La question ne se pose plus en termes de « si » une attaque surviendra, mais de « quand » et surtout « comment l’entreprise continuera à fonctionner ». C’est tout l’objet de la cyber-résilience : un changement de paradigme que les directions générales françaises ne peuvent plus ignorer en 2026.
Qu’est-ce que la cyber-résilience ? Définition et différence avec la cybersécurité
La cybersécurité vise à empêcher les attaques : protéger les systèmes, détecter les intrusions, bloquer les menaces. La cyber-résilience part d’un postulat différent : aucune barrière n’est étanche. L’objectif n’est donc pas d’éviter tout incident, mais de maintenir les activités critiques malgré l’incident, puis de se relever rapidement avec un impact maîtrisé.
Concrètement, une entreprise cyber-résiliente sait répondre à trois questions : quelles fonctions doivent absolument continuer à tourner, qui décide quoi pendant la crise, et comment restaurer l’activité dans un délai acceptable. La durée médiane d’interruption d’activité suite à une cyberattaque atteint 8 jours, toutes tailles d’entreprises confondues, selon Dattak (2025). Huit jours d’arrêt, c’est souvent la différence entre une crise surmontée et une faillite.
Les chiffres confirment l’urgence de ce basculement. Selon PwC Global Digital Trust Insights 2025, seulement 2% des entreprises dans le monde s’estiment pleinement résilientes face aux cybermenaces. Pourtant, 66% des dirigeants technologiques classent le risque cyber comme leur principal risque business, devant les préoccupations économiques et opérationnelles. Le coût moyen d’une violation de données s’élève à 3,32 millions de dollars selon PwC (2025).
Les chiffres clés de la résilience cyber des entreprises en France
Le panorama français est contrasté. Selon le baromètre CESIN 2025, 47% des entreprises sont victimes de cyberattaques ; pour 69% d’entre elles le nombre d’attaques est resté stable depuis 2024, en hausse pour 19% et en baisse pour 12%. Selon Cybermalveillance (2025), 8 entreprises sur 10 ne se sentent pas préparées pour faire face aux cyberattaques, et 58% des sociétés ne sauraient pas évaluer les conséquences d’une attaque.
Côté vecteurs d’attaque, le baromètre CESIN 2025 est clair : le phishing reste le principal vecteur d’attaque, touchant 60% des entreprises victimes, suivi de l’exploitation de failles (47%) et des attaques par déni de service (41%). Toujours selon le CESIN, le vol de données affecte 42% des entreprises touchées, devant le déni de service (36%) et l’usurpation d’identité (34%).
Deux tendances de fond méritent une attention particulière :
- La menace par les tiers s’intensifie. 27% des entreprises ont déclaré avoir été victimes d’une attaque indirecte due à un tiers, et seules 32% n’ont relevé aucun incident lié à leurs tiers (CESIN 2025). Selon une étude du World Economic Forum citée par Ivanti (2025), 54% des grandes organisations identifient la complexité de la supply chain et le risque tiers comme le principal frein à leur résilience.
- L’IA redessine le terrain. Le phishing généré par IA rend les campagnes d’hameçonnage plus crédibles et plus massives : en 2025, 43% des TPE-PME ont déjà été victimes d’hameçonnage. Mais l’IA est aussi un allié de la résilience, avec des outils de détection automatisée des anomalies qui réduisent le temps entre intrusion et réponse. Le WEF confirme cette double dynamique : près de trois organisations sur quatre ont signalé une hausse des risques cyber en 2025 par rapport aux 12 mois précédents.
Chez les PME, le budget reste le nœud du problème : 78% des entreprises investissent moins de 2 000€ dans leur cyberprotection, alors même que 84% des entreprises jugent leurs solutions de cybersécurité adaptées à leurs besoins (CESIN 2025). Il existe donc un écart entre la confiance affichée et la capacité réelle à absorber un incident.
Le cadre réglementaire : NIS 2, DORA, Cyber Resilience Act et loi Résilience
La réglementation européenne se densifie à grande vitesse. Trois textes majeurs structurent désormais le paysage : la directive NIS 2, le règlement DORA pour le secteur financier, et le Cyber Resilience Act pour les produits numériques. Leur impact cumulé est massif : 85% des entreprises françaises déclarent être impactées par au moins un texte de loi cyber, et NIS 2 impacte 59% des organisations répondantes, devant DORA (32%) et le Cyber Resilience Act (30%) selon Sindup (2025).
