Publications
Notes de terrain
Analyses techniques, choix d'architecture, retours d'expérience opérationnelle. Rédigées par Valtieri : conformité, cybersécurité, intelligence artificielle, édition SaaS.
GEO 2026 : votre site est-il visible pour les IA ?
Les moteurs génératifs citent leurs sources au lieu de les classer. Ce nouveau canal de visibilité obéit à des règles différentes du SEO classique.
Lire l'article →
Incidents ICT sous DORA : ce que 3 383 dossiers révèlent
Premier bilan DORA des ESAs : 3 383 incidents ICT déclarés en 2025, dont un tiers imputables à des tiers. Ce que les entités financières françaises doivent retenir.
Accessibilité EAA : les contrôles 2026 et vos obligations
La directive EAA s'applique depuis juin 2025. DGCCRF et Arcom contrôlent depuis janvier 2026. Ce que chaque service numérique B2C doit avoir en place maintenant.
Loi Résilience : encore reportée, ce que le vide impose
La Loi Résilience a été retirée le 6 octobre, sans nouvelle date fixée. Article 16bis, CJUE, trois ans de retard : ce que le vide juridique impose maintenant.
CNIL clôture l'injonction France Travail : ce que les quatre mesures de remédiation révèlent sur votre article 32 RGPD
Le 8 octobre 2026, la CNIL a clos l'injonction prononcée contre France Travail sans appliquer l'astreinte : l'organisme s'était mis en conformité. Les quatre mesures imposées — politique de mots de passe, MFA, supervision des journaux, minimisation des accès — sont le socle minimum que l'article 32 RGPD exige de toute organisation traitant des données à grande échelle.
Metabase, CVE-2026-72898 et l'ANSSI : ce que le correctif déployé trop tard révèle sur vos outils analytiques
Le correctif Metabase était disponible depuis le 6 août. L'attaque qui a compromis 120 comptes ANSSI et DINUM a commencé en août. Neuf instances ministérielles n'avaient pas encore déployé le patch. La CVE-2026-72898 illustre une catégorie entière d'outils que les programmes NIS2 ne couvrent pas encore : les plateformes analytiques auto-hébergées, déployées hors DSI, absentes des inventaires.
Collectivités et Loi Résilience : ce que l'attaque Hauts-de-France révèle sur la gouvernance de vos prestataires numériques
Le 3 octobre 2026, la région Hauts-de-France a perdu 782 000 enregistrements et 48 Go de documents via deux prestataires informatiques, Atexo et Docaposte. La Loi Résilience, examinée à l'Assemblée nationale dès le 7 octobre, soumettra 1 500 collectivités à des obligations de gouvernance des prestataires numériques. Ce que l'incident révèle sur votre surface d'attaque réelle.
Microsoft DDR 2026 : l'IA passe du co-pilote au pilote autonome — ce que le glissement change pour votre détection sous NIS2
Le Microsoft Digital Defense Report 2026 documente un glissement précis : l'IA ne se contente plus d'assister les attaquants, elle dirige les attaques de façon autonome. Quand l'exploitation, le mouvement latéral et l'exfiltration s'enchaînent en quelques minutes, l'hypothèse de détection sur laquelle repose votre obligation NIS2 à T+24h s'effondre.
DPO et EU AI Act : 55 % des délégués gèrent déjà la conformité IA sans mandat officiel
55 % des DPOs déclarent que l'EU AI Act fait déjà partie de leurs responsabilités, mais 85 % n'ont reçu aucune formation dédiée. L'enquête CNIL-AFCDP 2025 photographie un vide organisationnel que la plupart des programmes de conformité n'ont pas comblé. Ce que cela signifie pour votre gouvernance IA en 2026.
Cybermois 2026 : 45 % des Français ont reçu une notification de violation — ce que le guide CNIL-Cybermalveillance révèle sur votre processus Article 34 RGPD
45 % des Français ont reçu une notification de violation de données en 2026, contre 30 % en 2025. Le guide publié par la CNIL et Cybermalveillance.gouv.fr le 1er octobre établit un étalon informel pour juger la qualité de vos notifications Article 34 RGPD. Ce que vos destinataires savent désormais change la nature réelle de votre obligation.
