Le 29 octobre 2026, Bercy a accueilli la première édition du Bercy de la Cyber. Entre pédagogie envers les PME et tensions réglementaires, l’événement montre que la cybersécurité conditionne désormais la compétitivité des entreprises françaises.
Anne Le Hénanff et Roland Lescure ont ouvert une matinée de trois tables rondes et 25 stands de jeunes pousses françaises de la cyber. Hygiène numérique des TPE-PME, protection des entités critiques et de leurs sous-traitants, secteur financier : le programme montre que l’État traite désormais la cybersécurité comme un sujet de sécurité économique, et plus seulement comme une affaire de spécialistes.
Une menace qui vise d’abord les maillons faibles
Le Panorama de la cybermenace 2025 de l’ANSSI recense 3 586 événements de sécurité en un an. L’espionnage reste surtout le fait d’acteurs liés à la Russie et à la Chine, qui pratiquent le pré-positionnement : s’installer discrètement dans un réseau pour agir plus tard. Les télécommunications et l’énergie restent des cibles de sabotage privilégiées.
La porte d’entrée favorite des attaquants ? Les équipements de bordure, comme les pare-feu ou les passerelles VPN exposés sur Internet, souvent exploités avant même la publication d’un correctif. L’ANSSI observe aussi que la frontière entre groupes étatiques et cybercriminels s’efface, ce qui complique l’attribution des attaques.
Le paradoxe tient en une phrase : les attaques se sophistiquent, mais réussissent encore grâce à des failles élémentaires. Un mot de passe faible, un équipement jamais mis à jour ou une sauvegarde dont personne n’a testé la restauration suffisent souvent. Or ces failles se concentrent dans les petites structures. Selon le baromètre France Num 2026, 39 % des TPE-PME ont connu un incident cyber en un an. Le général Stéphane Bajard, de l’ANSSI, parle de « défi du dernier kilomètre ».
NIS2, une transposition qui gèle les investissements
La directive NIS2 étend les obligations de cybersécurité à près de 15 000 entités en France, classées « essentielles » ou « importantes » selon leur taille et leur secteur. Pourtant, la loi de transposition n’est toujours pas votée, deux ans après l’échéance européenne. Pour ne pas perdre de temps, l’ANSSI a publié en mars le Référentiel Cyber France (ReCyF). Il fixe quinze objectifs de sécurité, vingt pour les entités essentielles. Les cinq objectifs supplémentaires portent notamment sur l’audit et la supervision de la sécurité. Le document propose, pour chacun, des « moyens acceptables de conformité » à présenter en cas de contrôle. Il reste toutefois un document de travail tant que la loi n’est pas adoptée.
Ce flou a un coût, d’autant que le texte bute sur un article relatif au chiffrement. Selon le président du CESIN, de nombreuses ETI et grandes entreprises ont gelé leurs budgets de sécurité pour 2027. Les industriels jugent aussi le ReCyF mal adapté : « On ne patche pas une usine comme un serveur ». Arrêter une chaîne de production pour appliquer un correctif peut coûter plus cher que le risque lui-même.
Sous-traitance et dépendance au cloud
Un attaquant qui ne parvient pas à pénétrer un grand groupe passe par son fournisseur le moins protégé. NIS2 impose donc aux entités régulées d’évaluer leurs prestataires, ce qui fait peser des exigences sur les PME. Or la plupart d’entre elles ont externalisé leur informatique. Le MEDEF plaide pour qu’elles sachent au moins « poser les bonnes questions » à leurs prestataires. Le Cyber Resilience Act ajoute une obligation : depuis septembre, les fabricants doivent signaler sous 24 heures toute vulnérabilité activement exploitée, avant une application complète du règlement en décembre 2027.
La finance, soumise à DORA depuis janvier 2025, a pris de l’avance : registre des prestataires, déclaration des incidents majeurs, tests d’intrusion. Les acteurs dénoncent toutefois un reporting trop lourd. Surtout, le règlement révèle une dépendance stratégique. L’Europe a désigné 19 prestataires technologiques « critiques », dont Amazon Web Services, Google Cloud et Microsoft. Ces géants passent sous la surveillance directe des autorités européennes. Face à eux, banques et assureurs réclament des clauses contractuelles types, car ils pèsent peu dans la négociation.
Une course contre la montre
La protection des données devient un critère de compétitivité, au même titre que le prix ou la qualité. Une PME capable de prouver son niveau de sécurité gagnera des marchés auprès des donneurs d’ordre régulés. L’examen de NIS2, annoncé à l’Assemblée nationale pour le 9 novembre, dira si la France comble enfin un retard que ses concurrents européens mettent à profit.
Pour aller plus loin :