Sécurité privée / Filtrage temporaire
Une panne de contrôle d’accès ne supprime pas les autorisations. Elle oblige à les vérifier autrement, tout en préservant les sorties et le fonctionnement du site.
Responsables de site et gestionnaires · Lecture : 28 minutes · Repères consultés le 1er octobre 2026
Une entreprise de sécurité privée peut assurer ce relais. Les agents doivent savoir quels accès surveiller, quelle liste utiliser et qui appeler lorsqu’une autorisation manque.
Table des matières
- Comprendre la panne et les fonctions perdues
- Préserver les sorties et l’évacuation
- Attribuer les responsabilités
- Choisir une source d’autorisation fiable
- Traiter les admissions et les exceptions
- Organiser les passages
- Dimensionner la présence
- Respecter le cadre légal
- Coordonner la remise en service
- Tracer la panne et les décisions
- Protéger les informations provisoires
- Réexaminer un dispositif qui dure
- Valider le retour à la normale
- Préparer une mission temporaire
- Questions fréquentes
Identifier la défaillance
Panne de contrôle d’accès : qu’est-ce qui ne fonctionne plus ?
Un badge refusé, une porte qui ne verrouille plus et un logiciel indisponible ne produisent pas le même besoin. Le premier peut même correspondre à un refus légitime : autorisation expirée, horaire non permis ou droit retiré. Une procédure de secours ne doit pas rétablir, par habitude, un accès volontairement supprimé.
L’ANSSI distingue les pannes partielles du contrôle d’accès et recommande des procédures adaptées aux fonctions perdues. Le constat utile porte donc sur chaque passage concerné : ce qui ouvre, ce qui ferme, ce qui valide encore les droits et ce qui enregistre réellement les événements.[1]
Le serveur ne répond plus
Certains contrôleurs disposent d’une copie locale des autorisations. Paxton décrit, pour ses contrôleurs Net2 Plus, un maintien des décisions d’accès lors d’une perte de communication, puis une remontée des événements au rétablissement. Ce fonctionnement n’est pas une propriété universelle : il dépend de l’équipement et de sa configuration.[2]
Une installation peut donc continuer à reconnaître les badges existants tout en ne permettant plus de créer, modifier ou révoquer normalement des droits depuis le poste de gestion. Pour le responsable, la question n’est plus seulement « les salariés passent-ils ? », mais aussi « les changements décidés aujourd’hui sont-ils effectivement appliqués ? »[1]
L’alimentation est coupée
Un verrouillage à rupture de courant et un verrouillage à émission de courant n’ont pas le même comportement à la perte d’alimentation : selon le dispositif, l’accès peut se libérer ou rester verrouillé côté entrée. Faites confirmer le comportement réel par le mainteneur, sans en déduire que les conditions de sortie sont satisfaisantes.[3]
Évacuation et accessibilité
Sécuriser l’entrée ne doit jamais compromettre la sortie
Une porte d’entrée peut également participer à l’évacuation. La condamner, ajouter un verrou ou déplacer la file devant une autre issue peut sembler une solution simple pour empêcher les passages. Ces mesures risquent pourtant de mettre en danger les personnes déjà présentes.
Dans les lieux de travail, les dégagements doivent rester libres et conserver leur largeur nécessaire. Les portes des dégagements réglementaires doivent s’ouvrir par une manœuvre simple ; une porte verrouillée doit pouvoir être manœuvrée de l’intérieur sans clé. Ces points relèvent respectivement des articles R. 4227-4 et R. 4227-6 du Code du travail.[4]
En établissement recevant du public, le verrouillage des sorties de secours obéit également à des conditions particulières. La panne d’un lecteur n’autorise pas à improviser un nouveau système de fermeture.[4] L’articulation entre sûreté, évacuation et exploitation est notamment au cœur de la sécurité des ERP et IGH.
Le parcours provisoire doit aussi rester accessible et permettre l’arrivée des secours. Réduire le nombre d’entrées ordinaires peut être une option, mais seulement après examen des circulations, des sorties et des conditions d’exploitation par les responsables compétents.
La présence d’un agent ne compense pas toutes les défaillances. Si la panne affecte l’évacuation ou une fonction de sécurité incendie, le maintien de toute l’activité ne peut pas être considéré comme acquis. Il faut faire déterminer les mesures adaptées avant de poursuivre.
