Vigipirate : ce que doit faire un ERP

Le plan Vigipirate n’est pas une loi : c’est un plan gouvernemental. Pour un établissement recevant du public (ERP) privé, la plupart de ses mesures sont des recommandations, et le stade actuel, « vigilance renforcée », ne donne aucun pouvoir supplémentaire à vos agents de sécurité. Il ne les autorise notamment pas à palper vos clients. En revanche, il vous demande de vous préparer : contrôle des accès, procédure d’alerte, consignes écrites et personnel formé. C’est exactement ce que les autorités attendent d’un exploitant à l’approche des fêtes de fin d’année.

Depuis le 22 juin 2026, le plan a changé d’échelle et de logos. Voici, sources officielles à l’appui, ce qui est obligatoire, recommandé ou interdit.

Le plan Vigipirate 2026 en bref

Le plan Vigipirate relève du Premier ministre ; le Secrétariat général de la défense et de la sécurité nationale (SGDSN) en établit les « postures » à partir de l’évaluation de la menace. Selon le site du Gouvernement, il compte environ 300 mesures : des mesures permanentes appliquées à 13 grands domaines d’activité, et des mesures complémentaires activées selon la menace.

La version diffusée le 22 juin 2026 repose sur trois stades d’alerte, matérialisés par des logos de couleur visibles dans l’espace public :

Stade	Logo	Ce qu’il signifie
Vigilance	Jaune	Niveau d’alerte initial : le socle permanent de mesures.
Vigilance renforcée	Orange	Niveau intermédiaire. C’est le stade en vigueur pour la posture « été-automne 2026 ».
Alerte attentat	Rouge	Niveau le plus élevé, activable pendant 12 jours renouvelables sur décision expresse du Premier ministre.

Le document public du plan, « Faire face ensemble », acte aussi un recentrage sur la menace terroriste : le volet cyber relève désormais du plan de défense et de sécurité nationale.

Ce que la posture « été-automne 2026 » met en avant

Le ministère de l’Intérieur a publié le contenu public de la posture actuelle. Au stade « vigilance renforcée », elle demande une attention particulière sur trois points :

• la menace drone, avec une recrudescence de survols constatée en Europe et sur le territoire national ;
• les sites touristiques et les zones d’affluence, lors des vacances d’été et de Noël 2026 ;
• les bâtiments publics et institutionnels.

Le deuxième point concerne directement le commerce, la restauration, la vie nocturne et l’événementiel. La visite du pape Léon XIV, fin septembre, a montré ce que cette posture produit sur un grand rassemblement : à Paris, les personnes entrant dans l’espace où évoluait le pape faisaient l’objet d’une fouille et d’une palpation dans un périmètre de protection, et l’accès était refusé en cas de refus. Ce dispositif reposait sur des périmètres décidés par l’État, pas sur le seul niveau Vigipirate.

Obligatoire ou recommandé : ce qui s’applique vraiment à votre ERP

C’est la question que posent presque tous les exploitants. Le SGDSN y répond dans « Faire face ensemble » : certaines mesures, permanentes ou additionnelles, ont un caractère obligatoire ; les autres relèvent des bonnes pratiques, dont la mise en œuvre est recommandée. Les opérateurs d’importance vitale (OIV) ont, eux, une obligation légale de mettre en œuvre des mesures de protection spécifiques.

Pour un commerce, un bar, un hôtel ou une salle de spectacle, la règle générale est formulée ainsi par le SGDSN : toutes les entreprises publiques et privées doivent veiller à leur propre sécurité et à celle des personnes qu’elles accueillent, en mettant en œuvre les mesures adaptées dans la limite des prérogatives que la loi leur accorde.

Catégorie	Ce que cela recouvre pour un ERP privé
S’impose à vous	Les prescriptions prises par le préfet ou le maire pour votre secteur (périmètre, fermeture de voie, conditions d’un événement), et les obligations de sécurité qui existent déjà hors Vigipirate (sécurité incendie, issues de secours).
Recommandé par l’État	Plan de sûreté d’établissement, procédure d’alerte, filtrage aux accès, sensibilisation et exercices du personnel, coordination avec les forces de l’ordre.
Non autorisé par le seul niveau Vigipirate	Palpations de sécurité, fouille d’un sac sans consentement, rétention d’une personne en dehors du flagrant délit.

« Recommandé » ne veut pas dire « sans conséquence » : en cas d’incident, un plan écrit, des consignes connues et des exercices tracés montrent que vous aviez anticipé.

Ce que « vigilance renforcée » n’autorise pas : la palpation

C’est la confusion la plus fréquente sur le terrain. Le niveau Vigipirate ne modifie pas les pouvoirs des agents de sécurité privée, fixés par le code de la sécurité intérieure.

