Pas de nouveau règlement ici. La Commission s’appuie sur ce qui existe déjà : l’AI Act, le Cyber Resilience Act, qui ne sera pleinement applicable que fin 2027, le règlement sur la cybersolidarité, et NIS2. Trois axes de travail. Préparer le terrain vers une IA sûre. Renforcer la préparation cyber de l’UE. Monter en échelle ses capacités.

Le calendrier, lui, se resserre sur la fin d’année. L’ENISA doit publier ses lignes directrices sur les menaces liées à l’IA au troisième trimestre. Puis, au quatrième trimestre, un « Grand Défi » européen sur les solutions de cybersécurité basées sur l’IA, un volet formation via la Cybersecurity Skills Academy, et une campagne pour accélérer les correctifs sur les logiciels libres critiques. Une capacité européenne d’évaluation des modèles d’IA est promise pour 2027.

Pour un RSSI ou un DSI, ça ne change rien dans l’immédiat. Aucune obligation nouvelle, aucune sanction associée. Une feuille de route, pas un texte contraignant, et surtout un texte qui ne s’applique pas aux modèles développés hors UE, très majoritairement américains. Ce qui vaut la peine d’être suivi, en revanche, c’est le calendrier ENISA de fin d’année : ces lignes directrices risquent de devenir une référence de facto pour évaluer les usages internes de l’IA en sécurité, bien avant qu’une obligation légale n’existe.

Bruxelles assume d’ailleurs la limite. Structurer un cadre commun sans avoir la main sur les acteurs qui comptent vraiment dans ce domaine, ça revient à coordonner sans lever. Reste à voir si cette feuille de route débouche sur des capacités concrètes. Les États-Unis et la Chine, eux, n’attendent personne.

The post Cybersécurité et IA : le plan d’action encore timide de la Commission européenne appeared first on Plateformance.

Le CRA, adopté en octobre 2024, introduit un cadre harmonisé imposant des exigences de cybersécurité à la plupart des produits comportant des éléments numériques : logiciels, équipements connectés, matériels informatiques. Sa principale rupture tient à l’extension de la responsabilité du fabricant au-delà de la vente.

Concrètement, éditeurs de logiciels, constructeurs d’équipements et fabricants d’objets connectés devront surveiller les vulnérabilités découvertes après commercialisation et fournir des correctifs pendant toute la période d’assistance du produit. Cinq ans minimum. Les mises à jour de sécurité et la documentation technique, elles, devront rester accessibles pendant dix ans après la mise sur le marché.

Cette obligation de suivi post-commercialisation compte parmi les évolutions les plus structurantes du texte, loin devant les simples exigences de conformité au moment du lancement.

Le calendrier se déploie par paliers, et chacun change la donne différemment pour les organisations concernées. Le 11 septembre 2026, l’obligation de notification entre en vigueur : tout fabricant devra signaler à l’ENISA et au CSIRT compétent, sous 24 heures, toute vulnérabilité activement exploitée affectant son produit.

Cette obligation pèse sur l’éditeur, pas sur l’entreprise utilisatrice. Mais pour le RSSI d’une organisation qui ne publie pas de logiciel, l’échéance n’est pas neutre pour autant. Elle ouvre un flux d’alertes amont sur les failles exploitées chez ses fournisseurs, et fait de la rapidité de signalement un critère contractuel à part entière.

Encore faut-il pouvoir exploiter ce signal. Une alerte CRA reçue le jour même n’a de valeur que si l’organisation dispose d’un inventaire à jour de ses produits numériques en service et de leurs fournisseurs. Sans cette cartographie, impossible de savoir si l’on est concerné.

Intégrer le flux des signalements CRA dans le processus de gestion des correctifs revient, pour le RSSI comme pour le DSI, à raccorder la priorisation interne au rythme réel de la menace plutôt qu’au calendrier de publication des éditeurs. C’est un chantier de gouvernance autant qu’un chantier technique, et il doit être engagé avant l’échéance de septembre, pas après.

The post Cyber Resilience Act : la responsabilité des éditeurs ne s’arrête plus à la vente appeared first on Plateformance.

Le modèle atteint 85,6 % sur CyberGym, le benchmark de référence de l’UC Berkeley. Deux points devant Claude Mythos 5 d’Anthropic, dont l’accès reste restreint par les contrôles à l’exportation du Département du Commerce américain depuis début juin. Cette asymétrie réglementaire n’est pas un détail. Elle façonne déjà qui peut déployer quoi, et à quelle échelle, sur le marché de la cyberdéfense assistée par IA.

