Gestion des cyberrisques liés à l'IA : pourquoi votre programme GRC doit évoluer

Les dépenses en IA sont sur le point d'exploser, et la plupart des programmes ne sont pas prêts à faire face aux implications de cette évolution en matière de gestion des risques cyberliés à l'IA. Votre modèle de gouvernance risque de ne pas tenir le rythme.

Gartner prévoit que les dépenses consacrées à l'IA augmenteront de 44 % rien qu'en 2026. D'ici 2029, le montant total des dépenses consacrées à l'IA (infrastructures, produits et services confondus) atteindra 4 700 milliards de dollars. Pourtant, seules 15 % des entreprises déclarent avoir mis en place une gouvernance complète en matière d'IA.

C'est cette lacune qui constitue le véritable risque. Plus précisément, il s'agit avant tout d'un problème de gouvernance, et non d'un problème technologique. Cet article explique pourquoi, et présente les recommandations de Gartner à l'intention des RSSI et des responsables de la sécurité pour y remédier.

Le piège de la fragmentation dans la gouvernance des risques liés à l'IA

Voici l'erreur couramment commise. À mesure que l'adoption de l'IA s'accélère, de nombreuses équipes de sécurité réagissent en mettant en place de nouvelles solutions. Plus précisément, elles élaborent des politiques, des processus et des outils spécifiques, exclusivement destinés à la gestion des risques liés à l'IA.

Au premier abord, cela semble logique. Mais dans la pratique, cela se retourne contre nous.

Comme ces cadres fonctionnent en parallèle, ils fragmentent la gestion des cyber-risques avant même qu’elle ne commence. En conséquence, ils ralentissent la prise de décisions fondées sur l’analyse des risques. Pire encore, ils compliquent la tâche des dirigeants qui souhaitent comparer les risques liés à l’IA à tous les autres risques figurant dans le registre des risques.

Les recommandations de Gartner sont donc claires : ne mettez pas en place un deuxième système dédié à l'IA. Faites plutôt évoluer celui dont vous disposez déjà.

Cette situation reflète une lacune en matière de gouvernance à laquelle les conseils d’administration sont déjà confrontés ailleurs. Le rapport « Global Cybersecurity Outlook 2026 » du Forum économique mondial a mis en évidence une tendance similaire dans la supervision de la chaîne d’approvisionnement : c’est généralement la visibilité fragmentée, et non le manque d’outils, qui constitue le véritable problème.

Six façons de faire évoluer la gestion des risques cyberliés à l'IA

Gartner présente six mesures concrètes portant sur la méthodologie, les ressources humaines et la technologie. Ensemble, elles permettent de maintenir les risques liés à l'IA au sein de votre structure de gouvernance existante, plutôt que de les y ajouter en parallèle.

1. Renforcer la responsabilisation en matière de cyber-risques liés à l'IA. Les équipes de sécurité se retrouvent souvent désignées par défaut comme responsables de tous les risques liés à l'IA. Cela pose problème, car ce sont les unités opérationnelles qui déploient des outils d'IA qui doivent assumer la responsabilité des risques que ces outils engendrent.

Concrètement, cela implique de mettre à jour votre charte de cybersécurité. Cela implique également d'exiger des responsables métier qu'ils reconnaissent et acceptent formellement les risques liés à l'IA avant le déploiement, et non après.

2. Tenez un registre unifié des risques cybernétiques. Résistez à la tentation de créer un registre distinct pour les risques liés à l'IA. Évaluez plutôt les menaces liées à l'IA en utilisant la même méthodologie que celle que vous appliquez à tous les autres risques.

En quoi est-ce important ? Parce qu’un registre unique impose une hiérarchisation cohérente à tous les niveaux. Cela empêche ainsi l’IA de devenir un sujet de discussion isolé, déconnecté des décisions plus larges en matière de risques.

3. Adopter une approche axée sur les menaces. Les registres de risques traditionnels répertorient souvent des lacunes en matière de conformité et des vulnérabilités isolées. Cette approche ne s’adapte toutefois pas bien aux menaces spécifiques à l’IA, telles que l’injection de prompts ou la fuite de données des modèles.

Au contraire, fondez vos évaluations des risques sur le comportement réel des attaquants. Par exemple, élaborez des scénarios spécifiques à l'IA, mais évaluez-les selon les mêmes critères que pour tout autre risque cybernétique.

4. Intégrez la gouvernance de l'IA dans les politiques existantes. Évitez de rédiger une toute nouvelle « politique relative à l'IA » pour chaque situation. En effet, la plupart des risques liés à l'IA s'inscrivent naturellement dans les politiques que vous appliquez déjà, comme celles relatives à la gestion des identités et des accès.

Ne créez de nouvelles normes spécifiques à l'IA que lorsque les normes existantes ne s'appliquent pas. La validation de l'intégrité des modèles, par exemple, illustre bien un cas où une telle norme pourrait s'avérer nécessaire.

5. Renforcez les compétences en matière de sécurité de l'IA. Vous n'avez probablement pas besoin de nouveaux postes. Au contraire, vos professionnels GRC actuels sont déjà bien placés pour gérer les risques liés à l'IA, à condition de bénéficier d'une formation adaptée.

