La conformité commence à la porte.
Les normes de sécurité de l'information imposent également des exigences en matière d'accès physique. Qui est autorisé à entrer dans quelle pièce, à quel moment, et est-il possible de le vérifier a posteriori ? Avec CyberLock et CyberAudit-Web, vous obtenez une réponse définitive à ces questions.
L'accès physique fait partie de la sécurité de l'information
Une salle serveur, une armoire à pharmacie, un local technique pour les compteurs ou un bâtiment de pompage sont soumis aux mêmes normes que le réseau auquel ils sont rattachés. En pratique, le contrôle d'accès physique est souvent le moins bien documenté. Les clés mécaniques peuvent être copiées, les listes de clés sont stockées dans Excel, et personne ne sait qui a ouvert une porte à trois heures du matin la nuit dernière.
Depuis le 15 août 2026, la loi néerlandaise sur la cybersécurité (transposition de la norme NIS2) et la loi sur la résilience des entités critiques (transposition de la directive CER) sont en vigueur. La première concerne la résilience numérique, la seconde la résilience physique et organisationnelle, notamment l'accès aux locaux et aux bâtiments. Le conseil d'administration porte la responsabilité ultime. Les normes BIO2 (secteur public) et NEN 7510:2024 (secteur de la santé) ont également été mises à jour et suivent désormais la structure de la norme ISO 27001:2022. Ces référentiels imposent tous les mêmes exigences : zones sécurisées, accès réservé aux personnes autorisées, journalisation des événements et vérification périodique des droits d'accès.
Vous devez pouvoir fournir des preuves.
Sellox fournit à cet effet quatre composants réunis dans un seul système.
Droits dans la clé
Quels cylindres, quels jours, quelle plage horaire et combien de temps la clé reste valide sans mise à jour ? Une clé non renouvelée est inutilisable. En cas de perte ou de cessation d’emploi, vous révoquez les droits via le logiciel.
Enregistrement dans la clé et le cylindre
Ouvert, refusé, hors délai, expiré. Le cylindre enregistre jusqu'à 6 500 événements, la clé jusqu'à 12 000. Vous pouvez toujours voir quelle clé a été utilisée et où, même sans alimentation électrique ni accès réseau.
Rapport pour l'audit
CyberAudit-Web Enterprise centralise toutes les données d'audit dans un journal unique, incluant la date, l'heure, la clé, la personne et le cylindre. Des rapports sont disponibles par personne, par porte ou par période. Solution sur site ou hébergée par Sellox.
Contrôle périodique
Immédiatement SX HealthCheck Sellox vérifie vos installations : clés sans propriétaire, employés partis disposant de droits d’accès, schémas non conformes, cylindres défectueux et versions des logiciels et micrologiciels.
Ce que les normes exigent des clés et des portes
Choisissez une case. Ceci ne constitue pas un avis juridique.
ISO 27001:2022
- Pour qui
- Les organisations certifiées ISMS. Elles constituent également la base des normes BIO2 et NEN 7510.
- Ce qu'il demande
- Zones sécurisées avec contrôle d'accès (7.1–7.3), surveillance de la sécurité physique (7.4), octroi, modification et révocation des droits d'accès selon la politique (5.15–5.18), journalisation des événements (8.15).
- Comment Sellox met cela en œuvre
- Autorisations par clé et par zone, clés à expiration automatique, journal d'audit comme source de journalisation et rapports pour le contrôle des autorisations.
NIS2 / Loi sur la cybersécurité
- Pour qui
- Entités essentielles et importantes dans 18 secteurs, dont l'énergie, l'eau potable, la santé, les transports, les infrastructures numériques et l'administration publique. En vigueur à compter du 15 août 2026.
- Ce qu'il demande
- Obligation de diligence avec mesures appropriées, y compris une politique de contrôle d'accès et de sécurité du personnel et des biens ; obligation de signalement des incidents importants ; responsabilité de gestion.
- Comment Sellox met cela en œuvre
- L'accès aux locaux techniques et aux installations sur le terrain est réservé aux personnes autorisées, sans câblage, et fait l'objet d'un enregistrement. En cas d'incident, l'identification de la clé utilisée et de son emplacement est immédiate.
Loi sur la résilience des entités critiques (CER)
- Pour qui
- Environ 500 organisations ont été désignées comme entités critiques par leur ministère, dans des secteurs tels que l'énergie, l'eau potable et l'assainissement, la protection et la gestion des inondations, les transports, la santé, les infrastructures numériques et l'administration publique. En vigueur depuis le 15 août 2026, parallèlement à la Loi sur la cybersécurité : la loi sur la résilience critique (LRC) concerne la résilience numérique, tandis que la loi sur la résilience physique et organisationnelle (LRP) concerne la résilience physique et organisationnelle.