Sept gouvernements ont signé avec le programme partenaire Daybreak, la France parmi eux. Cisco, CrowdStrike, Palo Alto Networks et une vingtaine d’autres acteurs intègrent déjà le modèle dans leurs produits. L’initiative Patch the Planet, montée avec Trail of Bits et HackerOne, vise les bibliothèques open source critiques : cURL, Go, Python, Sigstore.

Une étude Linux Foundation citée par OpenAI rappelle pourquoi ça compte. 94 % des projets open source les plus utilisés reposent sur moins de dix mainteneurs pour l’essentiel du code. Une faille dans une dépendance réseau peut se propager à des milliers de systèmes en aval, sans que personne ne l’ait vue venir.

Pour les RSSI et DSI, l’enjeu dépasse la performance technique du modèle. Chaque correctif généré passe encore sous revue humaine avant merge, et cette boucle de contrôle reste la dernière barrière face à un agent capable de modifier du code d’infrastructure de façon quasi autonome. Maintenir cette supervision n’est pas un détail organisationnel, c’est ce qui distingue un outil d’accélération d’une nouvelle surface d’attaque potentielle si le modèle est compromis ou manipulé.

La question de la gouvernance se pose aussi en amont : qui, dans l’organisation, autorise l’usage d’un tel agent sur du code en production, avec quelle traçabilité des décisions de correction automatisée, et selon quels critères d’escalade vers une revue humaine. Ces arbitrages relèvent directement de l’accountability attendue par les cadres réglementaires européens sur la sécurité des systèmes d’information, à mesure que la frontière entre détection assistée et action autonome continue de se déplacer.

Source : Les Numériques

The post GPT-5.5-Cyber : quand la cyberdéfense passe en pilote semi-automatique appeared first on Plateformance.

La gouvernance de la data est devenue un sujet central pour les entreprises qui souhaitent mieux exploiter leurs données, tout en gardant le contrôle sur leur qualité, leur sécurité et leur conformité. Elle ne se limite pas à un cadre technique : c’est une organisation qui définit qui produit la donnée, qui la valide, qui peut l’utiliser et dans quelles conditions.

Dans beaucoup d’entreprises, les données sont dispersées entre plusieurs outils : CRM, ERP, site e-commerce, outils marketing, plateformes de paiement, solutions de support ou fichiers internes. Sans gouvernance claire, ces données deviennent difficiles à croiser, parfois contradictoires, et rarement exploitables à grande échelle. La gouvernance permet de remettre de l’ordre dans cet environnement.

Elle repose généralement sur plusieurs piliers : la qualité des données, la définition des responsabilités, la sécurité des accès, la documentation des sources, la conformité réglementaire et la capacité à suivre les usages. L’objectif est de garantir que les équipes travaillent sur des données fiables, compréhensibles et à jour.

Une bonne gouvernance data permet aussi de mieux piloter les projets d’intelligence artificielle, de business intelligence ou d’automatisation. Avant de prédire, segmenter ou personnaliser, il faut savoir d’où viennent les données, comment elles sont structurées et si elles peuvent être utilisées sans risque.

Mettre en place une gouvernance de la data ne signifie pas créer une organisation lourde. Pour une PME ou une ETI, il est souvent préférable de commencer par un socle simple : cartographier les sources de données, identifier les données sensibles, définir les rôles clés, documenter les flux principaux et mettre en place quelques indicateurs de qualité.

La gouvernance de la data est donc un levier opérationnel autant qu’un enjeu de conformité. Elle permet de fiabiliser les décisions, de réduire les risques et de préparer l’entreprise à des usages plus avancés de la donnée.

The post Gouvernance de la data : structurer, sécuriser et valoriser les données de l’entreprise appeared first on Plateformance.

2026 s’écrit déjà en rouge pour la cybersécurité des entreprises françaises. L’ANSSI recense 12 incidents par semaine en moyenne, les ransomwares concentrent 40 % des attaques et le phishing s’est industrialisé à l’IA — 40 % des campagnes intègrent désormais des leurres générés par intelligence artificielle. La fuite de 40 millions de métadonnées d’emails chez Alinto en avril, les 11,7 millions de comptes administratifs exposés sur ants.gouv.fr, la paralysie du CHU de Lyon pendant 48 heures : ces incidents ne sont pas des exceptions. Ils sont le nouveau normal.