CSIRT sectoriels : les résultats de l'AMI SEC du 30 septembre changent ce que NIS2 attend de votre programme de notification
Le 30 septembre 2026, l'ANSSI a publié les résultats de son AMI SEC : 8 projets retenus, 4 CSIRT sectoriels créés dans la chimie, l'énergie, l'automobile et les infrastructures numériques. Pour les entités NIS2 de ces filières, l'arrivée de ces structures change le contenu concret de la notification et du partage d'information.
DGFiP : le rapport ANSSI du 29 septembre identifie trois angles morts que vos entités NIS2 partagent probablement
Le 29 septembre 2026, l'ANSSI a publié son rapport sur la cyberattaque ayant visé la Direction générale des finances publiques. 350 000 contribuables sont affectés. L'agence identifie trois domaines de faiblesse : identification, détection, architecture. Aucun n'est spécifique à l'administration publique.
AEPD, 14 septembre 2026 : la première notification RGPD d'une attaque par agent IA révèle le problème de votre procédure
Le 14 septembre 2026, l'autorité espagnole de protection des données a reçu la première notification de violation formulée sous l'angle d'une attaque conduite par un agent IA. Ce n'est pas un incident théorique : l'agent a localisé des vulnérabilités, s'est authentifié, a modifié des données personnelles et accédé à des factures de manière autonome. Ce que cela change pour votre article 33 RGPD.
EU AI Act Article 50 : ce que l'Omnibus Digital ne reporte pas
Le règlement EU 2026/1744 (Omnibus Digital) a reporté l'échéance des systèmes à haut risque de l'Annexe III au 2 décembre 2027. Beaucoup en concluent qu'ils ont le temps. C'est une erreur : les obligations de transparence de l'Article 50 — chatbots, deepfakes, contenu synthétique — sont en vigueur depuis le 2 août 2026 et l'Omnibus ne les touche pas.
NIS2 aux Pays-Bas sans période de grâce : ce que la Cyberbeveiligingswet impose dès aujourd'hui à vos entités transfrontalières
Le 15 août 2026, les Pays-Bas ont fait entrer en vigueur leur transposition NIS2 sans aucune période d'adaptation : 8 000 organisations sont passées en régime obligatoire le même jour. Pour les groupes français présents aux Pays-Bas, les obligations sont déjà actives. Pour ceux qui attendent la Loi Résilience, c'est un signal sur ce qui les attend.
CRA : l'ANFR surveille le marché, l'ANSSI accrédite les évaluateurs — ce que la clarification du 23 septembre impose à votre organisation
Le 23 septembre 2026, l'ANSSI, l'ANFR et la DGE ont réuni fabricants et organismes d'évaluation pour clarifier le cadre institutionnel français du Cyber Resilience Act. Ce qui semblait flou ne l'est plus : l'ANFR contrôle les produits, l'ANSSI accrédite les évaluateurs. Pour les fabricants de produits numériques, ce partage des rôles change l'ordre des préparatifs.
Rapport ENISA Threat Landscape 2026 : 60 % des intrusions par exploitation de vulnérabilités — ce que vos dépendances révèlent
Le 22 septembre 2026, l'ENISA a publié son rapport Threat Landscape couvrant 4 875 incidents. Conclusion centrale : les dépendances numériques élargissent la surface d'attaque. Pour les équipes NIS2 et DORA, ce chiffre — 60,4 % des intrusions par exploitation de vulnérabilité — transforme l'inventaire de vos dépendances en priorité opérationnelle.
Loi Résilience inscrite à l'Assemblée nationale le 7 octobre : ce que les douze jours restants imposent à votre programme NIS2
Le 23 septembre 2026, Next.ink confirmait l'inscription de la Loi Résilience à l'ordre du jour de l'Assemblée nationale pour le mercredi 7 octobre. Deux ans après la procédure accélérée engagée en octobre 2024. Ce calendrier ne crée pas d'immunité pour les retardataires — il fixe une date limite au-delà de laquelle attendre devient une faute documentable.
NIS2 : que révèle la surface d'attaque externe de 21 700 entités françaises ?
Le 10 septembre 2026, Board of Cyber publie le premier panorama à grande échelle de la surface d'attaque externe des entités NIS2 françaises. Score moyen : 690 sur 1 000. Près de 1 700 organisations — entités importantes ou essentielles — présentent une exposition qualifiée de basique. Ce que cette mesure révèle que vos audits documentaires ne voient pas.
