EDENNEWS T4 2025 - CYBERSÉCURITÉ : MENACES ET RÉPONSES MUTUALISÉES

Le panorama de la cybermenace 2024 témoigne de la sensibilité persistante des TPE/PME aux cyberattaques. En 2024, l’ANSSI a traité 4 386 événements de sécurité, soit une hausse de 15 % en un an, illustrant l’intensification générale des attaques.

D’après le baromètre 2025 de Cybermalveillance, 16 % des TPE-PME déclarent avoir subi au moins un incident cyber sur les douze derniers mois, tandis que 44 % des dirigeants estiment leur entreprise fortement exposée au risque.

Pourtant, 80 % reconnaissent ne pas être préparées à faire face à une cyberattaque et la majorité consacre moins de 2 000 € par an à la cybersécurité. L’hameçonnage reste le principal vecteur d’attaque déclaré.

Ces chiffres traduisent un décalage persistant entre la perception croissante du risque et le niveau réel de préparation des petites et moyennes entreprises françaises.

Maturité cyber et directive NIS2

La directive européenne NIS2, votée en France en septembre 2025, se donne pour ambition de renforcer la résilience des entités publiques et privées face aux cybermenaces.

Elle s’applique aux entités « essentielles » et « importantes » de 18 secteurs (énergie, transport, santé, numérique, industrie, eau, etc.), sur la base de critères de taille (généralement ≥50 salariés et/ou ≥10 M€ de chiffre d’affaires) et de criticité. Les organisations concernées doivent se déclarer auprès de l’ANSSI, et répondre à des :

• Obligations de gestion des risques (article 21)

Les entités essentielles et importantes doivent mettre en oeuvre des mesures « appropriées et proportionnées ».

• Obligations de notification des incidents (article 23)

• Contrôles et sanctions

  
  

NIS2 introduit un régime de supervision différencié :

• les entités essentielles sont soumises à un contrôle proactif (audits réguliers, inspections, demandes de preuves) ;

• les entités importantes relèvent d’un contrôle plutôt réactif, déclenché en cas d’incident ou d’indice de non-conformité.

  
  

Les autorités disposent de pouvoirs étendus : audits de sécurité, injonctions de mise en conformité, désignation d’un responsable, voire suspension temporaire d’activités en cas de manquements graves.

Cette mise à niveau en matière de protection cyber (et de protection physique des infrastructures) sera à terme conditionnant pour passer des marchés avec la DGA et les grands maîtres d’oeuvre industriels.

Le Cluster EDEN et la cybersécurisation des entreprises

Au sein du Cluster EDEN, cette évolution législative nourrit le Groupe de Travail Sûreté : Cyber & Infra. Celui-ci fédère des entreprises expertes en protection globale : audit et analyse de risque, cybersécurité, contrôle d’accès, surveillance et gestion de crise. Objectif : fournir une offre intégrée, souveraine et conforme qui couvre l’ensemble des besoins liés à la protection des infrastructures critiques et des systèmes d’information.

Son ambition est d’appuyer la montée en compétence des entreprises du Cluster EDEN sur les sujets de sécurité, via notamment un projet de réunions informatives sur les différentes difficultés évoquées dans le questionnaire flash sécurité rempli en septembre 2025.

Son action trouve aussi son prolongement dans les thématiques abordées dans la Commission Intelligence Artificielle. De fait, la dernière réunion la Commission IA a fait émerger une demande forte autour de la cybersouveraineté. Cela implique la mise en place de bonnes pratiques minimales pour se prémunir contre les cyberattaques, ainsi qu’une attention particulière portée à la conformité avec les réglementations en vigueur.

La prochaine session de cette commission portera donc sur ces enjeux de souveraineté numérique. Elle est prévue début avril sous la forme d’une table ronde orientée vers des solutions concrètes. Le Cluster EDEN a la chance de compter parmi ses membres plusieurs PME et ETI innovantes dans ces domaines et nous espérons donc vous y retrouver nombreux afin de poursuivre ensemble cette dynamique collective et de construire, au sein du cluster, une approche ambitieuse et maîtrisée de l’intelligence artificielle et de la cybersécurité.

CYBERATTAQUES : LA RÉPONSE JUDICIAIRE, UN ACTE DE GOUVERNANCE

En 2026, traiter une cyberattaque comme un simple incident informatique expose l’entreprise victime à des risques juridiques et réputationnels majeurs. Une réponse exclusivement technique, aussi efficace soit-elle sur le plan opérationnel, peut fragiliser la position de la direction, conduire à la perte d’éléments de preuve déterminants et affaiblir la crédibilité de l’entreprise auprès de ses partenaires.

