Bitdefender a interrogé 1 200 professionnels de l’informatique et de la sécurité dans six pays pour son rapport d’évaluation 2026. Le chiffre qui ressort le plus est celui-ci : 55 % des répondants affirment qu’on leur a demandé de garder le silence sur une violation, alors même qu’elle devait être signalée. Pas une minorité isolée. Plus d’un professionnel sur deux.
Les obligations de notification, elles, se durcissent partout. NIS2 impose des délais serrés, le Cyber Resilience Act ajoute sa propre fenêtre de 24 heures pour les vulnérabilités exploitées. Sur le papier, la trajectoire réglementaire européenne va clairement vers plus de transparence. Dans les faits, la pression interne pousse encore dans l’autre sens.
Trois autres résultats du rapport éclairent le même malaise structurel. 47 % des répondants disent manquer de visibilité sur l’IA fantôme, ces outils que les équipes adoptent sans validation ni supervision de la sécurité. 59 % reçoivent des plaintes importantes sur leurs solutions EDR/XDR : l’investissement continue, la satisfaction non. Et 49 % peinent à concilier restrictions de sécurité et productivité, un dilemme devenu quasi permanent depuis l’accélération de l’IA en entreprise. Autant de signaux d’un système sous tension, où la conformité affichée et la réalité opérationnelle divergent.
Pour un RSSI, ce rapport n’apporte pas une découverte. Il donne une mesure. La dissimulation d’incidents n’est pas un accident isolé, c’est une pratique répandue, souvent portée par la crainte d’un impact réputationnel ou commercial à court terme. Sauf qu’avec NIS2 et le CRA qui montent en puissance, le risque juridique associé à ce silence grandit en parallèle. Une violation non déclarée aujourd’hui peut devenir un manquement sanctionnable demain, avec l’aggravation d’avoir été découverte après coup.
La gouvernance de la cybersécurité ne se mesure donc plus seulement au nombre d’outils déployés ou au budget alloué. Elle se mesure à la capacité d’une organisation à faire remonter l’information, vite, même quand ça dérange en interne.
