Cybersécurité : des attaques moins nombreuses mais plus graves pour les entreprises françaises 

L’édition 2025-2026 du baromètre du CESIN, fondée sur une enquête menée en décembre 2025 auprès de 397 RSSI et directeurs cybersécurité, montre une inflexion dans le nombre d’attaques significatives subies par les entreprises. En 2025, 40 % des organisations interrogées déclarent avoir été touchées par au moins un incident majeur, contre 57 % en 2020. Cette baisse est attribuée à une montée en maturité des dispositifs de sécurité, mais elle ne se traduit pas par une diminution des conséquences. Parmi les entreprises victimes, 81 % font état de perturbations de production, de pertes d’image ou de compromissions de données. Les attaques, moins nombreuses, apparaissent en revanche plus ciblées, plus complexes et plus impactantes. 

Phishing, vulnérabilités et tiers en première ligne 

Les vecteurs d’attaque restent dominés par le phishing et ses dérivés, cités par 55 % des répondants, devant l’exploitation de failles de sécurité (41 %). Les attaques passant par des tiers progressent fortement et concernent désormais 35 % des incidents. Le baromètre souligne également une évolution des escroqueries dites « au président » : si les formes classiques reculent, des variantes reposant sur des contenus générés par IA, notamment des deepfakes, refont surface. Par ailleurs, les attaques par déni de service (DDoS) sont en hausse et de plus en plus perçues comme des actions de déstabilisation, parfois sans objectif financier direct. 

Le risque fournisseurs devient central 

La dépendance croissante aux écosystèmes numériques élargis renforce le poids du risque tiers. Environ 33% des entreprises estime que plus de la moitié de leurs incidents de sécurité provient de partenaires ou de fournisseurs. Les causes identifiées vont des failles de sécurité chez les prestataires aux vulnérabilités de logiciels largement déployés, en passant par des attaques de type supply chain. Pour y faire face, les organisations renforcent les clauses contractuelles, multiplient les questionnaires de sécurité et recourent davantage à des dispositifs de cyber-rating, désormais mieux acceptés par les fournisseurs. 

Menaces étatiques, cloud et souveraineté 

Le baromètre met en évidence une hausse continue du cyberespionnage, qui concerne 40 % des entreprises interrogées. Les menaces d’origine étatique sont jugées en nette progression, en particulier par les grandes organisations, dans un contexte géopolitique tendu. Cette situation alimente une remise en question de l’usage du cloud public non souverain. Les risques identifiés sont moins techniques que juridiques et contractuels, liés notamment aux clauses contractuelles et aux lois extraterritoriales. Des stratégies de rééquilibrage émergent entre cloud public, cloud de confiance et infrastructures privées. 

Des organisations plus matures, mais sous contrainte 

La majorité des répondants se déclarent confiants dans leurs outils de cybersécurité : 88 % les jugent adaptés, avec une moyenne d’environ 40 solutions déployées par entreprise. L’externalisation progresse, notamment pour les SOC et les tests d’intrusion, tout en conservant des compétences internes pour le pilotage. La préparation à la gestion de crise est largement engagée, mais la capacité de reconstruction post-attaque et la continuité d’activité sans système d’information restent des points de fragilité. 

IA, réglementation et budgets sous tension 

L’intelligence artificielle s’impose comme un nouveau facteur de risque. Si 80 % des entreprises utilisent déjà des solutions d’IA, l’usage de services non approuvés par les salariés – la « shadow IA » – est identifié comme le principal risque cyber en 2025. Dans le même temps, la pression réglementaire s’intensifie avec NIS2, DORA et le Cyber Resilience Act, même si la compréhension et la transposition de certains textes restent incomplètes. Les budgets, eux, reculent légèrement : 42 % des organisations consacrent au moins 5 % de leur budget IT à la cybersécurité, contre 48 % un an plus tôt, et 70 % estiment manquer de ressources humaines et financières. 

Vers une cybersécurité intégrée à la gouvernance 

Le baromètre CESIN 2025-2026 confirme que la cybersécurité est devenue une fonction stratégique, intégrée aux instances de gouvernance. Le rôle du RSSI évolue en ce sens, de plus en plus transversal et décisionnel. Pour 2026, les priorités identifiées portent sur la gestion du risque fournisseurs, la souveraineté numérique, l’encadrement des usages de l’IA et le renforcement des moyens. Le passage d’une logique essentiellement défensive à une approche fondée sur la résilience apparaît comme un enjeu central pour les organisations.