Maxime Pallez, Cybersecurity Director et Antonin Jakubse, Senior Manager Privacy chez PwC Luxembourg

 

Les CISOs et les DPOs sont sortis de l’ombre. C’est le principal constat de l’étude 2026 menée par PwC Luxembourg avec le soutien de la CNPD, du Clusil et de l’ILR. De plus en plus impliqués dans les décisions stratégiques, la gestion des risques et les projets d’intelligence artificielle, ces professionnels voient leur influence grandir. Mais cette reconnaissance, comme nous l’explique Maxime Pallez et Antonin Jakubse, qui ont piloté cette nouvelle édition, ne s’accompagne pas toujours des moyens, de l’autonomie ou du positionnement nécessaires pour répondre à des responsabilités en constante expansion.

Longtemps perçus comme des fonctions essentiellement dédiées à la conformité réglementaire, les Chief Information Security Officers (CISOs) et Data Protection Officers (DPOs) occupent aujourd’hui une place de plus en plus centrale dans les organisations. C’est l’un des principaux enseignements de l’étude 2026 Out of the shadows: CISOs and DPOs in the spotlight!, réalisée par PwC Luxembourg avec le soutien actif de la CNPD, du Clusil et de l’ILR.

Dans un contexte marqué par la montée des cybermenaces, l’accélération de l’adoption de l’intelligence artificielle et l’arrivée de nouvelles réglementations européennes comme DORA ou NIS2, les entreprises semblent progressivement reconnaître la valeur stratégique de ces profils. Pourtant, de nombreux obstacles demeurent.

 

De la conformité à l’accompagnement stratégique

Les résultats de l’étude témoignent d’une évolution notable des perceptions. « Si les obligations légales et réglementaires restent le principal moteur de création de ces fonctions, les organisations sont de plus en plus nombreuses à considérer les CISOs et les DPOs comme des acteurs créateurs de valeur », explique Maxime Pallez, Cybersecurity Director chez PwC Luxembourg.

Ainsi, 62 % des CISOs estiment que leur poste a été créé pour renforcer la sécurité de l’organisation, contre 46 % en 2024.

 

Du côté de la protection des données, le même phénomène est observable. « Les sociétés se rendent compte qu’elles ne peuvent plus vraiment fonctionner sans ces profils. Si elles veulent tirer parti des nouvelles technologies et de la donnée, elles ont besoin de personnes capables d’encadrer ces usages », explique Antonin Jakubse, Senior Manager Privacy chez PwC Luxembourg.

 

Cette évolution suppose également un changement de regard sur le rôle du DPO. « Le DPO ne doit pas être perçu comme quelqu’un qui met des freins. Son rôle est d’aider le business à avancer dans un cadre conforme et maîtrisé », insiste Antonin Jakubse.

 

Une influence grandissante, mais des moyens encore limités

L’étude montre que les CISOs et les DPOs gagnent progressivement en influence au sein de leurs organisations. Près des trois quarts des répondants considèrent aujourd’hui que leur rôle est influent dans les processus de décision.

Pour Maxime Pallez, Cybersecurity Director chez PwC Luxembourg, cette évolution est logique face à la multiplication des risques numériques. « Le rôle de CISO doit prendre davantage de hauteur et être intégré dans les décisions stratégiques de l’organisation, souligne-t-il. Il doit devenir un véritable conseiller du comité exécutif sur les questions de cybersécurité.»

Cette reconnaissance reste toutefois incomplète. En effet, moins d’un CISO sur deux (44%) dispose d’un budget dédié, tandis que seuls 24 % des DPOs gèrent leurs propres ressources financières. Autrement dit, les attentes augmentent plus vite que les moyens mis à disposition.

 

L’intelligence artificielle redistribue les cartes

Si l’on regarde du côté des préoccupations des professionnels de la sécurité et de la protection des données, sans surprise, c’est aujourd’hui l’adoption de l’intelligence artificielle qui inquiète le plus. 69 % des CISOs citent désormais l’augmentation de la complexité opérationnelle liée à l’IA comme un enjeu, contre seulement 29 % deux ans plus tôt.

