Un seul maillon compromis peut faire vaciller tout un écosystème. Face à des attaques toujours plus rapides et systémiques, découvrez pourquoi la capacité à continuer d’opérer devient aussi stratégique que la défense elle-même.
Les cyberattaques visant les grandes entreprises et les chaînes d’approvisionnement critiques se multiplient et gagnent en sophistication. En France, l’ANSSI indique dans son Panorama de la cybermenace 2025, publié en mars 2026, avoir traité 3 586 événements de sécurité au cours de l’année 2025, confirmant que le pays demeure durablement exposé aux attaques informatiques.
Les cybercriminels ne cherchent plus à uniquement compromettre une entreprise isolée. Ils ciblent désormais les points de passage les plus stratégiques d’un écosystème numérique : prestataires IT, logiciels partagés, plateformes de gestion, fournisseurs de services ou partenaires métiers. L’objectif est clair : maximiser l’impact d’une seule intrusion. Dans une économie interconnectée, une faille chez un acteur peut rapidement perturber des dizaines, voire des centaines d’organisations.
En France, le rapport annuel 2025 de la CNIL, publié en mai 2026, met en lumière un niveau record de violations de données notifiées en 2025 : 6 167. La Commission précise que 50 % des incidents déclarés en 2025 relèvent d’un piratage.
Cette montée du risque intervient alors que la pression réglementaire s’intensifie. Le RGPD a déjà renforcé les obligations en matière de protection des données personnelles. À cela s’ajoutent désormais DORA pour le secteur financier et NIS2, qui élargit le périmètre des entités soumises à des exigences renforcées de cybersécurité. Ces cadres sont essentiels pour accroître la résilience collective, mais ils créent aussi, indirectement, un levier supplémentaire pour les attaquants : plus les conséquences opérationnelles, juridiques et réputationnelles d’une interruption sont importantes, plus la pression exercée sur les victimes est forte.
Les décisions récentes de la CNIL montrent que bien souvent les conséquences d’une cyberattaque se prolongent bien au-delà de l’incident initial. En 2025, la CNIL a prononcé 486,8 millions d’euros d’amendes cumulées, un montant inédit, avec la sécurité des données parmi les principaux sujets de sanction. Dans ce contexte, les chaînes d’approvisionnement numériques deviennent des cibles de choix. Elles concentrent à la fois des accès, des données et une forte dépendance opérationnelle. Les attaquants l’ont bien compris : compromettre un prestataire ou une plateforme largement utilisée permet d’obtenir un effet de levier considérable, parfois supérieur à celui d’une attaque directe contre une seule organisation.
L’« entreprise à viabilité minimale »
Face à cette menace, les organisations doivent renforcer leurs défenses tout en préparant leur capacité de reprise. La question n’est plus seulement : comment empêcher l’attaque ? Elle est aussi : comment continuer à fonctionner si elle survient ?
C’est ici qu’intervient le concept d’« entreprise à viabilité minimale ». Il s’agit d’identifier, en amont, les systèmes, applications, données, équipes et processus indispensables pour maintenir un niveau minimal d’activité en situation de crise. En fonction des organisations, ce socle peut inclure les outils de communication interne, les systèmes financiers, les plateformes clients, les environnements de production, les accès fournisseurs ou les services de support.
Lorsqu’une attaque survient, les équipes sont sous pression, les informations sont incomplètes et les décisions doivent être prises rapidement. Si tout est considéré comme critique, rien ne l’est vraiment. Sans priorisation claire, la reprise est plus lente, plus coûteuse et plus risquée.
Trop d’entreprises ne définissent leur périmètre minimal de reprise lorsque l’incident se produit. Or, à ce moment-là, il est déjà trop tard. Les organisations doivent cartographier leurs dépendances, tester régulièrement leurs plans de continuité et de reprise, vérifier la capacité de restauration de leurs sauvegardes, et intégrer leurs fournisseurs critiques dans ces exercices. La résilience ne se décrète pas : elle se prépare, se teste et s’améliore en continu.
Cette logique vaut aussi pour les particuliers. Les grandes cyberattaques entraînent souvent des conséquences très concrètes pour les citoyens : impossibilité d’accéder à un service, exposition de données personnelles, risques de phishing, usurpation d’identité ou blocage de moyens de paiement. La résilience individuelle passe donc par des réflexes simples : activer l’authentification multifacteur, utiliser des mots de passe uniques, surveiller ses comptes, se méfier des sollicitations inhabituelles et prévoir des solutions de secours si certains services numériques sont indisponibles.
Les incidents majeurs de ces dernières années, de SolarWinds aux attaques contre des prestataires de santé, montrent que les chaînes d’approvisionnement peuvent devenir des vecteurs de crise à grande échelle. Mais l’enjeu n’est plus seulement de se protéger contre un fournisseur compromis. Il est de comprendre précisément de quels partenaires, outils et services dépend la continuité de l’activité.
Pour les entreprises françaises, le message est clair : la cybersécurité ne peut plus être pensée uniquement à l’échelle de leur propre système d’information. Elle doit intégrer l’ensemble de l’écosystème numérique dont elles dépendent. Identifier ses fournisseurs critiques, tester ses scénarios de reprise et définir sa viabilité minimale ne sont plus des exercices théoriques. Ce sont désormais les conditions indispensables pour continuer à fonctionner lorsque la crise survient.
Par Bastien Bobe, Security Field CTO, Commvault
