ENISA publie son évaluation: 45 % des prestataires IT de l’UE mettent plus de trois mois à corriger des failles critiques

D’après la dernière évaluation de l’Agence de l’Union européenne pour la cybersécurité (ENISA), le niveau de menace cyber dans l’Union européenne restera « substantiel » jusqu’en juillet 2026. Et 45 % des prestataires de services informatiques interrogés par l’ENISA disent mettre plus de trois mois à appliquer des correctifs critiques sur des systèmes critiques.

Trois mois, c’est long. Très long. Une faille tout juste rendue publique peut être transformée en exploit utilisable par des attaquants en quelques jours, parfois encore plus vite.

IObit Software Updater Télécharger

Quand ce retard concerne un prestataire qui fait tourner des systèmes pour d’autres entreprises, le problème ne s’arrête plus à un seul acteur. C’est toute une chaîne de clients qui peut se retrouver exposée. L’ENISA pointe d’ailleurs directement ces fournisseurs de services informatiques, dont la lenteur à corriger peut finir par devenir un risque systémique. Autre signe d’une faiblesse opérationnelle, 43 % des prestataires sondés par l’ENISA n’avaient mené aucune évaluation de cybersécurité depuis plus d’un an.

La période qui sépare la divulgation d’une vulnérabilité de son exploitation active, elle, continue de se raccourcir. Des travaux récents parlent d’une moyenne d’environ cinq jours.

Attendre plusieurs mois avant de déployer un correctif sur une infrastructure critique, dans ces conditions, revient à laisser une porte ouverte beaucoup trop longtemps. Et les conséquences n’ont rien d’abstrait : selon des travaux récents, environ 60 % des violations de données impliqueraient des vulnérabilités connues pour lesquelles des correctifs existaient déjà. Les mêmes travaux indiquent aussi que les logiciels non corrigés compteraient dans près d’un tiers des attaques par rançongiciel. Quant au coût moyen d’une violation de données, il a atteint 4,88 millions de dollars en 2024, d’après des estimations récentes.

Les chiffres européens, pourtant, donnent au premier regard une impression de solidité. L’indice cybersécurité révisé de l’ENISA attribue à l’Union européenne une moyenne de 71,53 sur 100, avec vingt-deux États membres sur vingt-sept situés entre 60 et 80, deux au-dessus de 80, et trois entre 40 et 60.

Mieux vaut ne pas aller trop vite. L’ENISA précise que son cadre méthodologique a changé, ce qui empêche toute comparaison directe avec 2024. Et surtout, un bon score national ne veut pas dire que les fournisseurs, pris un par un, corrigent vite leurs systèmes, ni que les pratiques sur le terrain avancent au même rythme que les tableaux de bord institutionnels. L’ENISA ajoute enfin que son évaluation actuelle n’intègre pas encore pleinement l’impact de certaines évolutions technologiques émergentes. Une partie du risque peut donc encore rester hors champ.

Un point ressort presque comme une anomalie : dans l’indice de l’ENISA, la gestion des risques liés à la chaîne d’approvisionnement obtient un score de 89,91, avec 25 pays classés à un niveau avancé. Pourtant, 37 % des organisations disent que c’est l’exigence de la directive NIS2 la plus difficile à mettre en œuvre, toujours selon l’ENISA.

Et ce n’est pas marginal. Plus d’un tiers des structures hors secteur bancaire s’estiment même, pour la plupart, pas prêtes sur ce sujet, selon l’ENISA. La préparation réglementaire semble donc solide sur le papier, mais l’exécution reste très inégale. Le vrai goulot d’étranglement n’est plus seulement la détection des failles. C’est le tri, la priorisation, les tests, puis la remédiation sans interrompre le service. Pour les clients, le message est assez simple : les audits de fournisseurs et les délais réels de déploiement des correctifs pèsent désormais autant que les certifications et les scores nationaux.