Responsabilités
Décider des règles provisoires et répartir les responsabilités
Le filtrage devient incohérent lorsque l’accueil laisse passer les habitués, que la maintenance demande de bloquer une porte et qu’un responsable fait entrer ses visiteurs par un autre accès. Le problème n’est plus seulement technique : personne ne partage la même règle.
Un mode dégradé est une organisation provisoire permettant de poursuivre certaines activités avec des moyens différents. Le guide de continuité d’activité du SGDSN relie ce fonctionnement aux priorités, aux ressources, aux responsabilités et aux conditions de retour à la normale.[5] Pour une panne de contrôle d’accès, la décision d’activation devrait préciser les accès concernés, les fonctions perdues, les admissions maintenues, le décideur et le moment du prochain réexamen.
Le responsable du site décide
Il fixe, ou fait fixer par une personne dûment déléguée, les catégories admises, les zones accessibles, les activités prioritaires et les exceptions autorisables. Il ne transfère pas implicitement ce pouvoir à toute personne qui répond au téléphone.
Le prestataire organise
Il affecte les moyens, encadre les agents, prévoit les relèves et remonte les difficultés. Son superviseur peut arbitrer l’exécution de sa prestation ; il n’est pas automatiquement habilité à modifier les droits du client.
L’agent applique et vérifie
Il traite les admissions préautorisées et les délégations prévues, consigne les éléments utiles et sollicite une décision en cas d’écart. La pression de la file ne doit pas lui faire inventer une dérogation.
Le mainteneur rétablit
Il traite la défaillance technique. L’informatique et le responsable de la sécurité des systèmes d’information interviennent lorsque les communications, les données ou leur fiabilité sont en cause.
Le Code de déontologie impose au prestataire des instructions compréhensibles, précises et contrôlées. « Faites entrer les personnes que vous connaissez » ne définit ni une autorisation ni une limite de mission.[6]
Dans un immeuble partagé, la répartition doit aussi distinguer le gestionnaire des parties communes et chaque entreprise occupante. Une validation pour les bureaux d’un locataire ne vaut pas accès général au bâtiment. C’est un point à intégrer à la sécurité des immeubles de bureaux, et pas seulement à la réparation du lecteur.
Autorisations à jour
Sur quelle liste les agents peuvent-ils s’appuyer ?
Reconnaître un visage, voir un badge ou connaître le nom d’un salarié ne suffit pas à savoir s’il est autorisé à entrer aujourd’hui, à cette heure et dans cette zone. La CNIL recommande de distinguer les zones selon leurs risques et de tenir à jour les personnes ou catégories qui peuvent y accéder.[7]
Pendant la panne, une liste validée, un export hors connexion ou un planning peut servir de référence. Mais il faut savoir qui l’a validé, à quelle date, pour quel périmètre et selon quel circuit les modifications sont transmises. Une copie disponible n’est pas nécessairement une copie actuelle.
Garder les retraits de droits à jour
Un nouveau salarié peut manquer sur une liste. À l’inverse, un prestataire dont la mission vient de se terminer peut encore y figurer. Un badge perdu ou un rendez-vous annulé peut rendre une information récente déjà inexacte. Les changements doivent donc être pris en compte pendant l’interruption, même lorsque l’administration habituelle du système est indisponible.
La consigne doit indiquer quelle version fait foi et comment l’agent reçoit les changements. Pour une modification importante, une confirmation de réception est préférable à la simple hypothèse qu’un message envoyé a été lu.
Prévoir une source indépendante
Une procédure stockée uniquement dans l’application inaccessible ne constitue pas un secours. Le même problème se pose avec un annuaire de contacts disponible seulement sur le réseau défaillant. Prévoir des supports utilisables et des interlocuteurs connus rejoint les recommandations de continuité et de reprise de la CNIL.[8]
L’agent n’a besoin que des éléments utiles à sa mission, pas de l’ensemble d’un dossier de ressources humaines. Si aucune source fiable n’existe, le responsable doit définir ce qui reste autorisable et ce qui doit attendre. L’absence d’information ne se remplace ni par l’apparence ni par l’assurance de la personne à l’entrée.
Décisions à l’entrée
Autoriser, faire confirmer ou ne pas admettre : trois décisions différentes
Un filtrage provisoire ne doit pas se résumer à une liste de noms. Il doit organiser la réponse lorsqu’un nom manque, qu’une visite a changé ou qu’une personne demande une autre zone. Les propositions ci-dessous sont à formaliser avec le client ; elles ne créent pas de nouveaux pouvoirs pour les agents.
