21 mini-sondages menés au premier semestre 2026 auprès des membres du CESIN dessinent le portrait d’une fonction RSSI sommée d’arbitrer sur tous les fronts à la fois : intelligence artificielle, conformité réglementaire et dépendances fournisseurs.
Protéger ne suffit plus. Il faut désormais hiérarchiser, trancher, arbitrer, et le faire vite, sur des sujets qui touchent les métiers, les directions et les fournisseurs. C’est le constat que dressent Les Instantanés du CESIN, une série de 21 mini-sondages hebdomadaires conduits au premier semestre 2026 auprès de ses membres, avec des panels allant de 84 à 160 répondants selon les questions.
La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours. Les RSSI doivent aujourd’hui trouver leur propre voie pour accompagner cette transformation.
Fabrice Bru, président du CESIN.
L’intelligence artificielle avance plus vite que ses règles
L’IA générative s’installe dans les organisations, mais les politiques censées en encadrer l’usage peinent à suivre. 27% des répondants, plutôt issus de structures de taille intermédiaire, n’ont encore défini aucune règle. Le constat se vérifie jusque dans les environnements de développement : seuls 18% des organisations disposent d’une politique dédiée pour les développeurs, tandis que 34% autorisent ces outils sans restriction particulière et 34% par exception. Même flou du côté des outils de transcription et de synthèse de réunions, où les questions d’accès aux données, de lieu de stockage et de durée de conservation restent largement ouvertes.
L’IA s’invite aussi dans les dispositifs de cyberdéfense, mais la plupart des organisations en restent au stade du pilote ou du test, freinées par trois préoccupations récurrentes : la fiabilité, la confidentialité et la souveraineté. Le revers de cette accélération se mesure du côté des attaques : 54% des grandes entreprises interrogées déclarent avoir déjà subi une attaque de type deepfake, contre 19% des ETI et 5% des TPE/PME, une exposition qui progresse nettement avec la taille de l’organisation.
Autre chantier technologique encore largement en jachère, la cryptographie post-quantique. 69% des répondants n’ont pas encore commencé à s’en préoccuper, 20% en évaluent les impacts et les besoins, 3% ont engagé des pilotes et 1% seulement a démarré une migration opérationnelle. Un sujet qui, selon les Instantanés, dépasse la seule technique et suppose d’identifier au préalable les usages cryptographiques et les données critiques.
Conformité et fournisseurs, un risque qui déborde le périmètre du SI
La conformité réglementaire s’impose comme la priorité numéro un pour 2026, mais de façon inégale selon la taille des organisations. Elle figure parmi les trois chantiers prioritaires pour 46% des grandes entreprises, 61% des ETI et 72% des TPE/PME. Les grandes structures répartissent davantage leurs efforts entre IA, tiers et gouvernance, quand les plus petites concentrent l’essentiel de leurs ressources sur la seule conformité.
Le risque, justement, ne s’arrête plus aux frontières du système d’information. Le Cyber Resilience Act en est une bonne illustration : 52% des ETI interrogées ne sont pas directement concernées par le règlement, mais toutes sont clientes de fournisseurs qui, eux, le sont. Les rachats dans le secteur cyber produisent également des effets bien concrets sur les organisations clientes. 69% des grandes entreprises et 74% des ETI disent avoir constaté une explosion des coûts après le rachat d’un fournisseur, un phénomène que rapportent aussi 38% des TPE/PME. 41% des répondants pointent en outre un enfermement technologique croissant.
Le métier de RSSI lui-même sous tension
La transformation de la fonction se lit jusque dans les trajectoires professionnelles de ceux qui l’exercent. Interrogés deux ans après un premier sondage sur le sujet, seuls 24% des 162 répondants estiment que les opportunités de postes de RSSI sont aussi nombreuses que par le passé, soit 17 points de moins qu’en 2024. Dans le même temps, 31% envisagent de basculer vers le conseil, faute de capacité à agir concrètement dans les organisations, une proportion en hausse de 16 points par rapport à la précédente édition.
La maturité, en somme, ne se mesurerait plus au nombre de dispositifs déployés, mais à la capacité des organisations à faire des choix éclairés face au risque.
