European Cyber Week 2026 : ce qu’un dirigeant non-cyber doit en retenir

Du 16 au 19 novembre 2026, l’European Cyber Week revient au Couvent des Jacobins, à deux pas de la place Sainte-Anne. Onzième édition. Le rendez-vous annuel qui fédère les acteurs français et européens de la cybersécurité et de l’IA de défense : des milliers de participants, des militaires, des chercheurs, des industriels, des startups.

Si vous dirigez une PME rennaise qui vend du conseil, du BTP, de la restauration ou du e-commerce, vous avez probablement prévu d’ignorer superbement l’événement. C’est un choix compréhensible. C’est aussi, en partie, une erreur.

Car ce qui se discute à l’ECW ne reste pas entre cyber-spécialistes. Les directives européennes qui s’y débattent, les failles de chaîne d’approvisionnement qui s’y analysent, les usages de l’IA qui s’y exposent finissent tous, tôt ou tard, par se traduire en obligations, en primes d’assurance ou en questions de vos clients. Voici les quatre choses qu’un dirigeant qui « n’a pas de problème de cyber » devrait quand même en retenir.

1. Vous êtes peut-être la porte d’entrée, pas la cible

L’idée reçue la plus tenace : « on est trop petits pour intéresser un hacker ». La réalité est moins flatteuse. Une partie des attaques ne vise pas votre entreprise, elle traverse votre entreprise. Un attaquant qui cherche à atteindre un grand compte passe souvent par un sous-traitant, un fournisseur ou un partenaire moins bien défendu. C’est le sujet de la « supply chain » que l’ECW traite chaque année : la sécurité d’une grande organisation dépend de celle de ses maillons les plus faibles.

Votre site web, votre boîte mail, vos outils de gestion font partie de ces maillons. Un site non mis à jour, un mot de passe réutilisé, une adresse professionnelle compromise : trois portes d’entrée classiques qui ne demandent aucune technologie sophistiquée.

Un cas type, que beaucoup d’agences et d’éditeurs ont déjà traité : un site vitrine développé il y a cinq ans, jamais retouché depuis, hébergé avec des extensions obsolètes. Personne ne s’en soucie, jusqu’au jour où il sert à envoyer du spam depuis votre nom de domaine. Résultat : votre mail professionnel se retrouve marqué comme indésirable, vos devis n’arrivent plus, et le temps de comprendre d’où vient le problème, vous avez perdu des semaines de prospect. Aucun hacker ne vous a « visé ». Il a simplement trouvé une porte ouverte.

La question à vous poser n’est pas « qui voudrait nous attaquer ? » mais « ce qu’on héberge chez nous peut-il servir à nuire à un client ou à un fournisseur ? »

2. NIS2 va finir par frapper à votre porte (ou chez vos clients)

La directive européenne NIS2 impose des mesures de cybersécurité à un périmètre élargi d’entreprises, avec des obligations de gestion des risques et de notification d’incidents. Techniquement, beaucoup de PME de moins de 50 salariés ne sont pas directement visées. En pratique, l’effet cascade est déjà en marche : grands comptes, collectivités et administrations demandent à leurs fournisseurs des garanties de sécurité, dans leurs contrats, leurs questionnaires d’achat et leurs appels d’offres.

Autrement dit : même si la réglementation ne vous vise pas nommément, vos clients la lui font remonter. Un dirigeant qui découvre ces exigences le jour d’un questionnaire d’achat répond dans la précipitation. Celui qui s’y prépare transforme un sujet réglementaire en argument commercial, face à des concurrents qui n’auront rien anticipé.

Le mouvement est d’ailleurs visible au-delà du secteur public. Banques, assureurs, grands industriels : de plus en plus d’organisations inspectent la solidité cyber de leurs fournisseurs avant de signer, avec des exigences qui descendent jusqu’aux petits prestataires. Un cabinet de dix personnes qui travaille pour un groupe peut recevoir un questionnaire détaillant ses mesures de sécurité, la gestion de ses accès et sa capacité à détecter un incident. Répondre « je n’en sais rien » coûte, à terme, des contrats.

3. L’IA accélère les attaques autant que les défenses

L’ECW 2026 met l’IA au cœur de son programme, et pas seulement côté défense. Les mêmes modèles qui aident à détecter les anomalies servent aussi à écrire des phishing irréprochables, en français parfait, personnalisés, sans les fautes d’orthographe qui permettaient naguère de repérer l’arnaque. Le faux mail « de votre comptable » ou « du dirigeant » gagne en crédibilité.

Pour une PME, la parade n’est pas un outil miracle, c’est un réflexe organisationnel : valider les demandes de virement par un second canal, ne jamais décider une action sensible sur la seule foi d’un mail, former brièvement les équipes. Peu coûteux, très efficace.

Le réflexe s’applique aussi à ce qui vous entoure. Une adresse mail de fournisseur piratée, un faux lien de paiement dans une facture, un appel se réclamant de votre prestataire informatique : la plupart des arnaques qui touchent les PME ne contournent pas la technique, elles contournent la vigilance. Aucun outil ne remplace dix secondes de vérification avant un clic ou un virement.

4. La cybersécurité, c’est d’abord de la maintenance

C’est le point le plus banal et le plus négligé. Derrière les grands récits de cyberdéfense, la majorité des incidents dans les entreprises ordinaires vient de causes triviales : logiciel non mis à jour, sauvegarde jamais testée, personne à prévenir jamais désignée quand ça casse. La résilience d’une PME ne se joue pas dans un SOC high-tech, elle se joue dans des routines simples, tenues dans la durée.

🔗À lire aussi : Le vrai coût de la maintenance d’un site web

Une mise à jour appliquée régulièrement, une sauvegarde restaurée au moins une fois pour vérifier qu’elle fonctionne, un numéro connu en cas d’incident : cela ne fait pas de bruit, et cela couvre une part très réelle du risque.

Chez Cobalt, on voit la cyber comme une continuité, pas un projet

On ne vend pas de la cybersécurité, et l’ECW ne transformera pas votre studio web en expert en défense numérique. Mais chaque année, on constate la même chose chez nos clients : les sites et les outils que nous maintenons ne sont jamais les victimes les plus spectaculaires des incidents, précisément parce que les mises à jour, les sauvegardes et la surveillance sont traitées comme un suivi continu, pas comme une option.

Un site web n’est pas un produit qu’on livre puis qu’on oublie : c’est une porte d’entrée vers votre entreprise qui mérite le même suivi qu’un local commercial. Si la seule fois où on vous a parlé de maintenance, c’était dans le devis, c’est peut-être le bon moment d’en reparler.

🔗À lire aussi : Site web clé en main : le vrai sujet n’est pas la livraison, mais ce qu’il reste après

Et si l’ECW passe à côté de vos agendas de novembre, gardez-en au moins une phrase : la sécurité d’une PME, c’est 10 % de technologie et 90 % de régularité.

Et maintenant ?

Vous voulez que votre site et vos outils numériques soient suivis sérieusement, sans en faire un projet lourd ? On vous dit clairement ce qui est nécessaire chez vous, et ce qui ne l’est pas.

Parlons-en