Maturité cyber : la plupart des organisations pensent être protégées. Mais elles ne le sont pas.

En 2025, les budgets cyber augmentent dans 55 % des entreprises françaises. Pourtant, 74 % d’entre elles restent sous le niveau « Essentiel » recommandé par l’ANSSI. Le paradoxe n’est pas seulement budgétaire : beaucoup d’entreprises investissent dans des outils sans savoir précisément où elles en sont, ni quoi prioriser. C’est tout l’objet de la maturité cyber : mesurer sa capacité réelle à piloter la sécurité dans la durée.

Maturité cyber : ce que ça mesure vraiment

La maturité cyber n’est pas un audit technique. Elle ne mesure pas uniquement l’état d’un firewall, d’un antivirus ou d’un VPN. Elle évalue surtout la façon dont une entreprise intègre la cybersécurité dans ses décisions, ses processus, ses responsabilités et ses réflexes quotidiens.

En d’autres termes, il s’agit d’une mesure de gouvernance. Elle répond à des questions très concrètes : qui décide en cas d’alerte? Qui porte le sujet au niveau de la direction ? Quelles ressources sont mobilisées? Les incidents sont-ils tracés? Les sauvegardes sont-elles testées? Le plan de reprise est-il connu et activable?

L’ANSSI structure cette évaluation autour de six critères :

• La prise en compte du risque dans les décisions de direction ;
• La posture des dirigeants face aux enjeux cyber ;
• Les ressources allouées, humaines et budgétaires ;
• La gestion des incidents et la traçabilité ;
• La continuité d’activité et les plans de reprise ;
• La conformité réglementaire, notamment RGPD et NIS2.

Ce n’est donc pas une simple checklist technique, mais un véritable miroir organisationnel. Dans la pratique, une organisation peut avoir investi dans des outils de sécurité avancés et rester vulnérable si personne ne pilote, ne teste, ne documente et ne décide lorsque l’alerte remonte.

Ce qu’il faut retenir Maturité cyber et niveau de sécurité technique sont deux sujets distincts. Un bon outil sans gouvernance, c’est une alarme installée dans un bâtiment sans gardien.

2026 : pourquoi ce sujet devient urgent pour les DSI

Deux signaux accélèrent le sujet : le premier est réglementaire et le second, commercial.

La directive NIS2, dont la transposition française est en cours, devient l’un des déclencheurs réglementaires majeurs de 2026. Elle concerne de nombreuses entités essentielles et importantes, y compris des ETI et PME dans des secteurs critiques ou en lien direct avec ces secteurs. Elle impose des obligations structurantes : notification rapide des incidents, gestion des risques fournisseurs, continuité d’activité testée et gouvernance formalisée des risques cyber.

Le sujet ne peut donc plus être traité comme une formalité de conformité. NIS2 demande aux organisations de prouver qu’elles disposent de responsabilités claires, de processus documentés et de plans activables. Or c’est précisément ce que la maturité cyber permet de structurer.

Les entreprises qui attendent la fin du calendrier réglementaire pour s’organiser risquent de découvrir trop tard qu’une part importante du travail est organisationnelle, et non strictement technique.

Le second signal vient des marchés. Les grands comptes et les assureurs cyber exigent de plus en plus des preuves de maturité à leurs partenaires et sous-traitants. Ce n’est plus seulement une contrainte administrative, mais un critère d’accès aux appels d’offres, aux contrats sensibles et à certaines conditions d’assurance. La maturité cyber devient un actif commercial.

Ce qu’il faut retenir NIS2 ne concerne pas uniquement les grandes entreprises. De nombreuses ETI et PME peuvent entrer dans le périmètre, notamment lorsqu’elles opèrent dans un secteur critique ou fournissent des acteurs de ces secteurs. Vérifier son éligibilité est la première étape.

Les niveaux de maturité cyber : où se situent réellement les ETI et PME

Les données 2025 sont claires : 90 % des TPE, 69 % des PME et 57 % des ETI se situent encore au niveau critique, celui où aucun pilotage formalisé n’existe. La progression reste limitée malgré la hausse des budgets.

