Intrusion dans des locaux professionnels : que faire pendant les premières 24 heures ?

0 à 15 minutes : protéger les personnes et éviter une seconde entrée

Si l’intrusion est en cours, si une personne est potentiellement encore sur place ou si la situation présente un danger immédiat, n’entrez pas dans les locaux pour « vérifier ». Mettez les personnes à l’écart et appelez le 17 ou le 112. Service-Public rappelle ces numéros pour les situations nécessitant une intervention urgente.

Lorsque le danger immédiat est écarté, désignez un coordinateur unique. Il note l’heure de découverte, les personnes présentes, les alarmes reçues et les premières observations sans interpréter trop vite les faits. Évitez de manipuler la porte, les objets et les zones endommagées avant les constatations des forces de l’ordre. Service-Public recommande de ne rien toucher après un cambriolage afin de préserver les indices.

Ne confondez pas sécuriser et effacer les traces. Si une issue doit être condamnée en urgence pour protéger les personnes ou les biens, prenez d’abord des photographies de son état, notez qui est intervenu et informez les enquêteurs ou l’assureur selon la situation.

15 à 60 minutes : figer les informations qui risquent de disparaître

Une vidéo peut être écrasée automatiquement ; un journal d’alarme peut être moins détaillé après synchronisation ou changement d’équipement. Le coordinateur demande donc à une personne habilitée de localiser les données utiles : caméras de l’accès concerné, quelques minutes avant et après l’événement, historique des ouvertures, alarmes reçues, appels et passages d’astreinte. Il faut relever l’heure affichée par chaque système et vérifier un éventuel décalage avec l’heure réelle.

La recherche doit rester ciblée. Une fois la séquence repérée, exportez l’extrait dans son format d’origine lorsque c’est possible, avec le lecteur nécessaire à sa lecture si l’équipement l’exige. Conservez une copie de travail séparée, notez l’auteur de l’export, la caméra, la plage horaire, le nom du fichier et le support utilisé. Si l’outil produit une empreinte numérique, conservez-la. N’envoyez pas la vidéo dans un groupe de messagerie ou à toute l’équipe « pour identifier quelqu’un ».

La CNIL précise que seules les personnes habilitées peuvent consulter les images professionnelles. Elle indique aussi que, lorsqu’une procédure est engagée, les images pertinentes peuvent être extraites après consignation de l’opération et conservées pour la durée de cette procédure. La copie créée après incident ne justifie pas de prolonger indistinctement la conservation de toutes les caméras.

1 à 4 heures : documenter le dommage sans bloquer toute l’activité

Après accord des autorités lorsque leur intervention sur place est nécessaire, photographiez les accès, serrures, vitrages, câbles, armoires et équipements touchés. Établissez une première liste des biens manquants ou endommagés avec les références disponibles : facture, numéro de série, inventaire, preuve de propriété. Séparez ce qui est constaté de ce qui reste à vérifier. Une liste provisoire honnête vaut mieux qu’une estimation improvisée et définitive.

Déposez plainte par la voie adaptée à la situation. Une personne morale peut utiliser la plainte en ligne pour certaines atteintes aux biens lorsque l’auteur est inconnu, par l’intermédiaire de son représentant muni des justificatifs demandés ; cette démarche ne remplace pas l’appel aux secours en cas d’urgence. Prévenez rapidement votre assureur ou courtier et suivez les délais et pièces prévus par votre contrat professionnel. Vérifiez les garanties, franchises, conditions de protection du site et éventuelles consignes avant réparation définitive. Les besoins d’une entreprise dépendent de son activité, de la valeur des biens et de ses moyens de protection, comme l’explique France Assureurs pour les commerçants et artisans.

4 à 8 heures : restaurer une protection provisoire complète

Une réparation de serrure ne suffit pas si le badge perdu ouvre toujours la porte. Reprenez le parcours probable de l’intrusion et vérifiez chaque maillon :

Si un identifiant ou un équipement de sécurité a pu être compromis, désactivez l’accès concerné, créez un remplacement et changez les secrets nécessaires avec l’appui de l’administrateur. Documentez les changements pour que l’enquête et le diagnostic technique puissent reconstituer la chronologie. Une ronde, une surveillance humaine ou une fermeture partielle peuvent servir de mesure temporaire si elles sont compatibles avec l’activité et clairement attribuées à un responsable.

• Accès physiques — Question à poser avant la réouverture : La porte ferme-t-elle réellement ? Une clé, un badge, un code ou une télécommande a-t-il disparu ?
• Alarme — Question à poser avant la réouverture : Les zones fonctionnent-elles encore ? La transmission et la consigne d’intervention sont-elles testées ?
• Vidéo — Question à poser avant la réouverture : Les caméras couvrent-elles toujours l’accès ? L’enregistrement a-t-il repris après l’export ?
• Réseau et alimentation — Question à poser avant la réouverture : Un câble, un switch, un enregistreur ou un onduleur a-t-il été touché ?
• Exploitation — Question à poser avant la réouverture : Qui contrôle le site jusqu’à la réparation définitive, et comment les équipes entrent-elles demain ?

Avant 24 heures : décider ce qui peut reprendre et ce qui doit attendre

Réunissez le responsable du site, l’exploitation et le prestataire technique autour de trois décisions : quelles zones rouvrent, sous quelles mesures provisoires, et à quelle date chaque défaut doit être corrigé. Un compte rendu d’une page suffit : faits établis, preuves conservées, autorités et assureur contactés, accès révoqués, fonctions testées, risques encore ouverts et responsable de chaque action.

Si un enregistreur, un ordinateur ou un support contenant des données personnelles a été volé ou rendu inaccessible, informez immédiatement la personne chargée de la protection des données. Elle évaluera s’il s’agit d’une violation à documenter et si une notification à la CNIL est requise. La CNIL indique que les violations présentant un risque pour les personnes doivent être notifiées dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance. Un cambriolage ne déclenche donc pas automatiquement une notification ; la décision dépend des données et du risque.

La fiche réflexe à conserver hors du système de sécurité

Une procédure ne sert à rien si elle est enregistrée uniquement sur l’ordinateur volé. Conservez une version accessible aux responsables d’astreinte avec :

Après l’incident, faites un retour d’expérience sans chercher un coupable avant d’avoir les faits. L’objectif est de corriger le maillon qui a réellement échoué : accès trop large, délai d’alerte, image inexploitable, absence d’astreinte ou procédure introuvable. Protectas Systèmes peut vérifier l’état de l’alarme, de la vidéo et des accès, puis définir les tests de remise en service adaptés au site.

• l’adresse exacte et les informations d’accès à communiquer aux secours ;
• les numéros police, astreinte, télésurveillance, installateur, assureur et gestionnaire du bâtiment ;
• les personnes autorisées à consulter et exporter les images ;
• l’emplacement des journaux d’alarme et de contrôle d’accès ;
• la durée de conservation paramétrée sur les caméras critiques ;
• les moyens temporaires prévus si une porte, une caméra ou une transmission tombe en panne.