La porte de votre local serveur : la sécurité physique

Imaginez un local serveur contenant des milliers d'euros d'équipement réseau. Switches, connexions fibre optique, baies de brassage, infrastructure de caméras et peut-être même les systèmes de gestion technique du bâtiment s'y retrouvent. Mais la porte ? Elle reste ouverte. Ou bien la clé est accrochée à l'accueil, à côté de celle du local à vélos.

C'est une image qui revient plus souvent qu'on ne le pense. On investit massivement dans les pare-feu, l'authentification multifacteur, la surveillance et la formation à la sensibilisation, tandis que l'espace où se trouve physiquement le cœur du réseau ne reçoit presque aucune attention. Et là surgit la question : quelle est réellement la sécurité numérique d'une organisation lorsque quelqu'un peut physiquement atteindre le cœur du réseau ?

Cet article porte sur cette porte. Sur la sécurité physique des locaux serveurs, des locaux de brassage et des locaux techniques IT dans l'immobilier commercial, et sur la raison pour laquelle ce sujet n'est plus optionnel en 2026.

La réglementation en 2026 : NIS2 et la loi sur la cybersécurité

Depuis le 15 août 2026, la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet) est en vigueur. Elle transpose la directive européenne NIS2. Les organisations concernées par cette loi doivent prendre des mesures appropriées et proportionnées pour maîtriser les risques pesant sur leurs systèmes de réseau et d'information.

Dans les discussions autour de NIS2, il n'est souvent question que de mesures numériques. Pourtant, le NCSC précise explicitement, dans son explication du devoir de vigilance, que l'environnement physique dans lequel se trouvent les systèmes de réseau et d'information doit également être protégé. La question de savoir qui peut physiquement accéder à votre réseau n'est donc pas une note de bas de page, mais fait partie du cœur du sujet.

NIS2 s'appuie en outre sur une approche "tous risques" (all-hazards). Cela signifie que les organisations doivent tenir compte de causes très diverses de panne ou de dommage :

• le vol ;
• l'incendie ;
• l'eau ;
• les coupures de courant ;
• les pannes de télécommunication ;
• le sabotage ;
• les erreurs humaines ;
• les accès physiques non autorisés ;
• l'endommagement des équipements IT.

Ce n'est pas un point théorique. Les règles européennes de NIS2 mentionnent explicitement la protection de l'environnement physique des systèmes de réseau et d'information contre les accès non autorisés, les dommages et les perturbations. La porte du local serveur fait ainsi désormais partie du contexte légal.

Un réseau parfaitement verrouillé numériquement mais ouvert physiquement n'est pas à moitié sécurisé. Il est sécurisé jusqu'à l'endroit précis où cela compte vraiment.

Mesures pratiques pour un local serveur sécurisé

La sécurité physique ne doit pas être un exercice technique démesuré. Il s'agit de mesures compréhensibles que tout professionnel de l'immobilier, du facility management ou de l'IT peut maîtriser.

Fermer et contrôler l'accès

Un local serveur ne doit pas être un espace de stockage général où employés, agents d'entretien, fournisseurs et techniciens entrent librement. Travaillez avec un accès contrôlé : contrôle d'accès électronique, badges personnels plutôt que clés partagées, journalisation de qui entre dans le local et vérification périodique des droits d'accès. Savez-vous seulement qui s'est rendu dans votre local serveur hier ?

Appliquez à cet égard le principe : accès uniquement si nécessaire. Tous les employés, bailleurs, agents d'entretien, entrepreneurs ou fournisseurs n'ont pas besoin d'y entrer. Révoquez les droits d'accès dès qu'une personne quitte l'organisation ou qu'un fournisseur a terminé ses travaux.

Séparation physique dans les bâtiments multi-locataires

Dans les immeubles collectifs et les bureaux multi-locataires, la séparation revêt une importance particulière. Évitez que différents locataires puissent accéder, sans délimitation claire, aux baies de brassage, switches, routeurs, connexions fibre optique, équipements serveur ou systèmes de sécurité des autres. Utilisez, si nécessaire, des racks ou compartiments fermés séparés. Cela rejoint la question de ce que l'on loue réellement au niveau numérique par étage.

Cartographiez tous les équipements

Savez-vous réellement ce qui se trouve dans le local serveur ? Établissez un registre d'actifs à jour comprenant par exemple les switches, routeurs, pare-feu, points d'accès, systèmes UPS, modems, routeurs 4G/5G, équipements fibre optique, enregistreurs de caméras, systèmes de contrôle d'accès, systèmes de gestion technique du bâtiment et passerelles IoT. Un routeur dont personne ne sait qui l'a installé représente un risque technique mineur, mais organisationnellement majeur. La gestion des actifs et des accès figure également explicitement dans le devoir de vigilance lié à la loi sur la cybersécurité.

Attention à l'environnement et à la redondance

Un local serveur ne doit pas seulement être protégé contre les personnes. Vérifiez la température, la ventilation, l'humidité, le risque de fuite, la détection d'incendie et de fumée, l'alimentation électrique, l'onduleur et le groupe électrogène de secours, l'emplacement des canalisations d'eau et la présence de stockage inflammable. Un réseau parfaitement sécurisé sur le plan cybernétique ne sert pas à grand-chose si une canalisation qui fuit pend au-dessus de l'armoire serveur.

