Ces chiffres montrent que la menace cyber a changé d’échelle : elle ne s’arrête plus aux portes de l’entreprise ciblée, mais s’étend à tout son écosystème.
Cette réalité impacte directement la manière dont sont mesurés les risques technologiques dans le cadre de fusions et acquisitions portant sur des actifs logiciels. L’acquéreur doit désormais s’attacher à évaluer le risque cyber dans sa globalité, en mesurant non seulement l’exposition de l’actif technologique mais aussi de l’ensemble de ses dépendances.
Les points clés à retenir sur l’analyse du risque de cybersécurité en M&A
- L’exploitation des vulnérabilités logicielles constitue désormais la porte d’entrée principale des attaques cyber.
- L’évaluation du risque cyber d’une entreprise tech nécessite une vision globale, intégrant l’ensemble de ses fournisseurs et de ses dépendances logicielles.
- Pour l’investisseur, l’enjeu est de traduire les constats techniques en risques, investissements futurs et impacts potentiels sur la croissance.
- Une vulnérabilité ne doit pas nécessairement être considérée comme un problème grave : sa portée dépend de son contexte et de sa capacité de remédiation.
Du risque de conformité à l’impact économique
Les entreprises consacrent déjà une part significative de leurs ressources IT à la sécurité. Selon l’étude NIS Investments 2025 de l’ENISA, réalisée auprès de 1 080 professionnels représentant des organisations européennes, les budgets cyber représentent 9 % des budgets IT (4).
La réglementation reste le premier moteur de ces investissements : 70 % des organisations interrogées citent la conformité réglementaire. Mais 42 % mentionnent également la prévention des risques financiers ou réputationnels (4).
La cybersécurité doit donc également être examinée comme un risque économique susceptible d’affecter les clients, la continuité d’activité, les coûts futurs, sa capacité à grossir et donc in fine, sa valorisation.
Traduire les risques cyber en risques financiers
Lors d’une acquisition, savoir qu’une entreprise présente des failles de cybersécurité apporte finalement assez peu d’information si ces vulnérabilités ne sont pas contextualisées.
Ce que va chercher à comprendre une deal-team au moment de la phase d’audit ou de due diligence, c’est quel est l’impact d’une vulnérabilité de cybersécurité sur les projections de croissance de l’actif. Pour ce faire, ces équipes structurent leur analyse autour de trois dimensions clés :
- Le risque embarqué post-closing. Certaines vulnérabilités peuvent-elles affecter le produit, les données, les clients ou la continuité de l’activité ? Les faiblesses observées sont-elles isolées ou témoignent-elles d’un problème plus structurel ?
- L’impact budgétaire (Capex / Opex). Une remédiation peut nécessiter du temps, de nouveaux outils, des compétences supplémentaires ou une évolution des processus. Ces éléments peuvent se traduire en OPEX ou CAPEX à intégrer au plan de création de valeur.
- Capacité à soutenir le business plan. Une architecture et une organisation adaptées à quelques dizaines de clients ne répondent pas nécessairement aux mêmes exigences de sécurité lorsqu’une entreprise vise des centaines de clients, de nouveaux marchés, de grands comptes ou une stratégie de build-up.
Comment évaluer le risque de cybersécurité pendant une due diligence ?
Le plus souvent la posture cyber va être évaluée par l’entreprise acquéreuse au travers d’un audit approfondi de la cybersécurité, aussi nommé due diligence.
Le volet cyber est souvent même embarqué dans une due diligence technologique, qui va appréhender l’actif logiciel dans son ensemble pour identifier non seulement les vulnérabilités en matière de cybersécurité mais également les risques de propriété intellectuelle ou encore les risques de maintenabilité de l’actif à long terme.
Cette due diligence va mettre en exergue un certain nombre de vulnérabilités, au travers de différentes méthodes d’analyse exhaustives :
- scan de code, étape factuelle indispensable pour identifier des failles connues ou recenser les dépendances open source,
- network footprint, une méthode non intrusive mettant en lumière les possibles points d’entrée faciles sur un réseau,
- voire pen test pour évaluer les capacités de résistance à une attaque extérieure.
Pris tels quels, sans contextualisation, les résultats de ces analyses peuvent indiquer un grand nombre de failles, qui pourraient effrayer un investisseur.
Le rôle d’une tech due diligence est justement d’apporter un éclairage contextualisé de ces résultats, en éliminant les faux positifs et en replaçant les résultats obtenus après le scan dans leur contexte de roadmap, benchmark d’industrie et de gouvernance.
Conclusion
L’analyse de la cybersécurité d’un actif logiciel peut révéler des maux plus profonds comme des processus de développement non sécurisés, une architecture vieillissante, une dette technologique qui s’accumule ou une gouvernance défaillante. La posture de sécurité devient alors un excellent indicateur de la maturité technologique globale de l’entreprise. Et c’est bien cela que cherche à comprendre un futur acquéreur.
Sources
- Verizon Business, 2024, 2025 et 2026 Data Breach Investigations Report.
- Verizon Business, 2026 Data Breach Investigations Report, 19e édition, 2026.
- Verizon Business, 2025 Data Breach Investigations Report, 2025.
- European Union Agency for Cybersecurity (ENISA), NIS Investments 2025, décembre 2025.
Auteur : Philippe Thomas, CEO de Vaultinum.
Philippe cumule plus de 20 ans d’expérience dans la finance et la technologie. CEO de Vaultinum, il prend régulièrement la parole pour partager sa vision de la tech, de l’IA et de la création de valeur en Private Equity.