Traiter la cybersécurité comme l'ESG

Pendant longtemps, la cybersécurité a été perçue dans le private equity comme un sujet technique « à régler après l’acquisition ». Au mieux, une ligne budgétaire. Au pire, un poste de coût négligeable.

Cette vision devient dangereusement obsolète.

Un incident cyber majeur de type ransomware, fuite de données stratégiques ou sabotage, n’est plus un simple problème informatique. C’est un choc économique. Un risque direct de destruction de valeur. Parfois même, un levier de prédation concurrentielle utilisé par des adversaires bien identifiés.

Comme le souligne Wellington Management dans son analyse sur la cybersécurité en private equity :

Bien qu’elle ait été considérée comme un problème technologique auparavant, la cybersécurité est devenue une préoccupation ESG de plus en plus matérielle pour les entreprises privées, les investisseurs, les régulateurs et les consommateurs.

En clair : un vrai sujet d’intelligence économique.

Pour les fonds français, la question n’est plus « faut-il s’y intéresser ? » mais comment intégrer la cyber au même niveau que l’ESG dans la due diligence et le pilotage post-acquisition.

Le ransomware détruit de la valeur, pas des serveurs

Le scénario est devenu banal. Une entreprise du portefeuille est chiffrée. L’activité s’arrête pendant plusieurs jours, voire plusieurs semaines. Les données sont exfiltrées. La pression médiatique et réglementaire monte. Les clients perdent confiance. Et la trajectoire de croissance prévue au business plan ? Cassée net.

Dans ces moments-là, personne ne se demande « pourquoi le patch n’était pas appliqué ? » ou « pourquoi le MFA n’était pas généralisé ? ».

La vraie question, c’est : combien de valeur vient d’être détruite ?

Un ransomware est une attaque directe sur la capacité productive. Il peut décaler un plan de transformation, bloquer une fusion en cours, créer une asymétrie d’information au profit d’un concurrent, et même compromettre une sortie.

Vu sous l’angle de l’intelligence économique, c’est une opération de déstabilisation économique. La cyber devient un terrain de conflictualité silencieuse, où la valeur circule et se volatilise de manière invisible.

Comme le soulignait déjà le rapport parlementaire sur la cybersécurité des entreprises :

Les fonds d’investissement et les banques ont un alignement d’intérêt à ce que les entreprises qu’ils financent soient matures en termes de cybersécurité de manière à préserver les sommes investies.

Due diligence cyber : acheter en connaissance de cause

Les fonds ont déjà institutionnalisé l’ESG dans leurs processus d’investissement. Cadre d’analyse standardisé, scoring, identification des red flags, plan de remédiation post-acquisition, suivi au board. Tout est là.

La cyber doit emprunter la même trajectoire.

Une due diligence cyber utile va au-delà des contrôles et des scorecards externes : utiles pour objectiver l’exposition visible, elles ne disent rien, à elles seules, de la maturité stratégique et opérationnelle face aux scénarios de destruction de valeur. Elle doit répondre à trois questions d’investisseur :

1. Quels sont les actifs numériques réellement stratégiques ? Propriété intellectuelle, base clients, secrets industriels, outils de production critiques.
2. Quels scénarios peuvent détruire la valeur à 12-36 mois ? Blocage d’activité prolongé, fuite de données sensibles, dépendance critique à un prestataire, compromission de la supply chain IT.
3. Combien coûte la remise à niveau ? CAPEX, OPEX, calendrier de déploiement, impact sur le business plan.

Le résultat attendu ? Un arbitrage d’investissement éclairé. Et un plan post-deal chiffré, priorisé, pilotable.

Concentrer l’effort sur les 3 à 5 risques qui menacent vraiment la thèse d’investissement

Dans un portefeuille, la maturité cyber est hétérogène. Vouloir « tout faire » conduit généralement à ne rien faire vraiment.

Les fonds gagnent à imposer une logique simple : identifier les 3 à 5 risques qui menacent directement la thèse d’investissement, et concentrer l’effort dessus.

Exemples de risques typiques dans un portefeuille :

• Indisponibilité prolongée d’un actif critique (ransomware sur l’ERP)
• Fuite de données stratégiques (pricing, clients, R&D)
• Dépendance technologique non maîtrisée (prestataires critiques)
• Capacité de détection et de réponse insuffisante

C’est exactement la même approche que pour l’ESG : prioriser ce qui menace la valeur. Puis industrialiser.

La vague réglementaire européenne : le risque de non-conformité devient majeur

DORA, NIS2, Cyber Resilience Act, Cybersecurity Act… La régulation européenne se durcit rapidement, et avec elle, le risque de non-conformité devient un enjeu de valorisation à part entière.

Pour les fonds eux-mêmes, DORA est déjà applicable depuis janvier 2025 et impose une résilience opérationnelle numérique stricte : gouvernance formalisée, maîtrise des prestataires critiques, tests réguliers, reporting obligatoire des incidents.

Pour les entreprises du portefeuille, c’est un empilement réglementaire qui s’accélère. NIS2 (industrie, santé, numérique, logistique…), le Cyber Resilience Act pour les produits connectés et logiciels, le Cybersecurity Act qui renforce la certification européenne… Chaque texte apporte son lot d’exigences, de coûts de mise en conformité, et de risques en cas de manquement : amendes, suspension d’activité, retrait de marché.

Le message est clair : la cyber n’est plus un sujet « technique » que l’on traite en interne. C’est devenu un sujet de conformité réglementaire structurant, avec un impact direct sur la capacité à opérer, à se financer, et à sortir proprement d’un investissement.

Concrètement, qu’est-ce que ça change pour les fonds français ?

Quatre chantiers à industrialiser :

1. Normaliser une due diligence cyber « investisseur » Avec un scoring simple : valeur menacée / probabilité / coût de remédiation.

2. Packager un « plan cyber » post-deal comme pour l’ESG : quick wins + trajectoire 18-24 mois.

3. Mettre la cyber au board Pas seulement en comité IT. Au même niveau que le risque financier et l’ESG, parce que l’impact est business.

4. Piloter le risque cyber au niveau du portefeuille dashboard consolidé, remontée des incidents, cartographie des dépendances critiques, maturité minimale commune.

La cyber est devenue un facteur de valeur… ou de décote

Le private equity est un métier d’anticipation et de maîtrise du risque.

À ce titre, ignorer la cyber aujourd’hui revient à ignorer un déterminant majeur de la valeur future.

Comme l’ESG il y a dix ans, la cybersécurité est en train de transitionner : d’un sujet périphérique vers un standard d’investissement. Avec une prime claire aux acteurs qui anticipent.

La question n’est plus « si », mais à quelle vitesse les fonds français vont industrialiser cette capacité.