Un salarié récemment arrivé, un visiteur dont l’hôte ne répond pas et un intervenant habituel ne demandent pas exactement la même vérification. Pour le premier, le problème peut être une mise à jour absente. Pour le deuxième, il faut un relais d’accueil. Pour le troisième, il faut confirmer que la mission est toujours valable. Aucune de ces situations ne se tranche uniquement par la familiarité.
Le technicien venu réparer le contrôle d’accès doit lui aussi être attendu ou confirmé. Son motif est plausible, mais l’admission reste limitée à son intervention. L’autoriser à franchir l’entrée n’autorise pas automatiquement l’accès à tous les locaux techniques ni toute manipulation.
Cas illustratif · Intervention de maintenance
Ce que devrait préciser un « oui, laissez-le entrer »
Une entreprise de maintenance est admise pour une intervention confirmée. La validation permet de retrouver le responsable qui l’a donnée et les limites convenues.
Objet
Intervention annoncée sur l’équipement concerné.
Autorité
Référent habilité, contacté avec les coordonnées de référence du site.
Périmètre
Zone nécessaire à l’intervention, avec accompagnement si prévu.
Validité
Créneau défini et réexamen si l’intervention se prolonge.
Un numéro communiqué par la personne qui demande l’entrée ne devrait pas être l’unique moyen de valider son propre accès. Utilisez les contacts de référence et le suppléant prévu. Si la personne demande ensuite une zone plus sensible, une nouvelle validation doit porter sur cette zone : le premier accord n’est pas un laissez-passer général.
Les services de secours et les autorités disposant de prérogatives légales relèvent de leurs procédures propres. Ils ne doivent pas être traités mécaniquement comme des visiteurs ordinaires dont le rendez-vous manquerait dans la liste.
Circulation provisoire
Maintenir le filtrage dans la circulation réelle du site
Une liste exacte ne protège pas un passage que d’autres personnes peuvent franchir pendant la vérification. L’organisation doit couvrir toute la séquence : arriver, attendre, être vérifié, obtenir éventuellement une validation, franchir l’accès puis rejoindre la destination autorisée.
Concentrer les admissions sur un point peut faciliter le contrôle si l’exploitation, l’accessibilité et la sécurité le permettent. Cela ne doit pas condamner des dégagements nécessaires ni installer un obstacle devant une sortie.[4] Informer les entrants du passage temporaire évite également qu’ils cherchent spontanément une autre porte.
Les demandes qui prennent du temps
Lorsqu’un échange nécessite un appel ou une recherche, prévoyez un espace d’attente adapté, distinct du flux rapide si la configuration le permet. Il ne s’agit pas de déplacer une personne vers un lieu de rétention, mais de permettre une vérification sans laisser la file dicter la décision.
Il faut aussi organiser l’accompagnement. La CNIL recommande qu’un visiteur soit accompagné hors des zones d’accueil ouvertes au public par un membre de l’organisme.[7] Si l’agent est seul au passage, lui demander d’escorter le visiteur ailleurs crée une interruption de contrôle. Ce relais doit être identifié avant la première demande.
Les véhicules et les piétons
Un accès véhicules impose de prévoir l’attente, l’échange avec le conducteur, la destination et la coexistence avec les piétons. L’admission d’un véhicule ne doit pas valoir autorisation générale pour tous ses occupants et toutes les zones. Le contrôle provisoire doit rester dans le périmètre confié.
Une file débordant sur la rue ne donne pas aux agents une compétence générale de police ou de régulation de la circulation. La surveillance sur la voie publique reste soumise au cadre particulier prévu par le Code de la sécurité intérieure.[9]
Effectifs et relèves
Filtrage temporaire : dimensionner la présence pour les pointes
Pour répondre à une panne de contrôle d’accès, le volume total des passages est moins utile, à lui seul, que leur concentration. Une même journée peut comporter de longues périodes calmes et quinze minutes où les salariés, les visiteurs et les techniciens arrivent ensemble.
Exemple théorique
30 minutes
de vérification à absorber
dans un créneau de 15 minutes.
60 arrivées × 30 secondes = 1 800 secondes de travail.
Un seul agent ne peut pas absorber ce volume en quinze minutes. Deux agents n’offriraient qu’une capacité théorique sans marge, avant les appels, attentes de validation ou incidents. Cet exemple illustre une charge ; ce n’est pas un ratio de dimensionnement.