- Ce qu'il demande
- Dans les 9 mois suivant la désignation, une évaluation des risques et dans les 10 mois, des mesures techniques, organisationnelles et physiques appropriées, y compris la protection des sites et des bâtiments avec contrôle d'accès, la gestion des droits d'accès et les vérifications des antécédents pour les postes sensibles ; le signalement des incidents perturbateurs dans les 24 heures.
- Comment Sellox met cela en œuvre
- Contrôle d'accès pour les objets sans alimentation électrique ni réseau (stations de pompage, stations, écluses, ouvrages hydrauliques), droits par personne, zone et plage horaire, révocation au départ et une piste d'audit montrant ce qui s'est passé par clé et par cylindre, même après un incident.
BIO2 (gouvernement)
- Pour qui
- Gouvernement national, provinces, municipalités et offices de l'eau. BIO2 v1.3 a été adopté le 5 mars 2026 et remplace l'ancien BIO.
- Ce qu'il demande
- La même structure que la norme ISO 27001:2022, complétée par des mesures gouvernementales pour les zones sécurisées, l'accès aux zones de confiance et les alertes en cas de risques concrets.
- Comment Sellox met cela en œuvre
- Zonage par groupe de cylindres, clés qui ne fonctionnent que là où et quand c'est autorisé, et une piste d'audit pour les rapports ENSIA.
CSIR 3.0 (objets avec automatisation des processus)
- Pour qui
- Ce guide s'adresse aux propriétaires et gestionnaires de ponts, d'écluses, de stations de pompage, de stations d'épuration et autres ouvrages dotés d'installations automatisées. Émanant de Rijkswaterstaat et des offices de l'eau, il est également intégré aux contrats des municipalités et autres gestionnaires et s'applique donc à leurs sous-traitants et fournisseurs. Le Guide de mise en œuvre de la cybersécurité pour les ouvrages complète le BIO relatif à l'automatisation industrielle, en s'appuyant sur la norme IEC 62443.
- Ce qu'il demande
- L'accès physique aux salles, terrains et bâtiments de l'IA est réservé aux personnes autorisées (Chapitre 2.1) ; un plan de verrouillage à jour et une gestion active des clés et des coffres-forts (FTG9, FTG29) ; la délivrance et la révocation des identifiants d'accès en cas de changement de fonction ou de départ (LP10) ; des droits basés sur le rôle et le besoin (LP2) ; un examen des droits d'accès au moins tous les six mois (LP4).
- Comment Sellox met cela en œuvre
- Un plan de clés électroniques par propriété, des droits par rôle et par zone, des clés qui expirent si elles ne sont pas mises à jour, et des rapports par personne et par propriété pour le contrôle semestriel des droits.
NEN 7510:2024 (soins de santé)
- Pour qui
- Hôpitaux, soins de santé mentale, soins aux personnes âgées, soins à domicile, pharmacies et leurs fournisseurs.
- Ce qu'il demande
- L’accès physique aux zones contenant des informations sur les patients et du matériel médical est réservé au personnel autorisé, avec enregistrement et surveillance ; la gestion des clés et des moyens d’accès fait partie du système de gestion de la sécurité de l’information.
- Comment Sellox met cela en œuvre
- Armoires à pharmacie, salles d'archives, salles serveurs et locaux techniques : une clé par employé, des droits d'accès par service ou département et un enregistrement pour chaque ouverture.
RGPD
- Pour qui
- Toute organisation. Un historique des opérations contenant des noms constitue un traitement de données personnelles.
- Ce qu'il demande
- Une base légale et une finalité pour l’enregistrement, une durée de conservation, un accès aux données limité aux personnes qui en ont besoin et un droit de consultation par la personne concernée.
- Comment Sellox met cela en œuvre
- La piste d'audit est située sur votre propre serveur ou hébergée par Sellox aux Pays-Bas, les périodes de conservation sont configurables et l'accès à CyberAudit-Web est géré par utilisateur et par rôle.
Annexe 11 des BPF de l'UE (pharmacie)
- Pour qui
- Fabricants et distributeurs conformes aux BPF.
- Ce qu'il demande
- L’accès aux zones et équipements concernés par les BPF est réservé aux personnes autorisées, avec une piste d’audit.
