Sécurité informatique en entreprise : gouvernance et budget

Piloter la sécurité informatique d’une entreprise tient en quatre décisions : qui en porte la responsabilité, quels actifs sont réellement protégés, quel budget y est affecté, et comment le niveau atteint se mesure. Les outils viennent après. Une PME sans direction informatique peut tenir ce pilotage avec un référent désigné et une revue trimestrielle.

Le pilotage commence là où s’arrête l’achat d’outils

Une entreprise équipée d’un pare-feu, d’un antivirus et d’une sauvegarde cloud ne dispose pas encore d’une politique de sécurité. Elle détient trois factures. La gouvernance désigne autre chose : la capacité à répondre à froid, sans consulter le prestataire, à des questions dont la réponse engage la direction.

• Qui décide, qui exécute, qui contrôle le travail livré ?
• Quels systèmes et quelles données constituent le cœur vital de l’activité ?
• Combien coûterait un arrêt complet de production pendant cinq jours ouvrés ?
• Sur quels signaux vérifiez-vous que le niveau progresse ou se dégrade ?

Le contexte français rend ces questions moins théoriques qu’elles n’en ont l’air. Dans son Panorama de la cybermenace 2025, l’ANSSI indique avoir traité 3 586 événements de sécurité sur l’année, en recul de 18 % par rapport à 2024, dont 2 209 signalements et 1 366 incidents avérés. L’agence relève aussi 460 événements d’exfiltration potentielle de données, dont 42 % ont été confirmés comme des fuites réelles. Le volume baisse, la gravité non.

Le mythe du prestataire qui s’occupe de tout

L’infogérance couvre l’exploitation, rarement la décision. Un contrat de maintenance classique engage le prestataire sur la disponibilité des postes et des serveurs, pas sur l’arbitrage entre deux niveaux de protection, ni sur l’acceptation d’un risque résiduel. Ces choix restent chez le client, y compris quand il ne les formule jamais.

Le test tient en une phrase : demandez à votre prestataire la liste des risques qu’il a décidé de ne pas traiter, et pourquoi. Une réponse écrite existe rarement. Son absence signale que personne, ni en interne ni en externe, n’a formalisé le périmètre.

Désigner un responsable, même sans direction informatique

La première décision ne coûte rien : nommer une personne. Sans nom inscrit quelque part, la sécurité appartient à tout le monde, ce qui revient à ne l’attribuer à personne.

Le référent cyber interne

Dans une structure de moins de cinquante salariés, le référent cyber est rarement un technicien. Un responsable administratif, un dirigeant associé ou un chef de projet fait l’affaire, à condition de disposer d’un temps identifié, généralement une demi-journée par mois, et d’un accès direct à la direction.

Son périmètre tient en cinq responsabilités.

• Maintenir l’inventaire des systèmes et des données critiques.
• Contrôler l’exécution des travaux confiés au prestataire.
• Instruire les demandes budgétaires avant arbitrage.
• Recevoir et tracer les signalements internes.
• Préparer le point de situation présenté à la direction.

RSSI externalisé et prestataire de sécurité managée

Au-delà d’une centaine de collaborateurs, ou dès qu’un secteur réglementé entre en jeu, le référent interne atteint ses limites. Deux relais existent. Le RSSI externalisé intervient quelques jours par mois sur la gouvernance : politique, analyse de risque, plan de mise à niveau, préparation des audits. Le prestataire de sécurité managée, lui, opère la surveillance et la réponse aux alertes en continu.

Les deux répondent à des besoins distincts et se cumulent souvent mal quand personne ne définit qui tranche. Écrivez la frontière dans le contrat : qui déclenche l’isolement d’un poste compromis, qui prévient la direction, qui décide d’un arrêt de production.

Ce que le dirigeant ne peut pas déléguer

Trois décisions remontent toujours au sommet, quelle que soit la taille de l’organisation. L’acceptation d’un risque résiduel documenté, d’abord : personne d’autre n’a la légitimité pour assumer qu’un scénario ne sera pas couvert. L’arbitrage budgétaire, ensuite. La communication de crise enfin, vis-à-vis des clients, des salariés et des autorités.

