De la peur à l'acceptation : pourquoi le discours cyber doit changer

Hackers en capuche, comptes à rebours, coût moyen d'une cyberattaque en gros caractères : pendant des années, le marché de la cybersécurité a vendu la peur. Et ça a fonctionné.

Ce n'est plus le cas. La menace n'est plus une fiction : vos acheteurs l'ont acceptée. Ils n'ont plus besoin d'avoir peur, ils ont besoin de s'organiser pour y faire face. Beaucoup d'éditeurs parlent pourtant encore avec une étape de retard sur leurs clients.

Pourquoi le marché a vendu la peur

Historiquement, la cybersécurité était un sujet assez peu stratégique pour les entreprises. C'était un centre de coût plutôt qu'un investissement au ROI direct, tout du moins tant que rien n'arrivait.

Le RSSI, lui, a toujours été convaincu de l'intérêt d'intégrer des solutions de cybersécurité. Son rôle consistait surtout à convaincre en permanence en interne de leur importance.

Dans ce contexte, l'argument le plus efficace était celui des compagnies d'assurances : faire peur. Montrer ce qui pourrait arriver pour justifier une dépense dont le bénéfice restait invisible.

Mais la donne a changé. Les enjeux cyber sont devenus réels et sont passés au premier plan pour toute entreprise un minimum digitalisée. Plus personne n'est à l'abri de se faire attaquer ou d'exposer involontairement ses systèmes.

La courbe du changement appliquée au marché cyber

Pour comprendre où en est le marché, on peut reprendre la courbe du changement, inspirée du modèle de Kübler-Ross. Elle décrit les étapes que l'on traverse face à un bouleversement.

Appliquée à la menace cyber, elle donne cinq étapes :

1. Déni. « Ça n'arrive qu'aux grands groupes. » La cyber est un centre de coût. Les éditeurs alertent à coups de statistiques d'attaques.
2. Peur. Les premières attaques touchent des proches ou des concurrents. Les éditeurs font peur, comme une assurance.
3. Marchandage. « On fait le minimum pour cocher la case. » Les éditeurs vendent la conformité.
4. Acceptation. « Nous serons attaqués : la question est quand, et comment nous réagirons. » C'est là qu'en sont aujourd'hui la plupart de vos acheteurs.
5. Structuration. Organisation, processus, outils, culture interne. Le discours porte sur les capacités, la résilience et le ROI.

L'entrée en vigueur de NIS2 illustre bien l'étape du marchandage. La directive représentait une obligation pour les entreprises, donc une opportunité commerciale : toutes les entreprises cyber se sont positionnées dessus.

Le décalage est là. Vos acheteurs sont passés à l'acceptation, et s'arment pour mieux faire face à la menace. Si votre discours en est encore à la peur, il répond à une question qu'ils ne se posent plus.

Tous les marchés n'en sont pas au même stade

Toutes les entreprises n'avancent pas au même rythme. Les grands comptes et les secteurs régulés sont souvent déjà en phase d'acceptation, voire de structuration. Une partie des PME se situe encore entre le déni et le marchandage.

Votre discours doit donc tenir compte du niveau de maturité de vos cibles, plutôt que de s'adresser à tout le marché de la même façon.

Le RSSI et le CEO dans la même pièce

Le rôle du RSSI s'étend désormais bien au-delà de la conformité, et la cybersécurité est devenue un sujet de direction générale.

Une étude menée par Splunk avec Oxford Economics auprès de 500 responsables sécurité et 100 administrateurs, dans dix pays dont la France, le montre clairement. 82 % des RSSI interrogés échangent directement avec leur CEO, et 83 % participent assez souvent ou la plupart du temps aux réunions du conseil d'administration (Splunk, 2025).

La réglementation va dans le même sens. Avec NIS2, les organes de direction doivent approuver les mesures de cybersécurité, superviser leur mise en œuvre, et peuvent être tenus responsables en cas de manquement. Ils doivent aussi se former (NIS2, article 20).

Pour un éditeur, la conséquence est directe. Le RSSI devient un allié qui porte votre solution devant la direction, et il a besoin d'arguments business pour le faire. Le CEO, lui, entre dans la décision. Il vous faut donc deux niveaux de discours, cohérents entre eux : l'un pour le RSSI, l'autre pour le CEO.

Le discours de l'étape suivante

Aujourd'hui, tout le monde comprend la menace et ce qu'elle représente. Il faut donc positionner votre solution autrement, en mettant en avant :

• ses capacités : ce qu'elle permet concrètement de faire ;
• sa résilience : ce qu'elle garantit en cas d'incident ;
• son ROI : ce qu'elle rapporte ou évite à l'entreprise ;
• sa facilité de prise en main, pour des équipes aux niveaux de maturité très variés selon les profils.

Le discours cyber se rapproche ainsi de celui des solutions SaaS traditionnelles, qui parlent aux CEO. La peur n'est plus un argument : c'est votre capacité à aider le client à s'organiser qui fait la différence.

Trois questions à vous poser

Il n'existe pas de discours universel. Avant de tout réécrire, commencez par vous poser trois questions :

1. Comment vous sentez-vous face à votre positionnement actuel ?
2. Parle-t-il encore vraiment aux RSSI avec qui vous échangez ?
3. Comment voyez-vous l'évolution de votre positionnement et de votre discours dans les mois à venir ?

Questions fréquentes

Faut-il arrêter complètement de parler de la menace ?

Non. La menace reste le contexte, mais elle ne doit plus être l'argument principal. Vos acheteurs la connaissent déjà : ce qu'ils attendent, c'est la façon dont votre solution les aide à y faire face.

NIS2 est-il encore un bon argument commercial ?

C'est un argument de conformité, utile pour les entreprises encore au stade du marchandage. Pour les acheteurs plus matures, il ne suffit plus : ils attendent des capacités, de la résilience et un ROI.

À qui doit s'adresser le discours d'un éditeur cyber ?

Au RSSI et au CEO, avec deux niveaux de lecture cohérents. Le RSSI a besoin d'éléments techniques et d'arguments business pour porter la décision. Le CEO a besoin de comprendre ce que la solution change pour l'entreprise.

Comment Plan B peut vous aider

Plan B accompagne les éditeurs de cybersécurité sur leur positionnement et leur discours de marque, pour parler aussi bien au RSSI qu'au CEO. Un audit permet de faire le point sur votre discours actuel et sur son niveau de décalage avec la maturité de vos cibles.