Le besoin doit donc intégrer la durée réelle des contrôles, la fréquence des exceptions, les accompagnements et le maintien du passage lorsqu’un agent est mobilisé. Ajouter une personne à l’entrée peut rester insuffisant si toutes les demandes attendent le même décideur injoignable.
Un agent de sécurité chargé du filtrage doit disposer d’une mission praticable, d’informations utilisables et d’un relais. Le nombre de postes tenus simultanément se distingue du nombre de salariés nécessaire pour les couvrir pendant toute la durée prévue.
Prévoir les pauses et les relèves
Le remplacement pendant une pause, les besoins d’assistance et les retards de relève doivent avoir une réponse connue. Déplacer un agent depuis une autre fonction indispensable ne crée pas une ressource supplémentaire : cela laisse une autre mission à découvert.
Lorsque le poste expose à l’isolement, notamment la nuit, il faut évaluer les risques, prévoir l’alerte et organiser une réponse effective. L’INRS rappelle qu’un dispositif d’alarme pour travailleur isolé ne remplace pas l’ensemble de la prévention ni l’organisation des secours.[10] Le bon raisonnement n’est donc pas « une porte, un agent », mais « quelles tâches et quels relais pour ce passage ? »
Cadre de la mission
Le cadre légal reste le même pendant le filtrage provisoire
Autorisations professionnelles
Pour une prestation relevant de la surveillance et du gardiennage, l’entreprise doit disposer de l’autorisation d’exercice correspondante et les agents d’une carte professionnelle valide pour l’activité confiée. La carte d’un agent ne remplace pas l’autorisation de l’entreprise qui vend la mission.[11]
Vérification des justificatifs
La procédure peut prévoir les justificatifs nécessaires à une admission, dans un cadre justifié et proportionné. Elle ne confère pas le pouvoir général de contrôle d’identité des autorités habilitées. Pour les salariés, les garanties liées aux droits et libertés au travail demeurent applicables.[12]
Un droit d’entrée non établi n’autorise pas, à lui seul, à retenir une personne. L’agent doit distinguer l’attente ou la non-admission prévues de toute contrainte, qui relève d’autres conditions légales. Appeler un responsable ou les forces de l’ordre ne crée pas automatiquement un droit de rétention.[13]
Fouilles, palpations et refus
L’inspection visuelle d’un bagage et sa fouille ne se confondent pas : la fouille exige le consentement de son propriétaire. La palpation relève d’un cadre spécifique. Ni un lecteur défaillant ni un badge refusé ne créent, en eux-mêmes, les conditions pour imposer un contrôle corporel.[13]
Enfin, le filtrage reste courtois et non discriminatoire. L’apparence, la tenue ou l’aisance d’une personne ne doivent pas remplacer la vérification de son autorisation.[13] Une consigne provisoire doit simplifier la décision, pas élargir les pouvoirs du poste.
Réparation et essais
Réparer le système sans interrompre le contrôle humain
Pendant la réparation et les essais
L’arrivée du mainteneur n’est pas la fin du dispositif provisoire. Les essais peuvent modifier temporairement le comportement d’un passage ; certaines portes peuvent être rétablies avant d’autres. La sécurité doit savoir où se déroulent les opérations et à quel moment une modification est attendue.
Convenez d’un canal entre le responsable du site, le technicien et le poste de filtrage. Une annonce comme « nous testons le passage concerné, le contrôle humain reste en place » est plus utile qu’un message général affirmant que le système devrait fonctionner bientôt.
L’admission du technicien et l’autorisation de son intervention restent deux sujets. Les entreprises doivent coordonner les risques liés aux travaux, aux circulations et aux équipements. L’INRS rappelle notamment la nécessité d’une inspection commune préalable et de l’analyse des risques d’interférence dans le cadre applicable aux entreprises extérieures.[14]
Lorsque le doute porte sur la fiabilité des droits
Une indisponibilité n’est pas nécessairement une cyberattaque. Mais des autorisations incohérentes peuvent conduire les responsables techniques à examiner l’intégrité du système. L’ANSSI prévoit le cas où la fiabilité du contrôle est remise en cause et doit être compensée par d’autres mesures de sécurité.[1]
Dans ce contexte, un fichier encore lisible n’est pas automatiquement une référence digne de confiance. Le choix d’une source de secours et sa validation doivent intégrer le doute identifié par l’informatique. Les décisions d’isolement, de redémarrage ou de réinitialisation appartiennent aux intervenants compétents.
