Aufnahme von EmDee aus wikimedia zeigt das Berlaymont-Gebäude in Brüssel.
Reboot Germany 29.04.2026

Profil de risque 2026 : la prudence coûte cher

5 min de lecture

Les quatre magazines de MBF-Media, cloudmagazin, MyBusinessFuture, Digital Chiefs et SecurityToday, ont publié en avril 2026 un total de 24 recherches originales sur six mouvements parallèles. Lorsque l’on les lit comme un bilan cohérent, il en résulte un profil de risque décalé. La prudence deviendra la position la plus coûteuse en 2026. Les décideurs du secteur moyen qui attendent de voir si NIS2 sera vraiment mis en œuvre, si le règlement AI de l’UE sera appliqué le 2 août, ou si l’IA dans le CRM est plus qu’un argument de vente, paieront plus cher à partir du troisième trimestre que ceux qui se sont exposés. Un bilan d’avril du point de vue de la direction.

Les points clés en bref

  • Six mouvements, un profil de risque. Les spin-offs de Continental, Infineon et ThyssenKrupp au DAX, le bilan intermédiaire de Made for Germany avec 800 milliards d’euros d’engagements sans effet sur le secteur moyen, le trio NIS2/BSI-KRITIS/C5-Compliance, la date butoir du règlement AI de l’UE le 2 août, trois cas de phishing de haut niveau à Berlin, la consolidation de l’IA dans le CRM chez Salesforce, HubSpot et Microsoft Dynamics.
  • Trois types de risques. Les dates butoirs réglementaires (règlement AI, NIS2, seuils KRITIS), les changements d’évaluation (logique de holding, multiples de fusions et acquisitions, accès à la subvention) et les surfaces d’attaque opérationnelles (sensibilisation de haut niveau, architecture KI-CRM). Tout n’est pas également urgent, mais chaque mouvement modifie les coûts de l’attente.
  • Des leviers concrets par cluster. Une revue de l’architecture avant le 2 août peut économiser, selon les valeurs d’expérience des hyperscaleurs, 70 à 130 pour cent par rapport à une rééquipement en Q3. La sensibilisation de haut niveau coûte en moyenne 12 000 euros de coûts de formation et prévient, dans les cas documentés, des dommages compris entre 380 000 euros et 2,4 millions d’euros par incident.
  • La prudence bascule de la vertu au coût. La vertu du secteur moyen a fonctionné tant que les structures de marché étaient stables. En 2026, elle n’est plus neutre, car trois des six clusters ont un caractère de date butoir et trois autres modifient la mécanique d’évaluation.

LiésMade for Germany : bilan intermédiaire avec des lacunes  /  RevOps : l’IA dans le CRM met fin à la discussion en silos

Trois types de risques, auxquels le mois d’avril se résume

Les six mouvements semblent à première vue comme un feu de risque continu. Lorsque l’on les trie par la question de ce que la direction doit faire, il en résulte trois types. Le premier type concerne les dates butoirs réglementaires : les obligations du règlement AI de l’UE le 2 août 2026, les inspections NIS2 depuis le Q4 2025, les seuils BSI-KRITIS réduits pour 2026. Ce sont des délais, pas des options.

Le deuxième type concerne les changements d’évaluation. Les spin-offs du DAX réduisent les multiples pour les conglomérats verticalement intégrés, l’accès à la subvention Made for Germany sépare les entreprises du secteur moyen actives des passives, la consolidation de l’IA dans le CRM déplace la question de l’outil vers une question de modèle de données. Ce sont des tendances qui modifient la base d’évaluation propre, sans date butoir formelle.

Le troisième type concerne les surfaces d’attaque opérationnelles. Le phishing de haut niveau dans la politique berlinoise montre où les programmes de sensibilisation dans le secteur moyen ne sont pas efficaces. La consolidation de l’IA dans le CRM de RevOps met au jour des lacunes dans les pipelines des stacks doubles. Rien de tout cela n’est prescrit par la loi, mais cela coûte dans l’exploitation en cours de manière mesurable.

Trois spin-offs du DAX montrent comment la logique de holding sera dépréciée en 2026

Continental a confirmé le début avril 2026 la scission de ContiTech, Infineon a annoncé 2,7 milliards d’Euro de CapEx supplémentaires pour l’exercice, ThyssenKrupp a introduit Marine Systems à la Bourse de Francfort. Trois conglomérats, trois logiques de valorisation propres distinctes. Le point commun : le marché du capital paie moins cher en 2026 pour la diversification des holdings que pour des unités de valorisation clairement définies.

