Au premier semestre 2026, les RSSI ont dû composer avec une accélération simultanée des usages technologiques, des exigences réglementaires et des risques liés aux dépendances numériques. Dans ce contexte, leur enjeu n’est plus seulement de renforcer la protection des organisations, mais de hiérarchiser des priorités toujours plus nombreuses, et d’arbitrer entre des chantiers qui deviennent tous stratégiques.
C’est le principal enseignement des Instantanés du Cesin (Club des Experts de la Sécurité de l’Information et du Numérique), mini-sondages hebdomadaires.
Pour l’association, la cybersécurité ne repose plus seulement sur la protection du système d’information. Elle engage désormais les métiers, les fournisseurs et les directions, et place l’arbitrage au cœur de la fonction RSSI.
« La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours », confirme Fabrice Bru, Président du Cesin.
Face à l’IA, quelle gouvernance ?
L’IA générative s’installe dans les organisations. Or, les règles ne progressent pas toujours au même rythme, de nombreuses organisations, plutôt de taille intermédiaire (27% des répondants), n’ont encore défini aucune politique concernant son utilisation.
Les environnements de développement enrichis à l’IA illustrent cette situation. Seuls 18% des répondants ont mis en place une politique spécifique pour les développeurs. 34% autorisent leur installation de manière générale. 34% l’autorisent par exception.
Les outils de transcription et de synthèse des réunions posent les mêmes questions. Qui accède aux données ? Où sont-elles stockées ? Combien de temps sont-elles conservées ?
L’IA entre aussi dans les outils de cyberdéfense. Les organisations expérimentent, et la majorité se situe encore au stade du pilote ou du test. Trois préoccupations dominent, la fiabilité, la confidentialité et la souveraineté.
Cette accélération concerne aussi les usages malveillants de l’IA. 54% des grandes entreprises interrogées déclarent avoir déjà subi une attaque de type deepfake, ainsi que 19% des ETI et 5% des TPE/PME. L’exposition progresse donc nettement avec la taille de l’organisation.
Le post-quantique : peu répandu mais déjà des interrogations
La migration vers la cryptographie post-quantique reste encore peu engagée. 69% des répondants n’ont pas encore commencé à s’en préoccuper. 20% évaluent les impacts et les besoins, 3% ont engagé des pilotes ou des tests, et seul 1% a commencé une migration opérationnelle.
Le chantier dépasse la seule technologie. Il suppose d’identifier les usages cryptographiques et les données critiques, mais aussi d’inscrire le sujet dans une gouvernance plus transverse.
La conformité s’impose davantage dans les plus petites organisations
La conformité réglementaire arrive en tête des priorités cyber pour 2026. 46% des grandes entreprises la placent parmi leurs trois chantiers prioritaires. Ce taux atteint 61% dans les ETI et 72% dans les TPE/PME.
Les grandes entreprises répartissent davantage leurs priorités. Elles travaillent aussi sur l’IA, les tiers et la gouvernance. Les structures plus petites concentrent davantage leurs efforts sur la conformité.
Risque cyber : les fournisseurs en première ligne
Les dépendances technologiques occupent une place croissante dans les préoccupations des RSSI. Le Cyber Resilience Act en donne une illustration. 52% des ETI interrogées ne sont pas directement concernées par le règlement, mais elles sont toutes clientes de fournisseurs qui le sont.
Les rachats dans le secteur cyber produisent également des effets très concrets. 69% des grandes entreprises déclarent avoir constaté une explosion des coûts après le rachat d’un fournisseur ; ce score grimpant à 74% chez les ETI, et 38% des TPE/PME constatent le même phénomène. En outre, 41% des répondants soulignent un enfermement technologique.
Le risque ne s’arrête plus aux frontières du système d’information. Il se prolonge dans les chaînes de fournisseurs et dans les choix technologiques.
La transformation du métier de RSSI
L’évolution de la fonction se lit aussi dans les perspectives de carrière des RSSI. Interrogés à nouveau deux ans après un premier sondage sur le sujet, seuls 24% des 162 répondants estiment que les opportunités de postes de RSSI sont aussi nombreuses que par le passé, soit 17 points de moins qu’en 2024. Dans le même temps, 31% envisagent de basculer vers le conseil faute de capacité à agir dans les organisations, une proportion en hausse de 16 points. Au-delà du marché de l’emploi, ces résultats traduisent aussi une interrogation sur les conditions dans lesquelles les RSSI peuvent aujourd’hui exercer pleinement leur fonction.
Une étude de Proofpoint confirme les challenges auxquels sont confrontés les RSSI, pas seulement face à l’IA. Même si ceux-ci affichent un relatif optimisme : le pourcentage de RSSI dans le monde estimant que leur organisation risque de subir une cyberattaque majeure au cours des 12 prochains mois est ainsi tombé à 61 %, contre 76 % en 2025, tandis que les cas déclarés de perte de données significative ont également diminué, passant de 66 % à 53 %.
