La cybersécurité en entreprise reste largement sous-financée en France : 60 % des entreprises françaises dépensent moins de 1 000 euros par an sur ce poste. Trois quarts des PME investissent moins de 2 000 euros par an. Pendant ce temps, 75 % des cyberattaques recensées en France visent justement les PME, et 74 % des PME françaises se situent en dessous du niveau « Essentiel » défini par l’ANSSI, le socle minimal de bonnes pratiques. L’écart entre le risque réel et le budget alloué n’a jamais été aussi visible.
Un sous-investissement chronique malgré la menace
La part du budget informatique consacrée à la cybersécurité progresse, mais reste insuffisante. Elle atteint aujourd’hui environ 19 % du budget IT, contre 13 % en 2024. Une hausse réelle, mais qui part de très bas et qui reste concentrée dans les grands groupes. Pour la majorité des PME et ETI françaises, la cybersécurité continue de représenter en moyenne 5,6 % du budget informatique, alors que les experts du secteur recommandent une fourchette de 5 à 10 %.
Le décalage le plus frappant n’est pas budgétaire, il est perceptif. 93 % des dirigeants de PME se disent bien protégés. Dans les faits, 75 % des cyberattaques visent des PME, et près de la moitié des victimes identifiées de rançongiciels sont des PME, TPE ou ETI. Selon le rapport CESIN 2025, 43 % des PME victimes d’un ransomware ne s’en remettent pas financièrement dans les 18 mois qui suivent l’attaque. Le sous-investissement n’est donc pas un simple choix d’arbitrage budgétaire, c’est un pari sur l’invisibilité du risque.
Trois causes du sous-investissement en cybersécurité en entreprise
Le biais du risque invisible
Contrairement à une panne de production ou à un défaut qualité, une faille de sécurité ne se voit pas avant qu’elle soit exploitée. Beaucoup de directions arbitrent leur budget en fonction des risques visibles et immédiats, pas en fonction des risques probables mais différés. Résultat : la cybersécurité perd systématiquement face à des priorités plus tangibles, jusqu’au jour où l’incident survient et où le coût de la remédiation dépasse de loin ce qu’aurait coûté la prévention.
La pénurie de compétences
En 2025, environ 15 000 postes en cybersécurité restaient non pourvus en France, et l’OPIIEC projette 25 000 postes à pourvoir d’ici 2028. Même les entreprises qui décident d’investir se heurtent à un marché du recrutement tendu. Le gouvernement vise un doublement des effectifs du secteur, de 37 000 à 75 000 postes, un objectif qui illustre l’ampleur du chantier plus qu’une réalité déjà atteinte.
La confusion entre conformité et sécurité
Beaucoup d’organisations confondent la mise en conformité réglementaire (RGPD, NIS2, ISO 27001) avec une véritable posture de sécurité opérationnelle. Cocher les cases d’un audit ne protège pas contre un email de phishing bien construit ou une erreur de configuration. La conformité est un prérequis, pas une stratégie de défense.
Ce que révèlent les grandes attaques
Derrière la plupart des incidents majeurs, on retrouve rarement une vulnérabilité technique inédite. On retrouve plus souvent un mot de passe réutilisé, une pièce jointe ouverte sans vérification, un accès non révoqué après le départ d’un collaborateur, ou une mise à jour de sécurité repoussée faute de temps. Le facteur humain reste au cœur de la grande majorité des compromissions, ce qui signifie qu’aucun outil, aussi performant soit-il, ne remplace une équipe formée et vigilante.
Pourquoi recruter ne suffit pas
Face à la pénurie de talents, le réflexe naturel est de vouloir recruter un ou plusieurs experts en sécurité. C’est nécessaire, mais rarement suffisant. Le CESIN estime que 7 organisations sur 10 ne disposent pas des ressources nécessaires pour faire face aux menaces actuelles, et les responsables cybersécurité pointent en premier lieu le manque d’expertise des candidats disponibles sur le marché (64 % des cas). Recruter un expert ne protège pas une entreprise si les 200 autres collaborateurs cliquent sur le mauvais lien.
La cybersécurité efficace repose sur deux piliers complémentaires : une expertise technique pointue pour les architectures et la réponse à incident, et une culture de sécurité diffusée dans l’ensemble des équipes, y compris et surtout hors IT. Le second pilier est presque toujours le plus négligé, alors qu’il est statistiquement le plus déterminant.
Ce que change un plan de formation concret
Former les équipes techniques à la sécurité par conception (secure by design), sensibiliser l’ensemble des collaborateurs aux techniques de phishing et d’ingénierie sociale, et structurer une réponse à incident testée avant qu’elle soit nécessaire : ce sont des actions concrètes, mesurables, et nettement moins coûteuses qu’un recrutement long et incertain. Une entreprise qui forme en interne ses développeurs, ses administrateurs systèmes et ses équipes métier réduit sa surface de risque bien plus vite qu’une entreprise qui attend de recruter le profil rare.
Évaluer le niveau réel des équipes avec CodeDuel
Avant de former, encore faut-il savoir précisément où se situent les lacunes. C’est le rôle de CodeDuel, la plateforme d’évaluation de compétences et d’apprentissage continu développée par Digihunt. CodeDuel permet de mesurer objectivement le niveau technique d’une équipe, y compris sur des sujets sécurité, et de délivrer des certifications de réussite qui objectivent la progression. Ce positionnement est aujourd’hui unique en Afrique et en Europe sur ce périmètre, les premiers acteurs comparables se trouvant aux États-Unis. Pour un DSI, c’est un moyen de sortir du pilotage à l’instinct et de prioriser les formations là où le risque réel se situe.
Se former à la cybersécurité avec Digitalize
Digitalize accompagne les entreprises françaises et tunisiennes dans la montée en compétence de leurs équipes sur les fondamentaux et les pratiques avancées de la cybersécurité : sécurisation des infrastructures, gestion des identités et des accès, réponse à incident, préparation aux certifications reconnues du secteur (ISO 27001, CEH, CISSP). Nos formations sont conçues pour des équipes techniques comme pour des collaborateurs non spécialistes, avec un objectif simple : réduire la surface de risque humaine, la plus exploitée par les attaquants. Découvrez le programme complet sur la page formation cybersécurité.
Ce que ça change pour les DSI et les DRH
Pour un DSI, la question n’est plus de savoir si un incident surviendra, mais quand, et si l’organisation sera prête. Un plan de formation structuré réduit le temps de détection et de réponse, et limite l’impact financier d’une attaque. Pour un DRH, la cybersécurité devient un sujet de compétences à part entière, au même titre que le cloud ou la data : un sujet à intégrer dans les plans de développement des compétences plutôt qu’à traiter uniquement via le recrutement, un canal aujourd’hui saturé et coûteux.
Passer à l’action
Le sous-investissement en cybersécurité n’est pas une fatalité budgétaire, c’est souvent un problème de priorisation et de visibilité sur les compétences réelles des équipes. Évaluer, former, puis mesurer les progrès : c’est une démarche accessible à toute organisation, quelle que soit sa taille. Découvrez nos formations en cybersécurité ou contactez-nous pour construire un plan adapté à votre contexte.