Le premier article de ce dossier l’a posé : la cybersécurité est un sujet de direction, pas un problème technique à déléguer. Admettons que ce soit acquis. Reste une question plus dérangeante : si le dirigeant tient ce rôle, alors certaines failles ne viennent ni des salariés, ni des prestataires, ni des attaquants. Elles viennent de ses propres décisions.
Pas par négligence. Par des arbitrages pris de bonne foi, pour aller plus vite, pour préserver la trésorerie, par confiance. Un accès accordé un peu large, un budget reporté sans qu’on mesure ce qu’on accepte, un outil toléré parce que tout le monde l’utilise. Aucune de ces décisions ne déclenche d’alerte, et pourtant chacune ouvre une brèche que la technique seule ne refermera pas. Cet article décrit ces mécanismes, et comment les neutraliser.
Une faille de gouvernance n’est pas un bug. C’est une décision, ou son absence.
Dans une PME, la faille la plus fréquente n’est pas un correctif manquant. C’est un arbitrage rendu sans en voir la portée, ou un sujet que personne n’a jamais tranché. Le dirigeant tient trois leviers que personne d’autre ne tient : le budget, qui détermine ce qui est protégé, l’exemplarité, qui détermine si les règles sont prises au sérieux, et l’arbitrage des exceptions, qui détermine ce qu’on tolère. C’est par eux que les failles de gouvernance se créent, ou se referment. Voyons les deux plus répandues.
Premier mécanisme : un budget refusé sans décision de risque
Une équipe informatique demande un renfort, ou un dirigeant doit arbitrer un investissement de sécurité. La demande arrive en termes techniques : un poste de plus, un outil de surveillance, du temps pour appliquer les correctifs en attente. Formulée ainsi, elle entre en concurrence avec des priorités commerciales plus tangibles, et elle est reportée. Une fois, puis l’année suivante.
Ce report n’est pas une faute. Un dirigeant arbitre en permanence entre des besoins concurrents. Le problème, c’est que la demande n’a jamais été traduite en risque pour l’activité, si bien que la décision n’en est pas vraiment une. Refuser un recrutement présenté comme « un poste de plus », c’est trancher à l’aveugle. Refuser ce même poste après s’être entendu dire « sans ce renfort, en cas d’attaque, comptez deux semaines d’arrêt complet de l’activité », c’est une tout autre décision : le risque est posé, chiffré, assumé.
Le coût de ces arbitrages jamais tranchés est documenté. Dans son Panorama de la cybermenace 2025 (publié le 11 mars 2026), l’ANSSI relève que, fin 2025, plus de 6 200 équipements exposés sur Internet en France restaient vulnérables à des failles connues depuis 2023 et 2024, alors que les correctifs existaient. Son directeur parle d’une « épée de Damoclès ». Le problème n’était pas l’absence de solution. C’était l’absence de décision.
Cette traduction du technique en risque suppose une responsabilité des deux côtés. Côté dirigeant, exiger qu’on lui parle en conséquences pour l’entreprise, jamais en jargon, et donner à son responsable sécurité le mandat de porter ces arbitrages jusqu’à lui. Côté DSI ou RSSI, c’est un travail de leadership : s’imposer, argumenter en langage de risque business plutôt que de constater en interne que « la direction ne comprend pas ». Celui qui sait rendre un risque audible et le défendre devient un interlocuteur stratégique qu’on ne peut plus ignorer. Sa crédibilité ne se décrète pas, elle se construit. Vos arbitrages de sécurité vous sont-ils présentés comme des risques pour l’activité, ou comme des demandes techniques que vous ne pouvez pas évaluer ?
Deuxième mécanisme : un sujet que la direction n’arbitre jamais
L’autre scénario n’est pas une mauvaise décision, c’est une décision jamais prise. La cybersécurité est confiée au prestataire ou au DSI, et plus personne n’en parle au niveau de la direction. Pas de point au comité de direction, pas d’état des lieux écrit, pas d’arbitrage sur ce qu’on protège en priorité.
