Zero Trust comme facteur de localisation : pourquoi les réseaux sécurisés attirent les investisseurs

Seulement 19 % des entreprises allemandes ont pleinement mis en œuvre Zero Trust. À l’échelle mondiale, le taux est de 63 %. L’Allemagne accuse un retard. Mais la course au rattrapage a commencé : Siemens a présenté la première plateforme Zero Trust pour les réseaux industriels, SAP intègre Zero Trust de manière native dans RISE with SAP et Deutsche Telekom réorganise son offre de sécurité réseau entièrement sur les principes Zero Trust. Pour le site économique, l’infrastructure sécurisée devient un argument d’investissement. En effet, les investisseurs internationaux évaluent de plus en plus la maturité en cybersécurité comme critère de qualité lors du choix du site.

L’essentiel

• 19 % pleinement mis en œuvre : Les entreprises allemandes sont nettement en dessous de la moyenne mondiale de 63 % pour Zero Trust. Cependant, 56 % sont en cours de mise en œuvre (Mittelstand Heute / Gartner 2024).
• Siemens SINEC Secure Connect : Première plateforme dédiée Zero Trust pour les réseaux OT. Remplace les VPN par des connexions basées sur l’identité. Conforme à IEC-62443. Présentée à la it-sa 2025.
• 92 % de ROI en 3 ans : Une étude de Forrester prouve un retour sur investissement en moins de 6 mois et un risque de fuite de données réduit de 50 % avec la mise en œuvre de Zero Trust.
• NIS2 impose de facto les principes Zero Trust : Le contrôle d’accès, la segmentation du réseau et l’authentification continue sont des exigences obligatoires de NIS2. Zero Trust est l’approche architecturale qui les satisfait toutes en même temps.
• 72 % des entreprises allemandes augmentent leurs budgets de sécurité : Le marché de la cybersécurité en Allemagne devrait atteindre 12,2 milliards d’euros en 2026. Le financement des startups a augmenté de 878 % (PwC / Tracxn).

L’écart de mise en œuvre : où se situe réellement l’Allemagne

Les chiffres racontent deux histoires simultanément. Histoire un : l’Allemagne accuse un retard. Selon une enquête sectorielle, seulement 19 % des entreprises allemandes ont pleinement mis en œuvre Zero Trust. À l’échelle mondiale, le taux est de 63 %. L’étude Okta State of Zero Trust aggrave le tableau : en Amérique du Nord, 60 % des organisations avaient déjà lancé des initiatives Zero Trust en 2022/2023. En EMEA, moins de 18 %.

Histoire deux : l’Allemagne rattrape son retard, et plus vite que tout autre pays européen. 56 % des entreprises allemandes sont activement en cours de mise en œuvre. Les deux tiers prévoient une augmentation de leur budget pour Zero Trust au cours des deux prochaines années. Et selon Forrester, les entreprises allemandes sont en tête en Europe en matière de priorisation de Zero Trust. L’écart n’est pas dû à un manque d’intérêt, mais à une question de vitesse.

La raison de ce retard est structurelle : le paysage entrepreneurial allemand est dominé par les PME. 53 % des entreprises allemandes citent le manque de budget comme le plus grand obstacle à l’introduction de Zero Trust. À l’échelle mondiale, ce chiffre est de 40 %. Une entreprise moyenne de 200 employés avec une équipe informatique de trois personnes ne peut pas avancer à la même vitesse qu’un conglomérat américain qui déploie Microsoft Entra ID avec accès conditionnel dans toute l’entreprise en trois mois. Mais elle peut choisir la même architecture et la mettre en œuvre par étapes.

Gartner lui-même émet une prévision décevante : d’ici 2026, seuls 10 % des grandes entreprises disposeront d’un programme Zero Trust mature et mesurable. Cela montre que le défi n’est pas uniquement allemand. Zero Trust est difficile partout. Mais la direction est bonne, et l’Allemagne investit.

Sources : Okta State of Zero Trust 2024, OpenKRITIS, MarketsandMarkets

Comment Siemens amène Zero Trust dans l’usine

Le cas le plus impressionnant d’entreprise allemande en matière de Zero Trust ne vient pas de l’informatique, mais de la technologie opérationnelle. Siemens a présenté à l’it-sa Expo 2025 à Nuremberg SINEC Secure Connect : la première plateforme dédiée Zero Trust pour les réseaux industriels.

Le point fort de SINEC Secure Connect : la plateforme remplace les tunnels VPN traditionnels, standard dans l’industrie depuis des décennies, par des connexions chiffrées basées sur l’identité. Chaque machine, chaque capteur et chaque technicien de maintenance doit s’authentifier avant d’accéder à un système spécifique. Les accès réseau généralisés via VPN, où un technicien peut théoriquement accéder à tous les systèmes du réseau, appartiennent désormais au passé.