Author: Manuel Bosque

{ "social": { "email": "", "facebook": "", "twitter": "", "linkedin": "" }, "ja-JP": "", "de-DE": "Manuel Bosque schreibt bei Softonic über Software: Desktop-Programme, Produktivitätswerkzeuge und kleine Tools, die ein Problem wirklich lösen. Sein Maßstab ist praktisch — was ein Programm tatsächlich leistet, was es dafür verlangt und für wen es sich lohnt —, deshalb misstraut er Funktionslisten und testet lieber selbst. Er gehört zum Team, das festlegt, wie Software auf der Seite behandelt wird, und arbeitet täglich mit KI-Werkzeugen in der redaktionellen Produktion.", "en-US": "Manuel Bosque covers software at Softonic: desktop programs, productivity tools and the small utilities that solve one problem well. His approach is practical — what a program actually does, what it asks in return and who it is for — which is why he distrusts feature lists and prefers to test. He is part of the team that decides how software gets covered on the site, and works daily with AI tools applied to editorial production.", "es-ES": "Manuel Bosque se ocupa de la cobertura de software en Softonic: programas de escritorio, herramientas de productividad y utilidades pequeñas que resuelven bien un solo problema. Su criterio es práctico —qué hace realmente un programa, qué pide a cambio y a quién le sirve—, y por eso desconfía de las listas de funciones y prefiere probar. Forma parte del equipo que decide cómo se cuenta el software en la web y trabaja a diario con herramientas de IA aplicadas a la producción editorial.", "fr-FR": "Manuel Bosque couvre les logiciels chez Softonic : programmes de bureau, outils de productivité et petits utilitaires qui résolvent bien un seul problème. Son approche est pratique — ce qu'un logiciel fait vraiment, ce qu'il demande en échange et à qui il s'adresse —, d'où sa méfiance envers les listes de fonctionnalités et sa préférence pour l'essai. Il fait partie de l'équipe qui définit la manière de traiter le logiciel sur le site et travaille au quotidien avec des outils d'IA appliqués à la production éditoriale.", "it-IT": "Manuel Bosque si occupa di software su Softonic: programmi per il desktop, strumenti di produttività e piccole utility che risolvono bene un solo problema. Il suo criterio è pratico — cosa fa davvero un programma, cosa chiede in cambio e a chi serve — e per questo diffida degli elenchi di funzioni e preferisce provare. Fa parte del team che decide come si racconta il software sul sito e lavora ogni giorno con strumenti di IA applicati alla produzione editoriale.", "nl-NL": "Manuel Bosque schrijft bij Softonic over software: desktopprogramma's, productiviteitstools en kleine hulpprogramma's die één probleem echt oplossen. Zijn maatstaf is praktisch — wat een programma werkelijk doet, wat het daarvoor vraagt en voor wie het nuttig is — en daarom wantrouwt hij functielijstjes en test hij liever zelf. Hij maakt deel uit van het team dat bepaalt hoe software op de site wordt behandeld en werkt dagelijks met AI-tools in de redactionele productie.", "pl-PL": "Manuel Bosque zajmuje się oprogramowaniem w Softonicu: programami na komputer, narzędziami do pracy i niewielkimi aplikacjami, które dobrze rozwiązują jeden problem. Jego kryterium jest praktyczne — co program naprawdę robi, czego wymaga w zamian i komu się przyda — dlatego nie ufa listom funkcji i woli sprawdzić sam. Należy do zespołu, który decyduje, jak pisać o oprogramowaniu w serwisie, i codziennie korzysta z narzędzi AI w produkcji redakcyjnej.", "pt-BR": "Manuel Bosque cobre software na Softonic: programas para desktop, ferramentas de produtividade e pequenos utilitários que resolvem bem um problema só. Seu critério é prático — o que um programa realmente faz, o que pede em troca e para quem serve — e por isso desconfia de listas de recursos e prefere testar. Faz parte da equipe que define como o software é abordado no site e trabalha diariamente com ferramentas de IA aplicadas à produção editorial." }