Budget cybersécurité 2027 : pourquoi le report de la loi Résilience ne doit pas reporter l'arbitrage

Le 6 octobre 2026, l'Assemblée nationale a retiré de son ordre du jour le projet de loi Résilience, qui transpose la directive NIS 2 avec près de deux ans de retard. Pour les directions générales et les DSI qui préparent leur budget cybersécurité 2027, la tentation est de suspendre l'arbitrage jusqu'à ce que le texte soit voté. C'est un mauvais calcul : le report retire une date de votre calendrier, pas une dépense de votre budget. Cet article propose de bâtir le budget par scénarios, avec un socle de dépenses qui ne dépend d'aucun texte.

En résumé

Le projet de loi Résilience, prévu en séance les 7 et 9 octobre 2026, a été retiré de l'ordre du jour le 6 octobre. Le rapporteur espère une réinscription d'ici deux à trois semaines, sans date confirmée. La directive NIS 2 devait pourtant être transposée avant le 17 octobre 2024. Or la menace ne dépend pas du texte : l'ANSSI décrit pour 2025 un niveau d'incidents stable mais très élevé, avec 1 366 incidents traités. Nous recommandons de construire le budget cybersécurité 2027 sur trois niveaux : un socle sans regret, une enveloppe conditionnelle déclenchée par le vote de la loi, et des accélérateurs liés aux usages d'IA. Le COMEX n'a pas à deviner la date du texte, mais à décider qui porte la gouvernance cyber et quelle enveloppe se débloque, et sur quel jalon.

Où en est la loi Résilience, et que change le report ?

Rappelons les faits. La directive (UE) 2022/2555, dite NIS 2, a été publiée au Journal officiel de l'Union européenne en décembre 2022, d'après l'ANSSI. Les États membres devaient la transposer avant le 17 octobre 2024. En France, le projet de loi Résilience a été déposé au Sénat le 15 octobre 2024 en procédure accélérée, adopté par le Sénat le 12 mars 2025, puis examiné par la commission spéciale de l'Assemblée, qui a déposé son texte le 10 septembre 2025. Il attendait depuis son passage en séance publique.

Il devait être discuté les 7 et 9 octobre 2026. La conférence des présidents du 6 octobre l'a retiré de l'ordre du jour : officiellement, l'examen d'une proposition de loi sur les violences sexuelles et sexistes prend plus de temps que prévu. Le rapporteur, Éric Bothorel, dit espérer une réinscription d'ici quinze jours à trois semaines, et la prochaine conférence des présidents est annoncée au 13 octobre (informations de Leto et de Next, à confirmer sur le site de l'Assemblée). Le point de blocage politique cité par ces deux sources est l'article 16 bis, introduit au Sénat, sur le chiffrement. Selon Next, le projet de loi transpose aussi les directives REC et DORA.

Pour une entreprise, le report a donc un effet simple : vous ne savez pas à quelle date les obligations nationales s'appliqueront. Il n'a pas d'autre effet.

Le report change-t-il quelque chose pour le budget cybersécurité 2027 ?

Pas sur les trois points qui comptent pour un arbitrage.

Le premier est la menace. Le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, recense 1 366 incidents traités sur 3 586 événements de sécurité, contre 1 361 en 2024 et 1 112 en 2023. Son directeur général qualifie ce niveau de plateau très haut plutôt que de vague en expansion. Selon la synthèse du Monde Informatique, 128 compromissions par rançongiciel ont été traitées, et les petites et moyennes entreprises représentent 48 % des victimes. Le nombre de vulnérabilités connues progresse d'environ 18 % par an, et plus de 6 000 équipements exposés sur Internet en France présentaient encore des failles exploitées en 2023 et 2024. Rien de tout cela n'attend le Parlement.

Le deuxième est le contenu attendu. La directive existe, et l'ANSSI a publié un référentiel de mesures recommandées, le ReCyF, ainsi qu'un simulateur d'éligibilité, MonEspaceNIS2, pour les « futures entités essentielles et importantes ». Savoir si vous serez concerné et quelles mesures vous aurez à démontrer est possible dès maintenant.

Le troisième est le délai de mise en œuvre. Une cartographie des actifs, un plan de continuité testé ou un inventaire des fournisseurs critiques prennent plusieurs mois, souvent plus que le report. Si vous attendez le vote pour lancer ces chantiers, vous les menez dans l'urgence, ce qui coûte plus cher.

Une hypothèse, qui reste la nôtre : de plus en plus de donneurs d'ordre demandent des preuves de maturité cyber à leurs fournisseurs, indépendamment du calendrier légal. Nous n'avons pas trouvé d'étude française datée qui la chiffre, et nous la présentons comme telle.

