Les capacités humaines, talon d’Achille de la montée en puissance cyber de l’UE

L’agence de cybersécurité de l’Union européenne, l’Enisa, a publié, le 8 décembre 2025, la sixième édition de son rapport NIS Investments, consacré aux investissements cyber dans l’UE. Il s’appuie sur les réponses de 1 080 organisations européennes soumises à la directive NIS2. La majorité sont de grandes entités, publiques et privées, œuvrant dans des secteurs critiques : énergie, transports, infrastructures numériques et santé.

Le rapport salue une hausse modérée mais réelle des budgets en cybersécurité, tant en moyenne qu’en médiane. Mais il souligne surtout que les capacités opérationnelles progressent nettement moins vite que les investissements, en raison de facteurs structurels.

La première limitation est humaine : 76 % des organisations éprouvent des difficultés à attirer des professionnels de la cybersécurité et 71 % à les retenir. Les effectifs dédiés à la sécurité informatique demeurent d’ailleurs modestes : 25 spécialistes par organisation en France, 32 en Allemagne. Le deuxième frein concerne les chaînes d’approvisionnement : les répondants déclarent manquer de visibilité sur les pratiques en cybersécurité de leurs fournisseurs.

Le rapport pointe également une hétérogénéité problématique des délais de correction des vulnérabilités. Ces constats vont alimenter les réflexions sur les orientations de la politique européenne en matière de cybersécurité.