Menaces cyber en Europe
ce que le chiffre de 38 % ne dit pas.
Le rapport annuel de l’agence européenne de cybersécurité est repris chaque année avec le même titre : l’administration publique reste la première cible. C’est exact, et c’est trompeur si l’on s’arrête là. La nature des attaques comptabilisées change tout à la lecture, et l’élément réellement utile pour une entreprise privée ne figure pas dans les gros titres.
Comment lire le chiffre de 38 %
L’administration publique arrive nettement en tête des secteurs visés, plus de cinq fois devant les transports. Le chiffre est exact, il est officiel, et il est repris partout.
Il recouvre pourtant une réalité très particulière : près de 95 % de ces attaques sont des saturations de service, dont l’effet est de rendre un site inaccessible pendant quelques heures. Aucune donnée n’est volée, aucun système n’est pénétré. Ce sont des actions de visibilité politique, revendiquées, souvent liées au contexte géopolitique.
Mettre sur le même plan une indisponibilité de site municipal et une exfiltration de fichier patients dans un hôpital produit un classement spectaculaire mais peu opérant. Les deux figurent dans la même statistique.
Par où entrent les attaquants
Quand il y a réellement intrusion, la porte d’entrée est presque toujours la même, et elle n’est pas technique.
Dans deux tiers des cas, l’intrusion débouche sur l’installation d’un logiciel malveillant. La conclusion du rapport est constante d’une année sur l’autre : mise à jour rapide des systèmes, formation des personnes, surveillance des comportements anormaux.
Ce qui s’est passé depuis
La période analysée
Près de 4 875 incidents recensés dans les vingt-sept États membres, avec l’administration publique en tête des secteurs visés.
Publication du rapport annuel
L’agence européenne de cybersécurité rend public son panorama des menaces. Le chiffre de 38,2 % pour le secteur public fait le tour de la presse.
Alerte conjointe sur un rançongiciel majeur
Les autorités publient une alerte commune sur un groupe actif depuis 2023, avec cent trente variantes identifiées et l’exfiltration de données comme levier principal.
Version corrigée du rapport
Une révision du document est publiée. Citer le rapport suppose désormais de préciser la version utilisée.
Rapport de maturité des secteurs critiques
La zone de risque s’élargit : le ferroviaire et le traitement des eaux y entrent, le gaz en sort grâce à un meilleur partage d’informations.
Exercice européen consacré aux transports
Cinq mille experts mobilisés sur les sous-secteurs ferroviaire et maritime, avec la participation de l’Ukraine pour la première fois.
Rançongiciels : le paiement recule
C’est la bonne nouvelle de la période. La part des victimes qui acceptent de payer est tombée aux environs d’un quart, au plus bas depuis trois ans. Les campagnes de sensibilisation et la position constante des autorités, qui déconseillent le paiement, produisent un effet mesurable.
La conséquence était prévisible : les groupes ont déplacé leur levier. Plutôt que de chiffrer les fichiers, ils les volent et menacent de les publier. Une entreprise qui dispose d’une sauvegarde exploitable se remet en marche, mais elle reste exposée à la divulgation.
Le point qui concerne les entreprises privées
Un artisan, un cabinet ou une PME peut légitimement se demander en quoi un rapport sur les administrations le concerne. La réponse tient en un mot : fournisseur.
La directive européenne applicable aux entités essentielles et importantes impose à celles-ci d’évaluer la sécurité de leur chaîne d’approvisionnement. Autrement dit, une collectivité, un hôpital ou un opérateur d’eau doit désormais s’assurer du niveau de sécurité de ses prestataires, y compris les plus petits.
Concrètement, cela se traduit par des questionnaires de sécurité dans les appels d’offres et les renouvellements de contrat. Une entreprise qui ne sait pas y répondre perd des marchés, indépendamment de la qualité de son travail.
Ce qu’il faut savoir montrer
Les questions posées dans ces questionnaires sont toujours les mêmes. Y répondre suppose surtout d’avoir mis les choses en place, pas d’avoir des moyens importants.