Pour les entreprises familiales, les holdings de participation et les groupes d’entreprises avec des perspectives de succession ou de vente, cela signifie : la structure de conglomérat n’est plus un sujet juridique secondaire en 2026, mais fait partie de la valorisation. Au niveau des indicateurs clés de performance (KPI), les multiples de fusions et acquisitions pour les conglomérats intégrés verticalement diminuent de 1,8 point d’EBITDA en moyenne depuis le quatrième trimestre 2025, selon PwC. Une décision structurelle pour une transaction en 2027 sera donc prise en été 2026, et non lors de la phase de négociation. Parallèlement, la discussion sur la Sovereign-AI lors de la foire de Hanovre montre que les décisions du conseil d’administration concernant la souveraineté cloud et KI passent du PMO au comité de valorisation.

800 milliards d’Euro d’engagements, le Mittelstand sans autorisation mesurable pour l’instant

L’initiative Made for Germany est active depuis juillet 2025, compte 129 membres et plus de 800 milliards d’Euro d’engagements d’investissement pour 2025 à 2028. Le PIB allemand a augmenté de 0,2 pour cent à la fin de 2025. 85 pour cent des entreprises ne s’attendent pas à une amélioration en 2026, selon le rapport de situation de l’ifo. Le président du BDI, Wolfram Leibinger, qualifie la situation de crise la plus grave depuis la fondation de la République fédérale. Trois clusters de financement sont opérationnels : les centres numériques pour le Mittelstand avec une date limite de soumission du 30 avril pour de nouveaux consortiums thématiques et sectoriels, l’IPCEI-AI avec un volume supérieur à un milliard d’Euro et l’IPCEI-Halbleiter avec 38 projets allemands sélectionnés.

La date limite nationale pour l’IPCEI-AI a expiré le 21 janvier 2026. Ce qui reste en mai, c’est l’appariement européen, dans lequel les entreprises du Mittelstand peuvent se raccorder à des projets existants en tant qu’utilisateurs ou fournisseurs. Les volumes de financement par projet peuvent aller jusqu’à 25 millions d’Euro, et le temps de traitement par profil de raccordement est de quatre à six jours, selon les branches. Celui qui clôture mai sans cette valorisation laisse un créneau vacant, dont la réouverture sera reportée au quatrième trimestre 2026 ou 2027.

Parallèlement, le test de résistance Trump-2.0 modifie le contexte extérieur : 26 pour cent de droits de douane pour la construction de machines, 15 pour cent de droits de douane pour les produits pharmaceutiques de l’UE, l’arrêt de l’usine Intel de Magdebourg. Attendre la menace des droits de douane conduit à une impasse en 2026, car la réalité des droits de douane est déjà arrivée au premier trimestre. Le rapport Deloitte State of AI Enterprise 2026 documente en outre un écart croissant entre les champions cachés avec un usage opérationnel de l’IA dans la tarification et la prévision, et la majorité en mode pilote.

La conformité ne sera plus une question trimestrielle en 2026, mais une question d’architecture

NIS2, BSI-KRITIS et C5 forment pour les configurations multi-cloud DACH une exigence architecturale qui traverse les paysages d’applications, la gestion des données et la gestion des identités. Une mise en œuvre a posteriori au troisième trimestre 2026 coûtera, selon les données d’expérience des grands fournisseurs de cloud, 1,7 à 2,3 fois plus qu’un ensemble de conformité Greenfield planifié. Les coûts supplémentaires résultent de ré-migrations, de ponts d’identité et de nouveaux cycles d’audit, qui sont plus coûteux en exploitation que dans une phase d’architecture planifiée.

S’ajoute à cela la date butoir de l’EU-AI-Act en plein été : pour de nombreuses obligations liées à la KI à haut risque selon l’Annexe III, le 2 août 2026 sera la date butoir opérationnelle. Les entreprises doivent savoir, d’ici là, quels systèmes sont concernés, qui est responsable et quels éléments de preuve manquent. Le report par le Conseil des pénalités à décembre 2027 est toujours en discussion, mais la date butoir d’août reste. Huit des 27 États membres de l’UE ont désigné un organe de surveillance. En Allemagne, le BSI prendra en charge l’inspection à partir d’août. Un inventaire architectural en mai offre 90 jours de temps de réaction, un inventaire en juillet offre nettement moins.

La sensibilisation au mauvais étage, la couche KI rassemble le marketing et les ventes

Les incidents de phishing de niveau supérieur chez la présidente du Bundestag Julia Klöckner, la ministre de l’Éducation Karin Prien et la ministre de la Construction Verena Hubertz ont révélé un constat inconfortable. Les programmes de sensibilisation atteignent les agents de traitement avec des tests de phishing reproduits, mais le top management reste souvent à l’écart. Les codes de vérification sont transmis à des contacts soi-disant fiables, car la confiance est calibrée sur les personnes et non sur les processus. Pour les PME, cela signifie que le programme de formation doit être mis en place de manière inverse. Un test pratique : le directeur financier transmettrait-il son code TAN bancaire par téléphone si l’appelant prétendait être de la banque. Si la réponse n’est pas non sans équivoque, la formation est en retard.

