La cybersécurité en entreprise regroupe toutes les mesures qui protègent les systèmes, les données et les utilisateurs. Elle vise un objectif simple : empêcher les cyberattaques d’atteindre leur cible.
Pour une PME, quatre actions suffisent en priorité. Activer la double authentification (MFA). Sauvegarder ses données selon la règle 3-2-1. Maintenir ses logiciels à jour. Former ses équipes au phishing. Ces quatre mesures bloquent la grande majorité des attaques courantes, sans budget conséquent.
Sommaire
- Pourquoi les PME sont devenues des cibles privilégiées
- Les chiffres de la cybermenace en 2026
- Les principales menaces qui pèsent sur les PME
- NIS2 : votre PME est-elle concernée ?
- Les mesures essentielles à mettre en place
- RGPD et cybersécurité : les obligations en cas d’incident
- Quel budget prévoir ?
- Que faire en cas de cyberattaque
- Questions fréquentes
Pourquoi les PME sont devenues des cibles privilégiées
L’idée qu’une petite structure n’intéresse pas les hackers est aujourd’hui dépassée. La logique des attaquants est purement économique. Les grandes entreprises disposent de RSSI, de SOC et d’outils de détection coûteux : les attaquer demande du temps et des compétences. Les PME, elles, combinent des données monnayables (fichiers clients, coordonnées bancaires, données RH) et une posture de sécurité souvent minimale.
Trois facteurs expliquent cette exposition :
- des ressources cyber limitées, faute de budget dédié ou d’équipe IT interne ;
- un niveau de maturité hétérogène, avec des outils de base rarement complétés par des mesures avancées ;
- une position de sous-traitant : une PME compromise peut servir de porte d’entrée vers un client ou partenaire plus gros et mieux protégé (effet « chaîne d’approvisionnement »).
Les chiffres de la cybermenace en 2026
Les données officielles les plus récentes, publiées début 2026, donnent une image précise de la situation.
Côté menace, l’ANSSI a traité 1 366 incidents de sécurité en 2025, un niveau stable et élevé par rapport aux années précédentes. Parmi les évolutions marquantes, les PME, TPE et ETI représentent 48 % des victimes de rançongiciels recensées par l’agence, ce qui en fait la catégorie la plus touchée, devant les hôpitaux et les collectivités.
Côté perception et préparation, le baromètre national de la maturité cyber des TPE-PME, réalisé par OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises, apporte des données concrètes :
- 16 % des TPE-PME interrogées déclarent avoir subi au moins un incident cyber dans les 12 derniers mois ;
- 44 % des dirigeants se disent fortement exposés aux risques numériques, contre 38 % un an plus tôt ;
- 58 % estiment disposer d’un bon niveau de protection, une progression notable ;
- trois quarts des entreprises consacrent toujours moins de 2 000 € par an à leur sécurité informatique.
Cet écart entre la conscience du risque, en nette progression, et le niveau réel de préparation reste le point faible principal des PME françaises.
Les principales menaces qui pèsent sur les PME
Selon le même baromètre, relayé par Siècle Digital, trois vecteurs concentrent l’essentiel des incidents déclarés par les TPE-PME en 2025 :
Le phishing (hameçonnage), premier vecteur
Il représente 43 % des incidents déclarés. Un email ou un SMS frauduleux suffit à obtenir des identifiants ou à déclencher l’installation d’un logiciel malveillant. L’IA générative rend ces messages plus crédibles et plus personnalisés, rendant la vigilance humaine seule insuffisante.
Les failles de sécurité non corrigées
18 % des cas. Un logiciel ou un équipement (routeur, VPN, pare-feu) qui n’a pas reçu ses mises à jour de sécurité reste une porte ouverte, même longtemps après la publication du correctif.
La consultation de sites infectés
11 % des cas. Un simple clic sur un lien compromis peut suffire à infecter un poste et, de là, se propager au reste du réseau.
À ces trois vecteurs s’ajoutent le vol d’identifiants, les attaques par déni de service (DDoS) et, en progression sur 2025, les incidents d’exfiltration de données sans chiffrement du système : l’ANSSI en a recensé 196, contre 130 l’année précédente, une hausse de 51 %.
NIS2 : votre PME est-elle concernée ?
La directive européenne NIS2 élargit fortement le nombre d’entreprises soumises à des obligations de cybersécurité. En France, cela concerne potentiellement 15 000 entités, contre environ 500 sous l’ancienne version du texte, selon les estimations relayées par Legiscope.
Deux seuils déterminent si votre PME est concernée, à condition d’appartenir à l’un des 18 secteurs listés par la directive (énergie, santé, numérique, transport, agroalimentaire, etc.) :
- Entité importante : à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires ;
- Entité essentielle : à partir de 250 salariés ou 50 millions d’euros de chiffre d’affaires.
Un point important, souvent mal compris : à ce jour (juillet 2026), la loi française de transposition n’est toujours pas promulguée. Le Sénat a adopté le texte en mars 2025. L’Assemblée nationale l’a examiné en commission spéciale en septembre 2025. Son passage en séance publique est attendu ce mois-ci, sous réserve d’une session extraordinaire. La promulgation est espérée dans la foulée. La France fait d’ailleurs l’objet d’une procédure d’infraction de la Commission européenne pour ce retard.
