Le 30 avril 2026, la Gendarmerie nationale publiait son rapport annuel sur la cybercriminalité. 453 200 atteintes numériques enregistrées en France en 2025. +87% en cinq ans. Les commentaires se sont concentrés sur les chiffres du phishing et des ransomwares. C’est compréhensible. Mais ce n’est pas là que se trouve le signal le plus important pour les directeurs de sécurité d’entreprise.
Ce signal est dans un paragraphe discret, identifié par le COMCYBER-MI parmi ses points d’attention prioritaires : l’émergence des menaces hybrides. L’articulation étroite entre actions numériques et actions physiques. Et ses conséquences concrètes sur des personnes réelles — dirigeants, cadres, personnels exposés.
Source : Rapport annuel sur la cybercriminalité 2026 — Gendarmerie nationale / COMCYBER-MI
→ Télécharger le rapport complet
Ce que les menaces hybrides signifient réellement
La notion de menace hybride est souvent traitée dans sa dimension géopolitique — guerre informationnelle, déstabilisation d’États, ingérence étrangère. C’est réel, mais ce n’est pas le sujet des entreprises privées au quotidien.
Dans le contexte des organisations, la menace hybride prend une forme plus immédiate et plus concrète : un dirigeant ciblé numériquement devient un dirigeant exposé physiquement.
Le schéma est documenté et reproductible. Une cyberattaque ou une fuite de données révèle des informations sur les habitudes, les déplacements, le patrimoine ou les vulnérabilités d’un cadre dirigeant. Ces informations alimentent ensuite une action physique : cambriolage du domicile en connaissance des absences, extorsion ciblée, tentative d’enlèvement, agression. La frontière entre l’écran et la rue a disparu.
Le rapport de la Gendarmerie nationale le formule sans ambiguïté : la violence physique peut désormais être la conséquence directe d’une exposition numérique. Ce n’est plus une hypothèse de travail. C’est une réalité opérationnelle documentée par l’État.
Pourquoi la plupart des organisations ne sont pas prêtes
La structure de gouvernance de la sécurité en entreprise repose encore, dans la grande majorité des cas, sur une séparation étanche entre deux fonctions : le RSSI, qui gère les systèmes d’information et les risques numériques, et le Directeur Sûreté ou CSO, qui gère la sécurité physique des personnes et des sites.
Cette séparation avait une logique quand les deux univers de menace étaient distincts. Elle est devenue une vulnérabilité structurelle dès lors que les menaces, elles, ne respectent plus cette frontière.
Concrètement : lors d’une fuite de données impliquant des informations personnelles sur un dirigeant, qui est en charge de l’évaluation du risque physique consécutif ? Dans la majorité des organisations, personne. Le RSSI gère la brèche technique. Le DPO supervise la notification réglementaire. Le Directeur Sûreté n’est pas dans la boucle — ou l’est trop tard.
C’est précisément cette discontinuité dans la chaîne de traitement de l’incident qui transforme un risque numérique maîtrisable en exposition physique réelle.
Le continuum de sécurité : du concept à l’organisation concrète
La réponse à cette vulnérabilité structurelle porte un nom : le continuum de sécurité. Non pas comme concept théorique, mais comme architecture organisationnelle opérationnelle — qui articule acteurs privés et acteurs publics dans une chaîne de protection cohérente et activable.
Mettre en œuvre le continuum de sécurité face aux menaces hybrides, c’est d’abord une décision de gouvernance interne : RSSI et Directeur Sûreté doivent partager une table de travail commune, des protocoles d’alerte croisés, et une vision unifiée des incidents à double dimension. Cela suppose que ces deux fonctions se reconnaissent mutuellement comme parties prenantes de la même chaîne de protection — ce qui est loin d’être acquis dans la plupart des organisations.
Mais le continuum ne s’arrête pas aux murs de l’entreprise. Il implique une articulation formelle et préparée avec les services de l’État — et cette dimension est systématiquement négligée, y compris par des organisations qui ont par ailleurs structuré leur gouvernance interne.
En prévention, cette articulation mobilise plusieurs interlocuteurs institutionnels selon la nature de l’exposition :
▸ L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) est l’interlocuteur de référence pour tout ce qui touche à la sécurisation des systèmes et à la gestion des incidents cyber majeurs. Les entreprises d’importance vitale ou opérateurs de services essentiels ont des obligations formelles de coopération. Les autres ont intérêt à établir ce lien avant d’en avoir besoin.
▸ La CNIL intervient dès lors qu’une fuite de données personnelles est avérée — y compris quand ces données concernent des dirigeants ou des personnels exposés. Sa notification obligatoire dans les 72 heures constitue un point de synchronisation entre la réponse numérique et l’évaluation du risque physique consécutif : c’est à ce moment précis que le Directeur Sûreté doit être dans la boucle.
