Une étude Cohesity menée auprès de 300 dirigeants d’entreprises en France, en Allemagne et au Royaume-Uni révèle un paradoxe bien français : les organisations veulent davantage de réglementation cyber, tout en jugeant l’accompagnement de l’État insuffisant.
Un appétit réglementaire deux fois plus fort qu’ailleurs en Europe
Les chiffres publiés le 15 juillet par Cohesity, éditeur spécialisé dans la sécurisation des données par l’IA, dessinent une France à part sur la carte européenne de la cyber-résilience. Sur les 100 dirigeants français interrogés (pour 300 au total avec l’Allemagne et le Royaume-Uni, dans des entreprises de plus de 500 salariés), 62 % réclament un durcissement des règles applicables aux cyberattaques. Au Royaume-Uni comme en Allemagne, ce taux plafonne à 34 %, presque deux fois moins.
Le paradoxe apparaît quand on regarde la perception du cadre actuel : seuls 31 % des répondants français le trouvent “réaliste et atteignable”, contre 57 % outre-Manche et 44 % outre-Rhin. Autrement dit, les entreprises françaises sont les plus nombreuses à vouloir plus de règles, tout en étant les moins convaincues que celles qui existent déjà sont applicables sur le terrain.
Cette exigence réglementaire s’accompagne d’un ressenti fort côté humain : 81 % des dirigeants français disent que la menace permanente d’une cyberattaque pèse sur leur stress et leur bien-être, et 35 % citent la responsabilité légale personnelle comme une inquiétude de premier plan en cas d’incident. De quoi expliquer, en creux, la demande d’un cadre juridique plus protecteur.
Mais réclamer plus de contraintes ne va pas de pair, chez les sondés français, avec une confiance dans l’accompagnement public. 36 % jugent le soutien de l’État ou des organismes publics insuffisant en matière de résilience et de restauration après ransomware, contre 29 % au Royaume-Uni et 24 % en Allemagne. Olivier Savornin, vice-président Europe de Cohesity, résume la tension : les entreprises françaises veulent un cadre plus strict mais attendent aussi des moyens concrets pour s’y conformer, la cyber-résilience ne pouvant reposer selon lui uniquement sur des obligations légales.
Cette pression se traduit directement dans l’organigramme des entreprises. La France affiche le taux le plus élevé des trois pays pour la nomination d’un Chief AI Officer : 26 %, contre 11 % au Royaume-Uni et seulement 4 % en Allemagne, preuve que la gouvernance de l’IA s’installe rapidement dans les comités de direction hexagonaux. Autre singularité : 35 % des dirigeants français désignent le RSSI comme premier interlocuteur en cas d’attaque, loin devant le Royaume-Uni (21 %) et l’Allemagne (9 %), une centralisation qui fait aussi peser une responsabilité accrue sur cette fonction.
NIS2 : le texte encore renvoyé à la rentrée
Le parcours législatif de la transposition française patine depuis longtemps. Adopté en première lecture au Sénat dès 2024, le projet de loi qui porte la transposition de NIS2 en droit français n’a toujours pas franchi l’étape de l’Assemblée nationale. Sa présentation en séance publique, un temps annoncée pour juillet 2026, n’a finalement pas eu lieu.
Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, a reconnu ce nouveau contretemps début juillet, en indiquant espérer une inscription du texte à l’ordre du jour des députés en septembre. Du côté du Parlement, la pression monte : les présidents des commissions chargées d’examiner le dossier à l’Assemblée et au Sénat réclament désormais une adoption sans plus attendre, alors que Bruxelles a engagé, le 8 juillet, une procédure devant la Cour de justice de l’Union européenne contre la France pour ce retard de transposition.
