Perspectives mondiales sur la cybersécurité 2026 du WEF : Tendances clés pour les dirigeants

Le Global Cybersecurity Outlook 2026 du World Economic Forum, publié en janvier en partenariat avec Accenture, ressemble moins à un rapport qu’à un signal d’alarme. Issu des réponses de 804 participants qualifiés répartis dans 92 pays — dont 316 RSSI, 105 CEO et 123 autres cadres dirigeants —, la cinquième édition de cette enquête annuelle dresse le portrait d’un paysage de la cybersécurité qui évolue plus vite que la capacité d’adaptation de la plupart des organisations.

Résumé des points clés

1. L’IA accélère la transformation de la cybersécurité plus vite que la gouvernance ne peut suivre. Quatre-vingt-quatorze pour cent des personnes interrogées considèrent l’IA comme le principal moteur du changement en cybersécurité en 2026, et 87 % signalent que les vulnérabilités liées à l’IA constituent le risque cyber qui progresse le plus rapidement en 2025. Pourtant, environ un tiers des organisations n’ont toujours aucun processus pour évaluer la sécurité des outils d’IA avant leur déploiement. L’écart entre la vitesse d’adoption de l’IA et la maturité de la gouvernance de l’IA ne cesse de se creuser.
2. La volatilité géopolitique a durablement transformé la stratégie cyber. Soixante-six pour cent des organisations ont modifié leur stratégie de cybersécurité en raison de l’instabilité géopolitique, et 31 % des répondants déclarent avoir peu confiance dans la capacité de leur pays à réagir à des incidents majeurs visant les infrastructures critiques. La planification de la cybersécurité doit désormais intégrer la modélisation des risques géopolitiques comme paramètre permanent, et non comme une simple considération ponctuelle.
3. La fraude facilitée par le numérique atteint des proportions épidémiques. Soixante-treize pour cent des répondants déclarent avoir été, eux ou un membre de leur réseau professionnel, personnellement touchés par une fraude numérique au cours des 12 derniers mois. Les CEO placent désormais la fraude en tête de leurs préoccupations cyber, reléguant le ransomware au second plan. Le phishing, le vishing et le smishing représentent 62 % des incidents de fraude, suivis par la fraude aux factures et aux paiements (37 %).
4. Les vulnérabilités de la supply chain sont le principal défi des grandes entreprises. Soixante-cinq pour cent des grandes entreprises citent les vulnérabilités liées aux tiers et à la supply chain comme leur principal obstacle à la résilience cyber, contre 54 % en 2025. Pourtant, seules 27 % simulent des incidents cyber avec leurs partenaires de la supply chain, et seulement 33 % cartographient réellement leur écosystème de supply chain. L’écart de visibilité entre la prise de conscience des risques et la gestion effective des risques reste dangereusement large.
5. L’écart de résilience entre grandes et petites organisations continue de s’accentuer. Dix-neuf pour cent des organisations affirment aujourd’hui que leur résilience cyber dépasse les exigences, soit plus du double des 9 % qui faisaient cette déclaration en 2025. Mais 17 % signalent toujours une résilience insuffisante, et 85 % d’entre elles manquent également de compétences critiques en cybersécurité. Les petites structures sont 2,5 fois plus susceptibles de déclarer une résilience insuffisante que les grandes entreprises. La cybersécurité devient un avantage structurel pour celles qui en ont les moyens.

Les chiffres clés sont frappants. Quatre-vingt-quatorze pour cent des répondants estiment que l’IA sera le principal moteur de changement en cybersécurité cette année. Quatre-vingt-sept pour cent signalent que les vulnérabilités liées à l’IA constituent le risque cyber qui progresse le plus vite en 2025. Et 73 % déclarent avoir été, eux ou un membre de leur réseau professionnel, personnellement victimes d’une fraude numérique au cours des 12 derniers mois.

Ce ne sont pas des projections abstraites. Ce sont les expériences vécues des professionnels de la sécurité et des dirigeants qui naviguent dans un chaos permanent.

Analysons ce que révèle réellement le rapport — et les lacunes que les organisations doivent combler avant que la prochaine faille ne fasse la une des journaux.

L’IA réinvente les règles du jeu

Un fil rouge traverse tout le rapport : l’IA a fondamentalement changé la façon dont les attaques sont menées, dont les défenses sont construites et dont les risques sont évalués. Et le rythme du changement dépasse la capacité de la gouvernance à tous les niveaux.