Le projet de loi français transposant la directive NIS 2 renforce cette lecture en prévoyant un régime de responsabilité qui vise les organes de direction. La délégation technique reste possible, la délégation de responsabilité beaucoup moins.

Cartographier avant d’acheter le moindre outil

Un budget de sécurité engagé sans inventaire finance des protections mal placées. La cartographie précède l’achat, toujours.

L’inventaire qui manque presque toujours

L’inventaire des actifs liste les applications métier, les serveurs, les postes, les comptes à privilèges, les hébergements et les flux de données personnelles. Trois colonnes suffisent pour démarrer : le nom du système, la personne qui en dépend au quotidien, et la durée d’interruption tolérable avant que l’activité ne s’arrête.

Cette troisième colonne fait tout le travail. Elle transforme une liste plate en hiérarchie, et elle révèle presque toujours deux ou trois systèmes critiques que personne n’avait identifiés comme tels : un tableur partagé qui porte la facturation, une application développée en interne il y a huit ans, un accès distant ouvert pour un ancien prestataire.

Le diagnostic gratuit de l’ANSSI

MonAideCyber propose un diagnostic entièrement financé par l’État, ouvert aux structures de moins de 250 salariés, aux associations et aux collectivités. L’entretien dure d’une demi-journée à une journée, s’appuie sur un questionnaire structuré couvrant neuf thématiques dont la gouvernance, la gestion des accès, la messagerie, le cloud et les sauvegardes, et débouche sur un plan d’action priorisé.

Le dispositif ne remplace pas un audit de cybersécurité approfondi, qui teste les configurations réelles et sonde les vulnérabilités. Il donne un point de départ crédible à une organisation qui n’a jamais rien formalisé, sans engager un euro.

Le risque tiers, angle mort de la cartographie

L’inventaire s’arrête souvent aux frontières juridiques de l’entreprise. Les chiffres du onzième baromètre CESIN, réalisé avec OpinionWay auprès de 397 responsables cybersécurité et publié en 2026, montrent l’erreur : un défaut de sécurité chez un prestataire concerne 34 % du panel, les vulnérabilités sur des composants tiers 32 %, et la propagation d’un rançongiciel par un partenaire 30 %.

Trois questions se posent avant toute signature avec un fournisseur qui accède à vos systèmes ou héberge vos données.

• Où sont hébergées les données, les sauvegardes et les journaux d’accès ?
• Quel engagement contractuel encadre la notification d’un incident, et sous quel délai ?
• Quels sous-traitants ultérieurs interviennent, et sont-ils nommés au contrat ?

Construire un budget qui tient devant un comité de direction

Aucun pourcentage universel du budget informatique ne résiste à l’examen. Une entreprise industrielle avec des automates connectés et un cabinet de conseil entièrement dans le cloud n’ont ni la même surface d’exposition ni le même coût d’arrêt.

Partir du coût d’arrêt, pas d’une norme de marché

La méthode qui convainc un comité de direction inverse le raisonnement habituel. Chiffrez d’abord la perte : marge quotidienne perdue, pénalités contractuelles, heures de remise en état, frais juridiques, notification des personnes concernées. Multipliez par une durée d’indisponibilité réaliste, cinq jours ouvrés pour un chiffrement de serveurs sans sauvegarde testée.

Le baromètre CESIN 2026 donne l’ordre de grandeur de la probabilité : 40 % des organisations interrogées déclarent avoir subi au moins une attaque significative en 2025, contre 47 % un an plus tôt et 65 % en 2019. La fréquence recule, mais l’impact métier est qualifié de significatif dans 81 % des cas. Une attaque plus rare et plus lourde change l’équation budgétaire : elle justifie moins de dépenses diffuses et davantage d’investissement sur la capacité de reprise.

Répartir entre prévention, détection et réaction

Trois enveloppes valent mieux qu’une ligne globale, parce qu’elles rendent visibles les déséquilibres.

