Etat des lieux de la cybersécurité des entreprises françaises

Les cyberattaques ne sont plus seulement une affaire de serveurs et de pare-feu : elles touchent directement l’organisation du travail, la continuité de production et la sécurité des équipes. Les derniers enseignements du baromètre annuel du CESIN, basé sur près de 400 répondants, montrent une menace moins fréquente mais bien plus coûteuse lorsqu’elle frappe.

Des attaques “moins nombreuses”, mais une désorganisation du travail toujours critique

Le baromètre du CESIN s’appuie sur une notion clé : il ne comptabilise que les cyberattaques dites « significatives », c’est-à-dire celles qui ont un impact réel sur l’activité, les données, la conformité ou l’image. Les tentatives bloquées, ou sans conséquence notable, ne sont pas retenues. Cette méthode évite un biais fréquent : si l’on additionnait toutes les tentatives, quasiment toutes les organisations seraient considérées comme attaquées.

En 2025, 40% des entreprises interrogées déclarent avoir subi au moins une attaque significative. La tendance est à la baisse depuis plusieurs années, mais il serait dangereux d’y voir un apaisement. Ce recul s’explique surtout par des dispositifs plus efficaces pour détecter, contenir et réagir rapidement. Autrement dit : l’attaque “réussie” est moins courante, mais la pression reste forte.

Et quand l’attaque passe, l’impact sur le travail est massif. 81% des entreprises victimes indiquent une conséquence sur leur activité : interruptions, ralentissements, arbitrages d’urgence, réaffectation des équipes, retards de livraison, sans oublier l’atteinte à l’image. Le vol de données demeure la conséquence la plus fréquente, avec des effets concrets sur le quotidien : gestion de crise, tensions internes, hausse de la charge mentale, et parfois arrêt temporaire d’outils indispensables.

• Arrêts ou perturbations de production qui exposent à des risques “terrain” (procédures dégradées, contournements, précipitation).
• Pression sur les équipes IT et métiers, mobilisées en urgence, parfois hors horaires habituels.
• Risque d’erreurs humaines accru (mauvais paramétrages, décisions rapides, consignes mal comprises).

Géopolitique, souveraineté et cloud : des enjeux qui dépassent la technique

Les répondants signalent une hausse perçue de la menace d’origine étatique : plus d’une entreprise sur deux estime que ce risque progresse. Le cyberespionnage est jugé “élevé” par 40% des organisations, quelle que soit leur taille. Pour la sécurité au travail, cela signifie que le cyber devient un facteur d’instabilité durable : plans de continuité, scénarios de crise, communication interne et gestion des priorités doivent être pensés sur la durée.

Le sujet de la souveraineté numérique progresse nettement : plus de la moitié des entreprises se disent concernées par les notions de “cloud de confiance” et de maîtrise des dépendances. Mais le baromètre souligne un point souvent mal compris : la souveraineté ne se limite pas à la nationalité d’un outil. Elle repose sur la capacité à piloter ses dépendances, négocier les contrats, auditer les fournisseurs et reprendre la main en cas d’incident.

Dans le cloud, les principaux risques mis en avant sont d’abord juridiques et contractuels : clauses difficiles à négocier, lois extraterritoriales, manque de visibilité sur la sous-traitance. Or, ces éléments ont des conséquences opérationnelles : si les responsabilités sont floues, les équipes perdent du temps en situation d’urgence, ce qui prolonge l’interruption de service et augmente le stress collectif.

1. Clarifier les responsabilités et délais d’intervention (qui fait quoi, en combien de temps).
2. Exiger de la transparence sur la chaîne de sous-traitance et les audits de sécurité.
3. Préparer des scénarios de bascule ou de reprise, testés avec les métiers.

Le risque “tiers” devient une vulnérabilité structurelle de l’entreprise

Un tiers des entreprises estime que plus de la moitié de leurs incidents sont liés à des tiers : prestataires, fournisseurs, partenaires. Les attaques exploitant une faille chez un acteur de la chaîne deviennent un vecteur majeur de compromission. Pour la sécurité au travail, le problème est simple : même si vos équipes appliquent des règles strictes, une faiblesse chez un tiers peut mettre tout le monde en mode dégradé du jour au lendemain.

Face à cette réalité, les entreprises renforcent leurs pratiques : 85% intègrent des clauses de sécurité dans les contrats et 74% utilisent des questionnaires d’évaluation. Les approches de type “cyber-rating” progressent également et inspirent davantage confiance qu’auparavant, signe que la gestion du risque fournisseur se professionnalise.

• Inscrire des exigences de sécurité mesurables dans les contrats (exigences, preuves, fréquence de tests).
• Mettre à jour régulièrement l’évaluation des tiers, pas seulement à la signature.
• Prévoir des procédures de continuité communes (contacts, escalade, communication de crise).

Phishing, identités, IA : l’humain reste la ligne de front au travail

Les modes d’attaque dominants évoluent peu, mais se structurent. Le phishing sous toutes ses formes (phishing, spear phishing, smishing) reste le premier point d’entrée des incidents significatifs (55%). Viennent ensuite l’exploitation de failles (41%) et les attaques indirectes via des tiers (35%). Les attaques DDoS touchent 21% des organisations victimes, de plus en plus intégrées à des stratégies hybrides : diversion, pression économique, voire contexte géopolitique. Les arnaques basées sur des deepfakes restent minoritaires, mais illustrent une ingénierie sociale rendue plus crédible par l’IA.

Bonne nouvelle : les entreprises améliorent la maîtrise de leurs actifs numériques. 81% pensent avoir une vision complète de leurs actifs, et 92% ont identifié ou sont en train d’identifier les actifs critiques. Dans le cloud, la faible visibilité recule, portée par l’adoption d’outils de cartographie et de pilotage de surface d’attaque. Les fondamentaux restent solides : EDR largement déployés, efficacité perçue très élevée, authentification multi-facteurs devenue standard. Les démarches structurantes progressent également, comme le Zero Trust et la mise en place d’équipes dédiées à la gestion des vulnérabilités.

Mais des fragilités persistent : la gouvernance des identités et des accès, notamment les comptes à privilèges (administrateurs, sous-traitants), demeure un point sensible, particulièrement dans des environnements hybrides et distribués. Dans un contexte de travail réel, cela se traduit par un dilemme : sécuriser sans bloquer l’activité. Si les règles sont trop complexes, les utilisateurs contournent ; si elles sont trop permissives, l’exposition grimpe.

L’IA ajoute une couche de risque : l’usage par les salariés de services d’IA non approuvés (“shadow IA”) est identifié comme le comportement le plus risqué, et l’usage massif d’outils cloud ou logiciels non validés est également jugé préoccupant. Même si l’IA est encore rarement citée comme vecteur direct dans les incidents significatifs, le signal est là : automatisation et sophistication des attaques progressent. Enfin, la pression réglementaire s’intensifie : 85% des entreprises se disent impactées par au moins une réglementation cyber, avec des cadres très structurants qui renforcent l’intégration de la conformité dans la gouvernance.

Sur le même sujet : Baromètre annuel de la cybersécurité des entreprises.