Le rapport analyse l’impact de l’IA selon trois axes interdépendants. D’abord, l’intégration de l’IA élargit la surface d’attaque d’une manière que les contrôles de sécurité traditionnels ne peuvent pas gérer. Ensuite, les défenseurs déploient l’IA pour la détection, la réponse aux incidents et l’automatisation des tâches analytiques répétitives. Enfin — et c’est ce qui devrait inquiéter —, les acteurs malveillants exploitent l’IA pour intensifier et affiner leurs attaques avec une précision inédite.

Bonne nouvelle : les organisations commencent à prendre la sécurité de l’IA au sérieux. La part des organisations ayant mis en place des processus d’évaluation de la sécurité des outils d’IA a presque doublé en un an, passant de 37 % en 2025 à 64 % en 2026. Quarante pour cent procèdent désormais à des revues périodiques des outils d’IA avant leur déploiement, signe clair d’une gouvernance qui progresse.

Mauvaise nouvelle : environ un tiers des organisations n’ont toujours aucun processus pour valider la sécurité de l’IA avant déploiement. C’est une faille majeure dans un monde où les attaquants exploitent déjà l’IA générative à grande échelle pour le phishing, la création de deepfakes et la reconnaissance industrielle.

Du point de vue de Kiteworks, cette lacune met en lumière une vérité essentielle sur les communications de contenu sensible : les outils d’IA adoptés pour traiter, analyser et partager des données confidentielles doivent être gouvernés avec la même rigueur que tout autre composant d’infrastructure. Quand l’IA générative manipule du contenu sensible — qu’il s’agisse de rédiger des communications, de résumer des documents juridiques ou de traiter des données financières —, les organisations doivent savoir précisément où vont ces données, qui peut y accéder et quels garde-fous empêchent les fuites. C’est précisément pour cela qu’une approche basée sur un réseau de données privé, où les flux de données sensibles sont consolidés, tracés et protégés dans un cadre de gouvernance unique, devient essentielle à mesure que l’adoption de l’IA s’accélère.

La géopolitique s’impose durablement dans la stratégie cyber

Le rapport montre clairement que la volatilité géopolitique n’est pas une contrainte passagère, mais une caractéristique durable du paysage cyber. Près de 64 % des organisations intègrent désormais les cyberattaques à motivation géopolitique dans leurs stratégies de gestion des risques, et 66 % ont modifié leur stratégie de cybersécurité spécifiquement à cause de l’instabilité géopolitique.

L’écart de confiance est particulièrement révélateur. Trente et un pour cent des répondants déclarent avoir peu confiance dans la capacité de leur pays à répondre à des incidents majeurs visant les infrastructures critiques — contre 26 % l’année précédente. Et les disparités régionales sont frappantes : 84 % des répondants du Moyen-Orient et d’Afrique du Nord se disent confiants dans la préparation cyber de leur pays, contre seulement 13 % en Amérique latine et dans les Caraïbes.

Les plus grandes organisations réagissent en investissant dans le renseignement sur les menaces et en renforçant leurs liens avec les agences gouvernementales. Soixante-dix pour cent des organisations de plus de 100 000 salariés ont accru leur attention sur les menaces d’origine étatique, contre seulement 30 % des structures de moins de 1 000 employés. Cela s’explique : les entreprises mondiales ont des surfaces d’attaque mondiales — mais cela signifie aussi que les petites organisations sont de plus en plus exposées et isolées.

La question de la souveraineté prend aussi de l’ampleur. Le rapport montre comment des collectivités et agences fédérales européennes migrent vers des solutions cloud souveraines ou régionales, afin de réduire leur dépendance aux fournisseurs technologiques étrangers. Ce n’est pas du simple « théâtre réglementaire ». Cela traduit une véritable reconsidération de la confiance — non seulement dans les systèmes, mais aussi dans la fiabilité géopolitique des écosystèmes qui les sous-tendent.

Pour Kiteworks, cette tendance confirme la pertinence du modèle d’échange de données en zéro trust qui fonde la sécurité des communications de contenu. Lorsqu’une organisation opère dans plusieurs juridictions avec des exigences de souveraineté des données différentes, elle a besoin d’une infrastructure qui impose la résidence des données, applique un chiffrement et des contrôles d’accès cohérents quelle que soit la zone géographique, et fournit une traçabilité complète de chaque fichier envoyé, reçu ou consulté. La fragmentation géopolitique décrite par le WEF ne va pas s’inverser. Les organisations doivent se préparer à un monde où la réglementation et les menaces diffèrent dans chaque pays où elles opèrent.