Il faut également préserver les éléments utiles à l’analyse. Le CERT-FR recommande de qualifier l’incident, de mobiliser les spécialistes et de sauvegarder les traces pertinentes.[15] L’agent n’est pas un réparateur de substitution et ne devrait pas improviser une manipulation susceptible d’effacer des informations.
Suivi de la panne
Distinguer le suivi de la panne, les passages et les exceptions
Une panne de contrôle d’accès peut faire perdre la vision habituelle des passages. Le relais manuel doit conserver ce qui est utile sans prétendre recréer des informations qui n’existent plus. Pour l’organisation, distinguez trois objets plutôt que de tout mélanger dans une ligne « incident technique ».
La chronologie de la panne
Découverte, activation du mode dégradé, début effectif de la présence humaine, modifications du périmètre et remise en service. Elle décrit la période et les moyens réellement disponibles.
Les passages à enregistrer
Les informations pertinentes pour les admissions selon la finalité convenue. Un registre ouvert après la panne ne décrit pas rétrospectivement les personnes déjà présentes.
Les décisions exceptionnelles
La validation obtenue, son auteur, sa portée et sa durée. Elle permet à l’équipe suivante de comprendre quelles dérogations produisent encore des effets.
Le début de la panne n’est pas le début de la prestation. Un renfort arrivé après le dysfonctionnement ne peut pas attester une surveillance de la période antérieure. Une lacune de journalisation doit rester identifiée comme une lacune, pas être remplacée par des événements supposés.
Les éléments enregistrés doivent rester pertinents pour la finalité poursuivie.[16] La main courante peut documenter les faits et les décisions, sans devenir une reconstitution artificielle des journaux du logiciel.
Transmettre les autorisations encore actives à la relève
L’agent suivant doit recevoir la version actuelle des consignes, les modifications d’autorisations, les demandes en attente, les exceptions encore actives et les interventions techniques en cours. Il doit également connaître le prochain point de décision.
Une autorisation donnée pour une intervention qui se prolonge doit être réexaminée, pas oubliée au changement d’équipe. Les modifications importantes doivent faire l’objet d’une transmission comprise et confirmée. C’est ainsi que le mode provisoire reste cohérent sur plusieurs vacations.
Protection des données
Une liste papier reste une liste de données personnelles
Passer du logiciel au papier ne fait pas sortir le dispositif du RGPD. Un registre structuré contenant des données personnelles reste concerné. Service Public rappelle que les fichiers papier doivent aussi être protégés.[17]
Vérifier sans constituer un dossier sur chaque entrant
Le besoin est d’établir un droit d’accès, pas d’accumuler des informations. Vérifier une autorisation ne justifie pas de photocopier systématiquement les pièces d’identité : chaque donnée collectée doit être nécessaire à la finalité poursuivie.[16] Une photographie prise par commodité sur un téléphone personnel ne doit pas devenir le fonctionnement par défaut.
Conservez les supports hors de la vue du public et limitez leur accès aux personnes qui en ont besoin. Un visiteur ne doit pas pouvoir lire les coordonnées ou les motifs de visite des précédents. La CNIL recommande de ne pas exposer d’informations confidentielles dans les espaces d’accueil.[7]
Prévoir l’utilisation et la fin de conservation
La fiche CNIL sur les accès au travail, actualisée le 17 juin 2026, indique que les données d’identification peuvent rester actives durant l’habilitation et que les journaux d’accès devraient être supprimés trois mois après leur enregistrement. Ce repère ne signifie ni qu’il faut tout conserver trois mois ni que chaque dossier d’incident a la même durée.[18]
Les données collectées pour la sécurité des accès ne doivent pas être détournées pour contrôler les horaires des salariés. L’information des personnes, le registre des traitements et les obligations envers les représentants du personnel doivent être examinés lors de l’évolution du dispositif.[18]
Clarifier le rôle du prestataire et le traitement d’un incident de données
Si le prestataire traite les informations pour le compte du client en qualité de sous-traitant, cette intervention doit être encadrée : instructions, confidentialité, sécurité, signalement des incidents et sort des données à la fin de la mission. La qualification dépend du rôle réellement exercé.[19]
Une panne mécanique n’est pas automatiquement une violation de données. Une atteinte à leur disponibilité, leur intégrité ou leur confidentialité appelle en revanche une analyse. Lorsqu’une notification à la CNIL est requise en raison du risque pour les personnes, elle intervient dans les meilleurs délais et, si possible, au plus tard dans les 72 heures suivant la prise de connaissance de la violation par le responsable du traitement.[20]
Prolongation de la panne
Réévaluer le filtrage si la réparation se prolonge
Un fonctionnement acceptable pendant une interruption courte ne reste pas nécessairement adapté après plusieurs jours. Les personnes attendues changent, des missions se terminent, les équipes tournent et la durée annoncée par le mainteneur peut être repoussée.