Investissez donc dans le perfectionnement des compétences. Commencez par vous associer au service des ressources humaines pour financer des certifications en sécurité de l'IA. Ajoutez ensuite des scénarios d'attaque générés par l'IA à vos exercices de simulation existants.

6. Utilisez la technologie pour renforcer votre programme, et non pour le fragmenter. Les nouveaux outils destinés à faciliter la gouvernance de l’IA peuvent apporter une réelle valeur ajoutée. Cependant, le simple fait d’ajouter davantage d’outils disparates ne résoudra pas automatiquement les problèmes.

Avant d'acheter un nouveau produit, il convient donc de bien comprendre ce que font déjà vos plateformes existantes. En résumé, l'objectif est la consolidation, et non la prolifération.

Pourquoi la gestion des risques cybernétiques grâce à l'IA est-elle aujourd'hui si importante ?

Quelque 302 responsables de la cybersécurité ont été interrogés dans le cadre de l'étude de Gartner intitulée « Gestion des risques liés à l'IA à l'horizon 2025 ». Les résultats sont éloquents : la plupart ont déclaré que leurs organisations devaient mettre en œuvre des changements importants, voire globaux, pour gérer les risques émergents en matière de cybersécurité liés à l'IA.

Il est évident que ce n'est pas un problème lointain pour la gestion des cyberrisques liés à l'IA. Au contraire, cela se produit dès à présent, à mesure que les outils d'IA générative, les applications d'IA sur mesure et les fonctionnalités d'IA intégrées sont mis en production.

Pour autant, la technologie à elle seule ne suffira pas à combler ce fossé. En effet, la gestion des risques cybernétiques repose sur le jugement d’experts humains. L’IA permet plutôt aux équipes de traiter davantage de signaux, plus rapidement, afin que les personnes puissent se concentrer sur les décisions les plus importantes.

Pour découvrir comment cela se traduit concrètement pour les petites entreprises en particulier, découvrez comment l'IA redéfinit les risques cybernétiques pour les entreprises en pleine croissance.

Le point sur la gestion des risques cyberliés à l'IA

L'IA n'est plus un simple projet secondaire. Elle fait désormais partie intégrante du mode de fonctionnement des entreprises.

C'est pourquoi votre programme de GRC cybernétique ne peut pas considérer l'IA comme une exception. Il doit au contraire intégrer les risques liés à l'IA dans la même structure, le même registre et le même modèle de responsabilité auxquels vous faites déjà confiance.

Ainsi, les organisations qui font évoluer leur gouvernance existante, plutôt que de la reproduire à l'identique, parviendront à se développer bien plus efficacement. Dans un environnement axé sur l'IA, ce n'est pas seulement une bonne pratique. En réalité, c'est la seule pratique qui permette de suivre le rythme.

Source : Gartner, « Les pratiques de Cyber GRC doivent évoluer pour gérer les risques liés à l'IA », 27 avril 2026 (réf. G00846514).

Risques cybernétiques liés à la chaîne d'approvisionnement : ce que les conseils d'administration doivent savoir en 2026

Un seul fournisseur défaillant peut désormais mettre toute une entreprise à l'arrêt. Ce n'est plus une simple mise en garde. Cela s'est déjà produit, et pas qu'une seule fois.

Le rapport « Global Cybersecurity Outlook 2026 » du Forum économique mondial le confirme. Le risque lié à la chaîne d’approvisionnement est devenu le principal défi en matière de cybersécurité pour les grandes entreprises. Pour les conseils d’administration, il ne s’agit plus d’un sujet à déléguer. C’est une question de gouvernance.

Cet article explique pourquoi ce risque a augmenté si rapidement. Il présente également les questions que les administrateurs et les dirigeants devraient poser à leurs équipes dès maintenant.

Les chiffres qui expliquent cette évolution

Selon ce rapport, 65 % des grandes entreprises considèrent désormais les failles de la chaîne d'approvisionnement comme leur principal obstacle à la cyber-résilience. Ce chiffre est en forte hausse par rapport aux 54 % enregistrés il y a tout juste un an.

Pourquoi cette augmentation ? Parce que les chaînes d'approvisionnement numériques d'aujourd'hui sont étroitement interconnectées. Une faille chez un fournisseur peut avoir des répercussions en cascade sur l'ensemble d'un écosystème. Elle peut affecter simultanément la production, les opérations et même d'autres clients.

Il est évident qu'il ne s'agit pas là d'un risque hypothétique. En réalité, cette situation se produit déjà dans les conseils d'administration du monde entier.

Des incidents réels, des coûts réels

Prenons l'exemple de Jaguar Land Rover. En 2025, une seule cyberattaque a paralysé la production pendant cinq semaines. En effet, cette attaque a perturbé simultanément l'activité de plus de 5 000 fournisseurs.

Les répercussions financières directes ont été lourdes : 196 millions de livres sterling de coûts liés aux cyberattaques et une baisse de près de 25 % du chiffre d'affaires trimestriel. L'économie britannique dans son ensemble a subi des pertes estimées à 1,9 milliard de livres sterling. Le gouvernement est même intervenu en accordant une garantie de prêt de 1,5 milliard de livres sterling afin de stabiliser la chaîne d'approvisionnement.

