Badge perdu, mot de passe volé : et si c'était le même problème ?
En mars 2026, l’ANSSI publiait le ReCyF — le Référentiel Cyber France, document opérationnel qui traduit les exigences de NIS2 en mesures concrètes et auditables. Parmi ses vingt objectifs de sécurité, le sixième traite explicitement des contrôles d’accès physiques : les badges doivent être uniques, non clonables et bénéficier d’une authentification cryptographique. Pour les zones hautement critiques, l’authentification multifacteur par code d’accès est requise. Dans le même mouvement, l’article 21 de la directive NIS2 impose aux entités essentielles et importantes l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue parmi les mesures minimales de gestion des risques.
Ces deux textes posent ensemble une même question, que beaucoup d’organisations n’ont pas encore formulée clairement : dans votre périmètre, est-ce qu’on contrôle un support — ou est-ce qu’on vérifie une identité ?
Deux périmètres, deux angles morts
La plupart des sites fonctionnent aujourd’hui avec une architecture duale : des badges RFID pour les accès physiques, des mots de passe pour les accès numériques. Deux systèmes, deux équipes, deux politiques de sécurité — et deux surfaces d’attaque distinctes.
Un badge RFID standard se clone en quelques secondes avec du matériel accessible. D’après une étude de Verizon, 81 % des violations de données mondiales seraient liées à une problématique de mots de passe. Ces deux constats ne sont pas anecdotiques : ils dessinent la réalité quotidienne de la plupart des organisations qui n’ont pas encore franchi le pas vers une gestion unifiée des identités.
La séparation entre sécurité physique et sécurité logique n’est plus seulement une inefficacité organisationnelle. Elle est devenue une vulnérabilité structurelle — et les nouvelles exigences réglementaires le formalisent.
Ce que la convergence rend possible
La réponse ne passe pas par une refonte complète des infrastructures. Elle passe par un changement de paradigme sur ce qu’est un dispositif d’accès.
Komanche a développé une clé biométrique personnelle conçue pour répondre simultanément aux deux périmètres. L’empreinte digitale — analysée sur 13 points, stockée localement sur un Secure-Element EAL5+ avec chiffrement AES et auto-effacement — ne quitte jamais le dispositif. Il n’existe aucune base de données biométrique centrale à déclarer, à protéger ou à gérer. La personne est sa propre clé.
Côté physique, la clé fonctionne avec tous les lecteurs NFC/RFID existants — MIFARE, DESFire EV3C, HID Prox, iClass — sans modifier l’infrastructure en place. Elle remplace les badges multi-technologies, gère les portillons, tourniquets, barrières et équipements, et peut s’interfacer via Bluetooth avec gâches et verrous. Côté numérique, elle déverrouille les postes de travail, tablettes et smartphones, gère les mots de passe web en mode anti-phishing, active le MFA et le passwordless, et supporte les standards FIDO2, OTP et certificats — sans téléchargement, sans modification logicielle, sans intégration d’API.
Un seul objet. Une seule identité vérifiée. Zéro friction opérationnelle.
La conformité, sans la complexité
En principe, la CNIL recommande de privilégier le stockage du gabarit biométrique sur un support individuel. Ce dispositif dit « de type 1 » est précisément l’architecture que Komanche a retenue : la biométrie ne sort pas du dispositif, il n’y a aucune base à déclarer, aucun impact RGPD à gérer. Le déploiement est immédiat, agnostique et compatible avec tous les écosystèmes existants — sans perturber les autres solutions de l’entreprise.
Parmi les mesures attendues dès 2026 dans le cadre du ReCyF : l’authentification multifacteur sur les accès sensibles. Cette exigence, la clé biométrique Komanche l’adresse nativement — en combinant un facteur de possession (le dispositif physique) et un facteur inhérent (l’empreinte digitale), sans rien ajouter à la charge des utilisateurs.
Conclusion
La question n’est pas de savoir si les exigences de NIS2 et du ReCyF s’appliqueront à votre organisation. Elle est de savoir si vous êtes en mesure d’y répondre sans tout reconstruire. C’est précisément parce que Komanche a conçu son dispositif comme une clé universelle — souveraine, décentralisée, compatible avec l’existant — que la mise en conformité devient une décision d’architecture, pas un chantier d’infrastructure.
