Vous dirigez une PME ou une ETI de la BITD et la sûreté reste un sujet que l’on traite plus tard, entre deux livraisons et trois réponses à appel d’offres ? Le guide pratique publié en 2026 par la DRSD vous oblige à revoir cet ordre de priorité. Il ne présente plus la protection de vos sites, de vos équipes et de vos informations comme une dépense défensive. Il en fait un critère de sélection des fournisseurs, une responsabilité juridique du dirigeant et un avantage concurrentiel mesurable. Dans le même temps, les ingérences visant la sphère défense se maintiennent à un niveau élevé et ciblent d’abord les sous-traitants. Cet article décrypte le guide, le confronte aux derniers chiffres disponibles et vous montre comment transformer une contrainte en preuve de crédibilité. Une question guide la lecture : que perdez-vous chaque mois où votre dispositif de sûreté reste informel ?
L’histoire tient en une phrase dans l’analyse publiée par OpexNews en mai 2026 à partir du panorama DRSD. Une entreprise de défense française a reçu quatre jets de cocktails Molotov, puis ses installations ont été survolées à plusieurs reprises par des drones. Ce n’est ni un fait divers isolé ni un scénario de fiction. C’est un mode opératoire : un repérage, une action physique, puis une nouvelle surveillance.
Le rapport parlementaire sur la BITD décrit le même type de faits. Plusieurs cas de coupure de câbles ont été enregistrés, notamment sur des navires en construction, ainsi que des incendies volontaires sur des installations d’importance vitale pour certaines entreprises. Il ajoute que la DRSD relève aussi de plus en plus fréquemment des survols de sites sensibles par des drones, difficiles à détecter et à caractériser, peu de télépilotes étant appréhendés.
Dans ce contexte, la DRSD publie un document de 76 pages destiné aux dirigeants qui n’ont ni directeur sûreté, ni budget dédié, ni temps à y consacrer : le Guide pratique de gestion de la sûreté à l’usage des PME et des ETI de la BITD. Son message tient en une idée :
La sûreté ne doit plus être perçue comme un centre de coût, mais comme un business partner de l’entreprise.
Commençons par les faits. Depuis 2022, on dénombre chaque année entre 500 et 550 atteintes contre des entités de la BITD ou de la recherche de défense. La tendance se poursuit en 2025, avec près de 300 atteintes recensées à la fin du mois de juin.
Le panorama 2025 de la DRSD confirme que la situation ne se calme pas. Le service observe que l’année 2025 se caractérise par une accélération et une expansion des conflits armés à l’échelle internationale, et que la sphère défense continue d’être régulièrement ciblée. Son directeur résume le changement d’époque : l’accélération et l’expansion des conflits armés internationaux en 2025 ont conduit à une transformation de la guerre économique en économie de guerre.
Les secteurs visés sont connus. La BITD et la recherche publique de défense sont visées par les pays compétiteurs de la France, notamment pour leurs expertises en intelligence artificielle, en quantique, en aéronautique et dans le spatial.
La forme des attaques évolue aussi. En 2024, selon la lecture d’OpexNews, 15 % des atteintes relevaient de la prédation capitalistique, c’est-à-dire de prises de participation dans des entreprises françaises. Les manœuvres réputationnelles représentaient déjà 11 % des atteintes. Autrement dit, la menace n’est pas seulement physique ou informatique : elle passe aussi par le capital, le droit et l’image.
L’avant-propos du guide, signé par le général de corps d’armée Aymeric Bonnemaison, explique clairement le raisonnement de l’attaquant. Les PME et ETI sont souvent jugées plus vulnérables que les grands groupes, alors qu’elles sont un maillon essentiel de leur chaîne de sous-traitance. Il en tire une conséquence lourde : l’atteinte d’un seul sous-traitant peut remettre en cause l’intégrité d’un programme de défense dans son ensemble.
Les observateurs du secteur en tirent la même conclusion. Face à des grands groupes de mieux en mieux protégés, les puissances étrangères cherchent à paralyser ou infiltrer les sous-traitants de rangs inférieurs, dont les budgets de sûreté et de formation sont plus limités. Résultat : près de 80 % des atteintes caractérisées ciblent des PME et des sous-traitants.