La plateforme est conforme à la norme internationale IEC 62443 pour la cybersécurité industrielle, et fonctionne sur site, dans le cloud ou en mode hybride. Pour les exploitants d’usines, cela signifie que Zero Trust devient réalisable même dans les environnements OT, jusqu’ici considérés comme « trop complexes » ou « trop anciens ». L’industrie manufacturière allemande, qui travaille avec des parcs machines ayant une durée de vie de 20 à 30 ans, obtient ainsi un outil adapté à ses défis spécifiques.

Natalia Oropeza, Directrice mondiale de la cybersécurité chez Siemens, souligne l’urgence : « Quand les systèmes d’intelligence artificielle contrôlent les infrastructures critiques, le champ d’attaque change fondamentalement. Un DSI qui ne comprend pas ces menaces vole à l’aveugle. » Ce raisonnement s’applique également à Zero Trust : qui connecte des usines sans les sécuriser selon les principes Zero Trust, crée des points d’attaque dans le monde physique, pas seulement dans le monde numérique.

SAP et la Telekom : Zero Trust devient infrastructure standard

SAP a intégré Zero Trust à son offre principale. Depuis janvier 2025, Zscaler Private Access est intégré nativement à RISE with SAP. Pour les milliers d’entreprises qui migrent leur environnement SAP vers le cloud, cela signifie que Zero Trust n’est plus un projet distinct, mais l’architecture standard. Les accès basés sur VPN aux systèmes SAP sont remplacés par des politiques basées sur l’identité, qui décident de manière contextuelle quels utilisateurs peuvent accéder à quelles données.

La Deutsche Telekom va encore plus loin. Avec « Magenta Security on Net », T-Systems propose depuis 2025 une solution SASE (Secure Access Service Edge) basée sur le réseau, intégrant un accès réseau Zero Trust. C’est remarquable car cela élève Zero Trust du niveau applicatif au niveau réseau. Les entreprises qui utilisent T-Systems comme fournisseur de réseau obtiennent Zero Trust quasi comme une fonctionnalité d’infrastructure, sans projet ni budget séparé.

Bosch emprunte la voie des identités : dans un partenariat avec CyberArk, Bosch consolide sa gestion des identités et des accès sur tous les environnements cloud. La stratégie de sécurité « Chip to Cloud » de Bosch ancre Zero Trust dès le niveau matériel des appareils IoT. Ainsi, la sécurité n’est pas ajoutée a posteriori, mais intégrée dès le départ.

Pour l’Allemagne, cette évolution signifie quelque chose de fondamental : les trois plus grands groupes technologiques allemands (Siemens pour l’OT, SAP pour l’informatique d’entreprise, Telekom pour le réseau) ont fait de Zero Trust un élément central de leurs produits. Les entreprises allemandes qui achètent chez ces fournisseurs mettent en œuvre Zero Trust, qu’elles l’aient planifié ou non. C’est la forme la plus efficace d’adoption : non pas imposée par la réglementation, mais préréglée par la technologie.

« Quand les systèmes d’intelligence artificielle contrôlent les infrastructures critiques, le champ d’attaque change fondamentalement. Un DSI qui ne comprend pas ces menaces vole à l’aveugle. »
Selon Natalia Oropeza, Directrice mondiale de la cybersécurité, Siemens AG (Help Net Security, décembre 2025)

Pourquoi les investisseurs surveillent la maturité en cybersécurité

Le lien entre Zero Trust et la confiance des investisseurs est réel, même s’il n’est pas aussi direct qu’on le prétend parfois. Il n’existe aucune étude établissant une corrélation directe entre la maturité Zero Trust et les investissements étrangers directs. Ce qui existe, c’est une preuve croissante que la maturité en cybersécurité devient un facteur central lors des audits de due diligence.

72 % des entreprises allemandes prévoient des hausses de budget en cybersécurité, selon PwC Digital Trust Insights. Le marché allemand de la cybersécurité est projeté à 12,2 milliards d’euros pour 2026, avec une croissance annuelle de 10 %. Et le financement des startups dans le secteur de la cybersécurité en Allemagne a augmenté de 878 % en 2025 selon Tracxn : passant de 13 à 114 millions de dollars en 11 tours de financement.

Le signal envoyé aux investisseurs internationaux est clair : l’Allemagne investit massivement dans la sécurité. L’initiative Made-for-Germany avec une promesse totale de 735 milliards d’euros le confirme. Et la combinaison de la réglementation NIS2, d’une base industrielle solide et d’un écosystème de sécurité en pleine croissance rend le pays attractif pour les investissements technologiques. Zero Trust est ici la preuve architecturale que l’Allemagne ne se contente pas de réguler la sécurité, mais la met aussi en œuvre.

