Faut-il davantage craindre les fonctionnaires que les cybercriminels ?

L’Agence nationale de sécurité des systèmes d’information (Anssi) a traité 3586 événements de sécurité informatique en 2025, soit une diminution de 18% par rapport à l’année 2024 qui avait été exceptionnelle du fait des Jeux olympiques et paralympiques de Paris.

Néanmoins, « le niveau de cybermenace reste élevé », n’épargne personne et « est le fait d’attaquants toujours plus difficiles à suivre », affirme Vincent Strubel dans le « Panorama de la cybermenace 2025 » qui a été rendu public le 11 mars 2026. Le directeur général de l’Anssi ajoute : « Les frontières entre acteurs étatiques et cybercriminels s’érodent. Les attaquants se spécialisent mais partagent outils et méthodes, ils profitent de faiblesses dans des produits ou équipements peu supervisés, ils revendiquent bruyamment – et pas toujours sincèrement – ou se cachent silencieusement pour préparer des actions futures dont les objectifs inconnus doivent collectivement nous alarmer. »

Mais si la menace reste prégnante, le directeur général de l’Anssi espère qu’elle pourra continuer à être contenue grâce à la mise en place d’outils efficaces, au premier rang desquels figurent les règlementations françaises et européennes – comme la transposition de la directive NIS 2 ou la mise en œuvre du Cyber Resilience Act.

On peut cependant se demander si la réglementation européenne n’est pas elle-même un danger. L’intention de la directive NIS 2 est d’élever « le niveau global de cybersécurité par l’application de règles harmonisées et simplifiées » sur le territoire de l’Union européenne. En réalité, elle impose la mise en place de mesures juridiques, techniques et organisationnelles à des milliers d’entreprises pour gérer les risques qui menacent la sécurité de leurs réseaux et de leurs systèmes d’information. La crainte est que les organisations concernées par NIS 2 cherchent avant tout à être en règle vis-à-vis de la loi, croyant par-là être en sécurité.

Encore une fois, les plus petites entreprises, dont les startups innovantes, risquent de faire les frais de cette réglementation car elles auront du mal à en absorber les coûts, au contraire des grandes entreprises. Elles risquent d’être noyées sous les procédures et de passer plus de temps à remplir des documents pour se justifier auprès de l’Anssi qu’à se protéger réellement des cybercriminels.

Comme le dit Flavien Vottero, de la société spécialisée en intelligence stratégique Xerfi, « La menace ne vient plus seulement des hackers en capuche, mais désormais des régulateurs en costume. »