Sept dirigeants français sur dix réclament un encadrement réglementaire plus strict en cybersécurité, une proportion inédite en Europe selon l’étude Cohesity publiée en juillet 2026.
Cohesity a interrogé 2 200 décideurs IT et métier dans six pays européens, dont 365 en France. Le résultat semble contre-intuitif : les dirigeants d’entreprises hexagonales souhaitent plus de contraintes imposées par la loi, alors que la tendance habituelle consiste à demander de la souplesse. 71 % d’entre eux estiment que la réglementation doit se durcir, contre 64 % en moyenne européenne.
Cette position place la France en tête d’un mouvement paradoxal. Les entreprises réclament davantage de contrôles, de vérifications, de sanctions potentielles, là où d’autres marchés préfèrent l’autorégulation. Le contexte explique en partie ce basculement : les attaques par ransomware ont touché un nombre croissant d’organisations en 2025, et la directive NIS 2 commence à entrer en application dans les États membres.
LivMed’s liquidée en avril, Nexum rachète ses actifs devant le tribunal de Nice
L’État attendu comme premier rempart cyber
L’enquête révèle une autre spécificité française : 64 % des dirigeants interrogés désignent l’État comme le principal responsable de la protection des données sensibles de leur entreprise. La moyenne européenne s’établit à 56 %. Cette attente s’accompagne d’une confiance dans les institutions publiques pour organiser la riposte en cas d’incident majeur.
SoftBank, Ardian, Foxconn : 15 milliards d’euros annoncés lors du sommet Choose France 2026
Le phénomène tranche avec la culture anglo-saxonne, où la responsabilité incombe d’abord à l’entreprise elle-même. En France, la tradition d’intervention de la puissance publique dans les secteurs stratégiques semble irriguer également le domaine cyber. L’ANSSI, la CNIL et les régulateurs sectoriels sont perçus comme des acteurs de premier plan, pas seulement comme des instances de contrôle.
Cela dit, cette délégation de responsabilité comporte un risque : certains dirigeants peuvent sous-estimer leur propre rôle dans la mise en œuvre de politiques de sécurité robustes, en attendant que les pouvoirs publics fournissent les solutions.
Frédéric Mazzella lance Fred24, son clone vocal IA disponible sur WhatsApp
| Indicateur | France | Moyenne Europe |
|---|---|---|
| Souhaitent un durcissement réglementaire | 71 % | 64 % |
| Désignent l’État comme responsable de la protection des données sensibles | 64 % | 56 % |
Source : étude Cohesity, juillet 2026
Gouvernance IT en mutation rapide
L’étude Cohesity documente un autre mouvement, moins attendu : la montée en puissance des directions métier dans les décisions de sécurité informatique. 49 % des répondants français affirment que les responsables métier participent désormais activement aux choix d’architecture et d’outils cyber, contre 42 % en moyenne européenne.
Cette évolution traduit la fin d’une époque où les DSI géraient seuls le périmètre technique. Les ransomwares ciblant les lignes de production, les systèmes de facturation ou les données clients, les directeurs opérationnels, financiers et commerciaux prennent conscience que la cybersécurité relève de la continuité d’activité, pas seulement de l’infrastructure.
Conséquence : les budgets augmentent, mais ils sont négociés différemment. Les comités de direction valident les investissements cyber au même titre que les investissements industriels. Les arbitrages ne se font plus sur des critères purement techniques, mais sur des scénarios de pertes métier.
Pourquoi les entreprises françaises veulent plus de contraintes cyber
NIS 2 comme catalyseur
La directive européenne NIS 2, en cours de transposition dans les législations nationales, renforce les obligations de cybersécurité pour des milliers d’entreprises. Son champ d’application s’étend à des secteurs jusqu’ici peu régulés : gestion des déchets, agroalimentaire, fabrication de dispositifs médicaux, services postaux.
Les amendes prévues peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, selon le plus élevé des deux montants. Les dirigeants peuvent être tenus personnellement responsables en cas de manquement grave. Cette perspective a changé la donne dans les conseils d’administration.