Prenons l'exemple d'Asahi, le fabricant japonais de boissons. Une cyberattaque survenue fin 2025 a paralysé ses principaux systèmes informatiques. En conséquence, le personnel a dû se rabattre sur le stylo et le papier simplement pour suivre l'état des stocks.

De même, en Europe, une faille relativement mineure chez un prestataire chargé de l'enregistrement dans un aéroport a entraîné des retards et des annulations de vols à grande échelle. La solution technique était simple. En revanche, les répercussions sur l'activité n'avaient rien de simples.

Ensemble, ces cas envoient un message clair aux dirigeants. La faiblesse d'un fournisseur se transforme rapidement en crise pour votre entreprise.

Pourquoi la confiance envers les fournisseurs s'effrite-t-elle ?

Au cœur de ce problème se cache une vérité simple, mais dérangeante : la plupart des entreprises ne sont pas en mesure de vérifier pleinement la sécurité des fournisseurs dont elles dépendent.

Le rapport du Forum économique mondial (WEF) qualifie ce phénomène de « risque d’héritage ». En termes simples, cela signifie hériter des vulnérabilités d’un fournisseur sans en avoir conscience. Ce risque figure désormais en tête des préoccupations liées à la chaîne d’approvisionnement dans cette enquête.

Vient ensuite le manque de visibilité. De nombreuses entreprises ne disposent tout simplement pas d'une vue d'ensemble claire de leur chaîne d'approvisionnement étendue. Elles ne peuvent donc pas gérer les risques qu'elles ne voient pas.

Enfin, il y a le risque de concentration. Les entreprises dépendent de plus en plus d’un petit nombre de fournisseurs essentiels, comme les grandes plateformes cloud. Ainsi, si l’un de ces fournisseurs venait à faire faillite, les répercussions pourraient toucher des milliers d’entreprises du jour au lendemain.

Ce qui distingue les entreprises les plus résilientes

Le rapport établit une distinction claire entre les organisations résilientes et les autres. Cette différence tient à des pratiques spécifiques, dont le conseil d'administration a pleinement conscience.

Les entreprises très résilientes associent leurs équipes de sécurité aux décisions d'achat dans 76 % des cas. Les entreprises moins résilientes ne le font que dans 53 % des cas. En d'autres termes, la sécurité doit avoir son mot à dire avant la signature des contrats, et non après une violation.

De même, 74 % des entreprises résilientes évaluent de manière formelle le niveau de maturité de leurs fournisseurs en matière de sécurité. Seules 48 % des entreprises moins résilientes font de même.

Les entreprises résilientes se préparent également à faire face à des défaillances. Ainsi, 44 % d’entre elles organisent des simulations conjointes d’incidents avec leurs partenaires de la chaîne d’approvisionnement, contre seulement 16 % de leurs homologues moins résilientes. Cette préparation porte ses fruits : seules 15 % des entreprises hautement résilientes font état d’une planification insuffisante de la réponse aux incidents, contre 37 % des autres.

Le rôle du conseil d'administration n'est plus facultatif

C'est désormais l'implication du conseil d'administration qui distingue les entreprises résilientes des entreprises vulnérables. Les données à ce sujet sont frappantes.

Parmi les organisations faisant preuve d'une grande résilience, 99 % indiquent que leur conseil d'administration s'implique activement dans la cybersécurité. Un peu plus de la moitié reçoivent régulièrement des informations sur les risques cybernétiques. Près de la moitié affirment que leur conseil d'administration a un rôle de supervision clairement défini.

À l'inverse, les conseils d'administration des entreprises moins résilientes se désengagent beaucoup plus souvent. Cet écart en matière de surveillance se répercute directement sur l'écart observé au niveau des résultats.

Pour les dirigeants, le message est clair : la supervision de la cybersécurité n'est pas une simple formalité technique. Il s'agit au contraire d'un élément central de la gestion des risques d'entreprise, au même titre que les risques financiers et opérationnels.

Les questions que tout conseil d'administration devrait se poser

Compte tenu de tout cela, que devraient faire concrètement les dirigeants ? Quelques questions ciblées peuvent être le moteur d'un véritable changement.

Commencez par vous demander dans quelle mesure les équipes chargées de la sécurité participent à la sélection des fournisseurs. Si le processus d'achat se poursuit sans examen de sécurité, il s'agit là d'une lacune en matière de gouvernance qu'il convient de combler.

Deuxièmement, demandez une cartographie des dépendances critiques. Plus précisément, la direction doit savoir quels fournisseurs, s'ils faisaient l'objet d'une violation, causeraient le plus de dommages.

Troisièmement, demandez si l'entreprise a testé son plan d'intervention avec ses principaux partenaires. En effet, un plan que personne n'a mis en pratique échoue souvent au moment où cela compte le plus.

Enfin, demandez comment l'entreprise gère le risque de concentration. Après tout, s'en remettre à un seul fournisseur essentiel, sans plan de secours, constitue une vulnérabilité stratégique, et pas seulement technique.

En résumé

Les risques liés à la chaîne d’approvisionnement ne sont plus l’affaire de la salle des serveurs, mais celle de la salle du conseil d’administration. Les conclusions du Forum économique mondial (FEM) pour 2026 ne laissent aucun doute sur cette évolution.

