Board of Cyber publie un panorama de la maturité cyber des 21 700 entités françaises concernées par NIS2, alors même que la transposition de la directive en droit français continue de prendre du retard. Le projet de loi relatif à « la résilience des infrastructures critiques et au renforcement de la cybersécurité », attendu à l’ordre du jour de la session parlementaire extraordinaire de juillet, n’y figurait finalement pas. Ce nouveau report renvoie la discussion à septembre, sans date arrêtée à ce stade.
Pour établir son analyse, l’éditeur SaaS s’est appuyé sur le Référentiel Cyber France (ReCyF) de l’ANSSI et sur l’examen de 2,8 millions d’actifs. Le score global moyen atteint 690 sur 1000, ce qui place l’écosystème français dans une zone de maturité intermédiaire, loin d’un niveau homogène et pleinement avancé.
L’étude met surtout en évidence un blocage collectif au milieu de l’échelle. 59,4 % des entités se situent dans la catégorie intermédiaire, 32,7 % dans la catégorie avancée et 7,9 % restent au niveau basique. Parmi les organisations intermédiaires, 18,1 % se trouvent à moins de 50 points du seuil avancé, un cap jugé difficile à franchir, l’étude rappelant que ces 50 points ne s’obtiennent pas en une seule action.
Les écarts sectoriels sont marqués. Le secteur bancaire se distingue nettement, avec 60,2 % d’entités classées en catégorie avancée. À l’inverse, le secteur numérique — pourtant socle commun des 18 secteurs couverts par la directive — apparaît comme le moins mature, avec seulement 28,1 % d’entités en catégorie avancée. Il concentre aussi 81 % des structures de niveau basique et reste le seul secteur à obtenir un grade C sur la messagerie. Conséquence : il représente à lui seul 64,8 % des vulnérabilités critiques observées sur le marché.
Au-delà du périmètre interne des entreprises, l’étude insiste sur l’enjeu de la chaîne d’approvisionnement, directement visé par l’article 21.2.d de NIS2. Celui-ci impose d’identifier les tiers critiques, d’évaluer les risques qu’ils introduisent et de suivre leur niveau de sécurité dans le temps. Or, le panorama montre une forte asymétrie : si deux tiers des fournisseurs potentiels n’atteignent pas le niveau avancé, le risque réel est concentré sur une minorité d’acteurs. Ainsi, 10 % des entités regroupent 93,1 % des vulnérabilités critiques tout en étant intégrées à la chaîne d’approvisionnement de l’ensemble du marché.
Plus préoccupant encore, 13,6 % des entreprises classées en catégorie avancée présentent elles aussi au moins une faille critique, susceptible de servir de point d’entrée pour des attaques en cascade chez leurs partenaires. À cela s’ajoute une surface d’attaque externe encore insuffisamment maîtrisée : 34,8 % des organisations obtiennent un grade D ou E sur ce volet, qui couvre notamment les ports ouverts et les interfaces d’administration accessibles depuis Internet.
« Ces indicateurs dessinent un paysage à deux vitesses où le risque est massivement concentré. Si la majorité des entreprises se maintient au niveau intermédiaire, la menace réelle repose sur une minorité d’entre elles qui portent l’essentiel des vulnérabilités critiques, tout en étant présentes dans les chaînes d’approvisionnement de l’ensemble du marché », résume Sylvain Lefeuvre, directeur général adjoint de Board of Cyber.
L’étude appelle enfin à un changement de méthode : relever le niveau moyen de l’ensemble de la chaîne, mutualiser les évaluations entre donneurs d’ordre pour éviter des audits individuels longs et coûteux, et maintenir dans la durée les efforts de remédiation. Un impératif de pilotage alors que l’échéance réglementaire de NIS2 se rapproche.