NIS 2 : la directive et le retard français. La directive NIS 2 (UE 2022/2555) a été adoptée le 14 décembre 2022, publiée au Journal officiel de l’UE le 27 décembre 2022 et est entrée en vigueur le 16 janvier 2023. La date limite de transposition dans le droit national des États membres était fixée au 17 octobre 2024, délai que la France n’a pas respecté. La Commission européenne a adressé des lettres de mise en demeure à 23 États membres en novembre 2024, puis des avis motivés à 19 d’entre eux dont la France en mai 2025.
Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France pour défaut de transposition complète de NIS 2, avec demande de sanctions financières. Ce flou juridique a des conséquences pratiques immédiates : les entreprises concernées ne savent pas précisément quelles obligations leur seront applicables, ni selon quel calendrier de mise en conformité. La posture raisonnable consiste à anticiper dès maintenant, en s’appuyant sur les exigences déjà connues de la directive et sur les recommandations de l’ANSSI.
La loi Résilience française. En France, la transposition de NIS 2 passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience », qui transpose simultanément NIS 2, la directive REC et le volet directive de DORA. Ce projet de loi a été présenté en Conseil des ministres le 15 octobre 2024, adopté par le Sénat le 12 mars 2025, puis adopté à l’unanimité en commission spéciale à l’Assemblée nationale le 10 septembre 2025, avec un examen en séance publique prévu à partir du 7 octobre 2026.
DORA et le CRA. Le Cyber Resilience Act (règlement UE 2024/2847) a été adopté le 23 octobre 2024, est entré en vigueur le 12 novembre 2024, et s’appliquera à partir du 11 décembre 2027. Il imposera des exigences de sécurité sur tout le cycle de vie des produits comportant des éléments numériques. Quant à DORA, il impose aux acteurs financiers une gestion structurée du risque opérationnel numérique, y compris le risque tiers. À noter aussi que l’ANSSI a publié en mars 2025 son plan stratégique 2025-2027 intitulé « Au cœur d’un collectif pour une Nation cyber-résiliente », articulé autour de cinq missions : défendre, connaître, partager, accompagner, réguler.
Pour prioriser face à cette accumulation de référentiels (ISO 27001, NIST CSF 2, NIS 2, DORA, CRA), une règle simple s’impose : partez du socle commun. La cartographie des actifs, la gestion des incidents, la gestion des tiers et les plans de continuité sont exigés par presque tous ces textes. Les travailler une fois, selon une méthodologie reconnue comme ISO 27001 ou NIST CSF 2, permet de répondre à plusieurs obligations d’un même effort.
Les piliers d’une stratégie de cyber-résilience efficace
Identifier les activités critiques (analyse BIA)
Tout commence par l’analyse d’impact sur l’activité (BIA). Sans savoir ce qui est critique, impossible de prioriser les investissements ni de dimensionner les plans de reprise. L’exercice consiste à identifier les processus essentiels, leurs dépendances (applications, données, fournisseurs, collaborateurs) et leur durée maximale d’interruption tolérable.
Le constat est sans appel côté reprise : le pilier « Recover » du référentiel NIST CSF 2 affiche un niveau de maturité de seulement 41%, le plus faible des piliers évalués par Wavestone (2025). Les entreprises savent protéger, mais peinent à se relever, ce qui est précisément le cœur de la résilience.
Gouvernance de crise et plan de continuité/reprise d’activité (PCA/PRA)
Une crise cyber se joue sur deux tableaux : la technique et la décision. La gouvernance de crise doit être formalisée avant l’incident : qui est la cellule de crise, qui commique quoi (interne, clients, autorités comme l’ANSSI, assureurs), qui décide de payer ou non une rançon, quand activer le plan de continuité d’activité (PCA) et le plan de reprise d’activité (PRA).
Le PCA garantit la poursuite des fonctions critiques en mode dégradé ; le PRA décrit la restauration des systèmes. Les deux ne valent rien s’ils ne sont pas testés : un exercice de simulation annuel, avec la direction générale impliquée, est le minimum. L’implication du dirigeant est d’ailleurs un facteur décisif de réussite, la cyber-résilience étant autant un sujet de gestion qu’un sujet technique. Le respect du RGPD impose par ailleurs de documenter les violations de données et de notifier la CNIL dans les délais, ce qui doit figurer dans la procédure de crise.
Sensibilisation, Zero Trust et gestion des tiers
Le phishing touchant 60% des entreprises victimes, la sensibilisation des collaborateurs reste le premier remboursement sur investissement. Des campagnes régulières et des exercices de simulation donnent des résultats mesurables.
Sur le plan technique, l’approche Zero Trust, qui consiste à ne jamais faire confiance par défaut et à vérifier systématiquement chaque accès, limite la propagation d’une intrusion : même si un poste est compromis, la capacité de l’attaquant à se déplacer est réduite.
