La sécurité économique ne se limite plus à protéger un bâtiment ou un réseau informatique. Elle consiste à préserver ce qui permet à une entreprise de décider, produire, innover et durer.
Le guide de la Gendarmerie nationale : https://www.gendarmerie.interieur.gouv.fr/content/download/61216/file/Guide_Atteintes_S%C3%A9curit%C3%A9_Economique_Gendarmerie_nationale.pdf?inLanguage=fre-FR&version=6
rend cette idée concrète pour les PME et les ETI . Il relie les menaces physiques, numériques, humaines, juridiques et réputationnelles, puis propose des réflexes de prévention.
Les références étrangères et les travaux de recherche confirment cette approche globale.
Ils invitent toutefois à aller plus loin dans la gouvernance, la mesure des risques, la surveillance des partenaires et la préparation aux incidents.
Une cartographie complète des menaces
Le premier apport du guide de la Gendarmerie nationale tient à son périmètre. Il décrit sept familles de menaces : la sûreté des sites, les intrusions consenties, les atteintes aux savoir-faire, les escroqueries, les vulnérabilités de l’écosystème, les attaques cyber et les attaques informationnelles.
Cette organisation montre qu’une même opération peut combiner plusieurs vecteurs. Une visite apparemment ordinaire peut faciliter la captation de plans.
Un compte compromis peut servir à détourner un paiement, voler des données et diffuser une fausse information. Un fournisseur fragile peut devenir un point d’entrée vers un donneur d’ordre stratégique.
Le guide de la Gendarmerie nationale insiste à juste titre sur les PME et les ETI.
Leur expertise technique et leur place dans les chaînes de valeur les rendent attractives, alors que leurs moyens de protection sont souvent plus limités. Il rappelle aussi que la menace ne vient pas seulement de l’extérieur. Un salarié, un prestataire, un visiteur, un investisseur ou un partenaire peut disposer d’un accès légitime qui devient dangereux par négligence, pression ou intention malveillante. Cette lecture évite de réduire la sécurité économique à la seule cybersécurité.
La partie consacrée aux bonnes pratiques transforme ensuite le constat en mesures concrètes.
Elle traite de la confidentialité, des données personnelles, des clauses contractuelles, des zones à régime restrictif, du contrôle des parcours de visite, de la désignation d’un responsable sécurité et du plan de continuité d’activité. Le volet sur la responsabilité sociétale complète utilement l’ensemble. Une gouvernance transparente, des relations de travail saines, une conduite loyale et un ancrage territorial solide réduisent certaines fragilités internes et renforcent la confiance des partenaires.
Des protections fondées sur les actifs critiques
Le fil directeur du guide de la Gendarmerie nationale est simple : une entreprise doit d’abord savoir ce qu’elle ne peut pas se permettre de perdre. Il peut s’agir d’un prototype, d’un procédé, de données clients, de compétences rares, d’un site unique, d’un fournisseur dominant ou de la réputation d’une marque. La protection doit ensuite être proportionnée à la valeur de ces actifs et aux conséquences d’une compromission.
Cette logique rejoint le cadre britannique Secure Innovation, publié par la National Protective Security Authority et le National Cyber Security Centre.
Ce cadre demande au conseil de direction de désigner un responsable, d’identifier les actifs critiques, d’inscrire les risques de sécurité dans le registre des risques, puis de vérifier les investisseurs, les fournisseurs et les futurs salariés.
La même cohérence apparaît dans le NIST Cybersecurity Framework 2.0 aux États Unis.
Ses six fonctions sont gouverner, identifier, protéger, détecter, répondre et rétablir. Cette séquence complète bien le guide français, qui est très riche sur les formes d’atteinte et les mesures préventives, mais moins explicite sur les indicateurs de pilotage.
Une entreprise devrait pouvoir suivre quelques données simples : part des actifs critiques inventoriés, accès sensibles revus, sauvegardes restaurées lors de tests, fournisseurs évalués, incidents signalés et exercices de crise réalisés.
La protection juridique doit elle aussi reposer sur des pratiques observables. Le guide rappelle que le secret des affaires suppose des mesures raisonnables de protection.
L’Organisation Mondiale de la Propriété Intellectuelle précise la démarche : identifier et valoriser les secrets potentiels, appliquer des mesures adaptées, surveiller les fuites et réagir. Un accord de confidentialité ne suffit donc pas si les documents restent librement accessibles, si les droits ne sont jamais retirés après un départ ou si les échanges avec un partenaire ne sont pas tracés.
Apports des approches étrangères
Les études internationales renforcent plusieurs messages du guide.
L’ENISA a interrogé 249 PME dans 25 États européens.
Plus de 80 pour cent déclaraient traiter des informations critiques. La plupart utilisaient des protections de base, comme les antivirus, les sauvegardes et les pare feu, mais la formation du personnel ainsi que la journalisation et les alertes restaient moins fréquentes. L’étude constatait aussi que l’hameçonnage, les logiciels malveillants et les attaques par le web figuraient parmi les causes les plus courantes d’incident.
Le risque humain doit donc être traité par des procédures de vérification, des formations brèves et répétées, et des contrôles techniques.
Le Software Engineering Institute de Carnegie Mellon apporte une base empirique sur le risque interne.
Son guide de 2022 repose sur plus de 3000 cas et formule 22 pratiques.
Il recommande une action coordonnée entre direction, ressources humaines, fonctions juridiques, sûreté physique, informatique et propriétaires des données. Cette approche pourrait renforcer le guide français en remplaçant la seule sensibilisation par un programme formalisé, respectueux du droit du travail et de la vie privée, avec des règles claires lors du recrutement, des changements de poste, des périodes de tension et des départs.
La Commission européenne propose enfin une grille plus large.
Sa stratégie de sécurité économique distingue quatre domaines : la résilience des chaînes d’approvisionnement, la sécurité physique et numérique des infrastructures critiques, la sécurité des technologies et le risque de fuite, puis l’usage coercitif des dépendances économiques.
Le rapport 2025 de l’OCDE ajoute une mise en garde utile. Les risques sont interdépendants, mais une réponse trop générale peut affaiblir les bénéfices de marchés ouverts. La bonne réponse consiste à cartographier les dépendances réellement critiques, prévoir des solutions de remplacement et conserver une coopération internationale diversifiée.
Passer du catalogue à un programme pilotable
Le guide de la Gendarmerie nationale constitue une excellente base de sensibilisation avec une trajectoire de mise en œuvre en quatre priorités.
1 Identifier les actifs vitaux Relier chaque actif à ses détenteurs, ses accès, ses dépendances et son délai maximal d’indisponibilité.
2 Organiser la responsabilité Nommer un responsable soutenu par la direction et réunir régulièrement les fonctions sécurité, informatique, ressources humaines, juridique, achats et communication.
3 Contrôler les accès et les partenaires Appliquer le besoin de connaître, revoir les droits, préparer les visites, évaluer les fournisseurs et investisseurs, puis intégrer des clauses de sécurité vérifiables dans les contrats.
4 Préparer la crise Tester les sauvegardes, le plan de continuité, la décision de signalement, la conservation des preuves et la communication avec les clients, autorités et partenaires.
La sécurité économique devient donc une discipline de gouvernance, intégrée aux décisions d’investissement, de partenariat, d’innovation et de développement international.
Sources internationales
• Commission européenne, 2023, Stratégie européenne de sécurité économique
• National Protective Security Authority et National Cyber Security Centre, 2024, Secure Innovation
• ENISA, 2021, Cybersécurité pour les PME
• OCDE, 2025, La sécurité économique dans un monde en mutation