Parallèlement, la couche KI dans Salesforce Einstein, HubSpot Breeze et Microsoft Copilot rassemble le marketing et les ventes en 2026 sur le même niveau de données. RevOps devient ainsi une question de plate-forme, et non plus d’organisation. La prévision, la notation des prospects et l’hygiène de la pipeline sur des piles séparées fournissent des points de précision et donc une sécurité de la pipeline pour le quatrième trimestre. L’architecture de sensibilisation et l’architecture KI-CRM sont les deux leviers qui font basculer une position de prudence en 2026 de manière mesurable en une position de coût.

Préparation de mai : ce qui vient en premier, ce qui vient ensuite

Vérifier immédiatement : l’architecture de conformité. Inventorier en parallèle la conformité cloud (NIS2, C5, BSI-KRITIS) et l’Annexe III de l’EU-AI-Act, avec pour objectif de terminer avant le 2 août 2026. La majoration du troisième trimestre en cas de mise en œuvre retardée se situe, selon les données d’expérience des hyperscalers, entre 70 et 130 pour cent par rapport à un ensemble planifié. Cette position ne tolère aucun retard, car la date butoir est fixe.

Sécuriser à court terme : la sensibilisation de niveau supérieur. Mettre en place un programme de formation pour la direction et le conseil d’administration, et non pour la deuxième ligne. La transmission de codes de vérification est le vecteur d’attaque concret. Les coûts de formation se situent, selon les recherches de marché, à environ 12 000 euros, les dommages évités dans les cas documentés se situent entre 380 000 euros et 2,4 millions d’euros par incident. C’est une position avec un temps de retour sur investissement court et un montage abordable.

Évaluer de manière ciblée : l’accès aux subventions et aux clusters. Vérifier les possibilités de matchmaking IPCEI-AI, les consortiums des centres numériques pour les PME avec une date limite de dépôt des esquisses fixée au 30 avril pour une participation appropriée. Quatre à six jours de traitement sont opposés à un volume de projet de l’ordre de plusieurs millions d’euros. Cette position est facultative, mais son créneau se ferme au deuxième trimestre.

Foire aux questions

Pourquoi la prudence devient-elle un poste de coûts en 2026 ?

Trois des six clusters d’avril ont un caractère de date butoir (EU-AI-Act 2.8.2026, inspections NIS2 depuis le Q4 2025, ébauches IPCEI). Trois autres (spin-offs DAX, consolidation RevOps, phishing de niveau supérieur) modifient les structures de marché, qui ne peuvent plus être recalculées à partir de l’ancienne position. Celui qui attend au premier trimestre paiera la majoration au troisième trimestre ou perdra le créneau de financement.

Lequel des six clusters est le plus urgent pour les PME ?

L’architecture de conformité. La date butoir de l’EU-AI-Act le 2 août 2026 n’est pas modifiable, NIS2 est en phase d’inspection depuis le quatrième trimestre 2025, les seuils BSI-KRITIS ont été abaissés pour 2026. Un inventaire architectural en mai offre 90 jours de temps de réaction, un inventaire en juillet offre nettement moins. Les coûts de rééquipement du Q3 sont de 1,7 à 2,3 fois supérieurs à ceux d’une migration planifiée, selon les valeurs d’expérience des hyperscaleurs.

Comment cela s’accorde-t-il avec la vertu de prudence des PME ?

La prudence dans les PME signifiait historiquement diversification des risques, petites étapes et processus de base stables. Cette logique a fonctionné tant que les structures de marché étaient stables et que la pression des dates butoirs était modérée. En 2026, cela n’est plus le cas : les dates butoirs réglementaires, les déplacements douaniers géopolitiques et la consolidation de l’IA se produisent en parallèle. Poursuivre la vertu sous sa forme actuelle signifie en 2026 une position ouverte face au marché.

L’affirmation selon laquelle IPCEI-AI accepte encore des ébauches est-elle vraie ?

La date limite nationale pour les ébauches auprès du BMWE a expiré le 21 janvier 2026. Le levier encore ouvert est l’appariement européen, qui a démarré en mars 2026 avec un événement à Berlin. Les PME sans ébauche propre peuvent s’associer à des projets préselectionnés en tant qu’utilisateurs ou fournisseurs. La liste des projets préselectionnés est consultable auprès des points de contact nationaux.

Source de l’image : Berlaymont Bruxelles, siège de la Commission européenne. Photo : EmDee / Wikimedia Commons

Photo : EmDee / Wikimedia Commons (CC BY-SA 4.0)

Sélection d’articles de la rédaction

Plus de contenu du réseau MBF Media

Aussi disponible en

Un magazine de evernine media GmbH