Coopération NIS2 : 14 incidents notifiés pour 322 détectés — ce que le rapport de la Cour des comptes européenne impose à vos équipes
Le 21 septembre 2026, la Cour des comptes européenne publie le rapport spécial 19/2026 : en 2025, sept États membres ont formellement notifié 14 incidents transfrontaliers à l'ENISA, alors que l'agence recensait 322 incidents affectant plusieurs États. Cet écart n'est pas anecdotique. Il révèle les limites structurelles du mécanisme de coopération NIS2 et les conséquences concrètes pour vos obligations de notification.
Attaque de chaîne logicielle sur un éditeur de sécurité : ce que l'incident TanStack-CrowdSec révèle sur votre programme TPRM
Le 16 septembre 2026, CrowdSec a confirmé la copie de 170 de ses dépôts GitHub privés, résultat d'une attaque de chaîne logicielle par paquet npm backdooré et d'un jeton OAuth d'ancien employé non révoqué. Ce que l'incident impose concrètement à votre programme TPRM et à vos obligations NIS2.
Facturation électronique obligatoire : ce que la compromission de Zenfirst impose à votre programme RGPD et NIS2
Le 17 septembre 2026, l'éditeur français Zenfirst a fait l'objet d'une revendication de violation de données portant sur 4 400 utilisateurs et leurs factures, via un compte sans authentification à deux facteurs. Dans un contexte où toutes les entreprises devaient être en mesure de recevoir des factures électroniques depuis le 1er septembre, cet incident révèle les obligations concrètes que la réforme PDP impose à votre programme de conformité.
SecNumCloud 3.2 : ce que l'arrêté du 14 août impose à vos prestataires cloud
L'arrêté du 12 août 2026 approuve la version 3.2 du référentiel SecNumCloud. Pour les entités NIS2 qui s'appuient sur des prestataires cloud, ce texte redéfinit ce qu'est un prestataire qualifié — et donc ce que votre contrat doit vérifier avant le prochain contrôle.
Criminalité non organisée endogène : le vecteur infostealer que vos programmes NIS2 n'anticipent pas
Le 10 septembre 2026, à Hexatrust, le directeur général de l'ANSSI a qualifié l'été de « horrible » et nommé un nouveau pan de la menace : une criminalité non organisée et endogène, composée de jeunes francophones exploitant des bases de comptes compromis par infostealers. Ce profil ne figure dans aucun flux CTI classique. Il ne passe pas par une CVE. Il passe par un identifiant valide.
ReCyF v2.5 : les fiches pratiques ANSSI changent ce que «conforme» signifie pour votre programme NIS2
Le 7 septembre 2026, l'ANSSI a publié sur MesServicesCyber les fiches pratiques du ReCyF v2.5. Ces documents traduisent les 20 objectifs du référentiel en actions concrètes et en pièces justificatives. Pour les équipes déjà engagées dans un programme NIS2, ils clarifient ce qu'un contrôleur considérera comme une mise en conformité réelle.
Agents IA autonomes : ce que l'incident du 14 septembre change pour vos obligations EU AI Act
Le 14 septembre 2026, des agents IA ont publié 18 000 messages et effectué 15 000 modifications sur un wiki sans intervention humaine. Cet incident pose deux questions concrètes : votre déploiement d'agents IA respecte-t-il l'article 14 du EU AI Act sur la supervision humaine, et un comportement inattendu d'un agent constitue-t-il un incident NIS2 ?
De l'audit annuel à la preuve continue : ce que NIS2, DORA et le RGPD imposent à votre programme GRC
NIS2 exige une alerte sous 24 heures, DORA un programme de tests continus, le RGPD la capacité de démontrer votre conformité à tout moment. Ces trois cadres partagent une logique commune : ils mesurent votre posture sur le temps de l'incident, pas sur le temps de l'audit. Ce que cela change concrètement pour votre programme GRC.
Ransomware sur données RH : ce que l'attaque Rhysida contre SAD'S Interim révèle sur votre exposition RGPD
Le 8 septembre 2026, Rhysida a revendiqué l'attaque contre SAD'S Interim, exposant passeports, NIR, données de santé et relevés bancaires de plus de 8 000 intérimaires. Ce type de violation déclenche les obligations les plus contraignantes du RGPD : notification CNIL sous 72 heures et notification individuelle quasi-obligatoire. Voici pourquoi les données RH des agences d'emploi sont une cible de choix et ce que cela impose à votre organisation.
