Cyber-résilience, les entreprises françaises butent encore sur la restauration

Pour 81 % des entreprises françaises frappées par une cyberattaque, la restauration a pris plus de temps que prévu. Le chiffre donne une mesure concrète de la fragilité pointée par le baromètre 2026 de Cohesity, publié le 16 septembre. Parmi les répondants français, seuls 36 % se disent pleinement confiants dans leur stratégie de cyber-résilience, contre 47 % un an plus tôt. Pourtant, 99 % déclarent disposer d’une stratégie. L’écart entre les deux indicateurs pose moins la question de l’existence des plans que de leur efficacité une fois l’entreprise attaquée. Le Recovery Time Objective (RTO), soit le délai maximal fixé pour rétablir un service après un incident, en fournit un révélateur. Une large majorité des organisations touchées dépasse cet objectif. Or un système restauré hors délai peut prolonger l’interruption des opérations et les pertes associées. Avec 85 % des répondants français déclarant avoir déjà subi une attaque aux conséquences mesurables, la reprise d’activité ne peut plus être cantonnée au scénario exceptionnel. Elle devient un test grandeur nature des choix de résilience. 

Prévenir reste le réflexe 

Les budgets conservent pourtant une forte empreinte préventive. En France, la fonction “Protéger” du référentiel du National Institute of Standards and Technology (NIST) absorbe en moyenne 25 % des investissements de cyber-résilience des répondants. La restauration ferme la marche avec 17 %. L’écart ne signifie pas que les entreprises devraient opposer les deux postes. Une protection robuste réduit l’exposition, tandis que la restauration limite les conséquences lorsque les barrières cèdent. Le déséquilibre devient plus intéressant au regard du retour des entreprises elles-mêmes. 59 % des répondants français jugent leurs investissements trop orientés vers la prévention au détriment de la réponse et de la restauration. La résilience suppose de financer l’après-attaque avec la même discipline que les moyens destinés à empêcher son déclenchement. 

L’IA complique le retour à la normale 

L’intelligence artificielle ajoute une difficulté à cet exercice. Seuls 33 % des répondants français déclarent couvrir de façon exhaustive les scénarios d’attaque visant leurs systèmes et processus IA dans leur plan de réponse. Restaurer un service intégrant de l’IA ne suffit pas si l’entreprise ne peut garantir l’intégrité des modèles et des données utilisés. Or 13 % des organisations françaises utilisatrices d’IA interrogées doutent de leur capacité à effectuer cette vérification après une attaque. L’enjeu touche directement les processus métiers alimentés par ces systèmes. Une reprise technique peut rendre une application disponible sans lever le doute sur les données ou le modèle remis en production. Pour les directions des systèmes d’information (DSI) et les responsables de la sécurité des systèmes d’information (RSSI), les procédures de crise doivent absorber ces nouveaux usages au rythme de leur diffusion dans l’entreprise. Sur ce terrain aussi, l’adoption technologique prend de vitesse les plans de reprise. 

Le RTO devient une affaire métier 

L’exposition déclarée par les entreprises donne davantage de poids à ces écarts. Sur les douze derniers mois, 68 % des organisations françaises interrogées disent avoir subi au moins une cyberattaque aux conséquences significatives. Le baromètre porte sur des structures de plus de 1 000 salariés et ne saurait donc décrire l’ensemble du tissu économique français. Pour ces grandes organisations, le respect du RTO touche toutefois à une mécanique plus large que celle des équipes cyber. Les applications s’appuient sur des données, des infrastructures et des services imbriqués. Restaurer un maillon ne garantit pas la reprise de toute la chaîne opérationnelle. Le délai promis aux métiers doit alors être confronté aux dépendances techniques réelles et testé dans des conditions proches d’une crise. Faute de quoi, l’objectif inscrit dans le plan de continuité reste théorique. Les plans existent. Les attaques, elles, éprouvent leur capacité à tenir les délais annoncés.