Cependant, la voie à suivre est clairement définie. Les entreprises qui intègrent la sécurité dès le début, recensent leurs dépendances et s'entraînent à réagir sont nettement plus résilientes.

Pour les conseils d'administration, le message est clair. Posez les questions qui fâchent dès maintenant, avant que les faiblesses d'un fournisseur ne fassent la une des journaux.

Source : Forum économique mondial, « Global Cybersecurity Outlook 2026 », janvier 2026.

Cybersécurité des petites entreprises : les signaux d'alerte dans le rapport 2025 du Forum économique mondial (WEF)

La cybercriminalité n'est plus l'apanage des grandes entreprises. En réalité, ce sont désormais les petites et moyennes entreprises qui constituent le maillon faible de la chaîne.

C'est le message clair qui ressort du rapport « Global Cybersecurity Outlook 2025 » du Forum économique mondial. Ce rapport s'appuie sur une enquête menée auprès de centaines de dirigeants d'entreprises et de responsables de la sécurité à travers le monde. Ses conclusions dressent un tableau inquiétant pour les petites entreprises.

Cet article présente en détail les conclusions du rapport. Il explique également ce que les chefs d'entreprise et les dirigeants de petites entreprises peuvent faire dès aujourd'hui pour y remédier.

Le fossé entre les petites et les grandes entreprises ne cesse de se creuser

Selon le rapport du Forum économique mondial, 35 % des petites entreprises déclarent aujourd'hui que leurs défenses informatiques sont insuffisantes. Ce chiffre a été multiplié par sept depuis 2022, année où il n'était que de 5 %.

Les grandes entreprises, quant à elles, prennent le contre-pied de cette tendance. À titre de comparaison, seules 7 % des grandes entreprises déclarent aujourd’hui disposer de systèmes de protection insuffisants, contre 13 % il y a quelques années.

En d'autres termes, les grandes entreprises gagnent en puissance. Les petites entreprises, quant à elles, prennent de plus en plus de retard. Et comme les chaînes d'approvisionnement relient les petits fournisseurs aux grandes entreprises, cet écart met tout le monde en danger.

Le rapport ne mâche pas ses mots. Lors de la réunion annuelle 2024 du Forum économique mondial (FEM) consacrée à la cybersécurité, 71 % des responsables de la cybersécurité se sont accordés sur un point. Selon eux, les petites entreprises ont déjà atteint un point de basculement. Beaucoup d’entre elles ne sont plus en mesure de se défendre contre les menaces actuelles.

Pourquoi les petites entreprises ont du mal à suivre le rythme

Plusieurs facteurs expliquent cet écart qui ne cesse de se creuser. Les comprendre constitue la première étape pour y remédier.

Une pénurie de personnel qualifié. Le rapport fait état d'un déficit mondial de 2,8 à 4,8 millions de professionnels de la cybersécurité. Ce sont les petites entreprises qui ressentent le plus durement cette pénurie. En effet, elles sont rarement en mesure de rivaliser avec les grandes entreprises en matière de salaires ou d'avantages sociaux.

Seules 14 % des entreprises déclarent disposer des compétences dont elles ont besoin. Pour les petites entreprises, le déficit de compétences occupe la deuxième place parmi les obstacles auxquels elles sont confrontées. Seule la complexité même des menaces actuelles arrive avant.

Budgets et ressources limités. Les grandes entreprises ont les moyens de se doter d’équipes de sécurité dédiées, d’outils de pointe et de faire appel à des consultants externes. Ce n’est généralement pas le cas des petites entreprises. Cela signifie que les moyens de défense en place sont moins nombreux lorsqu’une attaque se produit.

La complexité ne cesse de croître partout. Les tensions internationales, les nouvelles réglementations et l'évolution rapide des technologies ne font qu'accentuer la pression. Près de 60 % des entreprises affirment que les tensions internationales ont déjà bouleversé leurs plans de sécurité. Les petites équipes ont tout simplement moins de temps pour suivre chaque nouvelle évolution.

Les menaces que les petites entreprises doivent surveiller de près

Dans la pratique, toutes les cybermenaces n'affectent pas toutes les entreprises de la même manière. Le rapport du Forum économique mondial met en avant celles qui revêtent actuellement la plus grande importance.

Les ransomwares occupent toujours la première place. Quelle que soit la taille de l'entreprise, 45 % des personnes interrogées considèrent les ransomwares comme leur principal risque cybernétique. Les cybercriminels louent de plus en plus souvent des outils de ransomware à des malfaiteurs moins expérimentés. En conséquence, les attaques sont plus nombreuses et plus fréquentes.

La fraude et le hameçonnage suivent de près. Environ un répondant sur cinq a cité la fraude informatique, notamment le hameçonnage et les fausses demandes de paiement, comme sa principale préoccupation. Ces attaques visent souvent les petites entreprises. Pourquoi ? Parce que leur personnel ne bénéficie pas toujours de la même formation à la sécurité que celle dispensée dans les grandes entreprises.

Les « deepfakes » générés par l’IA constituent un risque émergent. Les cybercriminels utilisent désormais l’IA générative pour falsifier de manière convaincante la voix et l’image de dirigeants. En effet, une étude citée dans le rapport a révélé une hausse de 223 % du nombre d’outils de « deepfake » commercialisés sur le dark web. Cette augmentation s’est produite en l’espace d’une seule année. Plus de la moitié des responsables de la sécurité interrogés considèrent désormais les « deepfakes » comme une menace réelle.

