L’ENISA place les dépendances numériques au cœur de son analyse des menaces de 2026

La nouveauté vérifiable n’est pas la confirmation d’une cyberattaque précise, mais la publication d’une analyse des menaces. L’Agence de l’Union européenne pour la cybersécurité (ENISA) a daté son rapport ENISA Threat Landscape 2026 du 22 septembre 2026. Selon la fiche du document, l’agence a recueilli et analysé des incidents et des événements observés entre le 1er janvier et le 31 décembre 2025. Cette période compte : le rapport décrit une période achevée, et non un décompte des incidents survenus tout au long de 2026. Source : ENISA.

La communication associée au rapport met l’accent sur une idée : les dépendances cyber peuvent élargir la surface d’attaque et exigent une vigilance accrue afin de prévenir les incidents et d’en limiter les effets. Il s’agit d’une orientation générale sur le paysage des menaces, et non d’une preuve qu’une vulnérabilité déterminée a été exploitée ou d’une alerte visant une entreprise en particulier. Il convient de distinguer la publication de l’analyse de la notification d’un incident : ce sont des informations de nature différente, qui appellent des questions de vérification distinctes. Source : ENISA.

Une organisation ne dépend pas uniquement de ses propres équipements et logiciels. Elle utilise aussi des services externes, des composants technologiques, des fournisseurs et des connexions avec d’autres entités. Lorsqu’une fonction essentielle repose sur ces éléments, une panne ou un incident en dehors de l’organisation peut avoir des répercussions sur ses activités. Dans sa description publique, l’ENISA identifie les dépendances comme un facteur d’élargissement de la surface d’attaque et relie leur gestion à la résilience numérique ; les documents consultés ne donnent pas de cas précis permettant d’attribuer un impact déterminé à un fournisseur particulier. Source : ENISA.

En pratique, cela signifie qu’un examen de sécurité ne devrait pas s’arrêter au périmètre propre de l’organisation. Un inventaire utile devrait permettre de repérer les services et composants externes qui soutiennent des processus importants, d’identifier leurs fournisseurs et de savoir quelle solution de remplacement existe s’ils deviennent indisponibles. Il s’agit d’une recommandation éditoriale tirée du sujet mis en avant par l’ENISA, et non d’une liste de mesures que l’extrait consulté attribuerait littéralement au rapport. Il convient également de distinguer dépendance et vulnérabilité : connaître une relation d’approvisionnement ne prouve pas, à lui seul, l’existence d’une faille exploitable.

La fiche publique confirme le titre, la date de publication et la période d’observation. La note de l’ENISA sur l’évolution du paysage des menaces souligne l’élargissement de la surface d’attaque lié aux dépendances numériques. Ces éléments permettent de présenter le thème général du rapport, mais il serait imprudent de résumer des chiffres, les secteurs les plus touchés, des familles de menaces ou des classements sans les avoir vérifiés dans le document intégral. La précision commence par le refus de compléter par des conjectures ce qu’une fiche synthétique ne dit pas. Source : fiche de publication de l’ENISA.

Il faut également maintenir visible une distinction temporelle. L’analyse rassemble des observations de 2025 et a été publiée en septembre 2026 ; elle ne constitue donc pas une mesure en temps réel et ne permet pas d’affirmer que chaque tendance décrite continue de progresser à la date de publication. L’annonce par l’ENISA d’un événement le 29 septembre indique qu’une présentation des tendances du rapport et de leurs implications pour la résilience européenne est prévue, mais elle ne remplace pas l’étude et ne confirme pas à elle seule ses résultats. Source : événement de l’ENISA.

Pour les équipes technologiques et de sécurité, l’attention portée aux dépendances peut se traduire par un examen progressif, sans présumer que toutes les organisations présentent les mêmes risques. Une première étape consiste à repérer les services externes qui soutiennent les opérations prioritaires. Ensuite, il est utile de vérifier quelles informations existent sur les interruptions, la gestion des incidents et les moyens de contact. Ces questions ne constituent pas des conclusions du rapport : elles permettent d’appliquer son thème général à une évaluation interne, adaptée aux activités et aux obligations de chaque entité.

Un premier examen peut s’appuyer sur les critères suivants :

• Dépendances critiques : quel fournisseur ou composant soutient chaque processus prioritaire.
• Conséquences d’une interruption : quelles fonctions seraient touchées et pendant combien de temps.
• Réponse et continuité : comment un incident est signalé et quelles solutions de remplacement sont prévues.
• Éléments de preuve à jour : quand les informations ont été examinées pour la dernière fois et qui les a validées.

Il n’est pas nécessaire de transformer cette liste en audit exhaustif pour qu’elle soit utile. Son intérêt est de rendre explicites des relations qui, autrement, pourraient être réparties entre les achats, les opérations et les équipes technologiques. Elle ne certifie pas non plus la conformité réglementaire et ne remplace pas les évaluations des risques qui s’imposent.

Pour attribuer un fait précis au rapport, il faudrait consulter le document intégral et vérifier les données, les exemples et la méthodologie qu’il présente. Toute affirmation concernant une organisation touchée devrait également être confrontée aux communications ou aux documents de cette entité, et faire l’objet d’une confirmation indépendante lorsqu’il s’agit d’un incident. La fiche de publication et la note institutionnelle établissent l’existence, la date et l’orientation générale de l’analyse ; à elles seules, elles ne prouvent ni une intrusion individuelle ni ses conséquences. Source : ENISA.

La démarche éditoriale comporte donc deux volets : présenter le rapport comme une évaluation de la période 2025 et expliquer que l’ENISA souligne le rôle des dépendances numériques, sans transformer cette idée en alerte sur une attaque en cours. La principale limite tient au niveau de détail vérifiable dans les sources consultées ; l’indiquer explicitement évite d’aller au-delà de ce que permettent les éléments disponibles. La conclusion défendable reste circonscrite : la publication place la résilience et les dépendances au cœur du débat européen sur les cybermenaces, tandis que tout récit d’incidents, de chiffres ou de recommandations précises doit être vérifié dans le rapport intégral.