Pourtant, ces progrès n’ont pas simplifié le travail des RSSI. Cette étude mondiale menée auprès de 1 600 RSSI dans 16 pays montre que le risque se concentre de plus en plus sur les personnes, les données, les applications et les systèmes d’IA intégrés au quotidien de l’entreprise. Le risque humain est en hausse : 79 % des RSSI identifient désormais ce facteur comme la principale vulnérabilité cyber de leur organisation, contre 66 % en 2025. Parallèlement, les conséquences des pertes de données deviennent plus graves, et les RSSI assument une responsabilité accrue pour permettre un usage sécurisé de l’IA, 78 % d’entre eux étant appelés à gérer les risques liés à l’IA sans augmentation proportionnelle des ressources ou de l’expertise au cours des deux prochaines années.
« L’IA transforme fondamentalement le rôle du RSSI », souligne Patrick Joyce, RSSI mondial chez Proofpoint. « Les dirigeants de la sécurité doivent désormais accomplir deux missions simultanément : protéger l’entreprise contre les risques technologiques et l’aider à adopter des technologies transformatrices de manière sécurisée et rapide. Alors que les assistants IA, les copilotes, l’automatisation et les outils publics d’IA générative s’intègrent aux processus métier quotidiens, les RSSI sont sollicités pour favoriser l’innovation tout en empêchant l’exposition des données sensibles, des accès privilégiés et des workflows critiques. Cette double responsabilité devient rapidement l’un des défis majeurs de la fonction. »
Le rapport 2026 Voice of the CISO de Proofpoint révèle plusieurs tendances :
Les RSSI doivent désormais à la fois sécuriser et promouvoir l’IA. Les préoccupations des RSSI français concernant la sécurité de l’IA générative ont bondi de 36 points en un an, 88 % d’entre eux la considérant désormais comme un risque de sécurité. Parallèlement, 93 % déclarent que l’activation d’un usage sécurisé des assistants IA, copilotes et automatisations constitue une priorité majeure pour les deux prochaines années, tandis que 91 % sont censés gérer les risques liés à l’IA sans augmentation proportionnelle des ressources ou de l’expertise.
La résilience cyber s’améliore, mais le modèle de risque évolue. Les anticipations d’une cyberattaque majeure chez les RSSI français sont passées de 56 % en 2025 à 63 % en 2026, tandis que les pertes de données significatives ont diminué de 43 % à 36 %. Pourtant, 60 % des RSSI français estiment toujours que leur organisation n’est pas préparée à faire face à une cyberattaque ciblée. Les inquiétudes se concentrent de plus en plus sur les technologies intégrées au travail quotidien, notamment les plateformes de collaboration (37 %), les outils publics d’IA générative (35 %), les plateformes de stockage cloud et de partage de fichiers (33 %), les assistants IA, copilotes ou agents autonomes (32 %), et les API et outils d’automatisation (31 %).
Le comportement des employés constitue le plus grand risque. 95 % des RSSI français identifient le risque humain comme la principale vulnérabilité cyber de leur organisation, contre 56 % en 2025. Parmi les organisations ayant subi une perte de données significative, les employés négligents constituent la première cause (47 %), tandis que les employés malveillants ou criminels sont cités par 39 % et les employés compromis par 31 %. Fait notable, 100 % des RSSI français dans les organisations ayant subi une perte de données significative affirment que des employés sortants ont joué un rôle.
Les pertes de données diminuent, mais les conséquences s’aggravent. Bien que la proportion d’organisations françaises subissant des pertes de données significatives ait diminué d’une année sur l’autre, passant de 43 % en 2025 à 36 % en 2026, l’impact commercial pour celles ayant subi de telles pertes est devenu plus grave. Les sanctions réglementaires sont passées de 30 % à 47 %, tandis que les pertes financières ont augmenté de 23 % à 36 %. Les coûts de reprise post-attaque sont passés de 28 % à 25 %, et les atteintes à la réputation ont augmenté de 21 % à 31 %.
Les RSSI font confiance à leurs défenses, mais pas aux pratiques IA de leurs employés. Alors que 90 % des RSSI français estiment que leurs contrôles atténuent efficacement les risques introduits par l’IA, le SaaS et les nouvelles façons de travailler, 92 % pensent que les employés sont susceptibles d’utiliser l’IA de manière à exposer des données sensibles. 91 % s’inquiètent de la perte de données clients via les outils publics d’IA générative, et 95 % bloquent ou limitent l’utilisation d’outils d’IA générative par les employés.
- Les conseils d’administration écoutent davantage les RSSI et en attendent davantage en retour.94 % des RSSI français déclarent être en phase avec leur conseil d’administration sur la cybersécurité, contre 56 % en 2025. Mais un meilleur alignement ne réduit pas la pression sur les dirigeants de la sécurité. Les conseils d’administration évaluent le risque cyber à travers un prisme commercial, avec la valeur de l’entreprise, les temps d’arrêt, l’atteinte à la réputation, la perturbation opérationnelle et la perte de données sensibles parmi leurs principales préoccupations. 89 % des RSSI français estiment que des attentes excessives pèsent sur eux. 93 % pensent qu’une expertise en cybersécurité devrait être requise au niveau des administrateurs, contre 51 % en 2025.