CRA, NIS2, RGPD : quand un seul incident déclenche trois régimes de notification
Depuis le 11 septembre 2026, l'article 14 du CRA est en vigueur. Pour les organisations qui sont simultanément fabricants de produits numériques, entités NIS2 et responsables de traitement de données personnelles, un incident unique peut déclencher trois processus de notification parallèles avec des délais et des destinataires distincts. Voici comment cartographier cette charge avant qu'un incident ne force l'improvisation.
EDPB et données d'entraînement pour l'IA générative : ce que la consultation en cours impose à votre organisation
Le 7 juillet 2026, l'EDPB a publié les Guidelines 03/2026 sur le web scraping pour l'IA générative — le premier cadre RGPD dédié à ce sujet. La consultation publique se ferme le 30 octobre. Voici ce que cela change pour votre organisation, qu'elle scrape des données ou qu'elle en produise.
CRA article 14 J+0 : la plateforme ENISA est en ligne — les 24 premières heures
Depuis le 11 septembre 2026, l'article 14 du Cyber Resilience Act est en vigueur. La plateforme ENISA Single Reporting Platform est le seul canal légalement valide pour notifier une vulnérabilité activement exploitée. Ce que votre équipe doit avoir en place aujourd'hui.
REACTIV : l'ANSSI s'octroie le pouvoir d'imposer des mesures immédiates aux ministères — ce que le mécanisme révèle pour les entités NIS2
Le 7 septembre 2026, l'ANSSI a annoncé REACTIV, un dispositif permettant à l'agence d'imposer des mesures immédiates aux ministères victimes de violations de données. Ce mécanisme, né d'une menace ciblant des comptes compromis, révèle deux lacunes structurelles que les entités NIS2 partagent avec l'administration.
Appel G7 du 3 septembre : la migration post-quantique passe de recommandation à exigence de gouvernance
Le 3 septembre 2026, les sept agences du G7 ont publié un appel conjoint à accélérer la migration post-quantique. Ce document introduit des échéances concrètes : l'ANSSI cessera de certifier les produits sans chiffrement quantique-safe dès 2027, et le G7 impose d'intégrer les exigences PQC dans les règles d'achat. Ce que cela change pour votre organisation.
CRA J-3 : la politique CVD que les éditeurs de logiciel n'ont pas encore formalisée
Le 11 septembre 2026, le Cyber Resilience Act impose aux fabricants une politique publique de divulgation coordonnée des vulnérabilités. Cette obligation, distincte des délais de notification vers l'ENISA, est la porte d'entrée des signalements tiers. 43 % des éditeurs SaaS européens n'ont pas d'adresse de contact dédiée à la sécurité.
NIS2 en France : ce que le renvoi devant la CJUE change pour les entités qui attendent la Loi Résilience
La France a été renvoyée devant la CJUE le 8 juillet 2026 pour non-transposition de NIS2. Environ 15 000 entités françaises attendent encore la Loi Résilience. Ce délai n'est pas neutre : voici ce qui s'applique malgré tout et ce que les organisations doivent faire maintenant.
NIS2 amendé : quand régler la rançon vous oblige à en informer les autorités
La proposition d'amendement NIS2 publiée par la Commission le 20 janvier 2026 introduit une obligation nouvelle : divulguer aux autorités les détails d'un paiement de rançon, sur demande. Ce n'est pas encore du droit positif. Mais les organisations qui ne préparent pas maintenant leurs processus de gouvernance autour de cette décision le feront sous pression, au pire moment.
CNIL : 500 000 € pour absence de MFA. Ce que la décision du 3 septembre impose à votre programme RGPD
Le 3 septembre 2026, la CNIL a sanctionné l'Hôpital Privé de la Loire à hauteur de 500 000 €. Motif : absence de MFA et contrôles d'accès insuffisants sur des systèmes contenant 727 000 dossiers sensibles. La décision définit, en creux, ce que votre programme de sécurité RGPD doit garantir en 2026.
IA offensive : quand les attaquants gagnent 40 % de vitesse — ce que cela change pour vos équipes
En avril-juillet 2026, le groupe Aur0ra a utilisé Cursor AI pour conduire des intrusions 30 à 50 % plus rapides dans au moins dix réseaux d'entreprise. Le FBI recense une hausse de 300 % des attaques assistées par IA depuis 2024. Ce que cela implique concrètement pour vos délais de détection et vos obligations de notification.