La fraude numérique s’est généralisée

Un des constats les plus préoccupants du rapport est l’ampleur de la fraude facilitée par le numérique. Soixante-treize pour cent des répondants déclarent avoir été, eux ou un membre de leur réseau, personnellement touchés par une fraude au cours de l’année écoulée. Le vecteur d’attaque le plus fréquent ? Le phishing, le vishing et le smishing, cités par 62 % des personnes concernées. Viennent ensuite la fraude aux factures et aux paiements (37 %), puis l’usurpation d’identité (32 %).

Ce n’est pas qu’un problème d’entreprise. C’est un enjeu de société. L’Afrique subsaharienne arrive en tête avec 82 % d’exposition à la fraude, suivie de près par l’Amérique du Nord (79 %).

Le fossé CEO-RSSI sur ce sujet est révélateur. Les CEO placent désormais la fraude numérique en tête de leurs préoccupations, détrônant le ransomware qui occupait la première place en 2025. Les RSSI, eux, considèrent toujours le ransomware comme la principale menace, la perturbation de la supply chain restant en deuxième position. Cette divergence reflète la différence de perspective entre les conseils d’administration, focalisés sur la perte financière et l’image de marque, et les centres opérationnels de sécurité, qui surveillent la continuité opérationnelle et l’exposition technique.

Le rapport signale aussi une évolution inquiétante : l’émergence d’agents autonomes d’IA capables de mener un cycle d’attaque complet. En novembre 2025, Anthropic a révélé une opération de cyberespionnage démontrant l’utilisation de l’IA à chaque étape d’une attaque — de la reconnaissance à l’exploitation, jusqu’à l’exfiltration de données. Il s’agissait du premier cas confirmé d’IA agentique accédant à des cibles de grande valeur, dont des entreprises technologiques majeures et des agences gouvernementales.

Du point de vue de Kiteworks, l’explosion de la fraude montre pourquoi les organisations doivent garder un contrôle absolu sur la circulation des contenus sensibles à l’intérieur et à l’extérieur de l’entreprise. La fraude aux factures, aux paiements et le piratage de messagerie exploitent toutes les failles dans le partage de fichiers et de communications avec les tiers. Une plateforme unifiée pour gérer la messagerie électronique, le partage et le transfert de fichiers, et les formulaires web — avec gestion des droits numériques, authentification multifactorielle et détection d’anomalies en temps réel — comble les brèches exploitées par les fraudeurs.

Résilience cyber : des progrès, mais trop lents

Le rapport montre des avancées progressives en matière de résilience organisationnelle. Dix-neuf pour cent des organisations affirment aujourd’hui que leur résilience cyber dépasse les exigences, soit plus du double des 9 % en 2025. Mais 17 % signalent toujours une résilience insuffisante, et l’écart entre organisations bien dotées et sous-dotées reste marqué.

Les données sur ce qui distingue les organisations très résilientes des autres sont particulièrement instructives :

• Revue de la sécurité de l’IA : Les organisations très résilientes sont plus de trois fois plus nombreuses à revoir périodiquement la sécurité des outils d’IA (71 % contre 20 %).
• Intégration à l’achat : Elles associent beaucoup plus souvent la sécurité aux décisions d’achat (76 % contre 53 %).
• Évaluation des fournisseurs : Elles évaluent la maturité sécurité de leurs fournisseurs à des taux bien plus élevés (74 % contre 48 %).
• Simulation d’incidents : Elles simulent des incidents cyber avec leurs partenaires de l’écosystème plus fréquemment (44 % contre 16 %).
• Implication du conseil d’administration : 99 % des organisations très résilientes signalent une implication du conseil d’administration dans la cybersécurité, contre seulement 87 % des organisations insuffisamment résilientes.

La dimension compétences aggrave le problème. Parmi les organisations à la résilience insuffisante, 85 % déclarent également manquer de compétences et de ressources humaines critiques en cybersécurité. Les pénuries les plus marquées concernent les analystes en renseignement sur les menaces, les ingénieurs DevSecOps et les spécialistes de la gestion des identités et des accès. L’Amérique latine et les Caraïbes (65 %) et l’Afrique subsaharienne (63 %) sont les régions les plus touchées par le manque de talents.

Ce qui rend ces chiffres particulièrement préoccupants, c’est la dimension supply chain. Le rapport indique que 65 % des grandes entreprises identifient désormais les vulnérabilités liées aux tiers et à la supply chain comme leur principal défi en matière de résilience — contre 54 % en 2025. Pourtant, seules 27 % des organisations simulent des incidents cyber avec leurs partenaires de la supply chain, et seulement 33 % cartographient réellement leur écosystème de supply chain.

