La résilience numérique commence au niveau du bâtiment

Quand on entend le mot guerre, on pense d'abord aux chars, aux frontières et aux troupes. Cette image reste juste, mais elle n'est plus complète. Les conflits modernes se déroulent en grande partie dans les réseaux, les câbles et les systèmes. La perturbation des communications, les attaques contre les chaînes logistiques et la désinformation font désormais partie du conflit au même titre que les moyens militaires classiques.

L'OTAN mentionne explicitement les cybermenaces et les attaques hybrides comme des composantes des enjeux de sécurité et de défense modernes. Le NCSC néerlandais, le gouvernement national et l'Union européenne avertissent eux aussi que la perturbation numérique et le sabotage font partie intégrante du paysage sécuritaire actuel. Ce texte ne parle pas de peur, mais de préparation : comment organiser la résilience, et où celle-ci commence-t-elle réellement ?

Car il existe un angle mort frappant dans ce récit. Nous investissons massivement dans la résilience numérique nationale, mais un niveau plus bas, dans le bâtiment où les organisations travaillent au quotidien, l'infrastructure numérique reste souvent invisible et non protégée. C'est précisément là qu'IT-Label souhaite apporter de la clarté.

De la géopolitique au bâtiment individuel

Au niveau macro, un pays fait beaucoup de choses correctement. Des investissements sont réalisés dans la cyberdéfense, dans les centres de données nationaux, dans les réseaux télécoms, dans la sécurité énergétique, dans les infrastructures militaires, dans les secteurs vitaux et dans les communications d'urgence. Ce sont des investissements justifiés et nécessaires. Ils constituent le socle d'une société moderne entièrement dépendante des services numériques.

La question rarement posée est de savoir ce qu'il en est un niveau plus bas. Dans quelle mesure protégeons-nous l'infrastructure numérique des bureaux, des bâtiments d'entreprise, des centres logistiques, des hôpitaux, des établissements de soins, des bâtiments publics, des écoles et des immeubles résidentiels ? C'est le domaine de ce que nous appelons la résilience numérique au niveau micro.

C'est une question inconfortable, car la réponse reste souvent inconnue. De nombreux propriétaires et occupants savent précisément comment leur sécurité incendie est organisée, mais n'ont aucune idée claire de qui a accès à leur salle serveur. Or, c'est précisément cette information qui est essentielle pour comprendre à quel point un bâtiment est vulnérable sur le plan numérique.

Une question qui dérange

Posons la question sans détour. Quelle est la valeur d'une stratégie nationale de cybersécurité sophistiquée si, dans un bâtiment d'entreprise, n'importe qui peut accéder sans surveillance à la baie de brassage ? Ou, de façon plus concrète encore : nous protégeons soigneusement nos frontières numériques, mais la porte de la salle serveur est-elle seulement fermée à clé ?

Un pays peut investir des milliards dans la cyberdéfense, la chaîne se brise malgré tout au niveau du local technique non surveillé, au fond du couloir.

L'infrastructure numérique est physique

Derrière chaque service numérique se cache un principe important : internet paraît virtuel, mais l'infrastructure qui le porte est physique. Presque tous les services en ligne reposent en fin de compte sur des câbles, de la fibre optique, des routeurs, des commutateurs, des antennes, des serveurs, des locaux techniques, une alimentation électrique, un système de refroidissement et des centres de données.

Le cloud donne l'impression que les données flottent quelque part dans les airs. En réalité, ce cloud repose sur du matériel bien réel, dans un bâtiment, raccordé à une alimentation et à une connexion. Et ce matériel, y compris les équipements présents dans votre propre bâtiment, peut être touché, déplacé, éteint ou endommagé. L'accès physique à l'infrastructure numérique est ainsi devenu un volet à part entière de la cybersécurité, et non une simple condition annexe que l'on délègue à un unique fournisseur.

