En France, 65 % des dirigeants placent la cybersécurité dans leur top 3 stratégique, selon une étude relayée par Cyber-Sécurité.fr. Les budgets augmentent, les solutions se multiplient, les tableaux de bord se perfectionnent. Le sujet a quitté le bureau du DSI pour s’installer à l’ordre du jour des comités de direction. Reste une question : cette montée en puissance des outils se traduit-elle par une meilleure maîtrise du risque au sommet de l’entreprise ?
Écart entre perception de préparation et maturité réelle de la gouvernance cyber
Le Corporate Risk Radar 2026 de Kiteworks met en lumière un décalage qui mérite d’être détaillé. Les dirigeants déclarent massivement investir dans la cybersécurité. Ils associent désormais risque technologique, conformité et capacité d’investissement dans une même grille de lecture.
Le problème se situe ailleurs. Le même rapport souligne un écart croissant entre la perception de préparation des dirigeants et la maturité réelle des cadres de gouvernance. Autrement dit, les entreprises achètent des solutions, mais n’ont pas toujours structuré les processus de décision qui les rendent efficaces.
| Indicateur | Perception des dirigeants | Réalité observée |
|---|---|---|
| Priorité stratégique de la cybersécurité | 65 % la classent dans le top 3 | Appropriation réelle variable selon les structures |
| Traitement du sujet cyber | Investissements en hausse | Gouvernance encore fragmentée entre DSI, RSSI et direction générale |
| Gouvernance de l’IA et cyber résilience | Sentiment de préparation élevé | Maturité des cadres de gouvernance en retard sur les déploiements |
| Impact d’une cyberattaque en France | Risque identifié | Conséquences opérationnelles et financières souvent sous-estimées |
Ce tableau résume un paradoxe mesurable : la conscience du risque progresse plus vite que la capacité au pilotage.
Arbitrage budgétaire cyber : ce que les comités de direction ne tranchent pas
Acheter un EDR, déployer un SOC managé ou souscrire une assurance cyber, ce sont des décisions techniques. Décider quel niveau de risque résiduel l’entreprise accepte, comment répartir la responsabilité entre DSI, RSSI et direction générale, ou quel pourcentage du budget IT consacrer à la protection plutôt qu’à l’innovation, ce sont des décisions de gouvernance.
La gouvernance cyber reste éclatée entre direction informatique, direction de la sécurité et direction générale, sans qu’un arbitre clairement désigné porte la responsabilité devant le conseil d’administration.
Cette fragmentation produit des effets concrets :
- Les investissements se concentrent sur les outils de détection et de réponse, au détriment de la formation des équipes dirigeantes et de la simulation de crise au niveau stratégique
- L’accélération des déploiements d’IA en entreprise se fait plus vite que la mise en place de cadres de sécurité adaptés, ce qui crée de nouvelles surfaces d’attaque non couvertes par les budgets existants
- Le risque humain, pourtant identifié comme un angle critique par plusieurs analystes, reste rarement porté par la direction générale elle-même
Pression réglementaire et responsabilité des dirigeants face aux cyberattaques
Les réglementations RGPD, NIS2 et DORA ont changé la donne. Elles imposent aux entreprises des obligations de notification, de résilience opérationnelle et de documentation des risques. Le Corporate Risk Radar 2026 montre que la pression réglementaire devient un moteur d’investissement aussi fort que la menace elle-même.
Cette pression a un effet positif : elle force les dirigeants à formaliser ce qui relevait auparavant de l’implicite. En revanche, elle crée aussi un risque de conformité de façade. Une entreprise peut cocher toutes les cases réglementaires sans avoir réellement intégré la cybersécurité dans ses processus de décision stratégique.
La question de la responsabilité personnelle des dirigeants prend une dimension nouvelle. En 2026, la tendance est à la mise en cause directe des cadres dirigeants en cas de défaillance cyber, comme le soulignent plusieurs analyses sectorielles. Cette évolution déplace le sujet : il ne s’agit plus seulement de protéger l’entreprise, mais de protéger ceux qui la dirigent.
Gouvernance de l’IA et cybersécurité : le nouveau point de friction pour les PME et ETI
Le déploiement rapide de l’intelligence artificielle dans les entreprises françaises ajoute une couche de complexité. Les dirigeants accélèrent l’adoption de l’IA pour des gains de productivité, mais la sécurisation de ces déploiements ne suit pas le même rythme.
Kiteworks identifie ce décalage comme l’un des risques majeurs de 2026. Les PME et ETI sont particulièrement exposées : elles disposent rarement d’un RSSI dédié, et l’arbitrage entre budget IA et budget sécurité se fait souvent au détriment du second.
Le phénomène du shadow AI (utilisation d’outils d’IA non validés par la DSI) amplifie le problème. Les dirigeants qui accélèrent sur l’IA sans cadre de gouvernance adapté créent exactement le type de risque qu’ils cherchent à éviter en investissant dans la cybersécurité.
Pour les entreprises de taille intermédiaire, la réponse passe moins par l’empilement de solutions techniques que par trois décisions structurantes :
- Désigner un responsable unique du risque cyber au sein du comité de direction, avec un mandat clair et un reporting direct au conseil
- Intégrer systématiquement un volet sécurité dans chaque projet d’adoption d’IA, avant le déploiement et non après
- Simuler au moins une fois par an une crise cyber au niveau de la direction générale, pas uniquement au niveau technique
Les solutions de cybersécurité progressent, le marché se structure, les offres cloud et les services managés rendent la protection accessible à des organisations qui n’y avaient pas accès il y a cinq ans. Le vrai différenciateur reste la capacité du comité de direction à transformer un budget en gouvernance. Tant que la cybersécurité sera perçue comme une ligne de dépense technique plutôt que comme un processus de décision stratégique, l’écart entre investissement et protection réelle continuera de se creuser.