Gestion des risques cyber : pourquoi le périmètre ne protège plus

La philosophie « château fort » — un réseau interne supposé sûr, un périmètre à défendre — est cliniquement morte. Les environnements hybrides, le travail distribué et la multiplication des accès tiers ont vidé ce périmètre de sa substance. Les attaquants ne forcent plus les portes : ils usurpent des identités valides, se déplacent latéralement et attendent. La gestion des risques cyber ne peut plus reposer sur la détection périmétrique. Elle doit partir d’un postulat inverse : aucun utilisateur, aucun appareil, aucune application n’est fiable par défaut — même à l’intérieur du réseau.

Zero Trust : du concept au déploiement opérationnel

Ce postulat a un nom : Zero Trust. En 2026, il est passé du discours marketing au déploiement réel, sous la pression conjuguée de NIS2 et de l’explosion des incidents. Les organisations les plus avancées suivent une séquence en trois temps : cartographier les actifs critiques et les flux de données, déployer le MFA sur l’ensemble des comptes et remplacer les VPN par des solutions ZTNA, puis instrumenter un EDR sur chaque poste. Le vrai point dur n’est pas technique — c’est la gouvernance. Le Zero Trust sans portage au COMEX reste un projet IT. Avec, il devient un programme de résilience.

Les attaquants de 2026 sont plus rapides, mieux financés et assistés par IA. La fenêtre pour passer d’une sécurité périmétrique à une architecture Zero Trust se referme à chaque incident que vous n’avez pas encore subi.

The post Cybersécurité entreprise : 2026, l’année où les attaques ont changé de nature appeared first on Plateformance.

Le DevOps n’est pas mort — il a muté. En 2026, 80 % des grandes organisations d’ingénierie ont constitué des équipes dédiées au Platform Engineering, et 90 % opèrent déjà au moins une plateforme interne. Ce mouvement ne relève pas d’un changement de vocabulaire : l’Internal Developer Platform devient l’infrastructure centrale sur laquelle se greffe l’IA d’entreprise.

Developer experience : pourquoi les équipes lâchent le DevOps classique

Le DevOps a tenu sa promesse d’accélérer les livraisons, mais il a créé une dette invisible : la charge cognitive des développeurs. Chaque équipe choisissait ses outils, configurait ses pipelines, gérait ses dépendances en silo. Résultat : fragmentation qui ralentit l’onboarding, multiplie les incidents et noie les équipes dans l’opérationnel. Le Platform Engineering répond par un contrat clair — le golden path : des services standardisés, accessibles en self-service, qui permettent de livrer sans toucher à l’infrastructure sous-jacente. La developer experience n’est plus un argument RH : c’est un levier direct de vélocité et de réduction des coûts, mesurable en cycles de déploiement et en incidents évités.

L’IDP comme socle de l’IA d’entreprise

La convergence entre Platform Engineering et IA redessine la fonction en 2026. Les organisations qui disposent d’un IDP mature ont un avantage décisif : elles intègrent des capacités d’IA avec des guardrails adaptés à leur profil de risque, sans laisser chaque équipe déployer ses propres modèles en ordre dispersé. L’IDP devient le point de contrôle de l’IA d’entreprise — celui qui détermine ce que les développeurs peuvent faire avec les modèles, dans quelles conditions, avec quelles données. Sans IDP structuré, l’IA reste fragmentée, incontrôlable et non auditable. La dette de Platform Engineering se paie cash en 2026.

Les organisations qui mesurent encore leur équipe platform en coût plutôt qu’en ROI ont un chantier urgent. Vitesse de déploiement, incidents évités, coûts d’infrastructure réduits : les métriques existent. Il reste à les rendre visibles au COMEX.

The post Platform engineering 2026 : l’IA s’invite dans l’Internal Developer Platform appeared first on Plateformance.

La loi Résilience, qui transpose NIS2 en droit français, devrait être votée en juillet 2026. Pour les 15 000 entités concernées — communes de plus de 30 000 habitants, ETI, sous-traitants critiques — l’échéance n’est plus abstraite. Elle est contractuelle, assortie de sanctions chiffrées et d’une nouveauté qui change tout : la responsabilité personnelle des dirigeants.