Le dispositif devrait être réexaminé lors d’un report de remise en service, d’une nouvelle journée d’exploitation ou d’une modification importante des flux. Il faut revoir les autorisations, les référents joignables, la couverture des pauses et les moyens de communication, pas seulement prolonger la facture.
La CNIL recommande de prévoir le retour au fonctionnement normal et de traiter les nouveaux risques d’un fonctionnement dégradé, plutôt que d’abaisser la protection sans les prendre en compte.[8] Pour le filtrage, cela suppose des limites d’exploitation connues.
Reconnaître le moment où le dispositif ne peut plus remplir sa mission
Une source d’autorisation devenue peu fiable, l’impossibilité de joindre un décideur, un passage matériellement incontrôlable ou une file incompatible avec la sécurité sont des motifs de réexamen immédiat. L’agent doit pouvoir remonter la limite et obtenir une décision, sans être laissé seul avec une injonction générale à « faire au mieux ».
Selon les circonstances, la réponse peut être un renfort, une restriction de certaines admissions, le report de visites ou la suspension de l’activité concernée. Le responsable compétent doit l’arbitrer dans le cadre prévu, avec les spécialistes nécessaires lorsque la sécurité des personnes est en cause.
Maintenir l’activité ne signifie pas nécessairement maintenir toutes les activités, tous les accès et toutes les admissions.
Retour au fonctionnement normal
Fin de panne du contrôle d’accès : un badge qui ouvre ne suffit pas
Le logiciel se relance, un premier badge ouvre la porte et la file se remet à avancer. Cela ne prouve pas encore que les droits retirés sont bloqués, que les nouvelles autorisations sont appliquées ni que l’enregistrement a repris. Une ouverture réussie ne teste qu’une partie du fonctionnement.
Le SGDSN prévoit une reprise organisée, éventuellement progressive.[5] Pour ce sujet, il faut distinguer la réparation technique, la validation du contrôle et la décision de lever la présence provisoire. Les vérifications ci-dessous sont des points à intégrer à un protocole autorisé, réalisé par les personnes compétentes ; elles ne sont pas des manipulations à improviser au poste.
Les autorisations et les refus
Vérifier les accès permis mais aussi ceux qui doivent rester refusés, selon les zones, les créneaux et les retraits intervenus pendant la panne. Les tests doivent porter sur les décisions attendues, pas seulement sur un badge connu.
Le passage physique
Confirmer que l’ouverture, la fermeture et le verrouillage réels correspondent au fonctionnement attendu. L’affichage informatique et le comportement de la porte doivent être cohérents.
L’administration des droits
Vérifier les créations, modifications et suppressions, ainsi que leur prise en compte par les équipements concernés. Les changements décidés pendant la panne ne doivent pas rester à côté du système rétabli.
La traçabilité et les dérogations
Identifier la reprise de l’enregistrement et les lacunes persistantes. Récupérer les supports temporaires, clore ou régulariser les autorisations exceptionnelles, puis appliquer les règles de conservation retenues.
La sécurité et la bascule
Faire vérifier les fonctions de sécurité affectées par les intervenants compétents. Communiquer l’heure de bascule, les accès réellement rétablis et les réserves. Retirer le dispositif humain selon une décision explicite.
Une remise en service partielle peut justifier de conserver un filtrage humain sur certains accès seulement. Une période d’observation peut être décidée selon le risque et les constats, sans durée universelle à appliquer à tous les sites.
Le retour d’expérience doit ensuite porter sur les difficultés réellement rencontrées : liste trop ancienne, approbateur indisponible, attente excessive ou information perdue à la relève. L’objectif est de rendre la prochaine interruption plus maîtrisable, pas de produire un document sans suite.
Préparer la prestation
Quelle prestation prévoir pendant la panne du contrôle d’accès ?
Pour obtenir une proposition utile, décrivez d’abord ce qui est perdu et ce qui doit continuer : les accès touchés, leur comportement réel, les horaires, les pointes de fréquentation, les catégories d’entrants et les informations encore disponibles. Précisez les décideurs joignables et l’état connu de la remise en service.
