La fonction de RSSI ne se limite plus à protéger le système d’information : elle consiste désormais à arbitrer entre des chantiers tous jugés prioritaires. C’est le principal enseignement des « Instantanés » du CESIN pour le premier semestre 2026, fondés sur 21 mini-sondages hebdomadaires menés auprès de ses membres.

L’un des constats majeurs concerne une gouvernance de l’IA encore très immature. Si l’intelligence artificielle générative s’installe dans les organisations, son encadrement reste lacunaire : 27 % des répondants, surtout dans des structures de taille intermédiaire, n’ont défini aucune politique d’usage. La situation est proche pour les environnements de développement enrichis à l’IA : seules 18 % des organisations disposent d’une politique dédiée aux développeurs, tandis que 34 % autorisent ces outils de manière générale et 34 % au cas par cas. Les outils de transcription et de synthèse de réunions posent les mêmes questions sur l’accès aux données, leur stockage et leur durée de conservation.

L’IA appliquée à la cyberdéfense en est encore, le plus souvent, au stade du pilote ou du test, avec trois inquiétudes dominantes : la fiabilité, la confidentialité et la souveraineté. En parallèle, l’essor de l’IA générative alimente aussi les usages malveillants. 54 % des grandes entreprises interrogées disent avoir déjà subi une attaque par deepfake, contre 19 % des ETI et 5 % des TPE/PME, ce qui confirme une exposition croissante avec la taille de l’organisation.

Autre chantier très en retard : la cryptographie post-quantique. 69 % des répondants ne s’y sont pas encore intéressés, 20 % en évaluent seulement les impacts et les besoins, 3 % ont lancé des pilotes ou des tests, et 1 % seulement a entamé une migration opérationnelle. Le CESIN rappelle que ce sujet dépasse la technique pure : il faut identifier les usages cryptographiques, repérer les données critiques et inscrire la démarche dans une gouvernance transverse.

La conformité réglementaire arrive en tête des priorités pour 2026, mais son poids varie selon la taille des structures. Elle figure parmi les trois chantiers prioritaires pour 46 % des grandes entreprises, 61 % des ETI et 72 % des TPE/PME. Les grandes entreprises répartissent davantage leurs efforts entre plusieurs sujets — IA, tiers, gouvernance — alors que les plus petites concentrent leurs ressources sur la conformité.

Les dépendances fournisseurs prennent aussi une place croissante dans les préoccupations des RSSI. Le Cyber Resilience Act européen illustre ce décalage : 52 % des ETI interrogées estiment ne pas être directement concernées par le texte, tout en dépendant de fournisseurs qui, eux, le sont. Les rachats dans le secteur cyber ont également un impact financier direct : 69 % des grandes entreprises et 74 % des ETI disent avoir subi une explosion des coûts après le rachat d’un de leurs fournisseurs, contre 38 % des TPE/PME. Par ailleurs, 41 % des répondants dénoncent un enfermement technologique.

L’enquête du CESIN met enfin en lumière une tension sur les carrières de RSSI. Sur 162 répondants, seuls 24 % jugent que les opportunités de postes sont aussi nombreuses qu’auparavant, soit 17 points de moins qu’en 2024. Dans le même temps, 31 % envisagent de se tourner vers le conseil, faute de pouvoir agir suffisamment au sein de leur organisation, un niveau en hausse de 16 %.

Pour le CESIN, ces résultats ne signalent pas un recul de la maturité cyber, mais une complexification de la fonction. « La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours. Les RSSI doivent aujourd’hui trouver leur propre voie pour accompagner cette transformation », résume Fabrice Bru, président du CESIN.

La fonction de responsable de la sécurité des systèmes d’information (RSSI) ne consiste plus seulement à protéger, mais de plus en plus à hiérarchiser et arbitrer entre des chantiers tous jugés prioritaires.

