Cybersécurité : pourquoi l’inaction est devenue une décision financière

Les serveurs fonctionnent. Les applications restent accessibles. Les sauvegardes s’exécutent. Et pendant ce temps, le risque peut s’accumuler silencieusement.

C’est l’un des paradoxes de la cybersécurité : l’absence d’incident visible est facilement interprétée comme une preuve de solidité. Elle peut pourtant masquer des équipements vieillissants, des droits d’accès mal maîtrisés, des sauvegardes jamais testées ou une dépendance excessive envers certains prestataires.

Pour le CTO, ces fragilités forment une dette technique et sécuritaire. Pour le DAF, elles constituent un risque financier difficile à mesurer. Tant que ces deux lectures restent séparées, les investissements cyber sont soit repoussés, soit traités dans l’urgence.

La question n’est donc plus seulement de savoir combien coûte la cybersécurité. Elle est de comprendre combien coûte l’attente.

Fonctionner ne signifie pas être protégé

Une infrastructure informatique ne devient pas vulnérable le jour où elle cesse de fonctionner.

La fragilité apparaît plus tôt. Elle s’installe lorsqu’un équipement arrive en fin de support, qu’un correctif ne peut plus être appliqué ou que les compétences nécessaires à la maintenance deviennent rares. Elle augmente lorsque les applications, les infrastructures cloud et les prestataires s’interconnectent sans vision globale des dépendances.

Le système continue alors de remplir sa fonction. Mais chaque modification devient plus lente, plus complexe ou plus risquée.

Cette situation entretient un faux sentiment de sécurité. Une entreprise peut ne connaître aucune panne majeure pendant plusieurs années tout en perdant progressivement la maîtrise de son environnement informatique.

La résilience ne se mesure donc pas seulement au taux de disponibilité passé. Elle se mesure aussi à la capacité de détecter une anomalie, d’isoler un système compromis et de restaurer les fonctions essentielles.

Le risque cyber dépasse désormais les frontières de l’entreprise

L’entreprise ne dépend plus uniquement de ses propres équipements. Elle repose sur des services cloud, des logiciels métiers, des fournisseurs, des sous-traitants et des prestataires disposant parfois d’accès privilégiés à son système d’information.

Chaque interconnexion facilite l’activité. Elle crée aussi une voie potentielle de propagation.

Dans son Threat Landscape 2026, publié le 22 septembre 2026, l’ENISA souligne que les dépendances numériques élargissent la surface d’attaque. Un incident touchant un fournisseur ou un prestataire peut produire des effets sur plusieurs organisations, parfois très éloignées de la cible initiale.

Le rapport analyse 8 257 incidents et événements observés en 2025. Ce corpus ne constitue pas un recensement exhaustif. Il repose principalement sur des sources ouvertes et sur des informations anonymisées. La méthodologie ayant évolué, une comparaison brute avec les éditions précédentes serait trompeuse.

La dette cyber reste invisible jusqu’au moment où elle ne l’est plus

Comme la dette technique, la dette cyber se construit par accumulation.

Une mise à jour est repoussée pour ne pas perturber la production. Un serveur ancien reste en service parce qu’il fonctionne encore. Un droit d’administration temporaire devient permanent. Une sauvegarde est réalisée automatiquement, mais sa restauration n’est jamais vérifiée.

Chaque décision peut sembler raisonnable lorsqu’elle est prise isolément. Leur accumulation produit pourtant un système plus difficile à comprendre, à maintenir et à défendre.

Cette dette génère davantage de maintenance, des interventions plus complexes, une dépendance envers quelques personnes ou prestataires, un renouvellement plus difficile à planifier et une reprise d’activité plus incertaine.

Le report d’un investissement ne supprime donc pas nécessairement son coût. Il peut le déplacer vers une période ultérieure, dans des conditions moins favorables. Une modernisation planifiée permet de choisir le calendrier, le périmètre et le financement. Une remise en état menée après un incident impose ses propres délais.

L’inaction face au risque légal et au mur de l’assurance

Le statu quo n’est plus seulement un arbitrage de gestion interne ; il se heurte désormais à des contraintes extérieures impératives.

