Les ESN, les éditeurs de logiciels et les fournisseurs de cloud occupent une place centrale dans l’écosystème numérique et, plus largement, dans l’économie. En tant que prestataires de services essentiels, ils constituent des maillons stratégiques de la chaîne de confiance numérique.
Or, du fait de leur position privilégiée au cœur des systèmes d’information de leurs clients, ces acteurs constituent également des cibles à forte valeur pour les organisations malveillantes.
Espionnage, cybercriminalité, rançongiciels, compromission de la chaîne d’approvisionnement : face à l’évolution et à la sophistication croissante des menaces, l’ANSSI a proposé aux adhérents de Numeum un éclairage sur les principaux risques cyber auxquels les entreprises du numérique sont exposées.
Nolwenn Lacombe, coordinatrice sectorielle « Services numériques » à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a dressé un panorama de la menace cyber qui pèse sur la filière ce qui nous a permis de mieux comprendre les modes opératoires des attaquants, les risques spécifiques auxquels sont confrontées les entreprises du numérique ainsi que les leviers concrets permettant de renforcer leur niveau de sécurité.
Etat de la menace cyber, les leçons à retenir :
L’ANSSI observe, dans son Panorama de la cybermenace 2025, une menace systémique et persistante avec un continuum entre le cyberespace et le monde physique. L’agence constate une augmentation des attaques sur la chaine d’approvisionnement notamment via les prestataires informatiques/services cloud ainsi que des cycles de vulnérabilités de plus en plus court sur la chaine logicielle, tendance accentuée par l’IA.
Les fournisseurs de services cloud :
Les fournisseurs de services cloud constituent des cibles privilégiées pour les acteurs malveillants en raison de la concentration de données et d’actifs qu’ils hébergent. Ils sont visés à des fins lucratives par des campagnes de rançongiciels ou de vol de données, mais également à des fins d’espionnage par des acteurs réputés étatiques qui exploitent des vulnérabilités y compris zero-day[1] pour mener leurs opérations. Les fournisseurs de services cloud peuvent également être la cible d’opérations de déstabilisation, notamment au travers d’attaques par déni de service distribué (DDoS) d’une intensité croissante, susceptibles de perturber simultanément un grand nombre de services.
Les éditeurs de logiciel :
Les éditeurs de logiciels représentent une cible stratégique en raison des effets systémiques qu’une compromission peut engendrer. En s’attaquant à un éditeur, les cybercriminels peuvent potentiellement atteindre l’ensemble de sa base de clients, que ce soit à des fins lucratives, d’espionnage ou de déstabilisation d’un secteur d’activité. Les attaques peuvent aussi bien viser le système d’information de l’entreprise (afin d’accéder aux données clients ou aux informations sensibles) que les environnements de développement et de maintenance logicielle. L’objectif peut alors être de compromettre la chaîne de développement, d’introduire une porte dérobée dans le code source ou de diffuser une mise à jour malveillante.
Les Entreprises de Services Numériques (ESN) :
Les ESN présentent des fragilités spécifiques liées à leur modèle d’activité : interconnexion de leurs systèmes d’information avec ceux de leurs clients, télémaintenance, chaînes de sous-traitance parfois multiple etc. Les attaquants cherchent avant tout à exploiter la relation de confiance entre l’ESN et ses clients afin d’accéder aux systèmes d’information de ces derniers ou de compromettre leurs activités par effet de rebond.
Les outils pour aider les entreprises à se protéger et à protéger leurs clients :
Guides de l’ANSSI
L’ANSSI met à disposition de nombreuses ressources permettant aux entreprises d’améliorer leur posture de cybersécurité. Parmi les guides et outils utiles aux entreprises de services numériques vous trouverez :
Guide d’hygiène informatique de l’ANSSI ;
Guide ANSSI sur l’administration sécurisée des systèmes d’information ;
Prestataires de services d’informatique en nuage, référentiel d’exigences SecNumCloud.