« Si la technologie est largement perçue comme un levier d’amélioration des capacités de détection et de surveillance, elle soulève également de nouvelles problématiques en matière de sécurité, de gouvernance et de protection des données », explique Maxime Pallez, qui précise que la technologie tend à amplifier des problèmes déjà présents dans les organisations.

L’IA est devenue un sujet central pour les deux fonctions. Selon les résultats de l’étude, la moitié des CISOs sont désormais impliqués dès le lancement des projets IA, tandis que 53 % des DPOs n’interviennent encore qu’à la demande des équipes.

 

D’une logique de contrôle à une démarche d’accompagnement

L’un des phénomènes les plus marquants est l’apparition du « Shadow AI », c’est-à-dire l’utilisation d’outils d’intelligence artificielle sans validation préalable de l’IT, du CISO ou du DPO. « Les équipes expérimentent parfois des solutions IA dans leur coin. Elles viennent ensuite voir le DPO lorsqu’elles ont déjà trouvé l’outil qu’elles souhaitent utiliser, constate Antonin Jakubse. Or, vis-à-vis des enjeux de sécurité ou de protection des données, c’est souvent trop tard. »

Dans ce contexte, face aux attentes du métier, les CISO et les DPO sont encore souvent perçus comme des freins à l’innovation. Pour les deux experts, l’enjeu consiste donc à trouver un équilibre entre innovation et maîtrise des risques. « Cela passe par la mise en place d’un cadre de gouvernance adapté. Le risque, si l’on bloque tout, est d’être contourné par les métiers. Mais à l’inverse, l’absence de règles peut exposer l’organisation à des risques importants, explique Maxime Pallez. Le DPO et le CISO doivent passer d’une logique de contrôle à une logique d’accompagnement. »

 

Les principaux freins sont désormais organisationnels

L’un des résultats les plus surprenants de l’étude concerne les obstacles rencontrés par les CISOs et les DPOs.

Pour 58 % des CISOs, les principaux obstacles ne sont plus technologiques mais organisationnels : silos internes, luttes de pouvoir ou responsabilités mal définies. C’est désormais le premier frein cité, devant le manque de personnel ou de budget. Par exemple, 54 % considèrent également le Shadow IT ou le Shadow AI comme une barrière majeure à leur efficacité.

« Les CISOs ont tellement de défis à relever : nouvelles menaces, risques IA, évolution technologique permanente, qu’il est paradoxal et dommageable de constater que c’est finalement la politique interne qui reste leur plus grand obstacle », résume Maxime Pallez.

Du côté des DPOs, la complexité croissante des systèmes d’information constitue désormais le principal obstacle à l’exercice de leur mission.

 

DORA et NIS2 vont encore renforcer ces fonctions

Enfin, les nouvelles réglementations européennes continuent de faire évoluer les responsabilités des CISOs et des DPOs. Si DORA est déjà largement intégrée dans le secteur financier, NIS2, transposée tout récemment en droit luxembourgeois, devrait étendre les exigences de cybersécurité à plusieurs milliers d’organisations luxembourgeoises.

Cette évolution impose également un changement de langage. « Il ne suffit plus de parler de vulnérabilités techniques. Les CISOs doivent être capables d’expliquer aux dirigeants quel serait l’impact concret d’un incident sur une fonction critique de l’entreprise », souligne Maxime Pallez.

 

Au final, l’étude met en évidence une réalité claire : les CISOs et les DPOs sont définitivement sortis de l’ombre. Mais pour qu’ils puissent pleinement jouer leur rôle dans la résilience et la transformation des organisations, les structures de gouvernance, les moyens et les modes de collaboration devront encore évoluer.

 

Lire l’étude : https://www.pwc.lu/en/advisory/digital-tech-impact/cyber-security/out-of-the-shadows-ciso-and-dpo-in-the-spotlight-2026.html