Indiquez aussi les ressources déjà présentes : accueil, sécurité, maintenance, accompagnateurs et communications. Elles permettent de construire les relais sans compter deux fois la même personne ni laisser une fonction sans titulaire. Les plans détaillés, les coordonnées opérationnelles et les règles d’exception doivent rester dans les échanges confidentiels nécessaires à la mission.
Les éléments attendus dans la proposition
Le prestataire doit expliquer les postes effectivement tenus, la couverture des horaires, les relèves, l’encadrement, les consignes et les limites du service. L’heure de démarrage confirmée doit être distinguée de celle du signalement de la panne. Une demande urgente n’équivaut pas à une présence déjà déployée.
Le coût dépend des postes simultanés, de la durée, de la complexité des vérifications et des tâches réellement demandées. Il faut aussi convenir des modalités de prolongation et de fin de mission si la réparation avance ou recule. Le devoir de conseil impose une offre expliquée et proportionnée au besoin, pas l’ajout automatique de moyens.[21]
Le filtrage temporaire doit permettre de vérifier les entrées et de maintenir les passages sous contrôle jusqu’à la remise en service. La proposition doit préciser les informations fournies aux agents, les décisions qu’ils peuvent appliquer et le responsable à joindre lorsqu’une situation sort des consignes.
Questions fréquentes sur le filtrage temporaire
Peut-on garder le site ouvert pendant une panne de contrôle d’accès ?
Cela dépend des fonctions touchées et des mesures provisoires possibles. Le responsable doit pouvoir maintenir les autorisations, contrôler les passages et préserver l’évacuation. Si une issue, une fonction incendie ou un accès sensible n’est plus maîtrisé, certaines admissions ou activités peuvent devoir être limitées. La présence d’un agent ne suffit pas à valider la poursuite de toute l’exploitation.[4]
Un badge refusé signifie-t-il que le contrôle d’accès est en panne ?
Non. Le refus peut correspondre à un droit expiré, à un horaire non autorisé ou à une suppression d’accès. Il faut rapprocher le refus du fonctionnement constaté et de la source d’autorisation validée. Laisser passer systématiquement les personnes connues risquerait de rétablir un accès qui avait été retiré.
Quelles informations transmettre à l’agent pour vérifier les entrées ?
Une référence validée indiquant les personnes ou catégories admises, les zones accessibles et les créneaux autorisés. Il lui faut aussi les modifications récentes, un contact habilité à décider et un suppléant joignable. Les supports doivent rester utilisables pendant la panne et ne contenir que les informations nécessaires au filtrage.[7]
Qui tranche lorsqu’un visiteur ne figure pas sur la liste ?
Le référent désigné par le site ou son suppléant, dans les limites de sa délégation. L’agent vérifie les éléments disponibles, puis demande la confirmation prévue. Une exception doit préciser la zone, la durée et l’accompagnement éventuel. Si personne ne répond, l’agent applique la procédure convenue d’attente ou de non-admission, sans présumer un accord.
Faut-il prévoir un agent devant chaque porte défaillante ?
Le nombre de portes ne suffit pas à déterminer l’effectif. Il faut regarder les passages qui restent ouverts, les pointes d’arrivée, les appels de validation et les tâches simultanées. Regrouper certaines admissions peut être étudié, à condition de préserver l’accessibilité et l’évacuation. Les pauses, les accompagnements et les relèves doivent également être couverts.
Peut-on tenir un registre papier pendant la panne ?
Oui, si ce support répond au besoin de traçabilité défini. Un registre structuré de données personnelles reste soumis aux règles de protection des données : informations nécessaires, accès limités, documents hors de la vue du public et durée de conservation adaptée. Il ne permet pas de reconstituer avec certitude les passages antérieurs à sa mise en place.[16][17]
Que prévoir si la réparation dure plus longtemps qu’annoncé ?
Les conditions de prolongation sont à convenir avec le prestataire, puis à confirmer selon les moyens disponibles. Il faut revoir les autorisations, les horaires, les relèves et les contacts joignables. Une organisation adaptée à quelques heures ne doit pas être reconduite plusieurs jours sans vérifier qu’elle reste praticable et suffisante.
Quand peut-on retirer le filtrage humain temporaire ?