Dans un contexte où l’IA entraine la découverte et l’exploitation de plus en plus rapide des vulnérabilités, l’ANSSI conseille d’appliquer systématiquement les pratiques de développement sécurisé ; de se discipliner dans leur mise en œuvre ; de tester systématiquement les logiciels, d’intégrer ces tests dans les cycles de développement et d’utiliser l’IA au bénéfice de la protection cyber.
Guide ANSSI DevSecOps ;
Guide ANSSI Développer la confiance dans l’IA par une approche par les risques cyber.
La réglementation comme béquille :
La directive NIS2 promet d’améliorer la posture de cybersécurité de l’ensemble des entreprises de l’Union Européenne (par assujettissement direct ou effet rebond sur la chaine de sous-traitance).
Les ESN et fournisseurs de services cloud (plus de détail ici) sont soumis au Règlement d’exécution 2024/2690 entré en vigueur depuis le 17/10/2024. Ce règlement d’exécution détaille les mesures techniques et méthodologiques à mettre en place et s’applique de manière uniforme au sein de l’UE.
Se mettre en conformité avec NIS2 c’est se protéger et protéger ses clients face à des acteurs malveillants.
S’enregistrer : fournir des informations de contact à l’autorité nationale et les mettre à jour. Pré enregistrement sur le site ClubSSI disponible.
Déclarer ses incidents importants : critères fixés le règlement d’exécution 2024/2690. Les incidents peuvent être notifiés au CERT-FR dès maintenant.
Mettre en œuvre des mesures de cybersécurité : exigences listées en annexe du règlement d’exécution 2024/2690. Guide de l’ENISA pour sa mise en œuvre : NIS2 Technical Implementation Guidance.
Pour débuter :
– Désigner un responsable NIS 2 dans l’organisation ;
– Cartographier ses SI et mettre en place les premières mesures de sécurisation ;
– S’organiser pour déclarer ses incidents.
Les éditeurs de logiciels[2] pourront quant à eux s’appuyer sur le Cyber Resilience Act (CRA), qui instaure un cadre harmonisé de cybersécurité pour les produits comportant des éléments numériques commercialisés dans l’Union européenne. Son objectif est de renforcer la sécurité des produits numériques (dont logiciels) tout au long de leur cycle de vie en améliorant la prévention, la détection et la gestion des incidents de sécurité ainsi que la divulgation et la correction des vulnérabilités.
A compter du 11 septembre 2026, les fournisseurs de produits numériques devront :
– Signaler aux CSIRT nationaux (en France, le CERT-FR de l’ANSSI, via la plateforme ENISA), toute vulnérabilité activement exploitée ;
– Déclarer tout incident grave ayant des répercussions sur la sécurité de leurs produits.
L’ensemble des obligations du règlement entrera en application le 11 décembre 2027. Les fabricants devront notamment :
– Recenser et documenter les vulnérabilités et composants du produit ;
– Soumettre régulièrement les produits comportant des éléments numériques à des tests de sécurité ;
– Mettre en place et appliquer une politique de divulgation coordonnée des vulnérabilités ;
– Prévoir des mécanismes de distribution sécurisée des mises à jour ;
– Veiller à diffuser sans retard les correctifs ou mises à jour de sécurité.
L’ANSSI vous propose un ensemble de ressources sur le CRA ici.
En renforçant les exigences de cybersécurité dès la conception des produits et tout au long de leur cycle de vie, le CRA contribuera à élever le niveau de sécurité des logiciels commercialisés sur le marché européen ce qui renforcera la posture cyber de l’ensemble de la chaine de valeur, de l’éditeur aux utilisateurs.
Retrouvez l’ensemble de la présentation de l’ANSSI et des ressources associées ici (lien de la page événement avec replay et ppt).
[1] Une vulnérabilité zero day (ou 0-day) est une vulnérabilité logicielle qui n’est pas connue publiquement et dont le fournisseur n’a pas connaissance.
[2] Certains éditeurs de logiciels peuvent également être soumis à NIS2. Plus de détail sur le périmètre d’application de la directive sur le site de l’ANSSI MesServicesCyber.
