The Hacker News rapporte le 30 juillet 2026 qu’une étude estime que 73 % des organisations ne se déclarent pas prêtes à affronter une cyberattaque majeure. Le chiffre frappe moins par sa nouveauté que par ce qu’il avoue à demi-mot : nous avons beaucoup acheté, beaucoup documenté, beaucoup présenté en comité, mais pas toujours appris à décider sous pression.
C’est le paradoxe actuel de la cybersécurité. Les entreprises n’ont jamais eu autant d’outils, de tableaux de bord, d’alertes, de politiques internes et de fournisseurs prêts à sauver le monde avant le prochain renouvellement de contrat. Pourtant, quand l’attaque devient grave, le problème n’est pas seulement technique. Il devient organisationnel. Qui arrête une ligne de production ? Qui prévient les clients ? Qui parle au régulateur ? Qui accepte de perdre une journée de chiffre d’affaires pour éviter trois semaines de chaos ?
La préparation cyber est encore trop souvent traitée comme une affaire de spécialistes. C’est confortable. Le RSSI présente un plan, la direction acquiesce, chacun repart avec le sentiment raisonnable que le sujet est suivi. Puis arrive le vendredi soir, ce grand classique du théâtre numérique, et l’entreprise découvre que le plan de crise suppose que trois personnes soient disponibles, que les sauvegardes soient exploitables, que les priorités métier soient connues, et que le comité exécutif sache trancher sans attendre un consensus parfait.
Le vrai indicateur de maturité n’est pas le nombre de solutions déployées. C’est la capacité à répondre à une question simple : quelles activités devons-nous préserver en premier, avec quels compromis acceptés à l’avance ? Une banque, un industriel, une clinique ou un distributeur n’ont pas le même seuil de douleur. La cybersécurité sérieuse commence quand les arbitrages de continuité sont formulés en langage de direction générale, pas seulement en jargon d’infrastructure.
On retrouve ici la loi de Goodhart : quand une mesure devient un objectif, elle cesse d’être une bonne mesure. Si l’on pilote la sécurité uniquement au nombre de vulnérabilités corrigées, de formations suivies ou d’alertes traitées, on finit par optimiser le tableau plutôt que la résilience. Le tableau passe au vert. L’entreprise, elle, reste fragile. C’est élégant en comité, moins élégant quand les commandes, les paiements ou la paie ne répondent plus.
Les exercices de crise changent la nature du sujet. Pas les simulations décoratives où tout le monde sait déjà que l’incident finira bien. De vrais exercices, avec incertitude, contradiction, indisponibilité de personnes clés, pression médiatique fictive, décisions imparfaites et conséquences métier. C’est là que l’on voit si la direction fonctionne comme une équipe ou comme une collection de silos polis.
Franchement, une cyberattaque majeure ressemble rarement à une scène de film. C’est plus administratif, plus confus, plus humain.