La fonction de responsable de la sécurité des systèmes d’information (RSSI) ne consiste plus seulement à protéger, mais de plus en plus à hiérarchiser et arbitrer entre des chantiers tous jugés prioritaires.

C’est le principal enseignement tiré par le CESIN de ses « Instantanés » pour le premier semestre 2026, fondés sur 21 mini-sondages hebdomadaires menés auprès de ses membres

Une gouvernance de l’IA encore balbutiante

L’intelligence artificielle générative continue de s’installer dans les organisations, mais l’encadrement peine à suivre. Selon le CESIN, 27 % des répondants, plutôt issus d’organisations de taille intermédiaire, n’ont défini aucune politique d’usage de l’IA générative.

Le constat est similaire du côté des environnements de développement enrichis à l’IA : seuls 18 % des organisations disposent d’une politique spécifique pour les développeurs, tandis que 34 % en autorisent l’installation de manière générale et 34 % par exception.

Les outils de transcription et de synthèse de réunions soulèvent les mêmes interrogations, portant sur l’accès aux données, leur lieu de stockage et leur durée de conservation.

Quant à l’IA appliquée à la cyberdéfense, les organisations en sont majoritairement au stade du pilote ou du test, avec trois préoccupations dominantes : la fiabilité, la confidentialité et la souveraineté.

L’essor de l’IA générative s’accompagne aussi d’une hausse des usages malveillants.

54 % des grandes entreprises interrogées déclarent avoir déjà subi une attaque de type « deepfake » contre 19 % des ETI et 5 % des TPE/PME.  Une exposition qui progresse nettement avec la taille de l’organisation.

Post-quantique : un chantier encore à peine amorcé

La migration vers la cryptographie post-quantique demeure très en retrait.

D’après l’enquête, 69 % des répondants ne s’en sont pas encore préoccupés, 20 % en évaluent les impacts et les besoins, 3 % ont engagé des pilotes ou des tests, et seulement 1 % a débuté une migration opérationnelle.

Le CESIN souligne que ce chantier dépasse la seule dimension technique. Il implique d’identifier les usages cryptographiques et les données critiques, et de l’inscrire dans une gouvernance transverse.

La conformité, priorité numéro un pour les plus petites structures

La conformité réglementaire arrive en tête des priorités pour 2026 mais avec une intensité qui varie selon la taille des organisations.

Elle figure parmi les trois chantiers prioritaires pour 46 % des grandes entreprises, 61 % des ETI et 72 % des TPE/PME. Les grandes entreprises répartissent davantage leurs efforts entre plusieurs sujets ( IA, tiers, gouvernance), tandis que les structures plus petites concentrent leurs ressources sur la seule conformité.

Fournisseurs : un risque qui déborde le périmètre du SI

Les dépendances technologiques pèsent de plus en plus dans les préoccupations des RSSI.

Le règlement européen sur la cyber-résilience (Cyber Resilience Act) en est une illustration : 52 % des ETI interrogées estiment ne pas être directement concernées par ce texte, tout en étant clientes de fournisseurs qui, eux, le sont.

Les rachats d’entreprises dans le secteur cyber ont également des effets concrets sur les coûts.  69 % des grandes entreprises et 74 % des ETI ont constaté une explosion des coûts à la suite du rachat d’un de leurs fournisseurs, contre 38 % des TPE/PME. Par ailleurs, 41 % des répondants pointent un phénomène d’enfermement technologique.

Des carrières de RSSI sous tension

L’enquête revient aussi sur les perspectives de carrière des RSSI, deux ans après un premier sondage sur le sujet.

Sur 162 répondants, seuls 24 % estiment que les opportunités de postes de RSSI sont aussi nombreuses que par le passé, soit 17 points de moins qu’en 2024. Dans le même temps, 31 % envisagent de basculer vers le conseil, faute de pouvoir agir suffisamment au sein de leur organisation ( +16 %).

Une complexité croissante, pas un recul de la maturité

Pour le CESIN, ces résultats ne traduisent pas un recul de la maturité cyber des organisations, mais une complexification de la fonction.

« La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours. Les RSSI doivent aujourd’hui trouver leur propre voie pour accompagner cette transformation », résume Fabrice Bru, président du CESIN.

The post Les RSSI sommés d’arbitrer entre IA, conformité et dépendances fournisseurs appeared first on Silicon.fr.

C’est un genre d’électeurs que les candidats à la présidentielle ont rarement l’habitude de courtiser : les RSSI

Le CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) qui fédère plus de 1 300 d’entre eux ( RSSI, CISO, directeurs de la cybersécurité) a pourtant décidé de les interpeller directement via  » une lettre ouverte » signée par son président Fabrice Bru.