Gestion des risques cyber : ce que NIS2 impose au-delà de l’IT

NIS2 ne se contente pas d’élargir le périmètre des entités obligées — de 500 organisations sous NIS1 à plus de 15 000 en France. Elle requalifie la cybersécurité en responsabilité de gouvernance. Vingt objectifs encadrent désormais la gestion des risques cyber : cartographie des actifs, détection des incidents, continuité d’activité, sécurité de la chaîne d’approvisionnement. Le non-respect expose à des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial. La disposition qui fait froid dans le dos : les membres des organes de direction peuvent être tenus personnellement responsables, y compris d’une interdiction d’exercer leur mandat.

Collectivités territoriales : la coopération comme seul levier crédible

Pour les collectivités, NIS2 introduit une rupture de méthode autant que de périmètre. Métropoles, communautés urbaines, communes de plus de 30 000 habitants : toutes entrent dans la catégorie des entités importantes. Mais ces organisations ne disposent pas des équipes ni des budgets pour absorber seules vingt exigences réglementaires. La réponse prend forme dans les territoires. Des initiatives comme CyberAix à Aix-les-Bains dessinent la voie : coopération structurée entre collectivités, CSIRT territoriaux, Campus Cyber et forces de sécurité, cartographie partagée des acteurs, montée en compétence collective. L’ANSSI a lancé en mars 2026 le Référentiel Cyber France (ReCyF) et l’outil MonEspaceNIS2 pour accompagner cette dynamique.

Juillet 2026 ne laisse plus le temps de l’observation prudente. Les organisations qui n’ont pas encore engagé leur diagnostic NIS2 exposent leurs dirigeants autant que leurs systèmes. L’outil MonEspaceNIS2 est disponible maintenant — pas dans six mois.

The post Conformité NIS2 : juillet 2026 approche et les dirigeants jouent leur peau appeared first on Plateformance.

L’annonce fait peu de bruit dans les salles de réunion, mais elle devrait. Google et Blackstone s’apprêtent à lancer une coentreprise dédiée au cloud IA, soutenue par 5 milliards de dollars et bâtie sur les puces propriétaires d’Alphabet. Pendant que les géants américains accélèrent, les entreprises européennes versent toujours 264 milliards d’euros par an vers des éditeurs dont elles ne maîtrisent ni les infrastructures, ni les conditions d’accès, ni le droit applicable.

Google-Blackstone, le signal que l’Europe ne peut plus ignorer

Ce n’est pas un simple mouvement financier. C’est la cristallisation d’une stratégie : concentrer la puissance de calcul nécessaire à l’IA dans des infrastructures privées américaines, hors de portée des régulateurs européens. Pour les DSI et les RSSI, la lecture est sans ambiguïté. Une enquête conjointe du Bitkom et du Cigref l’établit noir sur blanc : si les États-Unis coupaient demain l’accès à leurs logiciels cloud, la majorité des organisations européennes ne tiendraient pas deux ans. Deux ans. C’est la durée de survie estimée d’entreprises qui se croient pourtant souveraines de leurs systèmes d’information.

Une dépendance qui dépasse le simple calcul économique

264 milliards d’euros annuels, c’est le chiffre que les organisations européennes transfèrent vers des éditeurs soumis au Cloud Act américain. Vous stockez des données RH, des contrats clients, des plans industriels sur des serveurs dont la juridiction vous échappe entièrement. Le risque n’est pas théorique — il est documenté, mesuré, et pourtant systématiquement sous-pondéré dans les arbitrages budgétaires face aux promesses de flexibilité et d’économies d’échelle. La commodité a un prix, et ce prix se paie en souveraineté.

L’UE change de braquet, les entreprises doivent suivre

La réponse réglementaire prend enfin de la consistance. L’UE prépare des restrictions explicites sur l’accès des plateformes cloud non-européennes aux marchés publics sensibles : défense, santé, énergie seront les premiers périmètres concernés. Ce n’est plus une recommandation de bonnes pratiques — c’est une contrainte qui s’impose. Les organisations qui n’ont pas encore cartographié leurs dépendances cloud, identifié leurs workloads critiques et défini un plan de migration vers des solutions certifiées SecNumCloud jouent avec leur conformité future. L’IA souveraine française progresse aussi sur la scène internationale : face à Palantir, des acteurs comme Thales ouvrent des brèches en Allemagne. L’écosystème existe. Il reste à l’activer.

La fenêtre de transition se referme à mesure que l’écart d’investissement entre hyperscalers américains et alternatives européennes se creuse. Votre stratégie de souveraineté numérique ne se construira pas dans l’urgence d’une coupure d’accès. Elle se construit maintenant.

The post Cloud souverain : les entreprises européennes n’ont plus le luxe d’attendre appeared first on Plateformance.