L’article L. 613-2 de ce code permet aux agents de surveillance de procéder à l’inspection visuelle des bagages et, avec le consentement de leur propriétaire, à leur fouille. Les palpations de sécurité, avec le consentement exprès de la personne, ne sont possibles que dans trois cas (articles L. 613-2 et L. 613-3) :

• des circonstances particulières liées à des menaces graves pour la sécurité publique, constatées par un arrêté du préfet (ou, à Paris, du préfet de police) qui fixe les lieux et la durée ;
• un périmètre de protection institué par le préfet, où les palpations se déroulent sous l’autorité et le contrôle effectif et continu d’un officier de police judiciaire ;
• l’accès à une manifestation sportive, récréative ou culturelle de plus de 300 spectateurs, sous le contrôle d’un officier de police judiciaire.

La commission paritaire de la branche prévention-sécurité (CPNEFP) a rappelé dans une note d’octobre 2023 que, depuis la loi du 25 mai 2021, ces palpations « de menace grave » ne nécessitent plus d’agrément individuel des agents : elles sont soumises uniquement à l’existence de l’arrêté préfectoral. Sans cet arrêté, pas de palpation à l’entrée d’un magasin, quel que soit le niveau Vigipirate.

Si une personne refuse l’inspection de son sac ou la palpation lorsqu’elle est autorisée, la seule réponse légale est le refus d’accès. Nous détaillons ces limites dans notre article Un agent peut-il fouiller mon sac ?.

Décliner Vigipirate dans son établissement : la méthode du SGDSN

Le SGDSN encourage tout responsable d’ERP à décliner Vigipirate dans son propre plan de sûreté. Ce plan prévoit les mesures à prendre en cas de menace, d’attentat ou simplement de découverte d’un objet abandonné, et chaque salarié doit savoir ce qu’il y fait. Le document « Faire face ensemble » propose une démarche en plusieurs étapes.

1. Construire son réseau de sécurité

Connaître ses interlocuteurs avant d’en avoir besoin : préfecture, mairie, police ou gendarmerie, dont les référents sûreté peuvent conseiller un responsable de site.

2. Analyser ses vulnérabilités

Pourquoi votre établissement pourrait-il être visé (affluence, valeur symbolique) ? Qu’est-ce qui pourrait y être ciblé ? Combien d’accès compte-t-il, lesquels ne ferment pas à clé, l’accès livraison est-il surveillé ? Sans oublier la menace interne.

3. Renforcer la protection du site

Les recommandations sont concrètes : limiter le nombre d’accès sans réduire la capacité d’évacuation, mettre en place un filtrage aux accès, protéger les entrées contre un véhicule-bélier (plots, bacs, blocs), garder les parties communes dégagées et vérifier la disponibilité des issues de secours.

4. Prévoir une alerte distincte de l’alarme incendie

Le SGDSN insiste : l’alerte attentat doit être distincte de l’alarme incendie, car la réaction attendue n’est pas la même. Il recommande deux systèmes, l’un permettant à chacun de donner l’alerte (téléphone, radio, SMS), l’autre de prévenir tout le site (signal sonore spécifique, haut-parleur). Le document cite l’exemple de 3 longues sonneries pour une attaque extérieure et de 6 pour une attaque dans le site. S’y ajoutent une mallette de crise et des pièces de confinement connues de tous.

5. Informer, former, exercer

Informer le personnel, rappeler le rôle de chacun, encourager la formation aux premiers secours, organiser des exercices simples et en tirer les enseignements. Le message à faire passer, selon le SGDSN : « ne pensez pas que d’autres ont donné l’alerte, faites-le ».

Fêtes de fin d’année : ce que cela change pour un commerce, un bar ou un événement

La posture vise explicitement les zones d’affluence pendant les vacances de Noël 2026 : c’est maintenant qu’il faut se préparer. Pour un rassemblement, « Faire face ensemble » détaille des mesures qui valent aussi pour une soirée ou une animation commerciale :

• séparer les flux entrants et sortants, et faire tenir les points de sortie par une présence humaine pour qu’ils ne servent pas d’entrée ;
• dimensionner les points de contrôle avec des agents en nombre suffisant pour fluidifier l’entrée ;
• sensibiliser les agents privés de sécurité et rappeler par des briefings quotidiens les réactions à adopter en cas d’événement suspect ;
• doter les agents de moyens radio ;
• désigner un responsable sûreté, interlocuteur unique des forces de l’ordre et des secours.

Le SGDSN recommande expressément de faire appel aux compétences de sociétés privées de sécurité pour assurer la sécurité d’un événement de ce type.