Sur le plan réglementaire, l’entrée en vigueur de directives européennes comme NIS 2 (ou DORA dans les services financiers) transforme la cybersécurité en obligation de gouvernance. Le risque n’est plus cantonné à la sphère informatique : la responsabilité des comités de direction et des mandataires sociaux est directement engagée sur l’efficacité des mesures prises, la gestion des vulnérabilités et le contrôle de la chaîne d’approvisionnement. En cas de négligence avérée ou de sous-investissement injustifié, l’inaction s’accompagne désormais d’un risque de sanctions financières et juridiques explicites.

En parallèle, le marché de l’assurance a durci ses exigences. Face à la multiplication des sinistres, les assureurs refusent de couvrir les entreprises incapables de démontrer un niveau de protection fondamental : sauvegardes isolées et testées, authentification multifacteur, inventaire rigoureux des actifs et maintien en conditions de sécurité. Repousser la mise à niveau de son infrastructure ne supprime pas la facture : cela conduit soit à des surprimes et franchises prohibitives, soit à une exclusion pure et simple de garantie.

L’entreprise qui laisse vieillir son système d’information ne fait donc pas une économie de trésorerie : elle assume seule, sur ses fonds propres et sur sa responsabilité dirigeante, l’intégralité de l’impact financier d’un incident.

« Dès lors, le dialogue entre DAF et CTO ne peut plus se limiter à une confrontation de priorités budgétaires : il s’agit de garantir la conformité, l’assurabilité et la survie juridique de l’entreprise. »

DAF et CTO doivent parler du même risque

Le dialogue entre finance et technologie reste souvent bloqué par une différence de langage.

Le CTO évoque des vulnérabilités, des versions obsolètes, des architectures ou des délais de correction. Le DAF attend une estimation de l’exposition financière, de l’impact opérationnel et du retour sur investissement.

Cette distance explique une partie des arbitrages difficiles. La cybersécurité est présentée comme une suite de projets techniques alors qu’elle protège d’abord des activités économiques.

Le point de départ devrait être le processus métier : quelle activité ne peut pas être interrompue ? Quel système lui est indispensable ? Combien de temps l’entreprise peut-elle fonctionner sans ce système ? Quelles données doivent être restaurées en priorité ? Quels fournisseurs conditionnent la reprise ?

Une vulnérabilité affectant un équipement secondaire ne présente pas le même enjeu qu’une faille touchant la facturation, la production ou les données clients. Inversement, tout risque technique ne justifie pas automatiquement un investissement immédiat. C’est sa traduction opérationnelle et financière qui doit déterminer la priorité.

Le choix entre immobilisme et remplacement total est un faux dilemme

Les entreprises renoncent parfois à moderniser leur infrastructure parce qu’elles assimilent le projet à un remplacement complet, long et coûteux.

Cette représentation enferme la décision dans une alternative peu satisfaisante : engager un investissement massif ou prolonger l’existant.

Il existe une troisième voie : la modernisation progressive. Elle consiste à identifier les systèmes les plus critiques, à traiter en priorité les vulnérabilités qui menacent directement la continuité, puis à faire évoluer le reste de l’infrastructure selon un calendrier maîtrisé.

1. Protéger la continuité immédiate

Le premier horizon concerne les sauvegardes, les accès privilégiés, les vulnérabilités critiques et les équipements dont la défaillance pourrait arrêter l’activité. L’objectif n’est pas de tout moderniser, mais de sécuriser ce que l’entreprise ne peut pas se permettre de perdre.

2. Renforcer la capacité de détection et de reprise

Le deuxième horizon porte sur la supervision, la maintenance, les procédures d’intervention et les tests de restauration. Une protection efficace dépend de la capacité à détecter, décider et agir.

3. Organiser l’évolution du système d’information

Le troisième horizon anticipe le renouvellement des équipements, l’évolution des usages cloud, l’ouverture de nouveaux sites et les besoins futurs. La cybersécurité devient alors un processus continu, et non une succession de projets déclenchés par l’urgence.

La sécurité proportionnée n’est pas une sécurité au rabais

Toutes les entreprises n’ont pas les mêmes contraintes. Tous les systèmes ne présentent pas non plus le même niveau de criticité.