C’est le principal enseignement tiré par le CESIN de ses « Instantanés » pour le premier semestre 2026, fondés sur 21 mini-sondages hebdomadaires menés auprès de ses membres

Une gouvernance de l’IA encore balbutiante

L’intelligence artificielle générative continue de s’installer dans les organisations, mais l’encadrement peine à suivre. Selon le CESIN, 27 % des répondants, plutôt issus d’organisations de taille intermédiaire, n’ont défini aucune politique d’usage de l’IA générative.

Le constat est similaire du côté des environnements de développement enrichis à l’IA : seuls 18 % des organisations disposent d’une politique spécifique pour les développeurs, tandis que 34 % en autorisent l’installation de manière générale et 34 % par exception.

Les outils de transcription et de synthèse de réunions soulèvent les mêmes interrogations, portant sur l’accès aux données, leur lieu de stockage et leur durée de conservation.

Quant à l’IA appliquée à la cyberdéfense, les organisations en sont majoritairement au stade du pilote ou du test, avec trois préoccupations dominantes : la fiabilité, la confidentialité et la souveraineté.

L’essor de l’IA générative s’accompagne aussi d’une hausse des usages malveillants.

54 % des grandes entreprises interrogées déclarent avoir déjà subi une attaque de type « deepfake » contre 19 % des ETI et 5 % des TPE/PME.  Une exposition qui progresse nettement avec la taille de l’organisation.

Post-quantique : un chantier encore à peine amorcé

La migration vers la cryptographie post-quantique demeure très en retrait.

D’après l’enquête, 69 % des répondants ne s’en sont pas encore préoccupés, 20 % en évaluent les impacts et les besoins, 3 % ont engagé des pilotes ou des tests, et seulement 1 % a débuté une migration opérationnelle.

Le CESIN souligne que ce chantier dépasse la seule dimension technique. Il implique d’identifier les usages cryptographiques et les données critiques, et de l’inscrire dans une gouvernance transverse.

La conformité, priorité numéro un pour les plus petites structures

La conformité réglementaire arrive en tête des priorités pour 2026 mais avec une intensité qui varie selon la taille des organisations.

Elle figure parmi les trois chantiers prioritaires pour 46 % des grandes entreprises, 61 % des ETI et 72 % des TPE/PME. Les grandes entreprises répartissent davantage leurs efforts entre plusieurs sujets ( IA, tiers, gouvernance), tandis que les structures plus petites concentrent leurs ressources sur la seule conformité.

Fournisseurs : un risque qui déborde le périmètre du SI

Les dépendances technologiques pèsent de plus en plus dans les préoccupations des RSSI.

Le règlement européen sur la cyber-résilience (Cyber Resilience Act) en est une illustration : 52 % des ETI interrogées estiment ne pas être directement concernées par ce texte, tout en étant clientes de fournisseurs qui, eux, le sont.

Les rachats d’entreprises dans le secteur cyber ont également des effets concrets sur les coûts.  69 % des grandes entreprises et 74 % des ETI ont constaté une explosion des coûts à la suite du rachat d’un de leurs fournisseurs, contre 38 % des TPE/PME. Par ailleurs, 41 % des répondants pointent un phénomène d’enfermement technologique.

Des carrières de RSSI sous tension

L’enquête revient aussi sur les perspectives de carrière des RSSI, deux ans après un premier sondage sur le sujet.

Sur 162 répondants, seuls 24 % estiment que les opportunités de postes de RSSI sont aussi nombreuses que par le passé, soit 17 points de moins qu’en 2024. Dans le même temps, 31 % envisagent de basculer vers le conseil, faute de pouvoir agir suffisamment au sein de leur organisation ( +16 %).

Une complexité croissante, pas un recul de la maturité

Pour le CESIN, ces résultats ne traduisent pas un recul de la maturité cyber des organisations, mais une complexification de la fonction.

« La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours. Les RSSI doivent aujourd’hui trouver leur propre voie pour accompagner cette transformation », résume Fabrice Bru, président du CESIN.

The post Les RSSI sommés d’arbitrer entre IA, conformité et dépendances fournisseurs appeared first on Silicon.fr.