Le cas du canon CAESAr, rapporté par OpexNews, montre jusqu’où va la réflexion chez les donneurs d’ordre : KNDS France a dupliqué certains outils de production par crainte d’un sabotage. Si les grands maîtres d’œuvre en arrivent là, ils exigeront la même rigueur de leur chaîne d’approvisionnement.
C’est probablement le passage le plus stratégique du guide. La DRSD écrit que les services achats des grandes entreprises de la BITD, et de certaines administrations, intègrent désormais pleinement la sûreté comme un critère discriminant dans le choix d’un fournisseur. Comme pour la cybersécurité, les exigences de sûreté physique sont progressivement formalisées dans les contrats.
Ce n’est pas une intention lointaine. Le ministère l’a déjà outillé. Le référentiel de sûreté physique de la DGA peut être utilisé de manière contractuelle par un donneur d’ordre vers un de ses sous-traitants pour assurer un niveau minimal de sûreté, ou par une entreprise en auto-évaluation afin de valoriser son niveau de sûreté auprès de ses donneurs d’ordre. Il a été élaboré en 2023 par le ministère des Armées avec le conseil des industries de défense françaises (CIDEF) et les maîtres d’œuvre industriels.
Les grands groupes le relaient déjà auprès de leurs fournisseurs. Naval Group a publié un kit fournisseur qui rappelle que ce référentiel vise à garantir, par la mise en œuvre de treize mesures, un niveau minimal de sûreté. Le document précise aussi que les incidents sûreté sont remontés à la DRSD et à DGA/SSDI.
Côté cyber, le mouvement est encore plus avancé. Le référentiel de maturité cyber a un premier niveau qui comprend 21 exigences simples et s’impose désormais dans les relations contractuelles avec la DGA, avant une future certification obligatoire. Le clausier de la DGA intègre de son côté le référentiel de sûreté physique, ajouté au § 11.14 dans sa dernière édition.
Le raisonnement est simple : si votre concurrent peut remettre une auto-évaluation propre sur les 13 exigences et pas vous, la question du prix passe au second plan.
Beaucoup de dirigeants de PME décrivent leur sûreté comme « correcte » : un portail, une alarme, des badges. Le problème est rarement l’absence de mesures. Le problème, c’est l’impossibilité de démontrer qu’elles existent et qu’elles fonctionnent.
Un consultant spécialisé le constate sur le terrain : les écarts les plus fréquents ne sont pas techniques mais documentaires : des mesures en place depuis des années, mais non formalisées, non auditées, et donc indémontrables lors d’un contrôle.
Ce déficit de formalisation a un coût, même s’il n’apparaît dans aucun compte de résultat. C’est exactement le mécanisme décrit dans notre analyse sur le coût du flou stratégique pour les PME : ce qui n’est pas clarifié finit par se payer, en temps perdu, en arbitrages retardés et en opportunités manquées.
Le guide rappelle aussi une réalité que beaucoup de dirigeants sous-estiment. L’article L4121-1 du Code du travail impose à l’employeur une obligation de sécurité envers ses salariés. Selon la jurisprudence Air France de 2015, cette obligation exige des moyens renforcés, y compris pour les salariés en mission à l’étranger. La jurisprudence dite Abidjan (Cour de cassation, 7 décembre 2011) a même étendu cette obligation à la vie privée du salarié en déplacement international.
Pour une PME qui exporte, envoie ses ingénieurs sur des salons ou chez des clients à l’étranger, la sûreté est donc une responsabilité personnelle du dirigeant, et pas seulement une question d’équipement.
Le guide commence par une distinction utile. La sûreté concerne la prévention et la lutte contre la malveillance. La sécurité concerne les risques accidentels, naturels et technologiques. Votre responsable QHSE gère probablement bien la seconde. La première demande une autre logique : penser comme un adversaire.