▸ Le SISSE (Service de l’Information Stratégique et de la Sécurité Économiques), rattaché à la Direction Générale des Entreprises, est l’interlocuteur dédié aux entreprises en matière d’intelligence économique offensive — captation de données stratégiques, déstabilisation concurrentielle, espionnage industriel. Un canal à activer dès les premiers signaux d’une attaque hybride à visée économique.
▸ Le ministère de l’intérieur et ses entités spécialisées — DRPP en Île-de-France, services territoriaux de la DGSI en région — constitue le relais local pour les entreprises dont des personnels ou des dirigeants sont identifiés comme cibles potentielles. Ces services sont en demande active de partenariat avec le secteur privé. La relation est rarement initiée par les entreprises.
▸ La DRSD (Direction du Renseignement et de la Sécurité de la Défense), relevant du Ministère des Armées, est l’interlocuteur incontournable pour les entreprises de la Base Industrielle et Technologique de Défense (BITD) — sous-traitants de défense, industriels du secteur aéronautique, spatial ou nucléaire civil. Face aux menaces hybrides d’origine étatique ou para-étatique, la DRSD assure une mission de contre-ingérence et de protection du potentiel scientifique et économique de la Nation. Pour ces entreprises, l’absence de lien avec la DRSD n’est pas une option — c’est une lacune de sécurité nationale.
En gestion de crise, quand l’incident hybride se produit, la chaîne de réaction doit être pré-établie : qui alerte la gendarmerie ou la police nationale, par quel canal, avec quel niveau d’information ? Comment le Directeur Sûreté assure-t-il la continuité des activités dans son domaine tout en facilitant la prise de relais des forces publiques sans perte de temps ni confusion des responsabilités ? La réponse à ces questions ne s’improvise pas à 23h — elle se documente, se teste, se met à jour.
C’est ensuite une question de cartographie des risques : identifier les personnels et dirigeants dont l’exposition numérique génère une vulnérabilité physique réelle — dirigeants à forte visibilité publique, cadres impliqués dans des litiges ou des transactions sensibles, personnels en déplacement international fréquent dans des zones à risque. Cette cartographie doit être partagée, sous forme agrégée et sécurisée, avec les interlocuteurs institutionnels pertinents, afin qu’ils puissent adapter leur propre niveau de vigilance.
C’est enfin une question de protocoles opérationnels : que se passe-t-il concrètement quand le RSSI détecte une fuite d’informations sensibles sur un dirigeant ? Qui est notifié en interne — et qui est notifié en externe, parmi les services de l’État listés ci-dessus ? Dans quel délai ? Le continuum de sécurité, dans sa définition la plus opérationnelle, c’est précisément cela : une chaîne de décision qui traverse sans rupture la frontière entre sécurité privée et sécurité publique, et qui mobilise les bons interlocuteurs institutionnels au bon moment.
La responsabilité du dirigeant ne s’arrête pas au pare-feu
Le rapport de la Gendarmerie nationale apporte un argument supplémentaire que les directeurs de sécurité peuvent désormais utiliser en COMEX : la menace hybride est reconnue et documentée par les autorités de l’État. Elle n’est plus un scénario de planification prospective. Elle est une réalité opérationnelle que la direction générale a l’obligation de prendre en compte au titre du Duty of Care.
La responsabilité du dirigeant en matière de protection des personnes placées sous son autorité — collaborateurs, cadres, personnel en déplacement — ne s’arrête pas au périmètre numérique. Elle couvre l’ensemble des conséquences prévisibles d’une exposition de l’organisation, y compris celles qui se manifestent physiquement.
Un dirigeant qui a connaissance du risque hybride documenté par la Gendarmerie nationale, et qui n’a pas mis en place une gouvernance intégrée RSSI-CSO, engage sa responsabilité en cas d’incident. C’est l’argument décisif pour porter ce sujet au plus haut niveau.
DSI et Directeur Sûreté qui travaillent en silos — c’est un risque organisationnel que le conseil d’administration doit désormais inscrire dans sa cartographie. La question n’est plus « faut-il intégrer les deux fonctions ? » Elle est : « peut-on se permettre de ne pas le faire ? »
Ce qu’il faut retenir
Le rapport de la Gendarmerie nationale sur la cybercriminalité 2026 n’est pas seulement un document sur les attaques informatiques. C’est, pour la première fois à ce niveau de source officielle, une reconnaissance explicite que la frontière entre menace numérique et violence physique a disparu.
Pour les organisations, cela impose trois décisions concrètes :
▸ Gouvernance : créer une instance de coordination formelle entre RSSI et Directeur Sûreté, avec des protocoles d’alerte croisés documentés.
▸ Cartographie : identifier les personnels dont l’exposition numérique génère une vulnérabilité physique réelle et prioritaire.
▸ Responsabilité : inscrire le risque hybride dans la cartographie des risques de direction générale, avec le Duty of Care comme cadre de référence.
Le continuum de sécurité n’est plus une option organisationnelle avancée. C’est la réponse minimale à une menace que l’État lui-même considère comme établie.
Laisser un commentaire