C’est là que Kiteworks constate le plus grand décalage. À chaque fois qu’une organisation partage du contenu sensible avec un tiers — fournisseur, cabinet juridique, conseiller financier, agence gouvernementale —, elle étend sa surface d’attaque à l’environnement de ce partenaire. Sans visibilité sur qui accède à quel contenu, depuis où et dans quelles conditions, les organisations avancent à l’aveugle face à ce que le WEF appelle le « risque d’héritage » : l’incapacité à garantir l’intégrité des logiciels, matériels et services tiers. Un réseau de données privé offre cette visibilité en créant une interface unique pour tous les échanges de contenus sensibles, quel que soit le canal, et en appliquant des politiques de sécurité cohérentes à l’ensemble de l’écosystème.

Des enjeux économiques sans précédent

Le rapport met en lumière la dimension économique de la cybersécurité. Une étude du gouvernement britannique citée dans le rapport estime qu’une cyberattaque majeure coûte en moyenne 250 000 $ à une entreprise, avec un impact national évalué à 19,4 milliards de dollars par an. La Banque mondiale ajoute que la réduction des incidents cyber majeurs pourrait augmenter le PIB par habitant de 1,5 % dans les économies en développement.

L’exemple de Jaguar Land Rover illustre parfaitement ce propos. Une cyberattaque en août 2025 a paralysé la production mondiale du constructeur pendant cinq semaines, affectant plus de 5 000 fournisseurs. Les coûts directs ont atteint 260 millions de dollars, le chiffre d’affaires a chuté de près de 25 %, et l’économie britannique a absorbé une perte estimée à 2,5 milliards de dollars. Le gouvernement britannique a finalement accordé une garantie de prêt de 2 milliards de dollars pour stabiliser la supply chain.

Ces chiffres battent en brèche l’idée dépassée selon laquelle la cybersécurité serait un simple centre de coûts IT. Il s’agit d’un enjeu économique majeur — qui impacte directement la compétitivité nationale, la stabilité des chaînes d’approvisionnement et la valorisation des entreprises.

Perspectives : les menaces à l’horizon

Le rapport conclut en identifiant plusieurs vecteurs de menace qui émergent discrètement mais façonneront probablement la cybersécurité d’ici 2030 :

• Systèmes autonomes et robotique : Créent de nouveaux profils de risque cyber-physique où des décisions automatisées peuvent impacter la sécurité en quelques secondes.
• Monnaies numériques : Devenues des infrastructures critiques dont la sécurité conditionne la stabilité économique.
• Technologies quantiques : Passent de préoccupations théoriques à des menaces concrètes pour la cryptographie, avec des standards post-quantiques du NIST déjà publiés et des échéances de migration qui se rapprochent.
• Actifs spatiaux et sous-marins : Seules 15 % des organisations prennent en compte les actifs spatiaux dans leur gestion des risques cyber, et 18 % seulement tiennent compte de la vulnérabilité des câbles sous-marins.
• Changement climatique : Accroît le risque cyber en perturbant les infrastructures physiques dont dépendent les systèmes numériques.

La fenêtre pour se préparer activement à tous ces enjeux se referme. Et d’après les données du WEF, trop d’organisations n’ont même pas commencé.

À retenir

Le Global Cybersecurity Outlook 2026 raconte l’histoire d’un écosystème sous pression extrême. L’IA dope à la fois l’attaque et la défense. La géopolitique a durablement redessiné le paysage des menaces. La fraude atteint des niveaux épidémiques. Les supply chains restent dangereusement opaques. Et l’écart entre les organisations cyber-résilientes et les autres continue de se creuser.

La principale leçon du rapport est peut-être la plus simple : les organisations qui s’en sortent ne sont pas celles qui évitent les attaques, mais celles qui ont bâti la gouvernance, la visibilité et l’infrastructure collaborative nécessaires pour encaisser les chocs et rebondir rapidement.

Pour Kiteworks, cela renforce la conviction que protéger le contenu sensible ne consiste pas seulement à prévenir les failles — il s’agit de bâtir une résilience opérationnelle qui permet aux organisations de continuer à fonctionner quand une faille finit par survenir. Cela implique de regrouper les communications de contenu sensible sur une plateforme gouvernée et totalement visible, d’appliquer les principes du zéro trust à chaque échange, et de conserver les traces d’audit exigées par les régulateurs, les conseils d’administration et les partenaires.

Le paysage de la cybersécurité décrit dans ce rapport ne va pas se simplifier. Les organisations qui en prennent conscience — et s’y préparent — seront celles qui resteront debout lors de la prochaine crise.