Pourquoi les COMEX français sous‑financent encore la cybersécurité et mettent leur stratégie en risque

Le RSSI présente la stratégie cyber reliée aux objectifs d'affaires du groupe

En France, les cyberattaques se multiplient. Pourtant, dans beaucoup de grands groupes et d’ETI, les budgets cybersécurité restent traités comme un “coût IT” à contenir, plutôt que comme un investissement stratégique à aligner sur les objectifs d’affaires annuels.

Résultat : Des RSSI et DSI sommés de “faire plus avec moins”, et des COMEX qui pensent être protégés… alors que les risques critiques restent ouverts.

Un décalage persistant entre discours et budgets

Les COMEX affirment que la cybersécurité est “prioritaire”.

Mais les enveloppes restent souvent figées, déconnectées de l’évolution des menaces, des projets métiers et des exigences réglementaires (NIS2, ISO 27001, DORA…).

On demande au RSSI de couvrir plus d’actifs, plus de projets, plus de partenaires… avec des moyens quasi constants.

Tant que le budget de la cybersécurité n’est pas relié aux enjeux business concrets (chiffre d’affaires, continuité d’activité, réputation, conformité), il sera perçu comme une charge compressible.

Ce que coûte vraiment un sous‑investissement

Plutôt que de parler “coût de la cybersécurité”, parlons **coût du sous‑investissement** :

- Temps de crise mobilisant le COMEX, le juridique, la communication et les métiers.

- Arrêt de production ou de services, perte de revenus et de clients.

- Enquêtes, sanctions, renégociation de contrats, hausse des primes d’assurance.

- Perte de confiance des partenaires et des marchés.

Un budget de la cybersécurité trop faible ne fait pas “économiser”.

Il **transfère** un risque financier massif vers l’entreprise… sans que le COMEX en ait une vision claire.

Aligner enfin budget de la cybersécurité et les objectifs d’affaires

Pour sortir de cette impasse, il faut changer de logique.

1. Partir des objectifs annuels de l’entreprise

- Croissance sur de nouveaux marchés

- Lancement de services digitaux

- Intégration d’acquisitions

- Exigences réglementaires clés

2. Identifier les risques cyber critiques qui menacent ces objectifs

- Quels actifs vitaux ?

- Quels scénarios d’attaque les impacteraient directement ?

- Quels indicateurs de risque suivre au COMEX ?

3. Construire un budget cyber comme un portefeuille d’investissements

- Chaque euro est relié à un risque réduit, un impact évité, une exigence couverte.

- Le COMEX arbitre sur des scénarios chiffrés, pas sur une “liste d’outils techniques”.

Le rôle clé du COMEX et du RSSI

Le RSSI ne doit plus être seulement “demandeur de moyens”, mais être un partenaire de gouvernance.

Le COMEX doit accepter de regarder la cybersécurité comme un levier de résilience et de confiance, au même titre que la finance ou les opérations.

Ensemble, ils doivent se doter d’un langage commun : des indicateurs, les scénarios, les priorités, et la trajectoire pluriannuelle.

Conclusion

Continuer à sous‑financer la cybersécurité, c’est accepter que des risques critiques restent hors de contrôle, alors même que les attaques se multiplient en France.

À l’inverse, aligner les budgets de cybersécurité sur les objectifs d’affaires annuels, c’est :

- protéger ce qui fait la valeur réelle de l’entreprise,

- donner au COMEX une vision claire des risques,

- permettre au RSSI de jouer pleinement son rôle de garant de la résilience.

Chez Talking Cybersecurity, nous accompagnons les RSSI, DSI et les COMEX à structurer cette gouvernance : Par un cadrage des risques critiques, une trajectoire budgétaire alignée sur la stratégie, et des indicateurs lisibles au niveau direction générale.

Appel à l’action proposé :

Vous souhaitez évaluer si vos budgets de cybersécurité sont réellement alignés avec vos enjeux d’affaires ?

Planifiez une consultation stratégique pour en parler de façon confidentielle.