Le risque lié aux tiers et à la chaîne d'approvisionnement est bien réel, même si cela ne semble pas être le cas. Les grandes entreprises considèrent le risque lié à la chaîne d'approvisionnement comme leur principale préoccupation. Cela s'explique en grande partie par le fait qu'elles dépendent de petits fournisseurs comme vous. Si vos systèmes sont compromis, les répercussions peuvent s'étendre à tous les partenaires avec lesquels vous travaillez.

Ce que les petites entreprises peuvent faire dès maintenant

Pour autant, ce rapport n'est pas seulement un avertissement. Il propose également des mesures concrètes qui permettent d'obtenir des résultats tangibles, même sans disposer d'un budget important en matière de sécurité.

Tout d'abord, misez sur vos collaborateurs. Le rapport du Forum économique mondial (FEM) révèle que 76 % des entreprises comblent leur déficit de compétences en formant leur personnel actuel. Elles sont de moins en moins nombreuses à se contenter de recruter de nouveaux spécialistes. Ainsi, une formation de base à la sécurité destinée à l'ensemble de votre équipe, et pas seulement au personnel informatique, contribue grandement à prévenir le hameçonnage et la fraude.

Deuxièmement, impliquez la direction. Le rapport révèle que 62 % des entreprises très résilientes informent régulièrement leurs dirigeants des risques liés à la cybersécurité. Seules 29 % des entreprises moins résilientes font de même. En résumé, la cybersécurité est plus efficace lorsqu’elle est considérée comme une priorité stratégique, et non comme une simple question technique.

Troisièmement, préparez-vous spécifiquement aux attaques par ransomware. Comme il s'agit toujours du risque numéro un, ne laissez rien au hasard. Conservez des sauvegardes hors ligne. Testez votre plan d'intervention. Et assurez-vous que chacun connaisse son rôle en cas d'attaque.

Quatrièmement, vérifiez les demandes inhabituelles. Les « deepfakes » générés par l'IA et les escroqueries par usurpation d'identité se multiplient rapidement. Il convient donc de former les employés à vérifier minutieusement les demandes de paiement inhabituelles ou les instructions provenant de la direction. Un simple coup de fil avant d'agir peut permettre de déjouer une escroquerie.

Enfin, posez des questions à vos fournisseurs et partenaires. Si vous approvisionnez de grandes entreprises, par exemple, attendez-vous à ce qu’elles vous interrogent sur vos pratiques en matière de sécurité. Anticiper ces questions permet d’instaurer un climat de confiance et de préserver vos relations commerciales.

En résumé

Le rapport 2025 du Forum économique mondial (FEM) met clairement en évidence une chose : disposer de solides défenses cybernétiques n’est plus une option pour les petites entreprises. L’écart entre les grandes et les petites entreprises est bien réel, et il ne cesse de se creuser.

Cependant, le rapport montre également que pour réaliser de réels progrès, il n'est pas nécessaire de disposer d'un budget important. Former son équipe, impliquer les dirigeants et se préparer à faire face aux menaces courantes peut déjà faire une grande différence.

On pourrait avoir l'impression que la cybersécurité est un problème réservé aux grandes entreprises. Mais comme le montre le rapport de cette année, les petites entreprises ne peuvent plus se permettre de penser ainsi.

Source : Forum économique mondial, « Global Cybersecurity Outlook 2025 », janvier 2025.

La conformité en matière de cybersécurité ne devrait plus constituer un frein à la croissance

Démontrer sa maturité en matière de cybersécurité est désormais un obstacle à surmonter avant qu'une entreprise puisse se développer. Pour de nombreuses organisations, la conformité fait désormais partie intégrante du chemin critique de chaque déploiement, de chaque appel d'offres et de chaque audit.

Trois situations de la vie quotidienne illustrent parfaitement comment cela fonctionne.

Un chef de projet doit obtenir l'accord de l'équipe chargée de la cybersécurité avant de déployer une nouvelle application — et cette validation peut prendre plusieurs semaines si les éléments justificatifs nécessaires ne sont pas déjà disponibles.
Un fournisseur informatique doit démontrer son niveau de sécurité lors d'un appel d'offres, généralement au moyen d'une certification ISO 27001 ou SOC 2 — et un seul document manquant peut le faire sortir de la course.
Une organisation doit prouver sa conformité aux autorités de régulation, dans le cadre de réglementations telles que la directive NIS 2, la directive DORA ou la CRA — chacune ayant ses propres exigences en matière de preuves et ses propres délais.

Un rythme que les méthodes traditionnelles ne peuvent pas suivre

Les cyberattaques se multiplient. L'intelligence artificielle se généralise. Les exigences réglementaires ne cessent de se multiplier, souvent au sein d'une même équipe et en même temps.

En conséquence, les équipes de sécurité doivent faire face à des exigences accrues avec les mêmes ressources limitées. Les référentiels eux-mêmes ne cessent de s'accumuler : NIS2, DORA et la CRA se chevauchent désormais dans de nombreuses organisations, chacun ayant sa propre fréquence d'audit et sa propre piste de vérification.