- Comment Sellox met cela en œuvre
- L'accès aux salles blanches, aux chambres froides et aux armoires à échantillons est enregistré par clé et par pièce.
ABRO 2026 (Gouvernement national et police)
- Pour qui
- Les entreprises travaillant sur une mission spéciale pour le compte du gouvernement central ou de la police, une mission ayant une incidence sur la sécurité nationale, ainsi que leurs sous-traitants et fournisseurs, sont concernées. Cette obligation s'applique à compter du 1er janvier 2026 et remplace l'ABDO 2019, qui ne concernait que la Défense. Il ne s'agit pas d'une loi, mais d'une obligation contractuelle ; le Bureau national de la sécurité industrielle (NBIV) évalue et délivre la déclaration ABRO.
- Ce qu'il demande
- Le Client détermine le niveau de sécurité et les chapitres NBIV applicables à chaque mission : gouvernance et organisation, fiabilité du personnel, sécurité physique, cybersécurité et cloud. Sécurité physique : sécurité multicouche adaptée au niveau, accès limité aux personnes autorisées selon leurs besoins, enregistrement des visiteurs et des accès aux informations protégées. À partir du niveau TBB 3, la gestion à distance est interdite.
- Comment Sellox met cela en œuvre
- Sellox connaît bien ces exigences grâce à ses propres contrats avec le secteur de la défense : compartimentage par zone, validation sans connexion sans fil et gestion sur site le cas échéant, clés à durée de validité courte et traçabilité par clé et par cylindre.
Trois questions se cachent derrière chaque droit d'accès
Quel que soit le cadre applicable, un auditeur arrive toujours aux mêmes trois questions. Voici comment les traduire en clés et en portes.
L'information, ainsi que les espaces où elle se trouve, ne sont accessibles qu'aux personnes qui en ont besoin pour leurs tâches. Une salle serveur, des archives ou un local technique pour les compteurs ne sont pas des espaces publics.
Les droits d'accès sont attribués par zone et non par bâtiment. Une clé n'ouvre que les cylindres associés à la fonction.
L'accès est limité au lieu et à l'heure de l'intervention : ce lieu, ce service, cette plage horaire. Seules les personnes non autorisées pourront entrer.
Des plages horaires sont définies pour chaque clé, et sa validité expire si elle n'est pas mise à jour. Un service de dépannage bénéficie de droits d'intervention pour une seule prestation.
Dans certains domaines, une désignation ou une certification valide est requise, notamment pour les travaux sur les installations à haute tension ou la sécurisation d'une installation. Un droit d'accès ne constitue pas un permis de travail, mais les deux sont complémentaires.
Met dynamische toegang (de module Dynamic Tags) koppelt u een recht aan een voorwaarde. Verloopt de certificering of eindigt het dienstverband, dan vervalt het recht vanzelf. Meer over dynamische toegang
Sept questions d'un auditeur
Qui a actuellement accès à votre salle des serveurs, votre armoire à pharmacie ou votre local technique ?
Consultez les droits d'accès par cylindre ou zone, directement depuis CyberAudit-Web.
Qui a ouvert telle ou telle porte au cours des 30 derniers jours, et quand ?
Piste d'audit par cylindre : date, heure, clé et personne.
Qu’advient-il des accès d’un employé qui quitte l’entreprise aujourd’hui ?
Révoquez les droits d'accès au logiciel. La clé ne fonctionnera plus nulle part par la suite.
Combien de clés circulent dont vous ignorez l'emplacement ?
Aperçu des informations clés : propriétaire, statut et date du dernier contact.
Est-il possible de copier une clé sans que vous vous en aperceviez ?
Les CyberKeys sont électroniques et ne peuvent pas être copiées.
Quand les droits d'accès ont-ils été vérifiés pour la dernière fois, et cette vérification a-t-elle été consignée ?
Rapport sur les droits avec date, servant de preuve pour l'audit périodique.
L'accès est-il également enregistré dans les lieux dépourvus d'électricité ou de réseau ?
Oui. La clé et le cylindre s'enregistrent automatiquement, sans câblage.
Avec CAW, cela fait l'objet d'un rapport.
Démontrablement dans l'ordre en quatre étapes
Inventaire
Cartographie des zones, des clés et du cadre de normes, traduits en un plan de clés.
Ameublement
Remplacement de cylindre sans câble, droits basés sur la personne et la zone, CyberAudit-Web Enterprise sur site ou hébergé.
Signalement
Piste d'audit et rapports adaptés aux questions de votre auditeur.
Entretien
Périodique SX HealthCheck, également après des réorganisations et des changements de personnel.