Pourquoi certaines entreprises tardent-elles à renforcer leur cybersécurité alors qu’elles connaissent leurs vulnérabilités ? Pourquoi des mesures relativement simples, comme l’authentification multifacteur, la gestion des accès ou la préparation à un incident, restent-elles insuffisamment déployées ? Et surtout, comment expliquer le décalage entre la sensibilisation au risque cyber et le passage à l’action ? C’est à ces questions que s’intéresse notre nouvelle publication du pôle recherche de [La boîte à mots].

Cybersécurité : comprendre les freins à l’adoption des bonnes pratiques

Les démarches de sensibilisation à la cybersécurité et les diagnostics de maturité constituent des étapes essentielles pour améliorer la protection des organisations. Mais ils reposent souvent sur une hypothèse implicite : une organisation qui connaît ses vulnérabilités et sait comment les corriger devrait naturellement engager les actions nécessaires. Or, le passage de la connaissance à l’action ne relève pas uniquement de l’information ou de la compétence technique.

Il dépend également de mécanismes cognitifs, psychologiques, sociaux et organisationnels qui influencent les décisions et les comportements. La perception du risque, le sentiment de vulnérabilité, les biais cognitifs, les arbitrages économiques, la charge mentale, la dilution des responsabilités ou encore les habitudes professionnelles peuvent contribuer à retarder l’adoption des bonnes pratiques de cybersécurité. Comprendre ces mécanismes permet de dépasser une lecture exclusivement technique de la maturité cyber des entreprises.

12 tendances pour décrypter la maturité cyber des organisations en 2026

Notre dossier s’appuie sur une analyse de plusieurs études et baromètres publiés en 2025 et 2026, dont les résultats sont mis en perspective avec des mécanismes issus des sciences humaines et sociales. Il propose le décryptage de 12 tendances qui éclairent les difficultés rencontrées par les entreprises dans leur transition vers une meilleure cybersécurité.

Parmi les questions abordées :

• Pourquoi la conscience du risque cyber progresse-t-elle plus rapidement que la maturité opérationnelle des entreprises ?
• Pourquoi les petites entreprises sous-estiment-elles leur exposition aux cyberattaques opportunistes ?
• Comment les biais cognitifs influencent-ils les décisions d’investissement en cybersécurité ?
• Pourquoi les organisations privilégient-elles parfois des mesures techniques visibles au détriment d’une démarche de sécurité continue ?
• Comment la délégation aux prestataires informatiques peut-elle créer un sentiment de protection excessif ?
• Pourquoi les collaborateurs reconnaissent-ils le facteur humain comme une vulnérabilité sans se considérer eux-mêmes comme particulièrement exposés ?
• Comment le développement du shadow IT et des usages non encadrés de l’intelligence artificielle transforme-t-il les risques cyber ?

Ces tendances mettent en évidence une même difficulté : la maturité cyber ne dépend pas seulement des connaissances et des équipements disponibles, mais aussi de la capacité des organisations à faire évoluer leurs pratiques.

Sensibilisation, diagnostic cyber et politiques publiques : comment favoriser le passage à l’action ?

Depuis plusieurs années, les politiques publiques de cybersécurité ont largement investi dans la sensibilisation des entreprises, la diffusion de recommandations et les dispositifs de diagnostic. Ces démarches ont contribué à rendre le risque cyber plus visible et à faciliter l’identification des vulnérabilités, notamment dans les TPE et PME.

Mais l’identification d’un risque ne garantit pas sa prise en charge. Une entreprise peut connaître ses faiblesses sans disposer du temps, des ressources, des compétences ou de la capacité organisationnelle nécessaires pour y remédier. Elle peut également sous-estimer certaines menaces, surestimer les efforts à accomplir ou considérer que la cybersécurité relève principalement d’un prestataire extérieur.

L’enjeu n’est donc plus seulement d’aider les entreprises à identifier leurs vulnérabilités, mais aussi de comprendre ce qui les empêche de les corriger.

Cette réflexion invite à compléter les démarches traditionnelles de sensibilisation et de diagnostic par des dispositifs d’accompagnement tenant davantage compte des freins au changement, des contraintes opérationnelles et des mécanismes de décision. Elle ouvre également des perspectives pour l’évaluation et l’amélioration des politiques publiques de cybersécurité.

Une publication du pôle recherche de [La boîte à mots]

Ce dossier s’inscrit dans les travaux du pôle recherche de [La boîte à mots], consacrés à la compréhension des mécanismes qui influencent l’acceptabilité des transformations et l’adoption de nouvelles pratiques. Notre démarche vise à mobiliser les apports des sciences humaines et sociales pour mieux comprendre les résistances au changement et contribuer à l’élaboration de stratégies d’accompagnement adaptées aux réalités des organisations.

Appliquée à la cybersécurité, cette approche permet d’interroger les conditions nécessaires pour transformer la sensibilisation en action et renforcer durablement la résilience des entreprises et des territoires.

La publication est préfacée par Antoine Parmentier, responsable de la cellule de réponse à incident régionale d’Urgence Cyber Région Sud, dont l’expérience de terrain apporte un éclairage complémentaire à notre analyse. Depuis 2025, [La boîte à mots] est une entreprise labellisée par Urgence Cyber Région Sud pour ses activités de sensibilisation à la cybersécurité et de communication de crise.

Télécharger gratuitement notre dossier sur la maturité cyber

Cybersécurité : pourquoi savoir ne suffit pas à agir ?
Décryptage des 12 tendances remarquables de 2026

Un dossier de recherche pour mieux comprendre les freins à l’adoption des bonnes pratiques de cybersécurité et les enjeux du passage à l’action.

Publication : octobre 2026
Éditeur : [La boîte à mots] — Pôle recherche
Format : PDF — 30 pages