Comment arbitrer un budget cybersécurité sans connaître la date de la loi ?

La méthode consiste à ne plus raisonner sur une prévision de date, mais sur trois scénarios et trois niveaux de dépenses.

Quels scénarios retenir pour le calendrier de la loi ?

Trois suffisent, comme outils de planification et non comme pronostics : un texte adopté au premier trimestre 2027, un texte adopté d'ici l'été 2027, et un texte qui n'aboutirait pas avant la fin de l'année 2027. Pour chaque scénario, posez une seule question : quelles dépenses sont déclenchées, et à quel moment ?

Quels niveaux de dépenses distinguer ?

Le socle sans regret regroupe ce que vous financeriez même sans loi : gestion des correctifs et des vulnérabilités, sauvegardes testées en restauration, authentification multifacteur sur les accès sensibles, cartographie des actifs, exercice de gestion de crise annuel, inventaire des fournisseurs critiques. Il est budgété ferme.

L'enveloppe conditionnelle couvre ce que la loi rendrait nécessaire : analyse de périmètre, mise en place de la gouvernance dédiée, audits, dossiers de démonstration de conformité. Elle n'est pas affectée à des lignes précises. Elle est provisionnée et se libère sur un jalon défini à l'avance, par exemple la promulgation du texte ou la publication des décrets d'application.

Les accélérateurs concernent les usages nouveaux : sécurisation des agents IA et de leurs droits d'accès, supervision renforcée, durcissement de la chaîne de prestataires. Ils se justifient par un risque propre, indépendamment de NIS 2. Nous en traitons un cas dans notre analyse sur la cyberdéfense et les agents IA.

Que donne un exemple chiffré ?

Exemple illustratif, sans valeur de benchmark : pour une enveloppe cybersécurité de 600 000 euros, une répartition de 75 % pour le socle (450 000 euros), de 17 % pour l'enveloppe conditionnelle (100 000 euros) et de 8 % pour les accélérateurs (50 000 euros) rend visible ce qui est ferme, ce qui est conditionnel et ce qui est discrétionnaire. Les proportions dépendent de votre point de départ et de votre exposition ; elles servent à fixer le raisonnement, pas à fixer un taux.

Quelle part du budget IT consacrer à la cybersécurité en 2027 ?

La question revient à chaque exercice, et aucune réponse fiable et récente ne s'applique à toutes les entreprises. Les repères publics existants sont anciens ou mondiaux. Une étude du CESIN de janvier 2024, rapportée par Le Monde Informatique, indique que 45 % des RSSI français déclarent consacrer 5 % ou plus du budget informatique à la cybersécurité, proportion identique à celle de l'année précédente. Les prévisions de Gartner relayées en octobre 2026 situent le marché mondial de la sécurité de l'information à 247,5 milliards de dollars en 2026, en hausse d'environ 13,6 % (chiffres issus d'une analyse secondaire du rapport, non vérifiés à la source). Aucun de ces chiffres ne dit ce qu'une ETI donnée doit dépenser.

Notre recommandation est donc de partir de l'analyse de risque et non d'un pourcentage. Un ratio sert de contrôle de cohérence après coup, pas de point de départ. Notre guide du budget DSI 2027 détaille comment articuler cette ligne avec le reste du portefeuille.

Comment présenter l'arbitrage au comité de direction ?

Le problème n'est pas toujours le montant, mais la lecture que chacun en fait. Dans une étude réalisée par Oxford Economics pour l'éditeur Splunk auprès de 500 RSSI et de 100 membres de conseils d'administration dans le monde (rapportée par Le Monde Informatique en janvier 2025), 29 % des RSSI jugent leur budget suffisant, contre 41 % des administrateurs. Étude d'éditeur et à périmètre mondial, elle ne vaut pas pour la France, mais elle illustre un décalage fréquent : ce que le RSSI demande et ce que le conseil perçoit ne se recouvrent pas.

Pour réduire cet écart, quatre questions suffisent au COMEX :

• Qui, parmi nous, porte la gouvernance des risques cyber ? C'est la recommandation que Leto adresse aux dirigeants dans son analyse du report, et elle ne demande aucun texte.
• Quelle indisponibilité acceptons-nous ? Une durée maximale d'arrêt tolérée pour les trois activités les plus critiques oriente les dépenses mieux qu'un taux.
• Quels fournisseurs ont un accès critique à nos données et à nos systèmes ? Notre analyse sur la coordination des prestataires et notre checklist de réversibilité cloud et SaaS proposent des points de départ.
• Quelle enveloppe se débloque, sur quel jalon, et qui décide ? Cette dernière question est celle du budget conditionnel.