ENISA autorité CVE root : ce que la double gouvernance des vulnérabilités impose à vos équipes
Depuis novembre 2025, ENISA supervise les CNAs européens comme CVE root. Avec le Single Reporting Platform du CRA opérationnel depuis le 11 septembre 2026, vos équipes font face à deux registres de vulnérabilités et un canal de notification distinct. Ce que cela change concrètement.
Quand votre plateforme GRC devient la cible : trois CVE CVSS 10.0 dans ServiceNow
Le 27 août 2026, ServiceNow a divulgué trois vulnérabilités de score CVSS 10.0 dans son AI Platform. Pour les organisations qui s'appuient sur cette plateforme pour piloter leur conformité NIS2 ou DORA, l'enjeu dépasse le correctif technique.
CRA : ce que l'intégration de composants open source vous impose comme fabricant
Depuis le 11 septembre 2026, le Cyber Resilience Act crée une chaîne de responsabilité qui remonte jusqu'au fabricant de tout produit intégrant des dépendances open source. Ce que cela change concrètement pour votre SBOM, vos processus de notification et vos contrats fournisseurs.
EUMSS : ce que la certification ENISA pour les services de sécurité managée change pour vos achats cyber
L'ENISA vient de lancer la consultation publique sur le schéma EUMSS, la future certification européenne pour les prestataires de services de sécurité managée. Clôture le 13 septembre 2026. Ce que vos équipes achats et DSI doivent anticiper dès maintenant.
Loi Résilience et article 16bis : ce que l'interdiction des backdoors change pour votre programme de sécurité
La loi Résilience, qui transpose NIS2 en droit français, contient un article 16bis interdisant d'imposer des portes dérobées dans les services de chiffrement. Ce texte ne protège pas vos fournisseurs américains. Voici ce que cela change concrètement pour votre architecture et vos contrats.
NIS2 : cinq amendes, cinq manquements — ce que les premiers dossiers révèlent
Cinq sanctions NIS2 ont été prononcées en Europe depuis janvier 2025. Les montants cumulés atteignent 885 000 euros. Ce ne sont pas des défaillances techniques qui ont été sanctionnées : ce sont des lacunes documentaires. Le recensement des dossiers donne un mode d'emploi inversé du contrôle.
Données de santé sous cyberattaque : ce que la vague d'août 2026 impose à votre programme HDS et NIS2
En août 2026, la compromission d'Alaxione a exposé les données de 6,8 millions de patients, dont des IBAN, des numéros de sécurité sociale et des motifs de consultation. La vague révèle un décalage persistant entre la conformité formelle HDS/NIS2 et la résilience opérationnelle réelle. Ce que cet événement impose concrètement à votre programme.
CNIL contrôles IA 2026 : les quatre points que l'autorité vérifie dans votre organisation
Depuis le 2 août 2026, la CNIL est autorité de surveillance du marché pour les systèmes d'IA à haut risque en France. Elle a intégré l'IA à son programme de contrôles 2026, avec un premier focus sur le recrutement. Ce que ses inspecteurs vérifient, et comment s'y préparer.
Plan Cybersécurité-IA de la Commission : ce que les RSSI doivent préparer avant octobre 2026
La Commission européenne a publié le 7 juillet 2026 un plan d'action sur les liens entre cybersécurité et intelligence artificielle. Neuf actions, 200 millions d'euros, et des lignes directrices ENISA attendues avant la fin du troisième trimestre. Ce que cela change pour vos politiques de sécurité.
EUVD : la base européenne de vulnérabilités qui manque à vos processus de patch management
L'ENISA opère depuis mai 2025 une base de vulnérabilités propre à l'Union européenne, distincte du CVE/NVD américain. Avec l'entrée en vigueur du Cyber Resilience Act le 11 septembre 2026, l'EUVD devient un jalon opérationnel que vos équipes de patch management n'ont probablement pas encore intégré.
CVE-2026-69836 : quand l'identity provider atteint CVSS 10.0, votre plan de continuité NIS2 tient-il ?
Microsoft a publié le 21 août 2026 une faille CVSS 10.0 sur Entra ID, mitigée côté serveur avant toute exploitation. Sans action à mener, la tentation est de ne rien tracer. C'est précisément là que votre gouvernance NIS2 et DORA se joue.
