Plus seulement un sujet informatique
Le constat revient de plus en plus souvent chez les acteurs de terrain : la cybersécurité n'est pas seulement un sujet informatique. C'est un sujet de direction générale.
L'argument est simple. Une cyberattaque ne s'arrête pas aux serveurs. Elle bloque l'approvisionnement, empêche de servir les clients, compromet des données, arrête la production. Ce sont des conséquences stratégiques, commerciales, financières. Pas techniques.
Un territoire industriel exposé
L'exemple de la région lyonnaise est parlant. Environ 10 800 entreprises industrielles. Une majorité de PME et d'ETI, souvent sous-traitantes de grands groupes.
Les attaques ont doublé entre 2020 et 2025. Et l'IA accélère le mouvement : elle rend les attaques plus rapides et moins coûteuses à mener.
Les attaques par rebond
Le mode opératoire qui inquiète le plus, c'est l'attaque par rebond. L'attaquant ne vise pas directement le grand groupe, trop bien protégé. Il compromet un fournisseur moins armé, puis remonte la chaîne jusqu'au donneur d'ordres.
Pour une PME sous-traitante, la conséquence est double. Elle devient une cible, alors qu'elle se pensait trop petite pour intéresser qui que ce soit. Et elle devient un risque pour ses clients, qui le savent.
La sécurité comme critère de compétitivité
Les donneurs d'ordres réagissent. Questionnaires de sécurité, preuves de sauvegarde, plans de réponse à incident, clauses contractuelles. Un grand client qui a subi une attaque par rebond durcit immédiatement ses exigences envers toute sa chaîne.
Ça change la façon dont une PME doit regarder le sujet. La sécurité n'est plus un poste de coût. C'est une condition pour garder ses clients.
Ce que ça implique en interne
Tant que la cybersécurité reste rattachée uniquement à l'informatique, elle est arbitrée comme une ligne budgétaire parmi d'autres. Portée par la direction générale, elle devient une décision sur la continuité de l'entreprise.
Concrètement : un membre du comité de direction responsable du risque cyber, un reporting trimestriel, et un dossier de preuves standard, sauvegardes, MFA, plan de réponse, prêt à être présenté à n'importe quel client qui le demande. Le jour où le questionnaire arrive, il est trop tard pour le construire.