Un drone au-dessus de l’établissement : la bonne réaction

La menace drone est la première priorité affichée de la posture actuelle. « Faire face ensemble » rappelle que, selon l’arrêté du 3 décembre 2020 relatif à l’utilisation de l’espace aérien par les aéronefs sans équipage à bord, il est notamment interdit, sauf dérogations, de faire voler un drone au-dessus de l’espace public en agglomération, ainsi que la nuit sans déclaration préalable en préfecture. Un drone au-dessus d’un rassemblement, ou de nuit, doit donc être considéré comme potentiellement malveillant.

La conduite à tenir pour l’agent est simple et ne change pas : il observe, il décrit, il alerte le 17. Le SGDSN liste les éléments utiles : où, quand, quoi, combien ; l’altitude, la provenance et la direction ; le type d’appareil ; la présence d’une charge ; et la description du télépilote s’il a été repéré, sachant qu’il se trouve souvent à moins de 500 mètres de son drone. Un agent de sécurité privée ne tente jamais rien sur l’appareil.

Le rôle de l’agent de sécurité dans votre dispositif

Une posture nationale ne vaut que par ceux qui l’appliquent à l’entrée. Le SGDSN propose d’ailleurs aux employés une démarche graduée face à un comportement suspect : engager la conversation si l’on s’en sent capable, mémoriser des éléments objectifs, et en cas de doute signaler en urgence au responsable sûreté ou au 17 en gardant, sans s’exposer, un contact visuel.

Encore faut-il que les agents soient en règle. Un agent sans carte professionnelle valide ne doit pas être affecté à une mission de sécurité privée : vous pouvez le vérifier vous-même, comme nous l’expliquons dans Vérifier la carte CNAPS d’un agent.

Questions fréquentes

Le plan Vigipirate est-il obligatoire pour un commerce ou un bar ?

Pas en tant que tel. Le SGDSN précise que certaines mesures sont obligatoires, notamment pour les opérateurs d’importance vitale et les services de l’État, et que les autres relèvent des bonnes pratiques recommandées. Un exploitant reste toutefois tenu de veiller à la sécurité des personnes qu’il accueille et doit appliquer les prescriptions qu’un préfet ou un maire prendrait pour son secteur.

Le stade « vigilance renforcée » permet-il de palper les clients à l’entrée ?

Non. Le niveau Vigipirate ne crée aucun pouvoir nouveau. Un agent privé ne peut procéder à des palpations, avec le consentement exprès de la personne, que si un arrêté préfectoral a constaté des circonstances particulières liées à des menaces graves, dans un périmètre de protection, ou à l’entrée d’une manifestation de plus de 300 spectateurs.

Quel est le niveau Vigipirate en vigueur en octobre 2026 ?

Au 5 octobre 2026, la France est au stade « vigilance renforcée », niveau intermédiaire du plan entré en vigueur le 22 juin 2026. La posture « été-automne 2026 » met l’accent sur la menace drone, les sites touristiques et zones d’affluence, et les bâtiments publics.

Que doit faire un agent de sécurité face à un drone au-dessus de l’établissement ?

Observer et alerter, jamais intervenir sur l’appareil. Le SGDSN recommande d’appeler le 17 et de décrire le lieu, l’heure, l’altitude, la direction, le type de drone, une éventuelle charge, et le télépilote s’il est visible.

Pour aller plus loin

• Sécurité retail — commerces, centres commerciaux et renforts en période de forte affluence.
• Sécurité des bars et boîtes de nuit — contrôle d’accès et gestion des flux.
• Sécurité événementielle — filtrage, points de contrôle et dispositifs dimensionnés.
• Gardiennage et surveillance de sites — présence humaine, rondes et levée de doute.
• Obligations légales d’un événement
• Incendie ERP : ce qui change en 2026

Vous exploitez un commerce, un bar ou un lieu d’événement et souhaitez adapter votre dispositif à la posture Vigipirate avant les fêtes ? Demandez un devis : nous répondons sous 12 à 24 h, avec une proposition chiffrée et le détail des moyens engagés. Osiris intervient à Bordeaux, Angoulême, Bayonne-Biarritz-Anglet, La Rochelle, Marseille et Paris.

Sources et références

• Ministère de l’Intérieur — Mise en œuvre du plan Vigipirate 2026 (25/06/2026)
• info.gouv.fr — Le plan Vigipirate (modifié le 23/06/2026)
• SGDSN — « Faire face ensemble » : vigilance, prévention et protection face à la menace terroriste (PDF)
• Ministère de l’Intérieur — Visite du pape Léon XIV : un déplacement sous haute protection (22/09/2026)
• CPNEFP de la branche prévention-sécurité — Le cadre juridique des palpations de sécurité en sécurité privée (12/10/2023, PDF)
• Code de la sécurité intérieure, articles L. 613-2 (inspection des bagages et palpations), L. 613-3 (manifestations de plus de 300 spectateurs) et L. 226-1 (périmètres de protection)

← Retour au blog