• Prévention : mises à jour, authentification multifacteur, cloisonnement réseau, gestion des droits selon le principe du moindre privilège, sensibilisation des équipes.
• Détection : journalisation, supervision des alertes, capacité à qualifier un événement en dehors des heures ouvrées.
• Réaction : sauvegardes déconnectées, tests de restauration, contrat d’assistance à la réponse à incident, plan de continuité d’activité écrit et testé.

La plupart des budgets de PME concentrent tout sur la première enveloppe et laissent la troisième vide. Un rançongiciel corrige cette erreur en quelques heures, au prix fort.

Les postes que les devis oublient systématiquement

Quatre lignes disparaissent presque toujours des propositions commerciales. Aucune ne figure sur une facture fournisseur, toutes conditionnent l’efficacité du reste.

• Le temps interne consacré au pilotage, valorisé au coût réel du référent.
• Les tests de restauration trimestriels, y compris la journée mobilisée pour les mener.
• L’exercice de crise annuel, avec la direction autour de la table.
• La formation continue du référent, dont le sujet évolue plus vite que son poste.

Un budget qui ignore ces quatre postes rend invisible la charge humaine du dispositif. C’est elle, plus que le prix des licences, qui décide si les contrôles seront réellement exécutés ou repoussés au trimestre suivant.

Le calendrier réglementaire qui va forcer la main

La directive NIS 2 devait être transposée par les États membres au 17 octobre 2024. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, présenté en Conseil des ministres le 15 octobre 2024 et adopté par le Sénat le 12 mars 2025, n’était toujours pas promulgué à l’été 2026. Son examen en commission spéciale à l’Assemblée nationale s’était achevé le 10 septembre 2025.

Qui sera concerné, et à quelles conditions

Environ 15 000 entités françaises entrent dans le périmètre annoncé, réparties entre entités essentielles et entités importantes selon leur secteur et leur taille. Le texte transpose simultanément trois directives européennes : NIS 2 pour la cybersécurité, REC pour la résilience des entités critiques, et le volet financier DORA.

Les obligations centrales tiennent en trois blocs.

• L’enregistrement de l’entité auprès de l’autorité nationale, qui suppose de savoir dans quelle catégorie vous tombez.
• La mise en place de mesures de gestion du risque cyber proportionnées à l’exposition.
• La notification d’incident sous 72 heures, précédée d’une alerte précoce attendue dans les 24 heures.

Les sanctions annoncées atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante. Le délai de notification mérite une attention particulière : il se compte en heures, pendant lesquelles l’entreprise gère simultanément la crise technique, la communication interne et les questions de ses clients. Cette procédure s’écrit à froid ou ne s’écrit jamais.

Se préparer sans attendre la promulgation

L’ANSSI a mis à disposition le 17 mars 2026 une version de travail du Référentiel Cyber France, accessible via la plateforme MesServicesCyber. Le document traduit les objectifs de sécurité de NIS 2 en mesures concrètes. Non contraignant par défaut, il pourra être opposé favorablement en cas de contrôle par les entités qui auront choisi de l’appliquer.

Une entreprise qui attend le décret d’application pour commencer se retrouvera à traiter l’inventaire, la politique d’accès et la procédure de notification dans le même trimestre. Le rôle de l’agence et ses référentiels sont détaillés dans notre point sur l’ANSSI et la conformité des entreprises.

L’assurance cyber ne remplace pas le pilotage

Le marché français s’est nettement ouvert. La sixième édition de l’étude LUCY publiée par l’AMRAE en 2026, construite sur l’analyse de 20 996 polices et 1 251 sinistres, décrit une phase de détente tarifaire : les primes des grandes entreprises reculent de 32 % en moyenne, et la diffusion progresse fortement sur les segments intermédiaires, avec près de 21 000 polices actives.

Cette détente s’accompagne d’un signal moins rassurant. La sinistralité totale relevée par l’étude passe à 83,2 millions d’euros contre 54,5 millions l’année précédente, portée par les entreprises de taille intermédiaire dont les indemnisations ont quadruplé. Un modèle tarifaire en baisse face à une sinistralité en hausse ne se maintient pas indéfiniment.

Ce que l’assureur vérifie avant de couvrir

Le questionnaire de souscription est devenu un audit déguisé. Cinq points reviennent chez la quasi-totalité des assureurs, et chacun renvoie à une preuve que le pilotage produit ou non.