Les approches traditionnelles reposaient principalement sur une vérification manuelle effectuée par des personnes, et elles ne parviennent tout simplement plus à suivre le rythme. Les tableurs, les audits ponctuels et les certifications à un moment donné convenaient à un environnement de risque plus lent et plus prévisible — mais pas à un changement continu, accéléré par l'IA.

Pourtant, lorsque les entreprises innovent au rythme de l'IA, la mise en conformité en matière de cybersécurité doit suivre ce même rythme. Sinon, la conformité cesse de protéger l'entreprise et commence à la freiner.

SharpenCISO : une plateforme GRC enrichie

C'est précisément pour cette raison que nous avons créé SharpenCISO.

Notre plateforme automatise jusqu’à 80 % des tâches manuelles nécessaires pour démontrer la conformité en matière de cybersécurité et gérer les risques en temps réel. Il ne s’agit pas de supprimer l’intervention humaine du processus, mais de libérer votre équipe des tâches répétitives de collecte de preuves, afin que son expertise puisse être mise à profit là où elle crée le plus de valeur : les prises de décision, les évaluations des risques et les discussions stratégiques avec l’entreprise.

Concrètement, SharpenCISO automatise la collecte des éléments attestant de la maturité cybernétique pour quatre publics à la fois :

Les autorités de régulation, dans le cadre de réglementations telles que la directive NIS 2, la directive DORA et la CRA
Les équipes chargées de la sécurité interne (SSI), qui ont besoin d'une visibilité en continu plutôt que d'un aperçu annuel ponctuel
Organismes de certification pour des normes telles que l'ISO 27001 ou SOC 2
Appels d'offres et demandes de propositions des clients, où la démonstration de la maturité en matière de sécurité influence désormais les résultats commerciaux et les décisions relatives aux risques

Une base de données factuelles. Quatre publics cibles. Aucune duplication des efforts.

Faire de la cybersécurité un avantage concurrentiel

Telle est notre ambition. La démonstration de la maturité cybernétique ne devrait jamais freiner une organisation.

Bien menée, cette démarche produit l’effet inverse. Elle renforce la confiance des autorités de régulation et des clients. Elle accélère les projets au lieu de les freiner. Et elle ouvre des portes — contrats, partenariats et marchés — qui restaient auparavant fermées jusqu’à ce que les formalités administratives soient réglées.

La conformité ne devrait pas être un frein. Elle devrait être un accélérateur.

#SharpenCISO #CISO #RSSI #GRC #Cybersécurité #ISO27001 #ISO27005 #EBIOS #NIS2 #DORA #NIST #Conformité #SecurityByDesign #GestionDesRisques #IASécurisée #SécuritéDeL'IA

Les données relatives aux risques cybernétiques sont-elles suffisamment fiables pour permettre au comité de direction de prendre des décisions ?

Le risque cyber figure désormais à l'ordre du jour de presque tous les conseils d'administration. Mais les données qui sous-tendent ces discussions reflètent-elles réellement ce qui se passe au sein du système d'information ? C'est la question à laquelle chaque RSSI doit tôt ou tard répondre devant son comité exécutif ou son conseil d'administration.

Trois chiffres tirés du dernier baromètre OpinionWay réalisé pour le CESIN ont retenu notre attention :

92 % des entreprises classent le risque cyber parmi leurs cinq principaux risques commerciaux.
29 % ne l'examinent qu'une fois par an, au sein du comité exécutif ou du conseil d'administration.
61 % le révisent plusieurs fois par an, au même niveau.

Le risque cyber est donc clairement devenu un risque stratégique pour l'entreprise, et non plus seulement un risque technique. Et cette évolution a une conséquence : on attend désormais des responsables de la sécurité des systèmes d'information (RSSI) qu'ils contribuent à la prise de décisions stratégiques au sein du conseil d'administration, et non plus qu'ils se contentent de rendre compte des incidents passés.

Le risque cyber a gagné sa place à la table des discussions — mais les données n'ont pas encore rattrapé leur retard

Les données financières transmises au conseil d'administration font l'objet d'audits, sont présentées selon des formats standardisés et sont soumises à des contrôles mis en place au fil des décennies. Ce n'est toujours pas le cas des données relatives aux risques cybernétiques dans la plupart des organisations.

Cet écart ne se limite pas à une simple habitude de reporting. Il se reflète également dans les décisions qui en découlent. Pour la première fois en trois ans, la part des entreprises françaises consacrant 5 % ou plus de leur budget informatique à la sécurité a en effet diminué en 2025, passant de 48 % à 42 % (CESIN, 2026). Lorsque les données sur lesquelles repose cette décision ne sont qu’un instantané obsolète, le budget qui en découle est établi sur la base d’informations anciennes — et non en fonction des risques tels qu’ils se présentent aujourd’hui.

Une question qui revient sans cesse chez les RSSI

Voici ce qui revient sans cesse dans nos échanges avec les RSSI : les données consolidées à quelques moments clés de l'année reflètent-elles réellement la réalité opérationnelle du système d'information ? Et ces données sont-elles suffisamment fiables pour étayer les décisions stratégiques d'un RSSI au sein du comité exécutif ou du conseil d'administration ?