Pour se positionner honnêtement, il est plus utile de raisonner en trois ruptures concrètes qu’en niveaux abstraits.

Niveau critique : on réagit, on ne pilote pas

Aucun référent sécurité n’est clairement identifié. Le plan de reprise d’activité n’a pas été testé. La cartographie des actifs et des accès reste incomplète. Les incidents se traitent au cas par cas, sans mémoire, sans protocole et parfois sans responsable désigné.

À ce niveau, les angles morts sont souvent les mêmes :

• Des accès non révoqués après le départ d’anciens collaborateurs ;
• Des sauvegardes jamais restaurées en conditions réelles ;
• Des configurations laissées par défaut depuis l’installation ;
• Des procédures connues de quelques personnes seulement.

C’est le niveau où une cyberattaque peut bloquer l’activité pendant plusieurs jours, voire plusieurs semaines. Le problème n’est pas seulement l’attaque elle-même : c’est l’absence de scénario préparé pour décider vite et redémarrer correctement.

Niveau intermédiaire : les bonnes pratiques existent, mais ne sont pas pilotées

Les gestes de base sont en place : mots de passe renforcés, antivirus, mises à jour, sauvegardes programmées, pare-feu. Sur le papier, l’entreprise a l’impression d’être protégée.

Cependant, personne ne vérifie régulièrement que ces dispositifs fonctionnent réellement. Personne ne sait toujours en combien de temps l’activité peut reprendre après un incident. Les alertes existent, mais elles ne sont pas forcément qualifiées, priorisées ni reliées à un processus de décision.

C’est le niveau le plus trompeur, précisément parce que l’entreprise a des outils. Elle confond présence de moyens techniques et capacité réelle à résister à un incident.

Niveau structuré : la cybersécurité entre dans la gouvernance

Un responsable est identifié. Des indicateurs sont suivis. Un plan d’action existe, avec des priorités, des échéances et des responsabilités. La direction dispose d’une lecture claire du risque, et pas seulement d’un inventaire technique.

C’est le seuil à partir duquel l’organisation peut répondre plus solidement aux exigences NIS2, aux audits des grands comptes et aux demandes des assureurs cyber. C’est aussi le niveau où la cybersécurité cesse d’être un coût subi et commence à générer de la confiance, en interne comme vis-à-vis des clients.

Tip Jiliti Lors de nos premiers audits de SI, les angles morts sont toujours les mêmes : accès non révoqués, sauvegardes non testées, PRA jamais activé. Ces trois points doivent être traités avant tout investissement supplémentaire en outillage. Ils ne sont pas les plus coûteux à corriger, mais ils réduisent immédiatement l’exposition.

Comment évaluer sa maturité cyber : du test rapide à l’audit structuré

Le test ANSSI MesServicesCyber : 5 minutes pour se positionner

La plateforme MesServicesCyber de l’ANSSI propose un test de maturité gratuit, accessible en ligne. Il permet de situer l’organisation sur plusieurs niveaux et de prendre conscience des principaux écarts. C’est un bon point de départ, mais ce n’est pas une feuille de route.

Sa limite est claire : le test est auto-déclaratif. Le résultat dépend de ce que l’organisation pense faire, pas toujours de ce qu’elle fait réellement. Une entreprise peut déclarer disposer de sauvegardes, par exemple, sans avoir jamais testé une restauration complète en conditions proches du réel.

L’audit expert : transformer le diagnostic en plan d’action

Un audit structuré va plus loin. Il repose sur des entretiens avec le DSI et les équipes techniques, une revue documentaire, une analyse des configurations réelles et une vérification des pratiques effectivement en place.

Il produit un scoring objectif, des priorités P1/P2/P3 et une feuille de route séquencée : quick wins d’abord, chantiers structurants ensuite. La différence est décisive car il ne s’agit plus seulement de savoir qu’un problème existe, mais de savoir exactement quoi faire, dans quel ordre et avec quelles ressources.