La DRSD structure ensuite la sûreté autour de trois domaines, qu’elle présente comme une chaîne dont la solidité dépend du maillon le plus faible :
| Domaine | Objectif | Exemples de mesures |
|---|---|---|
| Sûreté du personnel | Protéger les collaborateurs et vérifier qui peut accéder aux actifs stratégiques | Circuit d’arrivée et de départ, gestion des visiteurs, sensibilisation |
| Sûreté physique | Protéger physiquement les valeurs de l’entreprise | Protection mécanique, contrôle d’accès, détection d’intrusion, vidéosurveillance |
| Sécurité des informations | Garantir la disponibilité, la confidentialité, l’intégrité et la traçabilité des informations | Besoin d’en connaître, double authentification, sauvegardes hors ligne |
Au cœur du dispositif physique, le guide pose une règle simple, l’équation de sûreté : il faut que « le temps de freinage [soit] strictement supérieur aux temps cumulés de détection, de traitement de l’alarme et d’intervention ». En pratique, votre porte, votre local ou votre coffre doit retenir un intrus plus longtemps qu’il n’en faut pour le détecter, lever le doute et intervenir. Si ce n’est pas le cas, votre dispositif a un défaut de conception, quel que soit le prix des caméras.
Le point fort du guide est sa hiérarchisation. Chaque sujet est découpé en deux niveaux : « pour commencer » (les fondamentaux) et « pour aller plus loin ». L’annexe 1 propose une feuille de route de 15 actions réparties sur le cycle PDCA :
| Phase PDCA | Actions prioritaires |
|---|---|
| Planifier | Identifier un responsable sûreté ; identifier les valeurs ; s’auto-évaluer avec le référentiel DGA ; identifier les 4 ou 5 grands risques ; rédiger au moins une note de sûreté (a minima le règlement intérieur) |
| Déployer | Formaliser la fonction de responsable sûreté ; lancer la sensibilisation du personnel ; protéger physiquement les valeurs stratégiques ; installer une détection d’intrusion |
| Vérifier | Contrôler le bon fonctionnement des mesures et des dispositifs ; mesurer les écarts par rapport aux objectifs |
| Ajuster | Instaurer des points sûreté réguliers ; réparer les dispositifs défectueux ; renforcer la sensibilisation ; mettre à jour les procédures |
Quelques précisions opérationnelles méritent votre attention :
Une fois le socle posé, le guide recommande de remplacer la note de sûreté initiale par quatre documents :
S’y ajoutent un plan de gestion de crise (fondé sur la méthode AGIR : afficher les faits, gérer les impacts, identifier les parties prenantes, répondre par un plan d’action), un plan de continuité et de reprise d’activité (PCA/PRA) et un dispositif de veille. Le guide vous renvoie vers les autres outils de la DRSD : guide d’analyse de risques (2023), guide de survie face à la crise (2024), outil-guide PCA (2025).
Le guide dit les choses franchement : dans les PME, le responsable sûreté est généralement le dirigeant, le responsable des moyens généraux, le responsable QHSE, voire le DRH. Autrement dit, la sûreté est le plus souvent une mission secondaire.
Ce n’est pas un problème en soi, à condition de respecter quatre conditions que la DRSD juge indispensables. Le responsable sûreté doit avoir :
La DRSD ajoute un point décisif : le dirigeant peut déléguer la mission, mais il reste comptable du résultat. Quand la sûreté repose uniquement sur le fondateur, elle devient une file d’attente de plus sur un bureau déjà saturé. C’est le phénomène que nous décrivons dans notre article sur le dirigeant goulot d’étranglement dans les PME de défense : ce qui n’est pas structuré et délégué finit par ralentir toute l’organisation.
Le document le plus sous-estimé du guide est sans doute la revue de direction sûreté (annexe 7). Elle vérifie que la stratégie de l’entreprise et les enjeux de sûreté sont alignés, évalue l’efficacité du dispositif, contrôle que les ressources suffisent et fixe les priorités de l’année suivante.
Les conseils de la DRSD pour réussir cette revue ressemblent à une leçon de gouvernance :
Ce PV montre qu’une direction a pris ses responsabilités. Pour un acheteur de maître d’œuvre, c’est aussi un signal de maturité bien plus parlant qu’une plaquette.
L’image d’un espionnage purement informatique est trompeuse. Le nombre d’atteintes dites « humaines » (chantage, faux entretiens de recrutement, vols d’ordinateurs, tentatives de débauchage) n’a cessé de croître ces dernières années ; elles représentent 36 % des atteintes en 2024, contre 45 % en 2023. Cette baisse en proportion ne veut pas dire que la menace recule : d’autres formes d’atteintes ont progressé plus vite.
