Une entreprise de taille intermédiaire n’est ni une grande PME ni un petit groupe. Elle a dépassé la taille où l’on pouvait tout piloter à l’intuition, sans disposer pour autant des équipes spécialisées et des budgets d’un grand compte. Sur le terrain de la cybersécurité, cette position intermédiaire crée une difficulté propre : le périmètre à protéger s’étend, les décideurs se multiplient, et les obligations réglementaires commencent à s’appliquer directement.
Les contenus consacrés à la cybersécurité s’adressent souvent aux PME, avec des conseils pensés pour une structure unique, un système d’information simple et un décideur identifié. Pour une ETI, ces repères ne suffisent plus.
Pourquoi une ETI n’a pas les mêmes enjeux qu’une PME
La première différence tient à la complexité du système d’information. Une ETI s’est souvent construite par croissance externe, avec des acquisitions successives, des sites répartis sur plusieurs régions ou pays, des filiales qui ont conservé leurs outils. Il en résulte des environnements hétérogènes, des logiciels de générations différentes, parfois des solutions déployées localement sans que la direction informatique en ait une vue complète. Chacun de ces éléments constitue une surface d’attaque, et leur accumulation rend le périmètre difficile à cartographier.
La seconde différence est organisationnelle. Dans une PME, le dirigeant ou un responsable informatique unique tranche. Dans une ETI, la cybersécurité touche en même temps la direction générale, la direction informatique, parfois un responsable de la sécurité des systèmes d’information, la direction financière, le juridique et les métiers. Sans arbitrage clair, un sujet que tout le monde juge important peut n’appartenir à personne.
→ Cybersécurité PME : stratégies, outils et bonnes pratiques
Ce lien présente le socle de protection d’une PME. Il reste valable pour une ETI, qui doit en revanche l’adapter à une échelle et à une organisation différentes.
NIS2 : pour beaucoup d’ETI, la question n’est plus théorique
C’est le point qui distingue le plus nettement les ETI de la plupart des PME. La directive européenne NIS2 s’adresse aux entreprises de taille moyenne et grande des secteurs jugés critiques, et les seuils retenus par le projet de loi français de transposition placent un grand nombre d’ETI dans son champ. Dans sa version initiale, le texte distingue deux catégories.
– Les entités essentielles : les entreprises des secteurs hautement critiques qui emploient au moins 250 personnes, ou dont le chiffre d’affaires dépasse 50 millions d’euros et le total du bilan 43 millions d’euros.
– Les entités importantes : les entreprises des secteurs hautement critiques ou critiques qui n’atteignent pas ces seuils, mais emploient au moins 50 personnes ou dépassent chacune 10 millions d’euros de chiffre d’affaires et de total de bilan.
Une ETI de plus de 250 personnes dans un secteur hautement critique, comme l’énergie, les transports, la santé ou les infrastructures numériques, relève donc de la catégorie la plus exigeante. Une ETI industrielle appartenant à un secteur simplement critique, par exemple certaines filières de fabrication, entre dans la catégorie des entités importantes. Le Premier ministre pourra en outre désigner d’autres entités, quelle que soit leur taille.
Les sanctions maximales prévues dans ce texte sont de 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et de 7 millions d’euros ou 1,4 % pour les entités importantes. Le plafond en pourcentage s’apprécie sur le chiffre d’affaires de l’entreprise à laquelle l’entité appartient, ce qui, pour une entité rattachée à un groupe, peut conduire à prendre en compte un périmètre plus large que la seule filiale concernée.
→ NIS2 : quelles obligations pour les PME et comment s’y préparer
Deux réserves s’imposent. Le projet de loi est en cours d’examen et ses dispositions ne sont pas encore applicables. La liste des secteurs critiques sera par ailleurs fixée par décret. Une ETI a donc intérêt à vérifier son rattachement éventuel, sans attendre pour autant que le texte soit définitif pour commencer à s’organiser.
Les obligations qui pèsent concrètement sur une ETI
Le texte regroupe les exigences autour de quatre objectifs : un pilotage de la sécurité des réseaux et des systèmes d’information, y compris la formation à la cybersécurité des membres des organes de direction ; la protection de ces systèmes, y compris en cas de recours à la sous-traitance ; des outils et des procédures de défense et de gestion des incidents ; et la résilience des activités. Les mesures sont à la charge de l’entité, et un référentiel d’exigences techniques sera précisé par décret.
À ces obligations s’ajoute un dispositif de contrôle. L’autorité nationale peut procéder à des inspections, à des audits de sécurité et à des scans, dont le coût est en principe supporté par l’entité contrôlée. Une entité peut s’appuyer sur le référentiel pour démontrer sa conformité. À défaut, il lui revient de prouver que les mesures qu’elle a retenues atteignent les mêmes objectifs.
Pour une ETI, cela suppose de pouvoir répondre précisément à des questions que beaucoup d’organisations n’ont jamais formalisées : quel est le périmètre exact du système d’information, quelles entités juridiques et quels sites il recouvre, qui est responsable de quoi.
Le quatrième objectif, la résilience des activités, suppose de savoir comment l’entreprise continue à fonctionner pendant un incident, et pas seulement comment elle le traite sur le plan technique.
→ PCA/PRA : comment maintenir son activité pendant une cyberattaque
La gouvernance, le sujet que les ETI sous-estiment
Dans une ETI, le plus grand risque est rarement une absence d’outils. C’est l’absence de pilotage clair. Une direction informatique peut déployer des protections solides sur son périmètre, pendant qu’une filiale gère ses accès de façon autonome et qu’un site de production applique ses propres règles.