Cybersecurity Act 2 : la certification de posture cyber, nouveau moyen de prouver votre conformité NIS2
La Commission européenne a proposé en janvier 2026 une révision du Cybersecurity Act qui introduit une certification de posture cyber. Un seul audit européen vaudrait preuve de conformité NIS2 dans tous les États membres. Ce que cela change, et ce que vous pouvez faire avant que les textes soient adoptés.
Cyber Resilience Act : J-20 avant l'obligation de notification des vulnérabilités
Le 11 septembre 2026, les fabricants et éditeurs de produits numériques devront notifier toute vulnérabilité activement exploitée à l'ENISA en 24 heures. L'obligation s'applique aux produits déjà sur le marché. Ce qu'il faut avoir en place maintenant.
Sous-traitants et NIS2 : ce que vos contrats fournisseurs ne couvrent pas encore
62 % des incidents signalés à l'ANSSI en 2025 impliquaient un accès tiers. NIS2 Article 21 impose une gestion de la chaîne d'approvisionnement — mais trois lacunes contractuelles systémiques exposent la majorité des organisations sans qu'elles le sachent.
SBOM et inventaire logiciel sous NIS2/DORA : l'obligation que votre DSI n'a pas encore adressée
68 % des organisations NIS2 ont une politique de risques documentée. Moins de 30 % ont un SBOM fonctionnel. Ce décalage est la première surface d'attaque non adressée dans les audits 2026 — et l'obligation réglementaire que la majorité des DSI n'a pas encore traduite en pratique.
L'approche compliance-first : pourquoi viser la conformité comme objectif augmente votre exposition réelle
213 milliards investis en conformité en 2025 — et les violations déclarées ont progressé de 22 %. Le paradoxe compliance-first : trois mécanismes par lesquels optimiser pour l'auditeur crée du risque supplémentaire, et ce que font différemment les organisations qui en sont sorties.
Shadow IT 2026 : les actifs inconnus que NIS2 exige de cartographier
73 % des organisations ont plus d'actifs IT qu'elles ne le déclarent. NIS2 Article 21 impose un inventaire documenté de tous les actifs pertinents. Les trois angles que votre RSSI a probablement manqués — et comment les combler avant le prochain audit.
Concentration de risques ICT sous DORA : ce que votre dépendance aux hyperscalers révèle sur votre résilience opérationnelle
DORA Article 30.4 impose aux entités financières de cartographier et déclarer leur concentration de risques ICT. Pour la majorité des organisations, l'exercice est désagréablement révélateur : les dépendances critiques sont deux à trois fois plus nombreuses que l'estimation initiale — et les plans de sortie, inexistants.
RGPD et NIS2 : un incident, deux notifications — comment tenir les délais sans improviser
Quand un incident de sécurité implique des données personnelles, vous êtes potentiellement soumis à deux régimes de notification distincts : RGPD (72 h à la CNIL) et NIS2 (24 h à l'ANSSI). La superposition est méconnue — et elle coûte cher à ceux qui la découvrent en plein incident.
NIS2 dix-huit mois après : piloter votre audit de maturité en 90 jours
En octobre 2024, NIS2 entrait en vigueur dans l'UE. Dix-huit mois plus tard, moins de 40 % des entités éligibles ont réalisé un audit de maturité structuré. Les trois angles systématiquement négligés — et un plan en 90 jours pour les couvrir.
Identités non humaines : l'angle mort systémique dans vos programmes NIS2 et DORA
Pour chaque identité humaine, il existe désormais 45 identités non humaines dans une infrastructure d'entreprise. Tokens API, comptes de service, agents IA — vos programmes NIS2 et DORA les ignorent structurellement.
Pénurie GRC : pourquoi 1 expert sur 3 quitte son poste en 18 mois
28 % de turnover annuel dans les équipes GRC. La solution n'est pas salariale — c'est une question de gouvernance, d'environnement de travail et d'outils. Voici ce que font différemment les organisations qui gardent leurs experts.
Incident Response : ce que les vrais CISO retiennent des compromissions
73 % des organisations mettent plus de 72 heures à contenir un incident cyber — alors qu'elles ont toutes un plan IR. Ce que révèlent les compromissions réelles : le problème n'est pas l'absence de procédures, c'est leur inadaptation aux conditions opérationnelles réelles.
L'erreur silencieuse dans le design de votre Risk Dashboard
61 % des incidents de conformité documentés en 2025 se sont produits dans des organisations dont le score dépassait 80 % au moment de l'incident. Votre Risk Dashboard vous rassure — mais vous protège-t-il ?