• L’authentification multifacteur sur les accès distants et les comptes à privilèges.
• L’existence d’une sauvegarde déconnectée du réseau, hors de portée d’un chiffrement.
• Le délai contractuel d’application des correctifs critiques.
• La preuve d’un test de restauration récent, daté et documenté.
• La sensibilisation régulière des collaborateurs, avec traces de participation.

Une déclaration inexacte sur l’un de ces points expose à une réduction d’indemnité, parfois à la nullité du contrat. Le pilotage produit donc un effet direct sur l’assurabilité : une entreprise qui tient son inventaire et documente ses contrôles remplit le questionnaire en quelques heures, avec des réponses vérifiables. L’autre improvise, et découvre au sinistre l’écart entre ce qu’elle a déclaré et ce qu’elle applique.

Ce qui reste hors du contrat

Une police cyber indemnise des conséquences financières, pas une capacité opérationnelle. Elle ne restaure pas vos serveurs, ne reconstitue pas des données jamais sauvegardées et ne répare pas une relation client abîmée par trois semaines de silence. Les pertes d’image, les surcoûts de reprise mal chiffrés au contrat et l’usure des équipes pendant la crise restent à votre charge. Cette couverture complète les garanties d’assurance professionnelle des TPE-PME, qui traitent d’autres périmètres de risque.

Mesurer avec quatre indicateurs, pas quarante

Un tableau de bord de trente lignes n’est jamais lu. Quatre indicateurs suffisent à révéler l’état réel d’un dispositif, et chacun se vérifie sans outil spécialisé.

• Le délai de restauration constaté lors du dernier test réel, exprimé en heures, sur le système le plus critique de l’inventaire.
• La proportion de comptes à privilèges protégés par authentification multifacteur, comptée sur la liste nominative et non sur une estimation.
• Le délai moyen d’application des correctifs critiques, mesuré entre la publication de l’éditeur et le déploiement effectif.
• Le nombre de comptes actifs appartenant à des personnes ayant quitté l’organisation.

Le premier indicateur est le plus révélateur, parce qu’il ne se déclare pas : il s’obtient en restaurant vraiment. Une sauvegarde jamais restaurée reste une hypothèse, et la stratégie 3-2-1 ne vaut que par ce test.

Les indicateurs qui ne servent à rien

Certains chiffres rassurent et ne pilotent rien. Ils mesurent l’activité d’un outil, jamais la capacité de l’organisation à encaisser un incident.

• Le nombre d’attaques bloquées par le pare-feu, qui dépend du bruit d’Internet.
• Le volume de courriels filtrés, corrélé au volume reçu et à rien d’autre.
• Le taux de disponibilité de l’antivirus, qui ne dit rien de sa configuration.
• Le nombre de tickets de sécurité clos, indicateur de productivité et non de risque.

Une règle simple sépare les deux familles : un bon indicateur change de valeur quand vous décidez quelque chose. Les autres varient tout seuls, sans qu’aucune décision ne les influence.

Le nouvel angle mort : l’usage non déclaré de l’IA

Le baromètre CESIN 2026 place l’utilisation de services d’intelligence artificielle non approuvés en tête des comportements à risque : l’usage de ces outils par les salariés est jugé risqué par 75 % des répondants. La même étude relève que 79 % des organisations déclarent un usage de l’IA en interne, mais que 42 % seulement l’ont officiellement intégré à leur stratégie de sécurité.

L’écart entre ces deux chiffres décrit exactement ce que le pilotage doit traiter : des données métier envoyées vers des services non recensés, sans contrat, sans localisation connue, sans engagement sur leur réutilisation. Une ligne d’inventaire et une règle d’usage écrite coûtent moins cher qu’une fuite à expliquer.

Prochaine étape

Ouvrez un tableur cette semaine et remplissez trois colonnes pour vos dix systèmes les plus utilisés : le nom, la personne qui en dépend, la durée d’arrêt tolérable. Présentez le résultat à votre direction au prochain point mensuel. Ce document de deux heures devient la base de tout le reste, du budget à la conformité.