Trois éléments structurent une gouvernance qui tient. Un responsable identifié, souvent un RSSI, rattaché à un niveau qui lui permet d’arbitrer et de se faire entendre de la direction générale. Une politique de sécurité commune à l’ensemble du périmètre, déclinée ensuite par site ou par filiale. Un budget raisonné à partir du risque réel plutôt que reconduit d’une année sur l’autre.
→ Coût et ROI de la cybersécurité : comment raisonner son budget en PME
Ce raisonnement par le risque vaut pour une ETI comme pour une PME. La différence tient à l’échelle : l’analyse doit couvrir plusieurs sites, plusieurs entités et des activités dont la criticité n’est pas la même.
Sites multiples, réseau et segmentation
Un réseau multi-sites élargit la zone dans laquelle un attaquant peut progresser une fois entré. Une compromission sur un site peu protégé devient un point d’appui vers les autres si les flux entre sites ne sont ni segmentés ni surveillés. C’est la logique de propagation décrite pour les réseaux d’entreprise, avec un effet de levier plus fort lorsque le nombre de sites augmente.
→ Sécurité réseau en entreprise : pourquoi c’est le cœur des cyberattaques
La segmentation entre sites, entre filiales et entre environnements de natures différentes limite cette propagation. Elle prend un relief particulier dans les entreprises industrielles, où les équipements de production ne peuvent pas toujours être mis à jour aussi souvent qu’un poste bureautique et doivent être isolés du reste du système d’information. Le principe de moindre privilège et la vérification systématique des accès, détaillés dans l’approche Zero Trust, s’appliquent ici de façon très concrète.
→ Zero Trust en PME : comment l’appliquer concrètement
Une détection continue, à l’échelle du périmètre
Plus le système d’information est étendu, plus une surveillance partielle laisse de zones aveugles. Une équipe interne, même compétente, ne peut pas surveiller en permanence des dizaines de sources d’événements réparties sur plusieurs sites, de jour comme de nuit.
Le modèle qui fonctionne le mieux dans une ETI combine généralement deux compétences complémentaires. L’équipe interne apporte la connaissance du métier, de l’organisation et des priorités de l’entreprise. Une supervision externalisée apporte la continuité de la détection et la capacité d’analyse, sans que l’entreprise ait à constituer une équipe de sécurité opérationnelle complète. Les deux ne se substituent pas : elles se répondent.
→ SOC cybersécurité : à quoi ça sert vraiment ?
→ Pourquoi externaliser sa cybersécurité en PME
La chaîne d’approvisionnement, dans les deux sens
Une ETI occupe souvent une position double. Elle dépend de fournisseurs et de prestataires qui disposent d’accès à son système d’information, et elle est elle-même fournisseur ou sous-traitant de clients plus importants, qui lui demandent des garanties de sécurité. Le projet de loi inclut d’ailleurs explicitement la sous-traitance dans les mesures de protection attendues des entités régulées.
→ Cyberattaques supply chain : un risque sous-estimé
Cette double position justifie un travail dans les deux sens : cartographier les prestataires qui ont des accès sensibles et leur imposer des exigences proportionnées, tout en se préparant à répondre aux demandes de ses propres clients. Une ETI qui peut démontrer son niveau de sécurité, par une démarche documentée plutôt que par une déclaration, y gagne un avantage commercial réel.
Par où commencer
La démarche suit une progression logique. Elle commence par une cartographie du système d’information : sites, entités, applications, flux, accès des prestataires. Elle se poursuit par une analyse de risques qui hiérarchise les activités critiques, puis par un audit qui mesure l’écart entre l’existant et le niveau attendu.
→ Audit de cybersécurité : que contient-il vraiment pour une PME
Le test d’intrusion vient ensuite, une fois les fondamentaux en place, pour vérifier que les protections tiennent face à un attaquant réel.
→ Pentest vs audit de cybersécurité : quelles différences et quand choisir
Le plan d’action qui en résulte doit être priorisé et rattaché à un responsable, avec un calendrier réaliste. Il se complète d’une capacité de détection continue et d’un plan de réponse à incident défini à l’avance, avec des rôles clairs entre le siège, les sites et les filiales.
→ Plan de réponse à incident : comment réagir face à une cyberattaque
Reste enfin à décider quelle part du risque résiduel, celui que la prévention ne peut pas éliminer, doit être transférée à un assureur.
→ Assurance cyber : ce qu’elle couvre vraiment pour une PME
Ce qu’il faut retenir
Pour une ETI, la cybersécurité change de nature en même temps que l’entreprise change de taille. Le sujet n’est plus de choisir quelques outils, mais d’organiser une protection cohérente sur un périmètre étendu, avec des responsabilités partagées entre de nombreux acteurs.
Trois questions permettent de situer son niveau de maturité : l’entreprise sait-elle précisément ce que recouvre son système d’information, quelqu’un porte-t-il explicitement la responsabilité de sa sécurité auprès de la direction générale, et serait-elle capable de détecter et de qualifier un incident en quelques heures, quel que soit le site touché. Celles qui répondent par l’affirmative sont mieux armées pour absorber les exigences de NIS2, mais aussi, plus simplement, pour continuer à fonctionner le jour où une attaque survient.