Les modes opératoires sont documentés. Ils incluent le ciblage minutieux d’experts lors de leurs déplacements professionnels à l’étranger et le débauchage ciblé d’ingénieurs de haut niveau via des cabinets de recrutement écrans. L’avant-propos du guide décrit la séquence type : l’ingénierie sociale, notamment via les réseaux sociaux, sert à repérer et approcher les collaborateurs à des postes stratégiques. Cette phase précède souvent une intrusion physique visant à voler des documents ou des supports, voire à saboter.
Cela pose une question que peu de PME traitent sérieusement : vos ingénieurs sont à la fois votre principal actif et votre principale surface d’attaque. La bataille pour les recruter et les garder, que nous analysons dans notre article sur la guerre des talents et la marque employeur dans la défense, a donc aussi une dimension de sûreté. Un ingénieur démotivé, mal intégré ou qui ne sait pas repérer une approche est plus facile à atteindre.
Le guide propose des mesures concrètes et peu coûteuses :
C’est ici que le guide rejoint directement les enjeux de marque et d’influence. Une PME de défense doit se faire connaître pour exister : auprès de la DGA, des maîtres d’œuvre, des investisseurs, des talents. Mais chaque prise de parole peut aussi renseigner un adversaire.
La DRSD ne demande pas le silence. Elle demande de la méthode : des consignes de communication externe, la validation des contenus diffusés hors de l’établissement, des consignes pour les salons et une vigilance sur les réseaux sociaux. Elle publie d’ailleurs une fiche « Mémo salons » pour préparer les équipes. Ce n’est pas anodin : en 2026, la DRSD accompagne les entreprises lors des salons Eurosatory et Euronaval.
Ce dilemme entre visibilité et confidentialité, nous l’avons disséqué dans notre analyse sur la visibilité auprès de la DGA quand on travaille sous le sceau du secret. La conclusion vaut pour la sûreté : le secret ne condamne pas au silence, il impose de choisir ce que l’on dit.
| Ce que vous pouvez montrer | Ce que vous devez protéger |
|---|---|
| L’existence d’une politique générale de sûreté (le guide autorise à la partager en consultation avec clients et prestataires) | Le détail des dispositifs, des horaires, des zones protégées et des failles connues |
| Votre démarche d’auto-évaluation au regard du référentiel DGA | Les résultats détaillés des audits et des tests d’intrusion |
| La formation et la sensibilisation de vos équipes | L’identité et le rôle précis des collaborateurs sur des postes sensibles |
| Votre capacité opérationnelle et vos références validées | Les plans, cahiers des charges et données techniques des programmes |
Le risque réputationnel est lui aussi une menace de sûreté à part entière. Le guide range l’image et la réputation parmi les valeurs à protéger et recommande une veille réputationnelle. OpexNews rappelle que les manœuvres réputationnelles représentent désormais 11 % des atteintes contre la BITD, en citant les tentatives de décrédibilisation du Rafale après l’opération Sindoor. Pour une PME, une seule campagne hostile peut peser sur une levée de fonds ou un contrat export.
Un dirigeant n’investit pas sans preuve de retour. Le guide l’a compris et distingue trois familles d’indicateurs :
| Famille | Ce qu’elle mesure | Exemples tirés du guide |
|---|---|---|
| Suivi d’activité | Le volume d’actions menées | Nombre de rondes, de badges délivrés, de collaborateurs sensibilisés, d’alarmes intempestives |
| Performance (KPI) | L’efficacité des mesures | Part du personnel sensibilisé par an, signalements spontanés des collaborateurs, temps moyen de levée de doute |
| Retour sur investissement (ROI) | La valeur économique et stratégique | Coût des incidents évités, nombre d’appels d’offres sensibles devenus accessibles, contrats remportés où la sûreté a pesé, chiffre d’affaires préservé après sinistre |
La troisième famille change la façon d’en parler en comité de direction. Le jour où vous pouvez écrire « trois consultations accessibles grâce à notre conformité au référentiel DGA », la sûreté quitte la colonne des charges pour rejoindre celle des leviers de croissance.
Un indicateur mérite une attention particulière : le nombre de signalements spontanés des collaborateurs. Le guide insiste sur le fait que la sensibilisation encourage la remontée des signaux faibles et permet d’entraver des attaques simples. Une équipe qui signale est une équipe qui a compris l’enjeu.