En effet, dans la plupart des cas, une cyberattaque constitue une ou plusieurs infractions pénales qui appellent une prise en compte immédiate au-delà du seul périmètre IT. Dans un contexte d’entrée en vigueur de la directive NIS 2 à court terme, même si toutes les entreprises ne relèvent pas directement de son champ d’application, et quand bien même sa mise en oeuvre risque parfois de demeurer complexe, les exigences de gouvernance cyber qu’elle inclut tendront néanmoins à se diffuser par capillarité au sein des chaînes de valeur, des partenariats et des relations de sous-traitance.

Cette dynamique conduira inéluctablement un nombre croissant d’organisations à devoir démontrer leur capacité à gérer une cyberattaque au-delà du seul périmètre technique, notamment au regard des obligations de signalement et de responsabilité pesant sur les entités donneuses d’ordre.

Sur le terrain, la gestion des cyberattaques privilégie encore trop souvent la remise en service rapide des systèmes. Si cette réaction est légitime en situation d’urgence, elle peut, lorsqu’elle est conduite sans prise en compte du cadre judiciaire, compromettre toute action ultérieure. Une judiciarisation tardive ou absente expose alors l’entreprise à des décisions juridiquement fragiles et à une appréciation critique de la gestion de crise a posteriori.

Les éléments d’analyse suivants permettront d’éclairer ce constat et d’ouvrir des pistes de réflexion et d’action.

Qualification juridique des faits et « mythologie pénale »

Intrusions, rançongiciels, exfiltration de données, atteintes à l’intégrité ou à la disponibilité des systèmes, abus de confiance et escroqueries aux modalités protéiformes (arnaques au président, faux avocat, faux partenaire, faux placements, etc.) relèvent clairement du champ pénal.

Pourtant, et en dépit du fait que ces délits sont parfaitement conscientisés par tous les responsables d’entreprises, leur judiciarisation reste fréquemment freinée par une mythologie persistante : celle d’une procédure lourde, chronophage, peu utile et potentiellement risquée en termes d’image. L’expérience montre pourtant que ces craintes reposent davantage sur des idées reçues que sur la réalité des pratiques actuelles.

Cette mythologie autour de la plainte (qui est un des actes forts de la judiciarisation) contribue à maintenir la réponse à la cyberattaque dans un périmètre strictement technique, alors même que le recours au cadre judiciaire constitue un levier structurant de gouvernance. De même, cette perception conduit parfois à une sous-déclaration des attaques, au détriment de l’entreprise elle-même et de l’écosystème économique.

La judiciarisation comme outil de sécurisation

Lorsqu’elle est intégrée dès les premières heures de la crise, la réponse judiciaire joue un rôle structurant. Elle permet de reconnaître officiellement l’entreprise comme victime (à travers le dépôt de plainte), d’organiser la conservation des preuves (dans le cadre des constatations et des premiers actes judiciaires), de sécuriser les décisions de la direction et de bénéficier de l’accompagnement des services spécialisés tout en permettant une information rapide du parquet compétent, condition essentielle à l’orientation de la procédure et à la coordination des investigations. Elle contribue enfin à

anticiper d’éventuelles actions ultérieures de parties civiles, en sécurisant la traçabilité des faits et des décisions prises, et participe ainsi à la maîtrise de la communication, en interne comme en externe, et à la démonstration d’une gouvernance cyber responsable.

Cette approche constitue un signal fort adressé aux partenaires, donneurs d’ordre et autorités : celui d’une organisation qui assume pleinement ses responsabilités face à une menace subie.

Un continuum de gestion de crise

Il faut donc absolument comprendre que la judiciarisation ne se substitue ni aux mesures techniques ni à la gestion de crise. Elle s’inscrit dans un continuum cohérent :

1. Anticipation et préparation (incluant l’élaboration des plans de crise, la sensibilisation des personnels, les phases de simulation, etc.) ;

2. Réponse technique et organisationnelle ;

3. Action judiciaire coordonnée (gestion d’un double processus : celui de la résilience de l’entreprise et celui lié aux investigations judiciaires).

   
   

Ce continuum est aujourd’hui, de manière très claire et indiscutable, un marqueur de maturité cyber.

