Un bilan d’observations, pas une prévision individuelle
L’ANSSI a publié le 11 mars 2026 son panorama de la cybermenace 2025. Il décrit les événements portés à sa connaissance et les tendances observées. Le document permet de comprendre le contexte de menace. Il ne mesure pas, à lui seul, la probabilité d’un incident pour une entreprise donnée.
Cette limite est importante pour un acheteur. Un volume national ne peut pas être converti sans méthode en risque financier ou en pourcentage d’attaque de son organisation. Nous ne publions ici aucun chiffre de retour sur investissement ni estimation de pertes. Les impacts doivent être établis avec les propriétaires des services et les données disponibles.
Relier la lecture aux scénarios métier
Le RSSI peut utiliser les observations pour choisir des scénarios à discuter : accès externe, dépendance à un prestataire ou indisponibilité de service. Les scénarios doivent ensuite être confrontés à l’architecture et aux contrôles réels. Un thème fréquent ne justifie pas automatiquement l’achat d’un outil si le besoin et le périmètre restent inconnus.
Les métiers apportent les conséquences d’une perturbation. La DSI décrit les dépendances. Le juridique identifie les engagements contractuels et les obligations pertinentes. La direction arbitre les priorités à partir de cette lecture commune. Le guide d’analyse des risques détaille les critères utiles à une mission.
Demander une prestation proportionnée
Une offre fondée sur le panorama doit expliquer le lien entre la menace citée et votre contexte. Demandez les hypothèses, les pièces et les observations. Le rapport doit distinguer information générale, exposition constatée et scénario plausible. Un discours alarmant ne remplace pas la démonstration d’un chemin de risque.
Le plan d’action relie chaque mesure au scénario qu’elle traite. Il indique le responsable et la preuve attendue. Une amélioration de reprise peut répondre à un risque d’indisponibilité ; une revue d’accès peut réduire une exposition identifiée. Les délais et les moyens doivent être discutés à partir des contraintes réelles.
Une lecture utile en direction
Préparez une note courte avec les scénarios pertinents et les questions encore ouvertes. Évitez d’empiler des statistiques sans décision associée. La direction doit comprendre quels services pourraient être affectés et quelles observations permettraient de lever une incertitude. Un chiffre national ne remplace pas cette information.
Conservez la date de publication et la période couverte dans la veille. Le panorama porte sur 2025 ; sa lecture en 2026 doit tenir compte des changements internes et des nouvelles alertes pertinentes. La source officielle figure ci-dessous, avec les guides permanents pour transformer la lecture en cahier de mission.
Sources et portée réglementaire
Sources vérifiées les 30 septembre et 1 octobre 2026. Les méthodes proposées ici sont des conseils de préparation et d’achat. La directive fixe le cadre européen ; le droit national et, selon l’activité, les règlements sectoriels déterminent les exigences applicables. L’ANSSI décrit ReCyF comme un document de travail. Un écart à une recommandation ne suffit pas, à lui seul, à constater une infraction.