NIS2 et Zero Trust : le lien réglementaire

NIS2 n’impose pas littéralement « Zero Trust ». Mais les mesures exigées sont de facto des principes Zero Trust : contrôle d’accès basé sur le principe du moindre privilège, segmentation du réseau, authentification continue et vérification multifacteur. Qui met en œuvre Zero Trust remplit presque automatiquement les exigences NIS2 dans ces domaines.

Le BSI a publié en juillet 2023 un document de position sur Zero Trust, définissant trois principes fondamentaux : premièrement, authentifier chaque connexion. Deuxièmement, ne pas accorder de confiance par défaut. Troisièmement, appliquer une segmentation fine. En octobre 2025, un guide MDA (Modern Defensible Architecture), élaboré conjointement avec huit agences de sécurité internationales, a positionné Zero Trust comme principe central de l’architecture de sécurité moderne. En août 2025, sont apparus les principes de conception Zero Trust pour les LLM, un guide pour l’utilisation sécurisée des systèmes d’intelligence artificielle.

Pour les quelque 30 000 entreprises concernées par NIS2, Zero Trust est le moyen le plus efficace de se conformer. Plutôt que de mettre en œuvre des mesures isolées (MFA ici, segmentation là, surveillance ailleurs), Zero Trust fournit une architecture cohérente qui couvre toutes les exigences dans un cadre unique. Le surcroît d’effort par rapport à une solution décousue est plus élevé à court terme, mais plus avantageux et durable à long terme.

Ce que Zero Trust coûte au PME et ce qu’il rapporte

Il est difficile de chiffrer précisément le coût de la mise en œuvre de Zero Trust dans les PME, car chaque situation de départ est différente. Ce qui est vérifiable : l’étude Forrester Total Economic Impact pour Microsoft montre un ROI de 92 % en trois ans et un retour sur investissement en moins de six mois. Le risque de fuite de données diminue de 50 %. Ces chiffres concernent les clients Microsoft, mais l’ordre de grandeur est plausible à travers les secteurs.

Pour une entreprise moyenne de 50 à 500 employés, une approche par étapes est recommandée. Phase un : authentification multifacteur sur tous les systèmes. Solution basée sur le cloud, quelques milliers d’euros par an, implémentable en quelques semaines. Phase deux : consolider la gestion des identités et des accès. Entra ID, Okta ou un fournisseur européen comme Bare.ID. Phase trois : segmentation du réseau et micro-segmentation, qui offrent le plus grand effet de protection mais exigent aussi le plus d’efforts. Phase quatre : surveillance continue et opérations de sécurité, idéalement sous forme de service géré.

La leçon la plus importante : Zero Trust n’est pas un produit que l’on achète, mais une décision architecturale que l’on prend. Chaque phase apporte un gain de sécurité autonome. Qui commence à la phase un et n’atteint jamais la phase quatre est néanmoins nettement mieux protégé qu’auparavant. La perfection n’est pas nécessaire, le progrès si.

La position critique

Zero Trust n’est pas une solution miracle et sa mise en œuvre est plus difficile que ne le suggèrent les promesses marketing. 53 % des entreprises allemandes citent le manque de budget comme principal obstacle. Mais le budget est souvent seulement le symptôme d’un problème plus profond : le manque de compréhension au niveau de la direction. Si le comité de direction considère Zero Trust comme un « projet informatique » plutôt qu’une décision architecturale fondamentale, il sera sous-financé et mis en œuvre de manière partielle.

S’ajoute le défi du legacy : les entreprises industrielles allemandes possèdent des parcs machines de 20 à 30 ans d’ancienneté. Ces machines utilisent des protocoles propriétaires, n’ont pas de mécanismes de mise à jour et n’ont jamais été conçues pour un monde connecté. Mettre en œuvre Zero Trust dans un tel environnement existant est fondamentalement plus difficile que dans une configuration cloud neuve. SINEC Secure Connect de Siemens répond précisément à ce problème, mais son adoption généralisée prendra des années.

Et il existe un risque conceptuel : un Zero Trust mal fait peut être pire que l’absence de Zero Trust. Si la MFA est mise en place mais que la segmentation du réseau fait défaut, si les identités sont gérées mais que la surveillance ne fonctionne pas, une dangereuse illusion de sécurité émerge. L’organisation croit être protégée, mais ne l’est pas. Conséquence : soit faire les choses correctement, soit décider consciemment où s’arrêter et quels risques résiduels accepter.

Quatre étapes pour débuter avec Zero Trust

1. Consolider les identités. Avant que Zero Trust ne fonctionne, il doit être clair qui a accès à quoi. Un système de gestion des identités et des accès couvrant tous les systèmes (Cloud, sur site, OT) est la base. Sans identités propres, pas de Zero Trust. Première étape : inventorier tous les comptes et supprimer les comptes orphelins.