Jiliti accompagne les DSI Jiliti réalise des audits de SI et accompagne les DSI en mode CISO as a service pour objectiver leur posture cyber et construire leur plan d’action. → Découvrir l’offre Sécurité 360°

Les bonnes actions selon votre niveau de maturité

Il n’existe pas de liste universelle valable pour toutes les entreprises. Les actions pertinentes dépendent du niveau de départ. C’est ce qui différencie une vraie feuille de route cyber d’une accumulation de bonnes pratiques génériques.

Si vous êtes au niveau critique : 3 priorités immédiates

Avant tout investissement supplémentaire, trois actions sont non négociables :

• Cartographier les accès : identifier qui a accès à quoi, puis révoquer systématiquement les comptes inactifs ou liés à d’anciens collaborateurs ;
• Tester la sauvegarde en restauration réelle : ne pas seulement vérifier qu’elle tourne, mais confirmer que les données critiques peuvent être récupérées dans un délai acceptable ;
• Désigner un référent sécurité : interne ou externalisé, une personne doit être clairement responsable du pilotage cyber.

Si vous êtes au niveau intermédiaire : passer du geste au pilotage

Les outils sont déjà en place. Ce qui manque, c’est la gouvernance :

• Formaliser le PRA, puis le tester au moins une fois par an en conditions proches du réel ;
• Mettre en place un monitoring continu des connexions et des accès distants, au lieu de s’appuyer uniquement sur des alertes passives ;
• Produire un reporting sécurité régulier pour la direction : pas un tableau technique, mais un indicateur de risque business compréhensible par un non-technicien.

Si vous visez le niveau structure : intégrer la sécurité dans la stratégie

À ce stade, la cybersécurité n’est plus seulement une fonction IT. Elle devient un sujet de gouvernance d’entreprise :

• Aligner la feuille de route cyber sur les exigences NIS2 et ISO 27001, avec des jalons documentés ;
• Intégrer les risques fournisseurs et sous-traitants dans la politique de sécurité ;
• S’appuyer sur un SOC pour la détection continue et la réponse coordonnée aux incidents.

Ce qu’il faut retenir La montée en maturité cyber suit toujours le même ordre : gouvernance d’abord, résilience ensuite, surveillance en continu. Investir dans un SOC sans PRA testé ni référent identifié revient à détecter des problèmes sans savoir précisément quoi faire lorsqu’ils surviennent.

Construire sa feuille de route : ce à quoi ça ressemble concrètement

Une feuille de route cyber efficace n’est pas un document de 50 pages. C’est un plan sur 12 mois, avec trois horizons clairs, des livrables précis et des responsabilités identifiées.

• 0 à 3 mois : stabiliser l’essentiel. Cartographie des accès, test de restauration des sauvegardes, désignation d’un référent sécurité. Ces actions ne nécessitent pas forcément un budget significatif. Elles réduisent immédiatement l’exposition aux vecteurs d’attaque les plus courants.
• 3 à 6 mois : structurer la gouvernance. PRA formalisé et testé, monitoring des connexions distantes, premier reporting sécurité pour la direction. C’est le socle qui rend tout le reste pilotable. Sans lui, les investissements ultérieurs restent fragiles.
• 6 à 12 mois : aligner sur les exigences externes. NIS2, ISO 27001, exigences clients grands comptes, demandes des assureurs cyber. C’est la phase où la maturité cyber devient un atout commercial et pas seulement une contrainte.

Ce séquencement n’est pas théorique. C’est ce que les DSI qui progressent appliquent réellement, avec ou sans accompagnement externe. La différence se joue rarement sur un outil de plus : elle se joue sur la capacité à décider, tester, documenter et prioriser.

Jiliti accompagne les DSI à chaque étape Audit initial, plan d’action priorisé, CISO as a service, SOC 24/7, PRA et cloud souverain Naitways. → Contacter un expert Jiliti → Découvrir l’offre Sécurité 360° → Cloud souverain Naitways