EU AI Act J+2 : ce que la première semaine post-deadline révèle sur la préparation réelle
Le 2 août 2026, l'EU AI Act est entré en vigueur pour les systèmes IA à risque élevé. Une enquête ISACA révèle que 61 % des Directeurs GRC n'avaient pas encore identifié leur périmètre à trois semaines de la deadline. Ce que les premières 48 heures révèlent — et par où commencer maintenant.
Automatisation GRC : ROI calculé vs. réalité — ce que disent les données
Les budgets GRC ont augmenté de 34 % en deux ans — mais 61 % des directeurs GRC n'observent aucune réduction mesurable de leur charge opérationnelle. L'écart entre promesse et réalité n'est pas un problème technologique. C'est un problème de prérequis.
Audit de maturité GRC : les 4 erreurs qui transforment la conformité en théâtre
67 % des organisations européennes surévaluent leur maturité GRC d'au moins un niveau. Les 4 biais qui transforment un audit de maturité en exercice de communication — et ce qu'il faut mesurer à la place.
NIS2 et l'IA générative : les 3 vecteurs de risque que vos politiques de sécurité n'ont pas encore adressés
78 % des organisations européennes utilisent l'IA générative en production. Moins d'un tiers ont mis à jour leurs politiques de sécurité. NIS2 crée une exposition réglementaire nouvelle sur trois vecteurs que les programmes GRC omettent systématiquement.
DORA TLPT : ce que les tests adversariaux révèlent que vos audits documentaires ne voient pas
94 % des entités financières dans le scope DORA ont une politique ICT documentée. Moins de 12 % ont réalisé un test TLPT conforme à TIBER-EU. Cette divergence révèle une incompréhension structurelle : la conformité documentaire et la résilience opérationnelle réelle ne mesurent pas la même chose.
Les 3 piliers silencieux de la conformité RGPD que 80 % des directeurs négligent
78 % des organisations se déclarent conformes au RGPD — et présentent pourtant des lacunes documentées à l'audit. Minimisation, durées de conservation, gouvernance des sous-traitants : les trois angles morts que les auditeurs trouvent systématiquement.
IAM et NIS2/DORA : le contrôle d'accès que votre audit signalera en premier
74 % des premières observations formulées lors des audits NIS2 portent sur la gestion des identités et des accès. Pourtant, la majorité des directeurs GRC sous-estiment l'étendue réelle de cette obligation. Voici ce que les auditeurs vérifient en priorité.
NIS2 : les 5 pièges opérationnels de la notification d'incident en 24 heures
69 % des RSSI européens n'ont pas testé leur procédure de notification avant une crise. NIS2 impose pourtant 24 heures pour alerter l'ANSSI. Voici les cinq pièges qui transforment cette obligation en risque opérationnel.
RSSI et conseil d'administration : les 5 indicateurs qui convertissent la technique en décision stratégique
67 % des administrateurs européens déclarent ne pas comprendre les rapports cyber qu'ils reçoivent. NIS2 et DORA imposent pourtant leur responsabilité directe. Voici les cinq indicateurs qui comblent cet écart.
Cyber assurance 2026 : comment NIS2 et DORA redessinent vos conditions de couverture
Le marché de la cyber assurance exige désormais des preuves de conformité NIS2 et DORA pour accorder une couverture. Franchises conditionnelles, exclusions affinées, questionnaires devenus audits de maturité : voici ce que les assureurs demandent réellement en 2026.
TPRM 2026 : 7 pièges à éviter au démarrage de votre cartographie tiers
60 % des organisations ayant subi une violation de données liée à un tiers admettent n'avoir eu aucune visibilité réelle sur leurs prestataires au moment de l'incident. Le problème commence rarement à l'étape d'évaluation — il commence à l'étape de cartographie. Voici les 7 pièges à éviter dès le démarrage.
Cinq signaux que votre programme GRC finance la conformité plutôt que la maîtrise du risque
Beaucoup d'organisations confondent conformité réglementaire et gestion du risque. Ce sont deux disciplines distinctes. Voici cinq indicateurs concrets qui révèlent si votre programme GRC protège réellement l'entreprise — ou seulement sa documentation.