Dans de nombreuses organisations, les équipes continuent de rassembler ces données manuellement, à partir d’outils disparates, juste avant la réunion. Au moment où elles sont présentées au conseil d’administration, elles ne constituent déjà plus qu’un instantané de la situation telle qu’elle était quelques semaines auparavant — et non de celle d’aujourd’hui.

Chez SharpenCISO, nous sommes convaincus que le véritable enjeu ne réside pas dans l'augmentation de la fréquence des mesures, mais bien dans l'utilisation, dès le départ, de données plus fiables. Augmenter la fréquence des rapports sans veiller à la qualité des données revient simplement à présenter une image erronée, mais plus souvent.

Ce que signifie réellement le terme « fiable » dans ce contexte

La fiabilité ne se limite pas à l'exactitude des données au moment de leur collecte. Elle implique également que ces données soient à jour lorsqu'elles parviennent au décideur.

Prenons l’exemple des risques liés aux tiers. Seules 23 % des entreprises françaises surveillent en permanence leur surface d’attaque ; la plupart s’appuient encore sur une clause contractuelle, examinée une seule fois et rarement réexaminée. Il s’agit là autant d’un choix de gouvernance que d’un choix technique, et c’est précisément le genre de lacune qu’un rapport ponctuel peut masquer.

Cette même évolution est déjà en cours dans d’autres domaines de la sécurité. La part des organisations qui évaluent leurs outils d’IA avant leur déploiement a presque doublé en un an, passant de 37 % à 64 % (WEF, 2026). La vérification continue devient la norme en matière de risques liés à l’IA. Les rapports GRC en matière de cybersécurité destinés au conseil d’administration doivent suivre cette même évolution : passer d’un instantané périodique à une vue en temps réel.

Alors, quel est votre niveau de confiance ?

Nous sommes curieux de savoir : dans quelle mesure votre organisation se fie-t-elle à ses données GRC en matière de cybersécurité lorsqu'il s'agit de prendre une décision au sein du comité exécutif ou du conseil d'administration ?

Responsables de la sécurité des systèmes d'information (RSSI), les données que vous présentez correspondent-elles à la réalité sur le terrain ? Et vous, membres du conseil d'administration, avez-vous l'impression de prendre des décisions en fonction des risques actuels ou de ceux du dernier trimestre ? Faites-nous part de vos commentaires : nous aimerions savoir comment vous percevez la situation de votre point de vue.

#SharpenCISO #CISO #RSSI #GRC #Cybersécurité #ISO27001 #ISO27005 #EBIOS #NIS2 #DORA #NIST #Conformité #SecurityByDesign #CRA

La cybersécurité devient un enjeu de gouvernance. Il s’agit désormais d’une question de résilience et de maîtrise des risques, et non plus uniquement de défense technique. Le dernier baromètre OpinionWay réalisé pour le CESIN confirme cette évolution : trois cadres réglementaires dominent désormais les priorités des entreprises en France.

Au total, 59 % des entreprises françaises déclarent être concernées par la directive NIS 2, 32 % par la directive DORA et 30 % par la directive CRA (CESIN, 2026). Mais ces moyennes masquent un fossé marqué selon la taille des entreprises. C’est dans ce fossé que réside la véritable réalité.

1. NIS2 : le nouveau centre de gravité

70 % des grandes entreprises considèrent la directive NIS 2 comme une priorité absolue. Parmi les très petites et moyennes entreprises (TPE/PME), ce chiffre tombe à seulement 44 %.

Cet écart s'explique. Les grandes entreprises ont déjà franchi l'étape de la norme NIS1 ; elles connaissent donc bien la marche à suivre : gestion des risques, notification des incidents, responsabilité au niveau du conseil d'administration. Les structures plus modestes, en revanche, commencent seulement à prendre la mesure de la portée réelle des exigences, notamment des obligations qui s'étendent à leur chaîne d'approvisionnement et ne se limitent pas à leurs propres systèmes.

2. DORA : la résilience opérationnelle au cœur du secteur financier

La directive DORA reste une priorité majeure pour les grandes entreprises, avec un taux de 38 %. Ce chiffre reflète son champ d'application : les établissements financiers et leurs fournisseurs de services informatiques essentiels.

Tests de résilience, gestion des risques liés aux tiers, gouvernance : la directive DORA impose une discipline rigoureuse. Et comme elle s'applique directement tant aux prestataires de services informatiques qu'aux établissements financiers, son impact s'étend bien au-delà du secteur financier lui-même.

3. La CRA : la sécurité des produits dès la conception

Avec la CRA, la logique change. La sécurité doit être intégrée dès le départ, et non ajoutée a posteriori. C'est là l'essence même des principes « Secure by Design » et « Secure by Default ».

Les grandes entreprises ont là aussi une longueur d’avance : 37 % d’entre elles se préparent déjà à la CRA, contre seulement 23 % des entreprises de taille intermédiaire (ETI). Cet écart de 14 points est significatif, car la mise en œuvre des exigences fondamentales de la CRA — les listes de composants logiciels (SBOM) et la gestion des correctifs — prend du temps. Attendre la date limite n’est pas vraiment une option.

