Introduction

Chaque semaine, des PME industrielles, des laboratoires, des ETI ouvrent leurs portes. Journées portes ouvertes, visites clients, accueil de stagiaires, groupes d’étudiants en alternance. L’intention est legitime : valoriser le savoir-faire, construire une relation de confiance, recruter. Ce que personne ne mesure, c’est ce que ces visites laissent dans les mains de ceux qui passent.

En mai 2026, la Direction du renseignement et de la sécurité de la défense ( DRSD) publiait une note documentant deux incidents survenus lors de visites publiques de sites industriels. Dans le premier cas, un étudiant de nationalité étrangère avait participé à des visites de plusieurs sites sensibles en recueillant des informations sur leurs dispositifs de sécurité. Dans le second, un individu avait été interpellé a l’accueil d’un site strategique sans explication plausible sur sa presence, dans ce qui s’analysait comme une évaluation des dispositifs en place, un repérage préalable a un vol cible ou une collecte en vue d’une action d’espionnage industriel.

Ces deux cas ont en commun un détail que les organisations concernées n’avaient pas anticipé : la menace était entrée par la porte principale, avec un badge visiteur.

Ce que révèle une visite ordinaire

Une visite d’entreprise, même bien encadrée, est une fenêtre ouverte sur l’intérieur. Ce n’est pas une métaphore : c’est une description opérationnelle de ce qui se passe.

Un visiteur attentif observe les flux de circulation du personnel, repère les zones accessibles sans contrôle visible, note la position des caméras et leurs angles de couverture, identifie les accès de service peu surveillés, enregistre les rythmes de présence aux postes sensibles. Il évalue le comportement des agents d’accueil sous pression sociale : sont-ils formés à contrôler les badges avec rigueur ou à privilégier la fluidité de l’accueil ? Il écoute les conversations de couloir, les références aux systèmes en place, les noms des responsables.

Tout cela, sans sortir un appareil photo. Sans poser une seule question suspecte. En se comportant exactement comme un client, un étudiant ou un partenaire ordinaire.

Dans le cas Framatome, les individus qui ont opéré les vols successifs sur le site de Romans-sur-Isere depuis 2019 étaient, selon les termes repris dans une question parlementaire de juin 2026, « parfaitement renseignés sur le fonctionnement du site ». Cette précision ne figurait pas dans la plainte de l’entreprise. Elle est apparue progressivement, au fil des enquêtes. Six occurrences. Les mêmes schémas. Une connaissance du site qui ne s’improvise pas.

La question n’est pas de savoir si les visites ont fourni ces renseignements. La question est de savoir comment une organisation peut répondre à cette interrogation avec confiance.

L adversaire patient

Ce qui distingue le repérage planifié du vol opportuniste, c’est le temps. Un opérateur opportuniste cherche la faille immédiate. Un opérateur planifié cherche la certitude.

La DRSD note dans sa publication de 2026 une hausse sensible des tentatives d’intrusion physique dans les entreprises et laboratoires du secteur de la défense en France tout au long de 2025, une tendance qui s’est poursuivie en 2026 avec notamment une série d’incendies coordonnés dans le Cher ciblant des installations électriques alimentant des usines d’armement. Ces actions ne sont pas des actes de désespoir. Elles supposent une connaissance préalable des sites, de leurs vulnérabilités, de leurs interdépendances.

La plupart des PME et ETI ne font pas partie du secteur de la défense. Elles n’ont pas de raison de se croire ciblées de la même façon. Mais elles partagent une caractéristique avec ces sites : elles organisent des visites. Et elles appliquent les mêmes pratiques d’accueil, sans en avoir mesuré l’exposition.

Le repérage préalable ne requiert pas un opérateur spécialisé. Il requiert un objectif, une méthode et du temps. Ces trois conditions sont accessibles à un concurrent, à un groupe criminellement organisé ou à un opérateur de renseignement. Dans les trois cas, la visite d’entreprise constitue un accès légal, peu risqué et rarement tracé.

Ce qu’une PME peut faire

La reponse n’est pas de supprimer les visites. La réponse est de les traiter comme ce qu’elles sont : un accès réel à des informations sensibles, encadré par un dispositif formel qui ne suffit pas.

Trois mesures concrètes permettent de réduire significativement l’exposition.

La premiere est le recensement de ce qui est visible. Avant d’organiser une visite, il faut identifier ce qu’un observateur attentif peut voir, entendre et photographier depuis le parcours prévu. Cette cartographie n’est pas une opération complexe. Elle demande une heure de marche attentive et un regard exterieur. Elle produit une liste de points de visibilité critiques et permet d’ajuster le trace si nécessaire.

La deuxieme est la tracabilite des participants. Un registre horodaté avec pièce l’identité, objet de la visite et nom de l’organisation n’est pas une contrainte : c’est un outil de responsabilité. Il dissuade les candidats opportunistes et permet, en cas d’incident ulterieur, d’etablir une chronologie. Il s’agit d’une pratique standard dans les établissements soumis a un régime de protection, qu’il n’existe aucune raison de ne pas étendre à l’ensemble des entreprises organisant des visites.

La troisième est la formation des accompagnateurs. Le guide de visite est en première ligne. Il doit savoir reconnaitre une question d’intérêt opérationnel (sur les flux, les accès, les effectifs, les prestataires), savoir comment y répondre sans alimenter le repérage, et savoir a qui remonter une observation inhabituelle. Cette formation n’est pas une initiation au contre-espionnage. C’est une sensibilisation de deux heures qui transforme un accompagnateur en premier capteur de l’entreprise.

Conclusion

La menace qui entre par la porte d’accueil n’est pas une métaphore. Elle est documentée, répétée et sous-sous-estimée, précisément parce qu’elle emprunte les formes de la normalité.

Les PME et ETI organisent des visites parce qu’elles ont des raisons légitimes de le faire : la pédagogie, le recrutement, les relations institutionnelles, la fidélisation. Ces raisons restent valables. Elles n’exonèrent pas de la responsabilité de savoir ce que l’on donne à voir.

La question posée aux dirigeants n’est pas de savoir si leur entreprise est ciblée. C’est de savoir si, en cas d’incident, ils seront en mesure de répondre à la question : qui est venu, quand, et qu’a-t-il pu observer ?

Si la réponse est incertaine, le dispositif d’accueil mérite d’être revu.

---