace ni les consignes des préfectures et des forces de sécurité intérieure, ni un conseil juridique adapté à votre situation. Sources : SGDSN, « Faire face ensemble », partie publique du plan Vigipirate, édition de juin 2026 ; SGDSN, page « Vigipirate », posture « été-automne 2026 » en vigueur depuis le 22 juin 2026, consultée le 14 octobre 2026 ; service-public.fr, actualité du 25 mars 2024 ; ministère de l’Intérieur, fiche « Référent sûreté », mise à jour le 17 mars 2026 ; SGDSN, guide pratique pour les équipes de direction des centres commerciaux, février 2016 ; code de la sécurité intérieure, articles L223-1, L226-1, L611-1, L613-1 et L613-2, ce dernier dans sa version en vigueur depuis le 20 août 2026.