Ce qui distingue les organisations les plus performantes

Nous sommes convaincus que les organisations qui progressent le plus rapidement auront en commun trois habitudes :

Ils mutualisent les contrôles et les cadres de référence entre les différentes réglementations, au lieu de gérer en parallèle des programmes de conformité distincts pour la directive NIS2, la directive DORA et la CRA.
Ils hiérarchisent les mesures à prendre en fonction du niveau de risque réel, et non en fonction de la facilité avec laquelle on peut en apporter la preuve. La case la plus facile à cocher en matière de conformité n'est pas toujours celle qui correspond au risque le plus important.
Elles fournissent aux équipes chargées de la conformité, du risque et de la gouvernance (GRC) dans le domaine cybernétique les outils nécessaires pour industrialiser les évaluations, produire des preuves fiables et gérer simultanément plusieurs réglementations — sans multiplier les efforts à chaque fois.

Il ne s'agit pas d'une opportunité négligeable. Comme nous l'avons évoqué dans un article précédent, 76 % des RSSI affirment déjà que la gestion simultanée de plusieurs référentiels nuit à leur capacité à rester en conformité. La convergence n'est pas un simple atout supplémentaire : c'est la clé pour garantir une conformité durable.

Faire de la conformité un levier, et non une obligation

C'est précisément l'approche que nous mettons en place avec SharpenCISO, notre plateforme GRC native IA, automatisée en temps réel.

Notre objectif est simple : faire de la conformité un véritable levier de gestion des risques cybernétiques — un levier qui renforce durablement le niveau de sécurité — plutôt qu’une succession d’obligations réglementaires à cocher, un cadre à la fois.

Alors, qu'avez-vous mis en place ?

Nous sommes curieux : quelles mesures avez-vous mises en place pour améliorer les performances et l'impact de vos équipes chargées de la gouvernance, du risque et de la conformité (GRC) en matière de cybersécurité ?

Utilisez-vous toujours NIS2, DORA et la CRA comme des volets distincts, ou avez-vous déjà commencé à mettre en commun vos efforts ? Faites-le-nous savoir dans les commentaires.

#SharpenCISO #CISO #RSSI #GRC #Cybersécurité #ISO27001 #ISO27005 #EBIOS #NIS2 #DORA #NIST #Conformité #SecurityByDesign #CRA

While many organizations were still waiting for France’s transposition of NIS2, ANSSI published the ReCyF — Référentiel Cyber France (v2.5) in March 2026. This working document is now the regulatory backbone of what’s coming, well before the formal decree lands.

Here’s what you actually need to understand.

1. This is no longer an IT topic — it’s a leadership topic

The ReCyF is explicit about this: digital security governance now falls under the personal responsibility of the executive in charge. They approve the security policy. They answer for any gaps.

Concretely, that governance framework has to include four things: a defined organization, clear roles and responsibilities for digital security, a process for managing compliance, and a formal information security policy (PSSI). That PSSI isn’t a one-off document, either. Your organization has to review it at least once a year, and it must cover, at minimum, encryption use, physical and logical access control, and the review of security measures already in place.

Cybersecurity has moved up to the executive committee. This time, it’s staying there.

2. Are you an “Entité Importante” (EI) or an “Entité Essentielle” (EE)?

This isn’t just a vocabulary question. The first 15 security objectives apply to both categories equally. Objectives 16 through 20 — formal risk analysis, information system audits, dedicated administration, and security supervision — apply only to EEs.

There’s another distinction worth knowing: only essential entities (EE) must designate a named point of contact for ANSSI, responsible for security incidents and all related communications. Important entities (EI) face no such obligation. In short, your EI/EE status doesn’t just affect your paperwork — it directly determines your compliance workload.

3. The structure of the obligations: What vs. How

The ReCyF separates two levels, and the distinction matters:

Security objectives: mandatory. They define what you must achieve.
Acceptable means of compliance: recommended by ANSSI, not mandatory on their own. They define how you can demonstrate that achievement during a control.

Among those means, a valid ISO 27001:2022 certification can demonstrate several objectives at once — governance chief among them. But it only counts for the systems actually covered by the certification’s scope. A certification that covers one business unit doesn’t automatically cover the rest of the organization.

4. The 4 concrete pillars to address

The framework rests on four clear pillars:

Governance: mapping your information systems, defining your security policy, and controlling your supplier ecosystem.
Protection: physical access, architecture, identity management, encryption.
Defense: detecting and responding to incidents.
Resilience: business continuity and disaster recovery plans, crisis management, and regular exercises.

Each pillar maps to a specific set of the ReCyF’s 20 security objectives, and each objective ties back to an article of the NIS2 directive itself. Nothing here is arbitrary — it’s European law translated into operational requirements.

What this actually changes

Many organizations assumed they could wait. The ReCyF closes that option. It sets a precise framework, with requirements that differ by EI/EE status, ANSSI controls that can happen at any time, and named accountability for the executive in charge.

The question is no longer “do we need to comply?” It’s “where do we start?”

Evaluate your maturity in 15 minutes

Want to assess your maturity against the ReCyF ahead of NIS2? SharpenCISO automates multi-framework pre-audits. You get your report and a preliminary action plan in 15 minutes, not weeks.

🌐 www.sharpenciso.com ✉️ contact@sharpenciso.com

#SharpenCISO #GRC #Cybersecurity #Founders #CISO #RSSI #NIS2 #DORA #ISO27001 #NIST #Compliance #SecurityByDesign