Un enjeu collectif

La judiciarisation des cyberattaques dépasse largement la seule protection de l’entreprise victime. Chaque plainte déposée contribue à une meilleure connaissance des modes opératoires, à l’identification des menaces émergentes et au renforcement des capacités d’action des autorités compétentes, en particulier de l’Office Anti‑Cybercriminalité (OFAC), qui coordonne la lutte contre la cybercriminalité au sein de la police nationale.

Elle alimente également les dispositifs de coopération policière, notamment au niveau international, indispensables face à une cybercriminalité par nature transfrontalière. Les informations recueillies dans le cadre des procédures judiciaires participent ainsi aux échanges entre services spécialisés, favorisent le recoupement des enquêtes et contribuent à l’identification et au démantèlement de réseaux criminels opérant au-delà des frontières nationales. À ce titre, la judiciarisation constitue un levier essentiel de l’efficacité de la réponse pénale.

Dans les secteurs sensibles, et en particulier pour les entreprises associées à l’industrie de défense, cette démarche revêt une dimension stratégique : elle permet de consolider la confiance des partenaires, des donneurs d’ordre et des institutions, tout en renforçant la résilience de l’écosystème. La réponse judiciaire ne doit donc plus être perçue comme une contrainte individuelle, mais comme un acte de gouvernance responsable, inscrit dans une logique collective de sécurité, de coopération et de souveraineté. Dans les contextes géopolitiques et de criminalité organisée actuels, se donner les moyens de défendre son entreprise et son secteur d’activité, c’est aussi contribuer, notamment par la prise en compte de la dimension judiciaire, à la protection des intérêts stratégiques et à l’effort de défense nationale.

Cybersécurité industrielle en France : enjeux et réponses face à la montée des menaces

Les systèmes industriels français subissent une hausse sans précédent des cyberattaques. Selon Cyentia Institute, le nombre d’incidents OT* des trois dernières années dépasse déjà celui enregistré entre 1991 et 2000. En 2022, 89 % des acteurs de l’énergie ont vu leur production perturbée par une cyberattaque, et 60 % des attaques sur systèmes industrielles sont attribuées à des groupes affiliés à des États.

Les PME, maillon faible ?

Si les grands groupes ont intégré le risque cyber, les PME et TPE restent vulnérables. Comme l’a souligné Emmanuel Chiva (DGA), elles sont de plus en plus ciblées par des attaques structurées, souvent liées à des services étrangers. La convergence IT/OT, bien qu’en progression, se heurte encore à des freins techniques et organisationnels, notamment dans les infrastructures critiques. L’outil industriel reste vulnérable, les machines-outils, les robots ou tout élément connecté au réseau informatique et qui détient les secrets de fabrication est particulièrement sensible. Un robot Fanuc qui envoie des données en dehors de l’entreprise doit éveiller les soupçons.

NIS 2 et initiatives sectorielles : vers une meilleure résilience

La directive NIS 2 renforcera les obligations des industriels, étendant le périmètre des entités critiques et imposant une gestion plus rigoureuse des risques. Des initiatives comme Boost Aero (aéronautique) ou TISAX (automobile) montrent que la mutualisation des efforts et la standardisation des exigences sont des clés pour sécuriser la supply chain. En conclusion, la cybersécurité industrielle en France est à un tournant : entre pression réglementaire, montée des menaces et nécessité de protéger l’ensemble de l’écosystème, les défis sont immenses, mais les réponses s’organisent. IndustriOT, dont la raison d’être est d’assurer la souveraineté et la sécurité numériques des industriels français, propose des solutions de conseils, d’ingénierie et d’intégration sur mesure en intégrant les enjeux et menaces de ses clients. www.industriot.com contact@industriot.com

SAVE THE DATE

• 24-26/02 : Enforce Tac (Nuremberg)

• 26/02 : Café Business Est (Diddenheim)

• 26/02 : AuRa Business Entreprises (Bourg-en-Bresse)

• 12/03 : Café Business AuRA (Marnaz)

• 12/03 : Café Business IDF (Paris)

• 19/03 : Café Business Sud (Aubagne)

• 19/03 : GT Sûreté : Infra & Cyber (Visioconférence)

• 31/03 - 02/04 : Forum InCyber (Lille)

• 07/04 : Commission IA (Toulon)

• 02/07 : EDEN DAY (Lyon)

Télécharger la newsletter EDENEWS T4 2025

Newsletter cybersécurité-1.pdf

Télécharger PDF • 4.84MB