sondage
IA, conformité, fournisseurs… les RSSI sommés d’arbitrer l’ingérable
Les 21 sondages menés par le CESIN auprès de ses membres au premier semestre 2026 montrent des RSSI contraints d’arbitrer entre IA, conformité, anticipation et dépendances.
31 % des RSSI interrogés envisagent de rejoindre le conseil faute de capacité à agir dans leur organisation. Au premier semestre 2026, le CESIN a sondé chaque semaine ses membres pour prendre le pouls d’une fonction confrontée à l’essor de l’IA, aux contraintes réglementaires et aux dépendances technologiques. Les 21 mini-sondages réalisés par le club des RSSI publiés le 16 septembre dessinent un problème de gouvernance autant que de cybersécurité. Le périmètre du RSSI gagne les décisions métiers, les achats et les choix technologiques, sans garantie sur les moyens de les infléchir. L’IA générative cristallise cette difficulté. Parmi les répondants issus surtout d’organisations de taille intermédiaire, 27 % n’ont encore défini aucune politique d’usage. Seuls 18 % des sondés disposent d’un cadre spécifique pour les développeurs utilisant des environnements enrichis à l’IA. L’adoption précède donc la gouvernance et place le RSSI face à des usages déjà installés. Son rôle ne consiste plus seulement à sécuriser une technologie. Il doit peser sur les conditions de son adoption, avec une capacité d’action mise en question par ses propres pairs.
La conformité capte les ressources
Mais cette multiplication des fronts ne pèse pas de la même façon sur toutes les organisations. Parmi les TPE-PME interrogées, 72 % placent la conformité dans le top trois de leurs priorités cyber pour 2026, contre 61 % des ETI et 46 % des grandes entreprises. L’écart renseigne moins sur leur maturité que sur leur latitude. Les grands groupes peuvent répartir leurs efforts entre plusieurs chantiers quand les structures aux ressources plus contraintes concentrent leur attention sur les obligations réglementaires. La conformité risque alors de dicter une partie de l’agenda cyber au détriment de sujets moins pressants en apparence.
Le CESIN décrit ainsi une maturité cyber fondée sur la capacité à arbitrer. Encore faut-il que cette responsabilité collective ne laisse pas au RSSI la charge opérationnelle des décisions prises ailleurs dans l’organisation.
Cette tension transforme aussi la place du RSSI. Le Cyber Resilience Act (CRA) et les autres exigences cyber ne cantonnent plus le risque au seul système d’information et impliquent davantage les directions dans son pilotage. Le CESIN relève que 52 % des ETI interrogées ne se considèrent pas concernées de façon directe par le CRA, tout en achetant auprès de fournisseurs soumis au règlement. Le CESIN décrit ainsi une maturité cyber fondée sur la capacité à arbitrer. Encore faut-il que cette responsabilité collective ne laisse pas au RSSI la charge opérationnelle des décisions prises ailleurs dans l’organisation.
Le post-quantique reste hors radar
L’urgence du quotidien laisse aussi peu de place aux risques à échéance plus lointaine. Le post-quantique en fournit une photographie nette. 69 % des membres du CESIN interrogés n’ont pas encore commencé à s’en préoccuper. À l’autre bout du spectre, 1 % a engagé une migration opérationnelle. Entre les deux, une minorité évalue ses besoins ou expérimente. L’Agence nationale de sécurité des sytèmes d’information (Anssi) estime pourtant que la transition prendra plus d’une décennie et recommande aux organisations de commencer par l’inventaire de leurs usages cryptographiques.
Le risque fournisseur rejoint ici le risque budgétaire. Changer de solution peut imposer une migration lourde, tandis que rester peut renchérir la facture et réduire le pouvoir de négociation.
L’État a fixé, pour ses administrations, des premières étapes d’inventaire en 2026 et 2027, avec des objectifs de mise en œuvre à horizon 2030. Investir dans une menace aux effets futurs entre en concurrence avec des obligations réglementaires et des usages d’IA déjà présents dans l’entreprise. Le risque tient aussi au temps nécessaire à la transformation des systèmes existants. Le sondage révèle surtout un écart entre la perspective technique du risque et le calendrier budgétaire des entreprises. Un écart coûteux si les inventaires commencent trop tard.
Le RSSI pris dans l’étau
Cette dépendance prend une tournure très économique au gré des consolidations du marché cyber. Après le rachat d’un fournisseur, 69 % des grandes entreprises du panel et 74 % des ETI disent avoir constaté une explosion des coûts. Parmi l’ensemble des répondants, 41 % évoquent un enfermement technologique. Le risque fournisseur rejoint ici le risque budgétaire. Changer de solution peut imposer une migration lourde, tandis que rester peut renchérir la facture et réduire le pouvoir de négociation. Le malaise gagne aussi le métier. Parmi 162 répondants, 24 % jugent les opportunités de postes de RSSI aussi nombreuses que par le passé. Dans le même temps, 31 % envisagent le conseil faute de capacité à agir dans leur organisation, en hausse de 16 points. Le CESIN y voit une fonction en transformation. Les chiffres posent une question plus rugueuse pour les directions générales. À force d’élargir le périmètre du RSSI sans élargir sa capacité d’arbitrage, l’entreprise risque de faire du responsable cyber le comptable de risques sur lesquels il garde peu de prise.
