Bilan 2025 : une année de structuration et de montée en maturité
Un risque cyber désormais stratégique pour les entreprises
Les tendances observées en 2025 confirment les constats publiés par le CESIN :
- Le risque cyber s’installe durablement dans le Top 3 des risques majeurs pour les entreprises.
- Les attaques impliquant un tiers figurent désormais parmi les premières causes d’incidents significatifs.
Cette évolution confirme une réalité : la cybersécurité ne peut plus être uniquement technique. Elle devient un sujet stratégique, de gouvernance et de continuité d’activité.
Dans ce contexte,la gestion des risques fournisseurs et le Third Party Risk Management (TPRM) prennent une place centrale, notamment via des démarches outillées et structurées.
Explosion des projets SOC : vers des modèles managés et hybrides
L’un des marqueurs forts de 2025 est l’augmentation significative des projets de SOC managés, externalisés ou hybrides.
Cette dynamique traduit une maturité croissante des organisations : elles ne se demandent plus “faut-il un SOC ?” mais plutôt “comment le structurer efficacement ?”
Le rôle de Netsystem
Nous avons accompagné nos clients sur :
- Le benchmark et l’aide au choix de prestataires SOC
- L’intégration opérationnelle :
- Élaboration des tableaux de bord
- Définition des indicateurs pertinents
- Recettes de conformité au cahier des charges
- Tests de cas d’usage et simulations d’attaque
- Vérification des processus d’escalade
- Analyse de la réactivité des acteurs
Les facteurs clés de succès observés
Les retours d’expérience sont clairs :
- Même managé, un SOC nécessite une organisation interne de pilotage
- Une matrice de responsabilités claire
- Un reporting décisionnel, pas uniquement technique
- Une intégration avec le PCA/PRA et la gestion de crise
- Une implication des équipes métiers
Un SOC n’est pas qu’un outil technique : c’est un maillon stratégique de la résilience globale.
Exercices de crise : la préparation devient la norme
2025 a également été marquée par une forte augmentation des exercices de crise cyber.
Les directions générales prennent conscience qu’une cyberattaque est désormais une question de “quand” et non plus de “si”.
Les tests de cellule de crise, simulations d’attaque et exercices transverses se multiplient.
Revoir cette vidéo sur l’exercice de crise et les PCA/PRA.
Audit PASSI et secteur défense : un contexte géopolitique structurant
Le contexte géopolitique a renforcé les exigences du secteur défense.
Les audits conformes aux exigences PASSI se développent fortement.
Début 2026, Netsystem a notamment obtenu une extension de portée PASSI, incluant l’audit de configuration, renforçant ainsi notre capacité d’intervention.
Anticipation réglementaire : NIS2 et DORA
Certaines organisations ont fait le choix d’anticiper les exigences réglementaires (NIS2, DORA).
Un programme de mise en conformité peut s’étaler sur 12 à 36 mois.
Il s’agit d’une démarche qualité structurante : “on dit ce que l’on fait, on fait ce que l’on dit”.
Ne pas anticiper expose à un double risque :
- Un risque réglementaire
- Un risque business
Exemple concret : dans un marché public intégrant une exigence NIS2, l’entreprise déjà conforme disposera d’un avantage compétitif décisif.
Audits de maturité et cyberassurance
Les audits “à blanc” basés sur des référentiels comme l’ISO 27001 se développent.
Ils permettent :
- Une grille de lecture plus fine
- Une préparation progressive à la certification
- Une meilleure crédibilité vis-à-vis des partenaires
Par ailleurs, le marché de la cyberassurance offre actuellement des opportunités intéressantes, avec des conditions d’accès relativement favorables pour les entreprises structurées.
Shadow IA : un nouveau défi
L’année 2025 a également vu émerger un phénomène massif : le Shadow IA.
Risques identifiés :
- Fuite de données sensibles
- Biais et erreurs dans les réponses
- Déresponsabilisation des collaborateurs
Les besoins exprimés :
- Aide au choix d’outils IA maîtrisés
- Gouvernance des données
- Accompagnement au changement
- Protection de la confidentialité
L’IA n’est pas seulement un sujet d’innovation : c’est désormais un sujet de gouvernance et de sécurité.
Perspectives 2026 : IA, conformité et souveraineté
1. Risques liés à l’IA
En 2026, les menaces associées à l’IA vont s’intensifier :
- Attaques automatisées
- Deepfakes
- Manipulation de modèles
- Exposition des données d’entraînement
La question ne sera plus seulement l’usage de l’IA, mais sa maîtrise sécuritaire et réglementaire.
2. Accélération réglementaire
Les exigences liées à NIS2, DORA et aux cadres européens vont entrer pleinement en phase d’application.
Les entreprises qui n’auront pas anticipé devront engager des programmes accélérés, souvent plus coûteux et plus complexes.
3. Souveraineté numérique
La souveraineté devient un axe stratégique :
- Choix des fournisseurs cloud
- Maîtrise des données
- Localisation des traitements
- Indépendance technologique
La cybersécurité s’inscrit désormais dans une logique plus large de résilience économique et stratégique.
Conclusion : maturité, structuration et nouveaux défis
2025 aura été l’année de la structuration et de la maturité.
2026 sera celle de la maîtrise stratégique, où cybersécurité, conformité et souveraineté ne feront plus qu’un.
Pour les organisations, l’enjeu n’est plus simplement de se protéger, mais de transformer la cybersécurité en levier de performance durable.
