Quand une PME découvre un lundi matin que ses sauvegardes ont été chiffrées pendant le week-end, la question n’est plus de savoir si la cybersécurité est un sujet prioritaire. Le ransomware a frappé, l’équipe informatique improvise, et la direction réalise que le plan de reprise tenait sur un post-it. Ce scénario, on le croise de plus en plus souvent, y compris dans des structures qui pensaient avoir couvert les bases.
L’actualité cyber de 2026 ne se résume pas à une liste de failles corrigées ou de groupes de hackers démantelés. Elle met en lumière des décalages concrets entre ce que les réglementations exigent, ce que les outils promettent et ce que les équipes terrain peuvent réellement absorber.
NIS2 en France : une obligation qui n’existe pas encore sur le papier
On parle de NIS2 dans tous les webinaires depuis deux ans. Les consultants vendent des audits de conformité, les éditeurs affichent des badges « NIS2 ready » sur leurs solutions. Sur le terrain, la réalité juridique est tout autre.
La directive européenne NIS2 (UE 2022/2555) devait être transposée en droit national avant le 17 octobre 2024. Or, au 11 septembre 2026, aucune loi française de transposition n’est promulguée. Le projet de loi Résilience reste en cours d’examen parlementaire, sans calendrier ferme de publication des décrets d’application.
La conséquence directe pour les entreprises françaises : les obligations NIS2 ne sont pas juridiquement opposables tant que la loi et ses décrets ne sont pas publiés. On peut suivre les actualités sur Cyber Vista pour mesurer l’écart entre les annonces réglementaires et leur traduction opérationnelle.
Cela ne veut pas dire qu’il faut attendre. Les entreprises qui travaillent déjà avec des partenaires européens soumis à NIS2 dans leur pays (Allemagne, Belgique, Pays-Bas) subissent une pression contractuelle réelle. Leurs clients et donneurs d’ordre exigent des garanties de conformité, loi française ou pas.
DORA et secteur financier : la réglementation qui s’applique vraiment depuis 2025
Pendant que NIS2 patine en France, un autre texte européen produit déjà ses effets. Le règlement DORA (UE 2022/2554) est directement applicable depuis le 17 janvier 2025, sans transposition nécessaire. Il concerne les banques, assureurs, gestionnaires d’actifs, prestataires de paiement, et leurs fournisseurs TIC critiques.
Sur le terrain, DORA impose des exigences précises de résilience opérationnelle numérique. Les équipes IT des établissements financiers doivent cartographier leurs dépendances vis-à-vis de prestataires tiers, tester régulièrement leurs capacités de reprise, et documenter chaque incident significatif.
Pour les fintechs et les prestataires cloud qui fournissent le secteur financier, le changement est tangible. Un fournisseur de services d’hébergement qui ne peut pas démontrer sa conformité DORA risque de perdre ses contrats bancaires. Les retours varient sur la charge réelle de mise en conformité selon la taille de la structure, mais le cadre juridique, lui, ne laisse aucune ambiguïté.
Ransomware en 2026 : le vol de données remplace le chiffrement pur
Le rapport mondial 2026 sur la réponse à incident de la Unit 42 de Palo Alto Networks documente une évolution notable. Le chiffrement des données apparaît dans 78 % des cas d’extorsion recensés en 2025, en baisse par rapport aux niveaux supérieurs à 90 % entre 2021 et 2024.
Ce recul du chiffrement ne signifie pas que la menace faiblit. Le vol pur de données s’impose comme méthode d’extorsion à part entière. Les attaquants exfiltrent les fichiers sensibles et menacent de les publier, sans se donner la peine de chiffrer quoi que ce soit. La pression repose sur la réputation et la conformité réglementaire de la victime, pas sur l’indisponibilité de ses systèmes.
Pour les équipes de défense, ce basculement change la donne opérationnelle :
- La détection des exfiltrations de données (mouvements latéraux, transferts volumineux vers l’extérieur) devient plus critique que la seule protection anti-ransomware classique
- Les plans de reprise après incident doivent intégrer un volet communication de crise et notification réglementaire, pas uniquement la restauration des sauvegardes
- La segmentation réseau et le contrôle des accès privilégiés limitent la surface d’exfiltration bien plus efficacement que les solutions de déchiffrement a posteriori
Ce que cela change dans la posture de sécurité quotidienne
On ne peut plus se contenter de vérifier que les sauvegardes fonctionnent. Surveiller les flux sortants du réseau devient une priorité opérationnelle. Un pic de transfert vers un serveur externe à 3 heures du matin devrait déclencher une alerte, pas un log que personne ne consulte avant lundi.
IA offensive et phishing ciblé : la menace qui progresse le plus vite
Le phishing personnalisé par IA générative et les deepfakes vocaux figurent parmi les vecteurs d’attaque qui progressent le plus rapidement.
Sur le terrain, on constate que les attaques de phishing générées par IA sont grammaticalement irréprochables et contextualisées. Un mail frauduleux peut reprendre le nom d’un projet interne, le style d’écriture d’un collègue, voire imiter la voix d’un dirigeant lors d’un appel téléphonique. Quelques secondes d’enregistrement vocal suffisent à entraîner un modèle crédible.
Face à cette montée en puissance, les formations classiques de sensibilisation au phishing montrent leurs limites. Demander aux collaborateurs de repérer les fautes d’orthographe ne fonctionne plus quand l’IA n’en fait pas.
- Les simulations de phishing doivent inclure des scénarios générés par IA, avec des prétextes contextuels réalistes
- La vérification d’identité par un second canal (rappel téléphonique, confirmation sur messagerie interne) reste la parade la plus fiable contre les deepfakes vocaux
- Les outils de détection comportementale sur les messageries (analyse des patterns d’envoi, des pièces jointes inhabituelles) complètent utilement les filtres anti-spam traditionnels
Cybersécurité des PME : un écart qui se creuse avec les grandes entreprises
Les grandes entreprises investissent dans des SOC, recrutent des analystes, déploient des solutions EDR sur chaque poste. Les PME, elles, fonctionnent souvent avec un prestataire informatique généraliste qui gère à la fois l’imprimante réseau et la politique de mots de passe.
La majorité des PME françaises n’ont ni RSSI dédié ni plan de réponse à incident formalisé. Quand un ransomware frappe, la première réaction est d’appeler le prestataire habituel, qui n’a pas toujours les compétences forensiques nécessaires.
Les dispositifs d’accompagnement existent (Cybermalveillance.gouv.fr, diagnostics régionaux), mais leur adoption reste lente. Le frein principal n’est pas le budget logiciel, c’est le temps humain. Dans une structure de 30 personnes, personne n’a trois jours à consacrer à un audit de maturité cyber.
Le décalage réglementaire autour de NIS2 n’arrange rien. Sans obligation légale claire, la cybersécurité reste perçue comme un centre de coût, pas comme une condition de survie opérationnelle. Les incidents récents, des fuites de données touchant près de la moitié des Français selon Cybermalveillance.gouv.fr, devraient pourtant suffire à changer cette perception.