Quelles erreurs éviter ?

Trois reviennent. D'abord, suspendre toute dépense en attendant le vote : le socle sans regret se retrouve alors financé en urgence, ou pas du tout. Ensuite, budgéter toute la conformité comme si la date était connue, ce qui immobilise des fonds sur des hypothèses. Enfin, mêler dans une même ligne la cybersécurité et les nouveaux usages d'IA : la seconde catégorie a ses propres risques, que le comité doit voir séparément, comme nous le montrons dans le budget IA 2027.

Quelle décision pour le prochain comité de direction ?

Le texte sera voté, tôt ou tard, et le COMEX n'a pas besoin d'en connaître la date pour décider. Il lui faut un responsable nommé pour la gouvernance cyber, un socle financé, et une enveloppe dont le déclenchement est écrit. La vraie difficulté est ailleurs : accepter qu'une partie du budget reste volontairement non affectée pendant quelques mois, au risque de la voir réclamée par un autre projet lors de l'arbitrage. Qui, chez vous, a l'autorité pour la protéger ?

Le regard de digitalie_

Chez digitalie_, nous considérons qu'un budget cybersécurité se construit comme un portefeuille : un socle ferme, une réserve conditionnelle avec un jalon de déclenchement, et des paris nommés. Nous aidons les directions générales et les DSI à articuler cette ligne avec leur feuille de route et leurs arbitrages de transformation. Si vous préparez votre budget 2027, nous proposons un échange de 30 minutes pour confronter votre répartition à cette grille.

Questions fréquentes

Où en est la loi Résilience (transposition de NIS 2) en octobre 2026 ?

Adopté par le Sénat le 12 mars 2025, le projet de loi devait être examiné par l'Assemblée nationale les 7 et 9 octobre 2026, puis a été retiré de l'ordre du jour le 6 octobre. Le rapporteur espère une réinscription sous deux à trois semaines, sans date confirmée.

Faut-il attendre le vote de la loi pour budgéter la cybersécurité en 2027 ?

Non. Le socle de dépenses (correctifs, sauvegardes testées, authentification forte, cartographie, gestion de crise, fournisseurs critiques) se justifie sans loi. Seule la part de conformité propre à NIS 2 peut être provisionnée dans une enveloppe conditionnelle, libérée sur un jalon défini : promulgation ou décrets d'application.

Quelle part du budget informatique consacrer à la cybersécurité ?

Aucun taux ne s'impose. Une étude du CESIN de janvier 2024 indique que 45 % des RSSI français consacrent 5 % ou plus du budget IT à la cybersécurité. Partez de votre analyse de risque et utilisez ce type de ratio comme simple contrôle de cohérence.

Mon entreprise est-elle concernée par NIS 2 ?

L'ANSSI propose le simulateur MonEspaceNIS2 pour vérifier l'éligibilité à la qualité d'entité essentielle ou importante. Le périmètre définitif dépendra du texte de transposition ; il vaut mieux lancer l'évaluation maintenant et la confirmer à l'adoption de la loi.

Sources

1. ANSSI, La directive NIS 2 (ReCyF, MonEspaceNIS2, publication de la directive en décembre 2022), consulté le 12 octobre 2026.
2. Leto, NIS 2 : l'Assemblée nationale reporte de nouveau l'examen du projet de loi Résilience, sans nouvelle date (retrait du 6 octobre 2026, dates du texte). Source juridique commerciale, informations à confirmer sur le site de l'Assemblée nationale.
3. Next, Alléluia ! La transposition de NIS2 est enfin à l'ordre du jour de l'Assemblée nationale (article du 22 septembre 2026, mis à jour le 6 octobre 2026).
4. Olivier Cadic, sénateur, tribune pour le Cybercercle (17 avril 2026) : calendrier de transposition. Texte d'opinion.
5. Le Monde Informatique, Un niveau de menaces toujours très élevé en 2025 selon l'ANSSI (Panorama de la cybermenace 2025, 11 mars 2026).
6. Le Monde Informatique, Les budgets cybersécurité dans la tourmente (31 janvier 2025 : étude Oxford Economics pour Splunk, 600 participants ; étude CESIN de janvier 2024).
7. Software Strategies Blog, analyse du Gartner 3Q26 Information Security Forecast (5 octobre 2026). Source secondaire, rapport Gartner non consulté.

Liens internes : service Transformation digitale, Budget DSI 2027, Budget IA 2027, réversibilité cloud et SaaS, cyberdéfense et agents IA, coordination des prestataires.