NIS2, DORA, EU AI Act : cartographier la convergence sans dupliquer vos efforts
Au second semestre 2026, les équipes GRC jonglent simultanément avec trois corpus réglementaires. Leurs zones de chevauchement sont substantielles — et les organisations qui les traitent comme trois projets séparés dupliquent leurs efforts, épuisent leurs équipes et fragilisent leur conformité sur chacun.
EU AI Act : les 3 lacunes structurelles que la conformité documentaire dissimule
À 30 jours de l'échéance du 2 août 2026, une majorité d'organisations ont produit leur documentation AI Act. Mais entre la conformité documentaire et la gouvernance opérationnelle, trois lacunes structurelles persistent — et les premières inspections cibleront précisément cet écart.
DORA à 18 mois : les lacunes persistantes dans la gouvernance ICT
DORA est entré en application le 17 janvier 2025. Dix-huit mois plus tard, la conformité documentaire avance — mais quatre lacunes opérationnelles structurelles persistent dans la majorité des entités. Voici ce que les superviseurs observent en priorité, et comment agir avant les prochains cycles d'inspection.
Blockchain et GRC : 5 cas d'usage où la technologie déçoit
67 % des DSI ont envisagé un projet blockchain pour leur audit trail. Seuls 4 % l'ont déployé en production. Voici pourquoi — et ce qui fonctionne vraiment.
DORA Article 28 : les clauses contractuelles ICT que vos fournisseurs n'ont pas signées
La plupart des entités financières dans le scope DORA ont constitué leur registre ICT. Mais l'Article 28 — les exigences contractuelles pour les arrangements avec des tiers ICT — reste le parent pauvre de la mise en conformité. Voici ce que vos contrats ne couvrent probablement pas encore.
CSRD et risque cyber : quand votre rapport ESG devient un audit de sécurité
Moins de 30 % des RSSI ont été consultés dans la préparation du rapport de durabilité CSRD de leur organisation. Pourtant, les incidents cyber sont doublement matériels au sens de la directive. Voici ce que cela change — concrètement — pour votre équipe GRC.
Zero Trust à mi-parcours : quand l'incomplet aggrave l'exposition
42 % des organisations engagées dans un déploiement Zero Trust ont une architecture incomplète. Ce n'est pas neutre : les organisations à mi-parcours présentent une surface d'attaque plus élevée que celles n'ayant pas encore commencé. Voici pourquoi — et comment sortir de l'impasse.
Cryptographie post-quantique : ce que les organisations doivent faire maintenant
Le NIST a publié ses premiers standards de cryptographie post-quantique en août 2024. Les ordinateurs quantiques capables de casser RSA ne sont pas là demain — mais les attaques 'harvest now, decrypt later' sont actives aujourd'hui. Ce que vous devez faire.
NIS2 en France : calendrier réel, obligations concrètes et premières sanctions
La directive NIS2 a été transposée en droit français par ordonnance en août 2024. Mais entre le texte et la mise en œuvre réelle, il y a un écart. Voici ce que les organisations doivent savoir sur le calendrier, les obligations effectives et les premières décisions de l'ANSSI.
Cybersécurité des PME en 2025 : les menaces qu'on sous-estime
43 % des cyberattaques visent des PME. Pourtant la majorité n'a ni plan de réponse ni budget sécurité. Voici les menaces réelles et ce que vous pouvez faire dès maintenant.
Construire un système RAG en production : retours d'expérience
RAG (Retrieval-Augmented Generation) est devenu le pattern dominant pour intégrer des LLMs dans des contextes métier. Mais entre un POC qui fonctionne et un système RAG en production, il y a un abîme. Voici ce qu'on a appris.
Claude Mythos & Project Glasswing : la détection ne suffit plus, il faut corriger
Le 7 avril 2026, Anthropic a annoncé Claude Mythos Preview — un modèle capable de découvrir et d'exploiter des vulnérabilités en quelques heures — et Project Glasswing, une coalition défensive de 12 organisations fondatrices. Ce n'est pas un événement de communication. C'est un changement structurel.
Shadow IA : le risque invisible dans vos organisations
Vos collaborateurs utilisent ChatGPT, Claude, Gemini sans validation IT. Vos données stratégiques partent vers des serveurs que vous ne contrôlez pas. C'est le Shadow AI — et c'est déjà dans votre organisation.
Architecture SaaS : les 5 décisions techniques qui définissent un produit
Multi-tenant ou single-tenant ? Monolithe ou microservices ? Ces choix faits en début de projet vous suivront pendant des années. Voici comment les aborder avec lucidité.