2. Imposer la MFA partout. L’authentification multifacteur est l’étape la plus rapide et la moins coûteuse avec le plus grand effet immédiat. Privilégier les méthodes résistantes au phishing (FIDO2, Passkeys). Accepter la MFA basée sur SMS uniquement comme solution de transition. La plupart des plateformes cloud offrent la MFA sans frais supplémentaires.

3. Segmenter le réseau. Les réseaux plats sont le plus grand cadeau pour les attaquants. La micro-segmentation isole les systèmes les uns des autres, de sorte qu’un poste de travail compromis n’a pas automatiquement accès au serveur de production ou à la comptabilité financière. Pour les environnements OT : utiliser le modèle Purdue comme point de départ, complété par Siemens SINEC ou des solutions comparables.

4. Mettre en place une surveillance continue. Zero Trust signifie « Never trust, always verify » et cela nécessite une surveillance continue de toutes les tentatives d’accès. Un système SIEM ou XDR qui détecte les anomalies en temps réel est le dernier élément. Pour les entreprises sans équipe de sécurité dédiée : les services SOC gérés par des fournisseurs allemands comme DCSO, Telekom Security ou G DATA rendent la surveillance professionnelle accessible aux TPE/PME. Coût : 500 à 2 000 euros par mois.

Fazit

Zero Trust en Allemagne n’est pas seulement un concept de sécurité, mais devient un facteur de localisation. Siemens, SAP et Deutsche Telekom font de Zero Trust l’architecture standard de leurs produits. NIS2 impose les principes clés sur le plan réglementaire. Et les investisseurs internationaux évaluent de plus en plus la maturité en cybersécurité comme critère de qualité lors du choix du site. L’Allemagne accuse un retard dans la mise en œuvre (19 % contre 63 % à l’échelle mondiale), mais la priorisation est la plus élevée en Europe et les investissements affluent. Qui investit maintenant dans Zero Trust construit non seulement la sécurité, mais aussi l’attractivité du site. Dans un monde d’attaques cybernétiques en escalade, « Secured in Germany » est le nouveau « Made in Germany ».

Questions fréquentes

Chaque question est verrouillée. Un clic déverrouille la réponse.

Que signifie concrètement Zero Trust pour la vie quotidienne au travail ?

Au lieu de se connecter une fois le matin via un VPN et d’accéder ensuite à tout, chaque accès individuel est vérifié. L’ordinateur portable ne se connecte plus « au réseau de l’entreprise », mais directement à l’application respective. Chaque accès est authentifié et autorisé individuellement. Cela peut être inhabituel au début, mais offre une sécurité nettement supérieure et fonctionne indépendamment du lieu.

Zero Trust est-il réaliste pour les PME ?

Oui, mais sous forme de phases. La MFA et la gestion des identités comme point de départ coûtent quelques milliers d’euros par an et sont implémentables en quelques semaines. Les solutions basées sur le cloud rendent Zero Trust possible même sans département de sécurité informatique dédié. Important : ne pas vouloir tout faire en même temps, mais prioriser consciemment.

NIS2 impose-t-il Zero Trust ?

Pas littéralement. Mais les mesures exigées (contrôle d’accès, segmentation, MFA, réponse aux incidents) sont de facto des principes Zero Trust. Qui met en œuvre Zero Trust remplit les exigences de NIS2 dans ces domaines presque automatiquement. Le BSI recommande explicitement Zero Trust dans ses documents de position.

Combien de temps dure une mise en œuvre complète de Zero Trust ?

MFA et IAM de base : 2 à 4 semaines. Segmentation du réseau : 3 à 6 mois. Architecture complète avec surveillance continue : 12 à 24 mois. Gartner estime que seulement 10 % des grandes entreprises auront un programme mature d’ici 2026. Mais chaque phase apporte un gain de sécurité autonome.

Combien coûte Zero Trust par rapport à un VPN classique ?

À court terme, plus cher, à long terme, moins cher. VPN : 5 à 15 euros par utilisateur et par mois sans contrôle d’accès granulaire. Accès réseau Zero Trust : 8 à 25 euros avec des politiques basées sur l’identité et des preuves de conformité. L’étude de Forrester prouve un ROI de 92 % en trois ans. Et les coûts d’incident réduits ne sont pas encore inclus dans le calcul.

Lectures complémentaires

NIS2 en Allemagne : ce que les entreprises doivent mettre en œuvre maintenant (SecurityToday)

NIS2 comme avantage de localisation : pourquoi la réglementation renforce le site (SecurityToday)

Reboot Germany : 735 milliards d’investissements (MyBusinessFuture)

Gouvernance du conseil d’administration : compétence numérique au conseil de surveillance (Digital Chiefs)

Source de l’image : Pexels / Tima Miroshnichenko (px:5380642)