Or en l’absence de décision au sommet, des décisions se prennent quand même, plus bas, sans vision d’ensemble. Le prestataire surveille ce que prévoit son contrat. Chaque service adopte les outils qui l’arrangent. Le risque s’arbitre tout seul, par défaut. Et le jour de l’incident, le dirigeant découvre une posture de sécurité qu’il n’a jamais choisie. Faire remonter le sujet ne demande aucune compétence technique : il s’agit d’exiger qu’on présente régulièrement, en langage clair, l’état du risque et les arbitrages à rendre. Quand avez-vous, pour la dernière fois, pris une décision explicite sur la cybersécurité de votre entreprise ?
Les failles plus discrètes, qui relèvent du même réflexe
Trois autres failles reviennent en PME. Elles paraissent mineures, mais procèdent du même mécanisme et se referment par une décision prise au bon niveau.
L’exemplarité. Quand le dirigeant s’exonère des règles qu’il impose (double authentification désactivée, identifiants partagés, appareil personnel qui synchronise tout), il les annule pour toute l’organisation : un salarié qui voit le sommet contourner les consignes en conclut qu’elles ne sont pas sérieuses. Or le dirigeant est la cible la plus exposée, celle qui a accès au plus de choses et dont le nom sert aux fraudes au président. Son exemplarité est un levier de sécurité que lui seul actionne.
Le cadrage des outils. Vos équipes utilisent des applications, des espaces de stockage et, depuis 2025, des assistants d’IA que la direction n’a jamais validés, où l’on colle comptes rendus, contrats et données clients, souvent vers des services hébergés hors de l’Union européenne. Ce shadow IT, et sa version récente le shadow AI, naît d’une envie d’aller vite quand l’outil officiel manque. Tant que personne au sommet n’a fixé de cadre, chacun tranche seul et l’entreprise perd la trace de ce qu’elle expose. Et si vous avez un DSI ou un RSSI, tolérer des usages qu’il a interdits, ou les pratiquer soi-même, vide son autorité de sens : vous désavouez la personne que vous payez pour gérer ce risque.
La dépendance à une seule personne. Dans beaucoup de PME, un seul individu sait comment tout fonctionne et détient les mots de passe critiques. Tant qu’il est là, tout va bien. Le jour où il part ou n’est plus joignable, l’entreprise devient aveugle. Ce n’est pas un risque cyber classique, c’est un risque de gouvernance, créé par une décision de direction : celle de n’avoir jamais réparti la connaissance ni documenté les accès.
Aucune de ces failles ne se corrige avec un outil. Toutes se corrigent avec une décision prise au bon niveau.
Votre checklist pour le prochain comité de direction
Inutile d’être technicien pour piloter ces points. Cinq questions suffisent à transformer un tour de table en décisions traçables. Posez-les à votre prochain CODIR, et notez les réponses.
- Quels risques cyber acceptons-nous, et lesquels refusons-nous ? Un risque accepté en connaissance de cause est légitime. Un risque subi par défaut ne l’est pas.
- Quels outils sont autorisés, lesquels sont interdits ? En particulier pour l’IA et le stockage de fichiers. Proposer une alternative validée vaut mieux qu’une interdiction sans solution.
- Qui détient les accès critiques ? Mots de passe, contrats, procédures de redémarrage doivent être connus d’au moins deux personnes de confiance.
- Quels investissements de sécurité sont reportés, et pourquoi ? Écrivez le risque accepté et la date de réexamen. Une ligne au compte rendu suffit.
- Appliquons-nous, au sommet, les règles que nous imposons aux équipes ? Si oui, l’entreprise suivra. Sinon, personne ne suivra vraiment.
La faille vient parfois du sommet. Le correctif aussi.
Il n’y a rien d’infamant à reconnaître que certaines de ses décisions ont créé des angles morts. C’est même sain : cela signifie qu’on regarde au bon endroit. La sécurité d’une PME ne se joue pas seulement dans ses outils, mais dans la qualité de ses décisions de direction : ce qu’on finance, ce qu’on s’autorise, ce qu’on cadre, ce qu’on arbitre.
C’est une bonne nouvelle. Une faille technique demande un spécialiste. Une faille de gouvernance, vous pouvez la refermer vous-même, dès cette semaine, sans écrire une ligne de code.