Leur message est davantage politique que technique : la souveraineté numérique n’est plus une option, elle conditionne désormais la sécurité nationale, la compétitivité économique et la solidité même de la démocratie.

Une menace qui a débordé le seul terrain numérique

En première ligne sur le front des cyberattaques, les RSSI alertent sur une situation critique et largement documentée.

Dans les hôpitaux, les collectivités, les entreprises, les administrations, les attaques se multiplient et perturbent désormais la vie quotidienne, l’économie réelle et la continuité de l’État.

Le CESIN pointe un risque qui dépasse largement le piratage informatique classique. A l’ère de l’IA générative et des deepfakes, une vidéo truquée ou une rumeur savamment orchestrée peuvent suffire à ébranler une décision publique ou la sincérité d’un scrutin.

Le vrai danger, selon l’organisation, n’est pas tant la fraude ponctuelle que l’installation durable du doute et de la défiance dans le débat public.

Le club d’experts inscrit ce diagnostic dans une problématique plus large, déjà identifiée par le rapport Draghi sur la compétitivité européenne : l’Europe risque de perdre pied sur les technologies qui structurent son économie, une dépendance qui fragilise à la fois sa compétitivité et sa capacité d’action stratégique.

Puces électroniques, calcul, cloud, IA, quantique, cybersécurité, connectivité satellitaire, identité numérique, infrastructures de paiement et énergie forment selon le CESIN une chaîne indissociable. Sans semi-conducteurs souverains, pas de data centers ni d’IA crédible ; sans cloud maîtrisé, pas de continuité de service ni de protection durable des données.

Le club salue les initiatives européennes déjà engagées ( Chips Act, EuroHPC, AI Factories ou encore CADA) tout en les jugeant trop dispersées et trop lentes face aux politiques industrielles massives de Washington et de Pékin.

Cinq questions sans langue de bois pour les candidats

Plutôt qu’un énième plan numérique, le CESIN réclame des réponses précises sur cinq points.

Une doctrine claire de souveraineté. Le club demande aux candidats de trancher : quels usages peuvent rester sur le marché mondial, lesquels exigent une maîtrise européenne, et lesquels réclament une autonomie nationale ou européenne renforcée ; notamment pour les fonctions vitales de l’État, les infrastructures critiques, la santé, l’énergie et la défense. Il réclame aussi une exigence de standards ouverts, interopérables et réversibles pour éviter les enfermements technologiques.

Passer d’une Europe de la règle à une Europe de la capacité. Pour le CESIN, les textes européens comme NIS2, DORA, le Cyber Resilience Act ou l’AI Act sont nécessaires mais ne suffisent pas. La norme ne construit pas, à elle seule, la souveraineté. Le club veut voir la France porter une simplification réglementaire sans affaiblissement des exigences, et investir dans l’ingénierie, les logiciels européens et la recherche.

Une véritable politique industrielle du numérique critique. Mobilisation pérenne de France 2030, de Bpifrance, de la commande publique, soutien aux champions européens et préférence stratégique assumée quand les intérêts vitaux sont en jeu ; le CESIN veut une stratégie industrielle qui traite aussi la question des compétences, de la formation et de l’attractivité des métiers cyber.

Une gouvernance lisible. Le club juge que la multiplication des acteurs français (ANSSI, Campus Cyber, DIAN, DINUM, DITP) devient une faiblesse sans autorité claire. Il demande que le rang et le titre ministériel du responsable politique du « numérique critique » reflètent un poids réel dans les arbitrages interministériels, budgétaires et européens. Un sujet qu’il juge trop souvent traité comme une simple question de protocole.

Préparer le pays aux chocs numériques et géopolitiques. Cloud Act américain, tensions sino-américaines, fragilité des chaînes d’approvisionnement… Le CESIN appelle à cartographier les dépendances, tester la réversibilité des systèmes, sécuriser les fournisseurs et muscler la résilience des PME, ETI, collectivités et opérateurs essentiels. Pour l’organisation, la résilience ne consiste pas à redémarrer après une attaque mais à continuer de fonctionner malgré la crise.

« La cybersécurité n’est pas un supplément à la souveraineté »

Le message final du CESIN se veut sans appel : la cybersécurité n’est pas un supplément d’âme de la souveraineté, elle en est l’une des conditions essentielles.

Sans politique industrielle ambitieuse, prévient le club, il n’y aura ni IA européenne crédible ni maîtrise technologique durable. Sans protection efficace des services publics, c’est la confiance démocratique elle-même qui vacille.

Le CESIN se dit prêt à mettre l’expertise de ses membres au service de cette ambition. A condition qu’une vision politique et industrielle soit enfin à la hauteur des enjeux que les RSSI affrontent sur le terrain.

The post Ce que les RSSI demandent aux candidats à la présidentielle appeared first on Silicon.fr.