Audit cyber continu : reprendre la main, c'est d'abord un choix organisationnel

# Audit cyber continu : reprendre la main, c'est d'abord un choix organisationnel

Depuis quelques années, nous avons collectivement accepté une étrange convention : confier l'évaluation de notre posture de sécurité à des entités extérieures, souvent américaines, dont les référentiels, les outils et les chaînes de sous-traitance nous sont largement opaques. Dans une ETI européenne de taille moyenne, un audit cyber annuel piloté par un grand cabinet international est devenu une sorte de rite d'hygiène — coûteux, rassurant en surface, mais structurellement limitant.

En 2026, cette convention mérite d'être questionnée sérieusement. Non pas parce que les compétences techniques font défaut côté européen — elles existent, elles progressent — mais parce que nous n'avons pas encore tiré les conséquences organisationnelles de ce que signifie réellement un audit *continu*. Et c'est là que tout se joue.

L'audit annuel comme externalisation du jugement

L'audit ponctuel, qu'il soit réalisé par un acteur américain ou non, pose un problème structurel que l'on sous-estime : il externalise le jugement. Quand une organisation s'en remet une fois par an à un tiers pour lui dire où elle en est sur sa posture de sécurité, elle délègue en réalité sa capacité à se connaître elle-même. Elle produit un rapport. Elle coche des cases. Et elle attend l'année suivante.

L'audit continu rompt avec cette logique — en théorie. En pratique, la plupart des ETI qui ont tenté de passer à un modèle continu ont simplement remplacé le cabinet annuel par un abonnement à un outil piloté depuis l'extérieur, souvent hébergé hors d'Europe, avec des données de vulnérabilité qui transitent on ne sait trop où. Le problème de dépendance n'a pas disparu. Il s'est renouvelé sous une autre forme, plus insidieuse parce que moins visible.

La vraie question n'est donc pas : quel outil d'audit continu utiliser ? Elle est : qui, dans mon organisation, est en capacité de lire, d'interpréter et d'agir sur ce que l'outil remonte — sans avoir besoin d'un intermédiaire pour traduire ?

Ce que « reprendre la main » implique concrètement en RH

Reprendre la main sur l'audit cyber continu, c'est d'abord un investissement dans des compétences internes que beaucoup d'ETI ont progressivement laissé s'atrophier, précisément parce qu'elles sous-traitaient cette fonction.

Le profil clé n'est pas le RSSI au sens classique du terme — ce rôle existe souvent déjà, parfois à temps partiel dans les structures intermédiaires. Ce qui manque, c'est ce qu'on pourrait appeler un *analyste de posture* : quelqu'un qui comprend les référentiels (NIS2 est désormais incontournable), qui sait lire un résultat de scan sans le déformer, et qui est capable de prioriser des remédiations en fonction du contexte métier réel de l'entreprise. Pas un architecte sécurité, pas un expert pentester — un profil hybride, ancré dans l'opérationnel, avec une lecture systémique.

Ce profil est rare. Il est aussi difficile à recruter sur le marché, parce que les grands cabinets et les acteurs américains l'aspirent en priorité. Ce qui signifie que pour une ETI, la voie réaliste est souvent la montée en compétence interne — identifier un profil technique existant, lui allouer du temps de formation structuré, et lui donner une légitimité organisationnelle claire. Ce dernier point est sous-estimé : sans mandat explicite du COMEX, ce rôle se retrouve coincé entre les équipes IT et les directions métier, sans autorité réelle pour imposer des actions correctives.

La gouvernance comme levier, pas comme formalité

L'autre angle mort de la plupart des ETI, c'est la gouvernance autour du cycle d'audit continu. On installe un outil, on génère des rapports, et on ne structure pas le processus de décision qui doit suivre. Résultat : les alertes s'accumulent dans une queue que personne ne traite vraiment, ou alors elles sont traitées au cas par cas sans cohérence.

Un modèle qui fonctionne — et que plusieurs ETI françaises et allemandes ont commencé à déployer sérieusement — consiste à intégrer l'audit continu dans un rythme de gouvernance formalisé : une revue mensuelle au niveau RSSI/DSI sur les vulnérabilités critiques, une revue trimestrielle au niveau direction avec un indicateur de posture agrégé, et un mécanisme clair de remontée vers le conseil d'administration en cas de seuil franchi. Ce n'est pas révolutionnaire. C'est simplement cohérent. Et c'est ce qui fait la différence entre un audit continu qui produit de la valeur et un abonnement SaaS qui produit des PDF.

Cette gouvernance ne peut pas être portée par un prestataire externe. Elle doit être internalisée, propriété de l'organisation. C'est précisément ce point qui rend la dépendance aux cabinets US si problématique sur la durée : quand le cabinet pilote la revue, il pilote aussi l'agenda, le périmètre, et les priorités. L'organisation reste spectatrice de sa propre sécurité.

Ce que NIS2 change dans l'équation

La directive NIS2, pleinement applicable depuis fin 2024, a modifié le cadre de manière significative pour les ETI qui entrent dans son périmètre. Elle impose une responsabilité explicite des dirigeants sur la gestion des risques cyber — ce qui n'est plus seulement un sujet technique, mais un sujet de gouvernance d'entreprise au sens plein.

Ce changement de régime crée une pression nouvelle, mais aussi une opportunité. Une ETI qui peut démontrer à son conseil d'administration qu'elle dispose d'un processus d'audit continu maîtrisé en interne, adossé à des référentiels européens et piloté par des compétences propres, est dans une position bien plus solide — juridiquement et stratégiquement — que celle qui s'appuie sur un rapport annuel produit par un tiers dont elle ne contrôle pas les méthodes.

Acteurs comme Advens ou Intrinsec — pour citer des opérateurs français qui ont construit leur modèle sur l'accompagnement à l'internalisation progressive plutôt que sur la captivité client — l'ont compris : leur valeur ajoutée réside désormais dans le transfert de compétences, pas dans la rétention d'expertise. C'est un modèle radicalement différent de celui des grands cabinets anglo-saxons, dont le modèle économique repose structurellement sur le fait que le client reste dépendant.

Le vrai choix est politique, au sens noble du terme

Je le dis clairement : la sortie de la dépendance aux cabinets US en matière d'audit cyber n'est pas une question de budget ou de maturité technique. C'est une question de volonté organisationnelle, et en dernière instance, une question politique au sens de l'orientation stratégique d'une entreprise.

Une ETI qui choisit de maîtriser son audit cyber en interne, appuyée sur des prestataires européens pour les composantes qu'elle ne peut pas encore internaliser, fait un choix qui a des implications sur son recrutement, sa gouvernance, ses processus, et son rapport à la donnée. Ce choix est inconfortable au début. Il demande d'accepter une période de montée en charge pendant laquelle on se sent moins bien couverts que sous le régime du grand cabinet.

Mais cette inconfort temporaire est exactement le prix de la lucidité. Et en 2026, face à un environnement réglementaire européen qui se durcit et à un contexte géopolitique qui rend la dépendance technologique transatlantique de moins en moins neutre, ce prix me semble raisonnable à payer.