Enfin, la gestion des tiers devient incontournable. 85% des entreprises ont intégré des clauses de sécurité dans leurs contrats avec des tiers et 74% pratiquent la soumission de questionnaires de sécurité (CESIN 2025). La réglementation pousse dans le même sens : NIS 2, DORA et le CRA imposent tous une forme de maîtrise du risque de la chaîne d’approvisionnement.
Un levier encore sous-exploité : la cyberassurance. Sept entreprises sur dix ont souscrit une cyberassurance, une proportion qui monte à près de huit sur dix parmi les grandes entreprises (Sindup 2025). Mais souscrire ne suffit pas : assureurs exigent désormais des mesures de sécurité préalables (MFA, sauvegardes testées, gestion des correctifs) et les contrats contiennent franchises, exclusions et plafonds qu’il faut lire finement. Une entreprise qui néglige ces conditions peut découvrir, au pire moment, que sa couverture ne joue pas.
Cas des PME et ETI : des ressources limitées face à des obligations croissantes
Selon le rapport Hiscox 2025, les PME représentent 50% de l’économie mondiale et 83% d’entre elles constatent une amélioration de leur cyber-résilience sur les 12 derniers mois. La dynamique est réelle : 70% des PME prévoient d’actualiser la formation de leurs salariés en cybersécurité et 60% prévoient d’embaucher du personnel supplémentaire pour renforcer leur cyber-résilience (Hiscox 2025).
Le rapport de Wavestone (2025) nuance toutefois cette progression : selon l’étude, les grandes entreprises affichent un niveau moyen de protection de 56% face aux 29 vecteurs d’attaque utilisés par les groupes de ransomware ; 36% des PME/ETI restent en situation critique, une amélioration de 18% par rapport à 2024. La marge de progression reste considérable, surtout quand 78% des entreprises investissent moins de 2 000€ dans leur cyberprotection.
Le principal défi des PME et ETI n’est pas la connaissance des menaces mais l’arbitrage des ressources : pas de RSSI dédié dans la plupart des cas, des équipes IT déjà saturées et des obligations réglementaires croissantes. La réponse passe par la priorisation radicale et l’externalisation ciblée, plutôt que par une sécurité exhaustive hors de portée.
Comment évaluer et renforcer la cyber-résilience de son entreprise : plan d’action en 5 étapes
Voici un plan d’action réaliste, conçu pour des PME et ETI à budget limité.
- Étape 1 : cartographier et évaluer. Réalisez une analyse BIA simplifiée sur les 5 à 10 processus critiques. Identifiez les dépendances tierces. Autodiagnostiquez-vous gratuitement via Cybermalveillance.gouv.fr et les guides de l’ANSSI, conçus pour les structures sans expert interne.
- Étape 2 : sécuriser les fondamentaux. Concentrez le budget sur ce qui a le meilleur rendement : MFA généralisée, sauvegardes hors ligne testées régulièrement, gestion des correctifs, segmentation réseau et sensibilisation anti-phishing. Ces mesures répondent aussi aux exigences des assureurs, ce qui améliore les conditions de votre cyberassurance.
- Étape 3 : formaliser la gestion de crise. Rédigez un PCA/PRA minimal et une cellule de crise avec des rôles nominaux. Intégrez les obligations légales : notification ANSSI, notification CNIL au titre du RGPD, communication clients et presse. Testez par une simulation annuelle.
- Étape 4 : encadrer les tiers. Recensez les prestataires ayant accès à vos données ou systèmes. Intégrez des clauses de sécurité dans les contrats et exigez des engagements de notification d’incident, comme le font déjà 85% des grandes entreprises.
- Étape 5 : mesurer dans la durée. Pilotez la maturité avec des indicateurs simples : temps moyen de détection et de restauration des sauvegardes (testé réellement), taux de clic sur les campagnes de phishing simulé, pourcentage de systèmes critiques couverts par le PRA, délai de traitement des alertes. Revoyez ces KPI trimestriellement en comité de direction.
Un dernier frein à garder en tête : selon une étude 2025 du World Economic Forum, seulement 14% des organisations disposent des talents qualifiés nécessaires pour atteindre leurs objectifs de cybersécurité. Le recrutement en cybersécurité étant structurellement difficile, la formation interne et les services managés sont souvent la seule voie crédible pour une PME.
En 2026, la cyber-résilience n’est plus une option technique : c’est une condition de survie économique et une exigence réglementaire. Les entreprises qui commencent maintenant, même avec des moyens modestes, seront celles qui redémarreront en quelques heures plutôt qu’en plusieurs semaines.