Une sécurité proportionnée consiste à investir en fonction du risque réel. On investit davantage là où l’interruption aurait les conséquences les plus graves. On maintient les équipements qui restent adaptés. On remplace ceux qui ne peuvent plus atteindre le niveau de protection attendu.

Cette logique impose toutefois de connaître précisément son infrastructure. Sans inventaire fiable, cartographie des dépendances et définition des priorités métier, la proportionnalité risque de devenir un simple prétexte au sous-investissement. La sobriété budgétaire n’est pertinente que lorsqu’elle repose sur une compréhension rigoureuse du risque.

Le coût d’un projet ne s’arrête pas à l’achat

Le prix d’un serveur, d’une licence ou d’une solution de sauvegarde ne reflète qu’une partie de l’investissement.

Le coût complet comprend l’audit initial, la conception de l’architecture, le déploiement, la migration, la maintenance, la supervision, la formation, les tests de reprise et le renouvellement futur.

Cette lecture évite d’accumuler des outils sans disposer des ressources nécessaires pour les exploiter. Une technologie mal configurée ou insuffisamment maintenue peut créer une impression de protection plus dangereuse encore que l’absence de solution.

La cybersécurité n’est pas un catalogue de produits. C’est une capacité opérationnelle.

Financer une trajectoire plutôt qu’une urgence

La question financière ne disparaît pas avec la hiérarchisation des risques. Plusieurs investissements peuvent devoir être engagés au même moment, alors que les bénéfices s’inscrivent dans la durée.

Des solutions de financement peuvent répartir le coût de certains équipements et services, à condition d’aligner leur durée sur celle des usages, de conserver la possibilité de faire évoluer le dispositif et de clarifier les responsabilités ainsi que les conditions de sortie.

Le financement ne réduit pas le risque cyber à lui seul. Il peut cependant éviter qu’un projet reconnu comme prioritaire reste bloqué par une contrainte budgétaire immédiate.

Le rôle du DAF n’est donc pas seulement de contenir l’investissement. Il consiste à déterminer quelle structure financière permet de traiter le risque sans fragiliser les autres priorités de l’entreprise.

De l’audit à la décision d’investissement

Pour les PME et les ETI, la principale difficulté réside souvent dans le passage du constat au plan d’action.

Proxi Solutions peut intervenir pour établir l’état du parc, identifier les dépendances et accompagner la maintenance, la sauvegarde ou la sécurisation de l’infrastructure. Evernex Capital Solutions peut ensuite étudier le financement des équipements et services retenus.

L’intérêt de cette articulation n’est pas de financer davantage de technologie. Il est de rapprocher trois décisions trop souvent séparées : ce qui doit être protégé, ce qui doit être modernisé et ce que l’entreprise peut financer dans le temps.

L’audit technique doit éclairer l’allocation du capital. Le financement doit permettre l’exécution du plan, sans dicter sa logique.

L’inaction est déjà une décision

L’entreprise ne choisit jamais réellement entre investir et ne rien faire.

Elle choisit entre une évolution planifiée et la poursuite d’une exposition dont le coût reste incertain. Elle choisit entre un calendrier maîtrisé et une intervention imposée par les circonstances.

La bonne question n’est donc pas seulement : « Combien coûte la modernisation de notre infrastructure ? » Elle doit être complétée par une autre : « Combien nous coûte déjà son vieillissement — et quel serait le coût réel de l’inaction ? »

Pour le CTO, cette question transforme une vulnérabilité technique en risque opérationnel. Pour le DAF, elle révèle que le statu quo n’est pas gratuit.

La cybersécurité ne devrait plus être traitée comme une dépense défensive isolée. Elle fait partie des conditions nécessaires pour préserver la continuité, la capacité d’investissement et la liberté de décision de l’entreprise.

Besoin d’aligner vos exigences de sécurité avec votre trajectoire budgétaire ?

Proxi Solutions évalue la maturité technique de vos équipements pour vous permettre d’arbitrer avec précision ce qui doit être maintenu, sécurisé ou renouvelé.

Découvrir l’accompagnement Proxi Solutions