Secu
La cybersécurité marque le pas
Par Guillaume Perissat, publié le 19 juin 2026
Après des années de montée en maturité, la cybersécurité des grandes entreprises continue de progresser mais à un rythme plus modéré, selon le Cyber Benchmark 2026 de Wavestone. Si les fondamentaux sont désormais bien maîtrisés, les organisations peinent encore à sécuriser leur chaîne d’approvisionnement. Haro donc sur les PME et PMI. Entre les espoirs placés dans NIS 2 et les nouveaux défis liés à l’intelligence artificielle, la prochaine étape de maturité se jouera bien sur un passage à l’échelle.
Après plusieurs années de progression rapide, la cybersécurité des grandes entreprises entre dans une nouvelle phase. Selon le Cyber Benchmark 2026 de Wavestone, réalisé auprès de plus de 200 clients du cabinet, la maturité cyber continue d’augmenter, mais à un rythme plus modéré.
Derrière cette apparente stabilisation se cache une réalité plus contrastée : les organisations ont globalement consolidé leurs fondamentaux, mais peinent désormais à traiter certains sujets. « Nous avons atteint une forme de palier de maturité », observe Gérôme Billois, Partner Cybersécurité chez Wavestone. « Depuis les grandes vagues de ransomware de 2017, les entreprises ont massivement investi dans la protection des postes de travail, la détection et la réponse aux incidents. Beaucoup de grands groupes ont réussi à élever leur niveau de défense ».
Grands écarts
Ainsi, le benchmark montre que la maturité moyenne des grandes entreprises atteint désormais 55.3%, en hausse de 1,3 point sur un an. Un chiffre qui grimpe à 67,6% pour le secteur de la finance, un bond de 5,1 points à mettre en perspective avec le domaine des services, qui plafonne à 48,7%. Plus largement, l’écart entre secteurs régulés et non régulés demeure considérable : 61,1% contre 52,3%, soit près de 9 points d’écart…
Et la situation est bien pire du côté des petites et moyennes entreprises. Un quart du panel est jugé en situation critique, malgré une nette amélioration sur un an. « Il y a clairement une situation à risque sur les PME-PMI. 54% des incidents traités par notre CERT l’an dernier venait de tiers et de PME-PMI, qui touchent par rebond les grandes entreprises » indique Gerome Billois.
Menace sur la chaîne
Or les grandes entreprises continuent de rencontrer d’importantes difficultés lorsqu’il s’agit de maîtriser leur chaîne d’approvisionnement. Les chiffres du benchmark parlent d’eux-mêmes. Seules 28 % des grandes organisations évaluent les dépendances de l’ensemble de leurs chaînes métiers à l’échelle globale. C’est d’ailleurs l’un des sujets « difficiles » (« hard to crack »), selon Wavestone, dans la conformité à NIS 2.
Le sujet devient désormais systémique. Les grandes entreprises ont commencé à sécuriser leurs propres infrastructures. Reste à élever le niveau de leurs partenaires. Mais ce problème dépasse largement le périmètre des RSSI. Pour Gerome Billois, « le problème numéro un que j’observe sur le terrain, ce n’est pas le Comex, ni les équipes cyber qui savent généralement ce qu’il faut faire. Le blocage se situe souvent au niveau du management intermédiaire de la DSI, qui poursuit d’autres objectifs. Et nous n’arrivons pas encore à créer une véritable culture cyber dans toute l’entreprise, y compris dans les achats, le juridique ou la gestion des risques ».
NIS 2 : un effet boule de neige…
NIS 2 devrait produire un effet d’entraînement majeur, notamment auprès des PME. « Si le mouvement se déclenche réellement, nous aurons un double effet : une montée en maturité des PME et un effet boule de neige sur toute la chaîne de sous-traitance » prévoit Gerome Billois. « Et si jamais on déclenche ce mouvement boule de neige, il faudra derrière que le marché suive avec des offres financièrement acceptables et humainement déployables ».
Mais encore faudra-t-il le déclencher. La situation réglementaire française n’aide en rien. En effet, la transposition nationale de NIS 2 accumule les retards. Au point que la Commission européenne songerait à poursuivre la France.
… ou un pétard mouillé
Au-delà des bisbilles politiques, les faux départs successifs de la transposition ont des effets sur les entreprises. « En France, le sujet commence presque à être usé avant même d’avoir réellement démarré. Les entreprises attendent depuis longtemps un cadre définitif qui n’est toujours pas totalement stabilisé » déplore le Partner Cybersécurité de Wavestone.
« Ça met les grands groupes en porte à faux ». Le consultant salue toutefois le travail préparatoire de l’ANSSI, qui a multiplié les groupes de travail afin de permettre aux entreprises d’anticiper les futures exigences. L’effet NIS 2 s’est-il essoufflé depuis 2023 ? « Ce serait triste. Mais j’espère que le texte sera adopté en juillet et que les autorités communiqueront dès la rentrée ». Selon Gerome Billois, « c’est le moment de garder une ligne budgétaire pour septembre, afin qu’il y ait des investissements prévus pour 2027. Sinon, c’est une année de perdue ».
IA : la cybersécurité tente de rattraper l’innovation
L’autre grand sujet du Cyber Benchmark 2026 est, ô surprise, l’intelligence artificielle. Malgré l’omniprésencce de l’IA dans les discours, sa sécurisation n’en est qu’à ses balbutiements. Sur un panel de 20 organisations, l’étude évalue la maturité moyenne sur les sujets de sécurité de l’IA a un maigre 38 %.
Pour Gérôme Billois, il ne s’agit pas d’un retard stratégique mais plutôt d’un décalage logique. « Les RSSI n’ont pas raté le coche. Nous sommes aujourd’hui dans la phase où les entreprises mettent en place les protections après avoir travaillé la gouvernance et l’identification des risques ».
Ainsi, force est de constater que 76 % des grandes entreprises disposent déjà d’une politique de sécurité dédiée à l’IA. 62 % ont mis en place un processus de décision « go/no go » lors des revues de risques et 57 % ont identifié une équipe chargée d’évaluer la conformité des projets IA.
« Les experts IA restent rares dans les équipes cyber »
En revanche, les capacités de détection et de réponse restent embryonnaires. La maturité du pilier « Detect » plafonne à 35 %, tandis que celle du pilier « Respond » tombe à seulement 8 %.
« Les organisations mettent en place le Protect, après avoir fait le Govern et le Identify. Elles investissent dans ces sujets-là mais ce sont également des projets qui prennent du temps, pour lesquels les équipes testent encore les produits et alors que les experts IA restent rares dans les équipes cyber ». Pourtant, en parallèle, les projets métiers IA doivent être déployés en production. Et vite !
Mais, d’un autre côté, après le ralentissement observé ces deux dernières années, l’accélération viendra peut-être de l’IA. « Avec Mythos, tout le monde s’est un peu réveillé et de nombreuses entreprises sont passées en mode pré-crise », souligne Gerome Billois. « On a donc des sujets en cybersécurité qui se débloquent parce que le niveau de risque est susceptible d’augmenter ».
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