Ce constat change notre regard sur un bâtiment. La porte de la salle serveur n'est plus un détail secondaire, mais un maillon de la résilience numérique de toute l'organisation qui y travaille.

Des vulnérabilités familières au niveau du bâtiment

Les vulnérabilités sont souvent banales et facilement reconnaissables. Pensez à des situations comme :

• une salle serveur dont plusieurs prestataires possèdent la même clé ;
• une baie de brassage installée dans un couloir accessible au public ;
• des routeurs ou modems 4G/5G inconnus, sans propriétaire identifié ;
• d'anciens commutateurs dont plus personne n'assume la responsabilité ;
• des raccordements en fibre optique non sécurisés ;
• des locaux techniques discrètement transformés en espace de rangement ;
• des équipements sans documentation à jour ;
• une seule connexion internet, sans aucune redondance ;
• des caméras et des systèmes de contrôle d'accès reliés à des réseaux mal documentés ;
• des prestataires disposant de connexions à distance permanentes ;
• des équipements IoT non répertoriés qui communiquent sur le réseau.

L'enseignement principal est qu'un attaquant n'a pas toujours besoin d'être un pirate informatique sophistiqué. Parfois, un simple accès physique au matériel suffit à provoquer une perturbation considérable. Celui qui peut atteindre discrètement un commutateur ou une baie de brassage n'a pas besoin d'exploiter une faille logicielle.

Voir au-delà du vol de données

La sécurité numérique ne se limite pas au vol d'informations. La disponibilité est tout aussi essentielle. La question pertinente n'est pas toujours de savoir si quelqu'un va voler vos données, mais ce qui se passe si quelqu'un coupe simplement votre réseau. Quels processus tombent alors en panne ?

Cette liste est souvent plus longue qu'on ne l'imagine : téléphonie, logiciels cloud, paiements, systèmes de contrôle d'accès, caméras, logistique, production, gestion technique du bâtiment, ascenseurs et outils de visioconférence. Pour de nombreuses organisations, la connexion réseau est désormais aussi essentielle que l'électricité. Sans réseau, le travail s'arrête, quelle que soit par ailleurs la sécurité des données stockées.

La disponibilité constitue donc un thème central dans la manière dont IT-Label aborde la redondance réseau. Une seconde connexion, indépendante de la première, n'est pas un luxe mais une forme de continuité dont on ne mesure la valeur qu'au moment où la première connexion tombe en panne.

Combien de temps dure le rétablissement ?

Nous parlons beaucoup des sauvegardes de données. Mais disposons-nous aussi d'un plan de rétablissement pour l'infrastructure elle-même ? C'est une autre question, et elle reste souvent sans réponse. Que se passe-t-il si un câble en fibre optique est endommagé, si une baie de brassage est sabotée, si des commutateurs sont retirés, si des équipements tombent en panne à cause d'un incendie ou d'un dégât des eaux, ou si la salle serveur devient tout simplement inaccessible ?

La question centrale est la suivante : combien de temps faut-il pour rendre un bâtiment de nouveau opérationnel sur le plan numérique ? Une heure, une journée, une semaine ? Chacun de ces scénarios a des conséquences différentes sur le chiffre d'affaires et la continuité de l'activité. Sans connaître la réponse, il est impossible d'évaluer le risque. Comprendre ce que coûte réellement une panne internet commence par une bonne connaissance de sa propre infrastructure.

Où la réglementation réunit le numérique et le physique

Cette évolution se reflète désormais aussi dans la législation. Depuis le 15 août 2026, les Pays-Bas appliquent la loi sur la cybersécurité (Cyberbeveiligingswet) et la loi sur la résilience des entités critiques (Wet weerbaarheid kritieke entiteiten). La loi sur la cybersécurité vise la résilience numérique des organisations. La loi sur la résilience des entités critiques renforce quant à elle la résilience physique et opérationnelle des organisations essentielles, notamment contre le sabotage.