Pourquoi une vidéoprotection souveraine dans le secteur de l’industrie est-ce important ?

Pendant longtemps, la vidéosurveillance d’un site industriel a été un sujet de gardiennage. On installait des caméras, on branchait un enregistreur dans un local technique, et l’affaire était close. La direction des systèmes d’information n’était pas dans la boucle — il n’y avait pas grand-chose à y mettre.

Ce temps est passé. Une caméra contemporaine est un ordinateur : elle a un système d’exploitation, une adresse sur votre réseau, des comptes utilisateurs, et elle produit un flux de données en continu. Multipliée par quarante sur un site, puis par le nombre de sites du groupe, elle devient l’un des parcs d’objets connectés les plus étendus de l’entreprise — et souvent le moins bien tenu.

C’est la raison pour laquelle le SEPEM Toulouse 2026 crée un Village Sûreté & Sécurité qui traite dans le même espace la cybersécurité industrielle, la protection des données, la sûreté des sites, la 5G privée et la gestion des risques. Ces sujets ont cessé d’être séparés.

Qu’appelle-t-on une solution de vidéoprotection souveraine ?

La nuance est importante, parce que « données hébergées en France » ne suffit pas. Un centre de données situé en France mais opéré par une société soumise à une législation extraterritoriale ne place pas vos images hors d’atteinte de cette législation. La question n’est pas seulement où sont les données, mais de quel droit elles relèvent et qui détient techniquement les clés.

Pourquoi la question arrive maintenant sur le bureau du DSI

Trois mouvements se sont rejoints.

Le premier est réglementaire. La directive européenne NIS2 élargit sensiblement le périmètre des organisations soumises à des obligations de cybersécurité, en y intégrant des secteurs industriels et logistiques jusqu’ici hors du champ. Le RGPD, lui, encadre depuis 2018 le traitement des images dès lors qu’elles permettent d’identifier des personnes — ce qui est le cas dans une zone de production où travaillent des salariés.

Le deuxième est technique. Les attaques qui touchent les industriels passent de plus en plus par des équipements périphériques mal tenus, dont les caméras font partie : firmwares jamais mis à jour, comptes d’usine conservés, absence de segmentation réseau. Une caméra oubliée sur le même VLAN que la production est une porte.

Le troisième est contractuel. Un système dont l’exploitation dépend d’un service en ligne étranger est un système dont la disponibilité vous échappe. Un changement de politique tarifaire, l’arrêt d’une gamme ou une décision réglementaire lointaine peuvent rendre inexploitable une installation que vous avez payée.

Les trois questions à poser à votre prestataire

Elles tiennent en trois phrases et se posent sans être spécialiste. Ce sont les réponses qui sont instructives.

1. Où sont hébergées les images, et de quel droit relève l’hébergeur ?

Demandez le pays d’implantation des serveurs et la nationalité de la société qui les opère. Une réponse précise est un bon signe ; une réponse qui parle de « cloud sécurisé » sans nommer ni le lieu ni l’opérateur en est un mauvais.

2. Qui peut techniquement accéder aux flux, en dehors de mes équipes ?

Tout système supervisé implique des accès de maintenance. La question n’est pas de les supprimer, mais de savoir qui les détient, comment ils sont tracés, et si vous pouvez les révoquer vous-même. Un prestataire sérieux vous montre le journal des accès sans que vous ayez à insister.

3. Que se passe-t-il si vous cessez votre activité ou arrêtez ce produit ?

C’est la question qui met en lumière les dépendances. Si la réponse est que le matériel devient inexploitable, vous ne possédez pas votre installation : vous en louez l’usage, à des conditions révisables.

Une caméra est un équipement réseau : ce que ça implique

Traiter le parc vidéo comme un parc informatique change les pratiques. Les points que nous vérifions systématiquement lors d’un audit de site industriel :

• Segmentation réseau — le parc vidéo doit être isolé du réseau de production et du réseau bureautique.
• Comptes et mots de passe — aucun compte d’usine conservé, des identifiants nominatifs, des droits différenciés selon les profils.
• Mise à jour des firmwares — avec un inventaire des équipements et un cycle de mise à jour défini, pas au coup par coup.
• Chiffrement des flux — entre les caméras, l’enregistreur et les postes d’exploitation.
• Traçabilité des consultations — savoir qui a visionné quoi, et quand. C’est aussi une exigence RGPD.
• Durées de conservation — paramétrées et documentées, avec purge automatique à l’échéance.

Sur ce dernier point, un rappel utile : le RGPD impose que la durée de conservation soit limitée à ce qui est nécessaire, que les personnes filmées soient informées, et qu’un dispositif ne place pas un salarié sous surveillance permanente à son poste. Les modalités précises se vérifient auprès de la CNIL, qui publie des recommandations sectorielles régulièrement actualisées.

Et si l’installation existante ne coche pas ces cases ?

C’est la situation la plus fréquente, et elle n’appelle pas un remplacement complet. Sur les sites industriels que nous reprenons, une part significative du matériel en place reste exploitable : ce qui manque, c’est généralement la couche de supervision, la tenue du parc et la maîtrise des accès — pas les caméras.

La démarche que nous proposons commence donc par un inventaire de l’existant : ce qui est conservable, ce qui doit être remplacé pour des raisons de sécurité, et ce qui peut attendre. Les contrats en cours sont repris à leur échéance, site par site, sans rupture de service. C’est plus lent qu’un remplacement en bloc, et beaucoup moins coûteux.

Questions fréquentes