L’étude Cohesity montre que 58 % des dirigeants français considèrent NIS 2 comme une opportunité de structurer enfin leur gouvernance cyber, plutôt que comme une contrainte supplémentaire. Ils y voient un cadre qui légitime les investissements auprès des actionnaires et des comités d’audit.
Le calendrier reste serré. La France doit achever la transposition de NIS 2 d’ici octobre 2024, mais les textes d’application et les modalités de contrôle continuent de se préciser en 2026. L’ANSSI a publié en juin 2026 une série de guides sectoriels pour accompagner les entreprises concernées.
Ransomware et déclarations obligatoires
Un autre volet de la demande de durcissement réglementaire concerne la déclaration des incidents. 67 % des dirigeants français interrogés souhaitent que les entreprises victimes d’une cyberattaque soient obligées de la rendre publique dans un délai court, généralement 72 heures.
Cette position s’explique par une logique de transparence : les attaques non déclarées empêchent les autres acteurs du secteur de se préparer, et laissent les cybercriminels opérer sans opposition coordonnée. Certains dirigeants estiment aussi qu’une obligation de publication réduirait la tentation de payer une rançon discrètement.
Pourtant, cette exigence pose des questions opérationnelles. Déclarer un incident en 72 heures suppose que l’entreprise ait déjà qualifié l’attaque, évalué son périmètre et mesuré ses conséquences, ce qui n’est pas toujours possible dans ce délai. Les équipes de réponse à incident passent souvent plusieurs jours à contenir la menace avant de pouvoir établir un bilan fiable.
L’enquête révèle un autre chiffre : 53 % des dirigeants français admettent qu’ils ne disposent pas aujourd’hui des outils ni des processus pour respecter un délai de déclaration de 72 heures. L’écart entre l’intention réglementaire et la capacité opérationnelle reste donc significatif.
Le rôle croissant des assureurs cyber
Les assureurs jouent un rôle de plus en plus structurant dans la gouvernance cyber des entreprises. 44 % des répondants français déclarent que leur compagnie d’assurance impose désormais des audits annuels de cybersécurité comme condition de renouvellement du contrat.
Ces audits portent sur la gestion des accès à privilèges, la segmentation réseau, les sauvegardes déconnectées, les plans de continuité d’activité. Les assureurs refusent de couvrir les entreprises qui ne respectent pas un socle minimal de bonnes pratiques, ou appliquent des franchises prohibitives.
Cette pression privée complète la pression réglementaire. Elle a un effet direct : les budgets cyber augmentent, mais ils sont orientés vers des domaines précis, ceux que les assureurs considèrent comme critiques. Les entreprises qui refusent de se mettre en conformité se retrouvent sans couverture, ou avec des primes multipliées par trois ou quatre.
L’étude Cohesity note que 39 % des dirigeants français ont augmenté leur budget cybersécurité de plus de 20 % entre 2025 et 2026, principalement pour répondre aux exigences des assureurs et aux obligations de NIS 2.
Cybersécurité en France : les chiffres de l'étude Cohesity
- 2 200 décideurs IT et métier interrogés dans six pays européens, dont 365 en France
- NIS 2 prévoit des amendes jusqu'à 10 millions d'euros ou 2 % du CA mondial
- 44 % des entreprises françaises subissent des audits cyber imposés par leur assureur
- 53 % des dirigeants français ne peuvent pas respecter un délai de déclaration de 72 heures
- 39 % ont augmenté leur budget cybersécurité de plus de 20 % entre 2025 et 2026
- Tricastin : les élus drômois reçus à l’Élysée pour plaider en faveur de deux EPR2 - 13 septembre 2026
- Les réacteurs français autorisés à tourner 60 ans, EDF obtient le feu vert de l’ASN - 12 septembre 2026
- L’IA devient collaborateur à part entière dans les entreprises industrielles - 11 septembre 2026