Après une validation du fonctionnement, pas seulement après le retour du logiciel. Les personnes compétentes vérifient notamment les accès autorisés et refusés, les fermetures, les droits modifiés et la reprise des journaux. Le responsable confirme ensuite l’heure et le périmètre du retour à la normale. Un filtrage peut rester nécessaire sur les accès encore défaillants.[5]
Armure Sécurité / Paris et Île-de-France
Organiser un relais pendant la panne
Présentez les accès concernés, les horaires à couvrir et les moyens encore disponibles. Armure Sécurité étudie la faisabilité d’une présence humaine temporaire et son organisation avec votre responsable de site, selon les ressources mobilisables.
Sources et repères de lecture
Les références techniques et réglementaires ci-dessous ont été consultées le 1er octobre 2026. Les répartitions de rôles, cas d’admission et modalités de reprise proposés dans cet article sont des solutions d’organisation à adapter au site, pas une procédure réglementaire universelle. L’exemple d’autorisation et le calcul de charge sont illustratifs ; ils ne décrivent pas une mission client.
- ANSSI : Recommandations sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection, version 2.2. Section 12.4, pages imprimées 89 à 90 : pannes partielles, autonomie des contrôleurs, secours et remise en cause de la fiabilité.
- Paxton : Net2 Plus : fiche TDS-1038. Page 1 : maintien des décisions d’accès lors d’une perte de communication. Exemple de produit, non règle applicable à tous les systèmes.
- CDVI : What do fail safe and fail secure mean?. Différence de comportement des verrouillages à la perte d’alimentation ; l’installation doit être appréciée dans son ensemble.
- Légifrance : Code du travail, R. 4227-4 et R. 4227-6 ; Règlement ERP, article CO 46. Dégagements libres, manœuvre des portes et conditions particulières des sorties de secours en ERP.
- SGDSN : Guide pour réaliser un plan de continuité d’activité. Ressources critiques, responsabilités, fonctionnement dégradé et retour à la normale, notamment fiche 23.
- Légifrance : Code de la sécurité intérieure, R. 631-16. Consignes et contrôles internes du prestataire.
- CNIL : Sécurité : protéger les locaux. Zonage, autorisations à jour, accompagnement des visiteurs et protection des informations à l’accueil.
- CNIL : Prévoir la continuité et la reprise d’activité. Moyens de secours, interlocuteurs, protection des données et retour au fonctionnement normal.
- Légifrance : Code de la sécurité intérieure, L. 613-1. Périmètre habituel des missions et cadre des interventions sur la voie publique.
- INRS : Travail isolé : réglementation. Évaluation des risques, organisation des secours et limites du seul dispositif d’alarme.
- Légifrance : Code de la sécurité intérieure, L. 612-9 ; L. 612-20. Autorisation d’exercice de l’entreprise et conditions d’exercice des agents.
- Service Public et CNIL : Contrôle d’identité ; Accès aux locaux au travail. Autorités habilitées et garanties entourant le contrôle des accès professionnels.
- Légifrance : Code de la sécurité intérieure, L. 613-2 ; R. 631-10 ; R. 631-27. Bagages, cadre des palpations, limites de la contrainte et respect du public. L. 613-2 consulté dans sa version en vigueur depuis le 20 août 2026.
- INRS : Format et contenu des plans de prévention. Inspection commune et coordination des risques entre entreprise utilisatrice et entreprises extérieures.
- CERT-FR : Les bons réflexes en cas d’intrusion sur un système d’information. Qualification, mobilisation des spécialistes et préservation des traces.
- CNIL : Vérifier la pertinence des données. Finalité, minimisation et précautions dans les commentaires.
- Service Public Entreprendre : Obligations en matière de protection des données personnelles. Les traitements non informatisés et les fichiers papier sont également concernés.
- CNIL : L’accès aux locaux et le contrôle des horaires sur le lieu de travail. Fiche actualisée le 17 juin 2026 : finalités, accès aux données, information et durées de conservation.
- CNIL : Sous-traitance : exemple de clauses. Encadrement d’un traitement réalisé pour le compte d’un responsable de traitement.
- CNIL : Violations de données personnelles : les règles à suivre. Qualification d’une violation, risque, notification et rôle du sous-traitant.
- Légifrance : Code de la sécurité intérieure, R. 631-20. Conseil sérieux, explication des prestations et proportionnalité de l’offre.
Ce guide ne remplace pas l’analyse du site, les consignes validées ni les avis des responsables techniques et juridiques compétents. L’autorisation d’exercice d’une activité privée de sécurité ne confère aucune prérogative de puissance publique.