Les sociétés du CAC 40 consacrent chaque année une part significative de leur budget IT à la protection de leurs systèmes d’information. La cybersécurité, dans ce contexte, désigne l’ensemble des dispositifs techniques, organisationnels et humains déployés pour protéger les données, les réseaux et les applications contre les intrusions, les vols et les interruptions de service. Pour les grandes entreprises cotées, ce poste budgétaire ne se résume plus à une ligne technique : il engage désormais la responsabilité directe des dirigeants.
Directive NIS2 et responsabilité des dirigeants du CAC 40
La directive européenne NIS2 modifie en profondeur la gouvernance cyber des grandes entreprises. Son apport principal ne porte pas sur les outils de défense, mais sur la chaîne de responsabilité. Les directions générales doivent désormais formaliser leur supervision des politiques de sécurité informatique, y compris sur la chaîne de sous-traitance numérique.
Lire également : Le télétravail modifie la gestion des espaces collaboratifs en entreprise
Concrètement, un dirigeant qui n’aurait pas validé la politique de gestion des risques cyber de son organisation s’expose à des sanctions personnelles. Ce mécanisme pousse les comités exécutifs à intégrer la cybersécurité dans leurs ordres du jour réguliers, au même titre que la conformité financière ou la gestion des risques industriels.
Pour les sociétés du CAC 40, qui opèrent avec des centaines de sous-traitants et de prestataires IT, cette obligation de supervision étendue représente un chantier considérable. La cartographie des fournisseurs critiques, l’audit de leurs pratiques de sécurité et la contractualisation d’exigences cyber deviennent des tâches récurrentes, pilotées au niveau de la direction générale et non plus déléguées aux seules équipes techniques.
A lire en complément : Les jeunes diplômés redéfinissent les attentes en matière de management
Intelligence artificielle et nouveaux risques cyber pour les entreprises
L’intelligence artificielle générative a introduit une catégorie de risques que les dispositifs de sécurité traditionnels ne couvrent pas. Les entreprises françaises réorientent leurs stratégies cyber autour de ces menaces, selon l’AFP et plusieurs analystes du secteur.
Deux phénomènes se combinent. D’un côté, les attaquants utilisent l’IA pour automatiser et personnaliser les campagnes de phishing, rendant les messages frauduleux plus difficiles à détecter. De l’autre, les salariés des grandes entreprises adoptent des outils d’IA générative dans leurs flux de travail quotidiens, créant des points de fuite de données non surveillés.
Les équipes de sécurité doivent alors répondre à une double contrainte :
- Détecter les attaques par ingénierie sociale augmentée par l’IA, qui imitent le style rédactionnel de correspondants légitimes et contournent les filtres classiques
- Encadrer l’usage interne des outils d’IA générative pour éviter que des données sensibles (code source, données clients, documents stratégiques) ne soient transmises à des modèles externes
- Adapter les politiques de classification des données aux nouveaux formats d’échange générés par ces outils, comme les prompts contenant des informations confidentielles
Goldman Sachs prévoit une hausse des dépenses de sécurité liées à l’IA d’ici 2027, ce qui confirme que les budgets cyber se recomposent autour du risque IA plutôt que d’augmenter de manière uniforme.
Budgets cybersécurité du CAC 40 : stabilisation et réallocation
L’image d’une croissance linéaire des budgets cyber dans les grands groupes ne correspond plus à la réalité. Chez Thales, par exemple, l’activité cybersécurité se stabilise tandis que la défense et l’aéronautique affichent de meilleures perspectives de rentabilité. Cette tendance illustre un phénomène plus large : les budgets ne baissent pas, mais se redistribuent vers les postes jugés les plus exposés.
Plusieurs facteurs expliquent cette réallocation. La montée en charge du cloud hybride pousse les entreprises à investir davantage dans la sécurité des environnements multi-cloud, au détriment des infrastructures on-premise dont la surface d’attaque diminue. Les dépenses liées à la conformité réglementaire (NIS2, plan d’action européen sur l’IA et la cybersécurité) absorbent une part croissante des enveloppes.
Le résultat est un budget global qui peut paraître stable en valeur absolue, mais dont la ventilation change radicalement d’une année à l’autre. Un RSSI du CAC 40 arbitre désormais entre la protection des environnements cloud, la mise en conformité réglementaire, la formation des collaborateurs face aux risques IA et le maintien des dispositifs de détection traditionnels.
Plan d’action européen sur l’IA et la cybersécurité
Le cadre réglementaire européen se renforce en parallèle de NIS2. Un plan d’action spécifique à l’IA et à la cybersécurité prévoit trois axes qui concernent directement les sociétés du CAC 40 :
- L’évaluation renforcée des modèles d’IA avancés utilisés ou développés par les entreprises, avec des exigences de transparence sur leurs vulnérabilités potentielles
- La correction rapide des composants logiciels libres identifiés comme critiques dans les chaînes de production logicielle, un sujet sensible pour les groupes qui s’appuient massivement sur l’open source
- Le soutien à une cyberdéfense souveraine européenne, qui pousse les grandes entreprises à privilégier des fournisseurs de solutions de sécurité implantés dans l’Union européenne
Ce dernier point crée une tension opérationnelle pour les groupes du CAC 40 qui dépendent de solutions américaines ou israéliennes pour leur infrastructure de sécurité. La question de la souveraineté numérique ne relève plus du discours politique : elle se traduit par des critères concrets dans les appels d’offres et les renouvellements de contrats.
Maturité cyber des grandes entreprises françaises
La maturité cyber des grandes entreprises françaises progresse. Selon IT Social, le score de maturité a augmenté de 13 points en 2026. Cette progression reflète les investissements réalisés dans la détection, la réponse aux incidents et la formation. Elle masque toutefois des disparités entre secteurs : les groupes bancaires et les énergéticiens affichent des niveaux de protection supérieurs à ceux de la distribution ou de l’industrie manufacturière.
Le CESIN, qui regroupe les responsables sécurité des grandes entreprises françaises, insiste sur le fait que la cybersécurité ne doit pas rester un sujet traité uniquement en réaction aux incidents. La posture défensive cède progressivement la place à une approche intégrée, où la sécurité informatique conditionne les choix d’architecture technique, les partenariats commerciaux et la stratégie de données de l’entreprise.
La cybersécurité au sein du CAC 40 se joue désormais sur trois fronts simultanés : conformité réglementaire européenne, maîtrise du risque IA et souveraineté des infrastructures. Les groupes qui traitent ces trois dimensions de manière cloisonnée accumulent du retard par rapport à ceux qui les pilotent depuis un cadre de gouvernance unifié.