- Où sont hébergées les données de vos clients, et dans quel pays.
- À quelle fréquence les sauvegardes sont faites, et quand la dernière restauration a été testée.
- Qui accède aux systèmes, avec quels droits, et ce qui se passe au départ d’un salarié.
- Comment les correctifs de sécurité sont appliqués, et par qui.
- Quels prestataires interviennent sur vos systèmes, et sous quel contrat.
- Quel est le délai de signalement d’un incident, et à qui.
Ces six points recouvrent exactement ce que couvre un socle d’hébergement web et de maintenance : des serveurs localisés, une sauvegarde vérifiée et des mises à jour tracées. Ce qui était un confort devient un argument commercial.
Ce qu’on nous demande le plus souvent.
Quel secteur est le plus visé en Europe ?
L’administration publique, avec 38,2 % des incidents recensés par l’agence européenne de cybersécurité entre juillet 2024 et juin 2025, sur près de 4 875 incidents analysés. Les transports suivent loin derrière, autour de 7,5 %. Ces chiffres proviennent du rapport annuel publié le 1ᵉʳ octobre 2025, dont une version corrigée est parue en janvier 2026.
Pourquoi tant d’attaques contre le secteur public ?
Parce que la nature des attaques y est particulière : près de 95 % d’entre elles sont des saturations de service, qui visent à rendre un site inaccessible sans voler quoi que ce soit. Ce sont des actions de visibilité politique, pas des vols de données. Confondre les deux fausse complètement la lecture du chiffre de 38 %.
La France est-elle particulièrement touchée ?
Elle est le premier pays visé par ce type d’attaque de saturation contre l’administration publique, avec environ 27 % des incidents recensés dans cette catégorie. Là encore, il s’agit très majoritairement d’indisponibilités temporaires de sites publics.
Qu’est-ce que la directive NIS2 change pour une petite entreprise ?
Directement, rien si elle n’est pas dans le périmètre. Indirectement, beaucoup : la directive impose aux entités concernées d’évaluer la sécurité de leurs fournisseurs. Un artisan ou un prestataire qui travaille pour une collectivité ou un hôpital verra donc arriver des questionnaires de sécurité, et devra pouvoir y répondre.
Quels sont les secteurs jugés les plus exposés en 2026 ?
Le rapport de maturité publié en juin 2026 place dans sa zone de risque la santé, le ferroviaire, le maritime, l’espace, les administrations publiques, l’eau potable et les eaux usées, ainsi que les prestataires de services informatiques gérés. Le ferroviaire et le traitement des eaux y sont entrés cette année, le gaz en est sorti.
Le paiement des rançons recule-t-il ?
Oui, et c’est l’évolution la plus encourageante : la part des victimes qui paient est tombée à environ un quart, au plus bas depuis trois ans. La conséquence directe est que les groupes misent davantage sur le vol de données et la menace de publication que sur le chiffrement.
- Agence de l’Union européenne pour la cybersécurité, panorama annuel des menaces, publié le 1ᵉʳ octobre 2025, version révisée parue en janvier 2026, période analysée de juillet 2024 à juin 2025.
- Même agence, rapport de maturité des secteurs critiques au titre de la directive européenne, juin 2026.
- Même agence, exercice européen de cybersécurité consacré aux transports ferroviaire et maritime, 2026.
- Alerte conjointe des autorités sur un groupe de rançongiciel majeur, 13 novembre 2025.
- Relevés sectoriels sur le taux de paiement des rançons, 2025.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les informations publiées dans cet article sont vérifiées à leur source et datées. Pour aller plus loin : l’hébergement web et la maintenance, le dépannage de serveur ou les sites réalisés sur mesure.
Sauriez-vous répondre à un questionnaire de sécurité ?
Hébergement, sauvegardes, accès, mises à jour, prestataires : six réponses à préparer une fois, réutilisables dans chaque appel d’offres.