RSSI 2026 : entre IA, réglementation et dépendances, l’art de l’arbitrage

Une fonction sous tension

La cybersécurité ne se limite plus à la protection du système d’information. Elle engage désormais les métiers, les directions et la chaîne de valeur tout entière. « La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours. Les RSSI doivent aujourd’hui trouver leur propre voie pour accompagner cette transformation » résume Fabrice Bru, président du CESIN.

Dans ce contexte, l’enjeu n’est plus seulement de renforcer la protection, mais de hiérarchiser des priorités toujours plus nombreuses. Les 21 mini-sondages menés auprès des membres du CESIN au premier semestre 2026 montrent que l’arbitrage est devenu le cœur de la fonction RSSI.

L’IA, entre opportunités et zones grises

L’IA générative s’installe dans les organisations, mais les règles ne suivent pas toujours. 27% des entreprises de taille intermédiaire n’ont encore défini aucune politique concernant son utilisation. Seuls 18% des répondants ont mis en place une politique spécifique pour les environnements de développement enrichis à l’IA, tandis que 34% autorisent leur installation de manière générale et 34% par exception.

Les outils de transcription et de synthèse des réunions posent les mêmes questions : qui accède aux données, où sont-elles stockées, combien de temps sont-elles conservées ? L’IA entre aussi dans les outils de cyberdéfense, mais la majorité des organisations en sont encore au stade du pilote ou du test. Trois préoccupations dominent : fiabilité, confidentialité et souveraineté.

Côté menaces, l’exposition progresse nettement avec la taille de l’organisation : 54% des grandes entreprises déclarent avoir déjà subi une attaque de type deepfake, contre 19% des ETI et 5% des TPE/PME.

Post-quantique : le grand retard

La migration vers la cryptographie post-quantique reste largement à ouvrir. 69% n’ont pas encore commencé à s’en préoccuper, 20% évaluent les impacts et les besoins, 3% ont engagé des pilotes ou des tests, et seul 1% a commencé une migration opérationnelle.

Le chantier suppose d’identifier les usages cryptographiques et les données critiques, et d’inscrire le sujet dans une gouvernance plus transverse.

Conformité : priorité numéro un des petites structures

La conformité réglementaire est en tête des priorités cyber pour 2026 :

• 46% des grandes entreprises la placent parmi leurs trois chantiers prioritaires
• 61% dans les ETI
• 72% dans les TPE/PME.

Les grandes entreprises travaillent aussi sur l’IA, les tiers et la gouvernance. Les structures plus petites se concentrent davantage sur la conformité.

Le risque cyber chez les fournisseurs

Côté Cyber Resilience Act : 52% des ETI ne sont pas directement concernées par le règlement, mais elles sont clientes de fournisseurs qui le sont.

Quant aux rachats dans le secteur cyber : 69% des grandes entreprises ont constaté une explosion des coûts après le rachat d’un fournisseur ; 74% chez les ETI, et 38% des TPE/PME constatent le même phénomène. En outre, 41% soulignent un enfermement technologique.

Carrières : une fonction en quête de sens

Si on aborde les perspectives de carrière des RSSI, seuls 24% des 162 répondants estiment que les opportunités de postes de RSSI sont aussi nombreuses que par le passé, soit 17 points de moins qu’en 2024. Dans le même temps, 31% envisagent de basculer vers le conseil faute de capacité à agir dans les organisations (+ 16 points).

Les interrogations sur les conditions dans lesquelles les RSSI peuvent aujourd’hui exercer pleinement leur fonction, sont bien réelles.

Une cybersécurité plus complexe

Loin d’une cybersécurité moins mature, nous assistons à une cybersécurité plus complexe qui contraint à composer avec protection, anticipation et arbitrage, dans une gouvernance plus large, associant métiers et directions.

La maturité cyber se mesure désormais à la capacité de l’organisation à faire des choix éclairés face au risque.

Source : CESIN – Les Instantanés du CESIN du premier semestre 2026 s’appuient sur 21 mini-sondages hebdomadaires réalisés auprès des membres du CESIN. Les panels comptent entre 84 et 160 répondants selon les questions, avec une moyenne de 116 répondants.

Ressources complémentaires sur iTPro.fr

Le rôle du RSSI dans la prochaine décennie : leadership, risque et confiance à l’ère de l’IA

L’IA agentique, nouveau pilier de la résilience numérique des RSSI