Chaque incident doit enfin donner lieu à un RETEX structuré, mené non pas pour désigner un coupable mais pour comprendre les causes, selon les termes du guide. Ce matériau est précieux, à condition de l’exploiter. Comme nous le montrons dans notre article sur le RETEX, actif commercial gaspillé des PME de la BITD, l’expérience accumulée qui n’est ni formalisée ni valorisée reste une richesse dormante.
Un article d’autorité doit aussi dire ce qui fâche. Voici cinq nuances que le guide et les sources consultées obligent à garder en tête.
1. Les normes existantes sont pensées pour les grands groupes. La DRSD le reconnaît elle-même : les nombreuses normes (ISO 22340, ISO 22342, ISO 31000, AFNOR SPEC 2404) et référentiels du CNPP sont plutôt adaptés aux grandes entreprises et difficiles à déployer dans une petite structure. Le guide n’est pas une certification. C’est un canevas de départ.
2. Les statistiques doivent être lues avec prudence. Le rapport parlementaire l’écrit : ces chiffres doivent être nuancés, même si le nombre d’atteintes enregistrées a presque doublé en 2024 par rapport aux années antérieures. Une hausse des signalements peut aussi refléter, en partie, une vigilance accrue. C’est notre lecture, pas une affirmation des sources. Les sources ne concordent d’ailleurs pas toujours sur la répartition des atteintes physiques selon les années.
3. Le guide exclut les régimes réglementaires spécifiques. Il ne traite pas de la protection du secret de la défense nationale (PSDN), de la protection du potentiel scientifique et technique (PPST) ni de la sécurité des activités d’importance vitale (SAIV). Si vous êtes concerné, ces cadres s’ajoutent au socle décrit ici.
4. Faire appel à un prestataire externe crée lui-même un risque. La DRSD insiste : un audit externe donne à un tiers l’accès à des informations sensibles. Elle recommande une sélection rigoureuse (références, indépendance vis-à-vis des fournisseurs et concurrents), un accord de confidentialité, le principe du moindre privilège et la destruction des données en fin de mission. Les mêmes précautions s’appliquent à tout accompagnement externe, y compris celui d’une agence de conseil.
5. La souveraineté des outils compte. Le guide recommande de privilégier des marques européennes pour la vidéosurveillance, des plateformes de transfert européennes et, selon les lois extraterritoriales de vos compétiteurs, un hébergeur français ou européen pour vos informations stratégiques. Cette recommandation a un coût, que vous devez arbitrer en connaissance de cause.
Résumons. Les ingérences visant la BITD se maintiennent à un niveau élevé et touchent d’abord les PME et les sous-traitants. Les donneurs d’ordre et la DGA formalisent leurs exigences de sûreté et de cyber dans les contrats. Le dirigeant porte une responsabilité juridique qu’il ne peut pas déléguer entièrement. Face à cela, le guide DRSD 2026 propose une méthode progressive : 15 actions pour commencer, un cycle PDCA et des indicateurs capables de démontrer un retour sur investissement.
Mais le guide dit aussi autre chose, entre les lignes : la réussite dépend d’abord de la direction, bien avant les caméras ou les serrures. Le premier des principes énoncés par la DRSD est une sûreté intégrée à la stratégie. Le deuxième est un engagement clair de la direction, condition de sa légitimité, de son financement et de son efficacité. Sans vision partagée, sans rôles clarifiés et sans rituel de décision comme la revue de direction, le meilleur équipement reste une dépense isolée.
C’est précisément là qu’intervient Le Socle de Gouvernance d’Autour de l’Image. La technique de sûreté relève d’experts spécialisés. Notre rôle se situe en amont : vous aider à clarifier votre vision, à définir qui décide et qui agit, à relier les exigences de sûreté à votre stratégie commerciale et à mettre en place les rituels de pilotage qui transforment une conformité subie en preuve de crédibilité auprès de vos donneurs d’ordre. Une politique de sûreté ne sert à rien si elle n’est pas portée, comprise et incarnée par la direction.
Vous voulez faire de votre gouvernance un argument de confiance plutôt qu’un angle mort ? Echangez avec nos consultants sur la structuration de votre pilotage stratégique.