Réfléchissez également à la continuité. Que se passe-t-il si ce local tombe en panne complète demain ? Y a-t-il une ou plusieurs connexions internet, et empruntent-elles des itinéraires redondants différents ? Y a-t-il une alimentation de secours, les configurations sont-elles sauvegardées et existe-t-il une procédure de reprise ? Sait-on quels équipements sont critiques pour l'activité et à quelle vitesse l'organisation peut redevenir opérationnelle ? La redondance réseau est un élément important de la résilience numérique.

Baies de brassage, câblage et documentation

Il n'y a pas que les serveurs qui méritent de l'attention. Les baies de brassage, les raccordements fibre optique et les câbles réseau font également partie de l'infrastructure numérique. Une personne ayant un accès physique peut retirer des câbles, éteindre des équipements ou perturber des connexions. Combien de chiffre d'affaires coûte-t-il quand quelqu'un arrache le mauvais câble fibre optique d'une baie de brassage un lundi matin ?

Documentez en outre chaque modification. Une entreprise d'installation place un routeur 4G pour une maintenance temporaire à distance, et trois ans plus tard, il est toujours là. Plus personne ne sait à qui il appartient, à quoi il sert, qui y a accès, s'il reçoit des mises à jour ou à quel réseau il est connecté. Une bonne livraison numérique comprend donc toujours une documentation et des données de révision.

Qui est responsable de quoi ?

Dans l'immobilier commercial, la répartition des responsabilités est souvent floue. Qui gère le local serveur, la baie de brassage, la fibre optique jusqu'au bâtiment, le câblage à partir du local des compteurs, les équipements réseau actifs, le contrôle d'accès, la surveillance, la sécurité incendie, le refroidissement et la redondance ?

Est-ce le propriétaire, le bailleur, le locataire, le property manager, le facility manager ou le fournisseur IT ? IT-Label estime que cette répartition devrait faire partie d'une liste de démarcation claire pour l'infrastructure numérique, comparable aux accords déjà courants dans le contrat de bail type ROZ.

La sécurité n'est en outre pas une inspection ponctuelle. Les accès changent, les locataires partent, les fournisseurs se succèdent, les équipements sont remplacés et de nouveaux appareils IoT s'ajoutent. C'est pourquoi un local serveur doit être réévalué périodiquement. Considérez-le comme un contrôle technique numérique du bâtiment : on ne regarde pas une seule fois pour ensuite supposer pendant dix ans que tout est encore correct.

La traduction vers l'immobilier

Dans les bâtiments, nous examinons naturellement la sécurité incendie, les installations électriques, le contrôle d'accès, la durabilité, l'étiquette énergétique, les installations climatiques et l'état technique. Mais l'espace où converge pratiquement toute la communication numérique d'une organisation ne reçoit parfois presque aucune attention lors d'un achat ou d'une location.

Pourquoi inspecte-t-on en détail l'installation de chauffage lors d'une transaction immobilière, mais passe-t-on parfois si vite devant le local serveur ? L'IT-Label veut mettre en lumière cet angle mort en ne se concentrant pas sur un seul câble ou une seule connexion internet, mais sur le niveau de livraison numérique global : fibre optique, redondance, câblage, Wi-Fi, locaux de brassage, locaux serveurs, sécurité physique, gestion des accès, équipements actifs, IT liée au bâtiment, documentation, responsabilités, continuité et pérennité.

Cette vision intégrale correspond à un marché qui s'oriente de plus en plus vers la capacité de données plutôt que les seuls mètres carrés, et dans lequel le bureau pérenne et prêt pour l'IA commence par l'infrastructure que vous ne voyez pas.

Nuance juridique

Il importe de rester précis ici. Un IT-Label n'est pas un certificat NIS2 ou lié à la loi sur la cybersécurité. Un IT-Label ne signifie pas automatiquement qu'une organisation respecte toutes ses obligations légales. L'IT-Label aide toutefois à rendre visible un élément important du profil de risque : l'infrastructure numérique physique et liée au bâtiment.

Par ailleurs, toutes les entreprises ne relèvent pas automatiquement de la loi sur la cybersécurité. Les organisations doivent elles-mêmes évaluer si elles entrent dans le champ d'application légal. Fondez cette évaluation sur des sources actuelles telles que le NCSC, le gouvernement néerlandais, EUR-Lex et, le cas échéant, la documentation NEN et ISO. L'IT-Label est et reste une traduction de la technique en information compréhensible, non un tampon légal.

Passez à l'étape suivante

La cybersécurité commence au numérique, mais ne s'arrête pas à l'écran. Derrière chaque environnement cloud, application d'IA et poste de travail numérique se trouve finalement une infrastructure physique. Un câble. Un switch. Un routeur. Une connexion fibre optique. Et quelque part, une porte vers un local technique. La question est : qui peut réellement ouvrir cette porte ?

Laissez IT-Label réaliser une Pré-inspection ou un Digital Due Diligence et obtenez une vision claire de l'infrastructure tant physique que numérique de votre bâtiment. Vous saurez ainsi non seulement où en est votre pare-feu, mais aussi ce qu'il en est de la porte devant celui-ci. Ensemble, nous rendons visible ce qui reste aujourd'hui invisible. Vous souhaitez en savoir plus ? Consultez www.it-label.com ou prenez contact avec nous.