L’ANSSI, elle, n’a pas attendu ce vote pour agir. Elle a publié dès mars 2026 un référentiel de mesures, le ReCyF. Elle recommande aux entreprises concernées d’engager leur mise en conformité sans attendre la promulgation. Une fois le texte définitivement adopté, les sanctions entreront en vigueur. Elles pourront atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.
Les mesures essentielles à mettre en place
Pas besoin de tout faire en même temps. Voici un ordre de priorité réaliste pour une structure de 5 à 100 personnes.
1. Sécuriser les accès
- Activer l’authentification multifacteur (MFA) sur tous les comptes critiques : messagerie, VPN, administration, outils cloud.
- Adopter un gestionnaire de mots de passe pour éviter la réutilisation d’un même mot de passe sur plusieurs services.
- Revoir régulièrement les comptes administrateurs et supprimer les accès inutiles ou obsolètes.
2. Sauvegarder correctement ses données
La règle 3-2-1 reste la référence : 3 copies des données, sur 2 supports différents, dont 1 copie hors ligne ou hors site, inaccessible en cas de ransomware. Une sauvegarde qui n’a jamais été testée en restauration n’a aucune valeur : un test trimestriel est recommandé.
3. Maintenir les systèmes à jour
Activer les mises à jour automatiques quand c’est possible, sur les postes comme sur les équipements réseau. Les failles connues et non corrigées restent l’une des portes d’entrée les plus fréquentes.
4. Sécuriser les terminaux
Un antivirus classique bloque les menaces déjà répertoriées. Une solution EDR (Endpoint Detection and Response) va plus loin en détectant les comportements suspects, ce qui permet une réaction plus rapide en cas d’intrusion.
5. Former les équipes
La technologie ne suffit pas si un collaborateur clique sur un lien piégé. Des micro-formations courtes et régulières, des simulations de phishing sans sanction, et l’exemplarité de la direction ont un effet mesurable sur le comportement des équipes.
RGPD et cybersécurité : les obligations en cas d’incident
Cybersécurité et protection des données personnelles sont indissociables. L’article 32 du RGPD impose des mesures de sécurité proportionnées au risque, et une violation de données personnelles doit être notifiée à la CNIL sous 72 heures lorsque le risque pour les personnes concernées est avéré. Ce sujet, souvent sous-estimé par les PME, mérite une lecture approfondie : notre guide complet sur la conformité RGPD pour les entreprises en 2026 détaille les obligations, les délais et les bonnes pratiques à connaître.
Quel budget prévoir ?
Il n’existe pas de budget unique valable pour toutes les PME : tout dépend de la taille, du secteur et du niveau de risque. Ce qui ressort des données disponibles, c’est surtout un écart entre les moyens actuels et les besoins réels. Selon le baromètre Cybermalveillance / OpinionWay, trois PME sur quatre consacrent moins de 2 000 € par an à leur sécurité informatique, un niveau que beaucoup d’experts jugent insuffisant face à la sophistication actuelle des attaques. 15 % des entreprises interrogées prévoient toutefois d’augmenter ce budget, un signe encourageant.
Plutôt que de viser un chiffre précis, mieux vaut avancer par étapes : commencer par les mesures à fort impact et faible coût (MFA, sauvegardes, mises à jour), puis investir progressivement dans des outils plus avancés (EDR, audit, formation continue) à mesure que la maturité de l’entreprise progresse.
Que faire en cas de cyberattaque
Si une attaque est en cours ou suspectée, quelques réflexes limitent l’ampleur des dégâts :
- Isoler les postes ou serveurs touchés du réseau, sans les éteindre si possible, pour préserver les preuves.
- Ne jamais payer la rançon en cas de ransomware : rien ne garantit la récupération des données, et cela finance l’écosystème criminel.
- Ne pas utiliser la messagerie professionnelle pour coordonner la réponse si elle est potentiellement compromise.
- Contacter son prestataire informatique, puis déposer plainte et signaler l’incident sur cybermalveillance.gouv.fr.
- Nettoyer ou reformater les systèmes avant toute restauration de sauvegarde, pour éviter de réinfecter les données restaurées.
Questions fréquentes
C’est l’ensemble des mesures techniques et organisationnelles (accès, sauvegardes, mises à jour, formation) qui protègent les systèmes d’information et les données d’une entreprise contre les cyberattaques.
Parce qu’elles combinent des données monnayables et un niveau de protection souvent plus faible que les grandes entreprises, ce qui les rend plus rapides et moins coûteuses à attaquer.
Oui si votre entreprise dépasse 50 salariés ou 10 millions d’euros de chiffre d’affaires et appartient à l’un des 18 secteurs couverts par la directive. La loi française de transposition n’est pas encore promulguée mi-2026, mais l’ANSSI recommande d’anticiper dès maintenant.
Il n’existe pas de montant standard. La priorité est de couvrir d’abord les mesures à fort impact et faible coût (MFA, sauvegardes, mises à jour) avant d’investir dans des outils plus avancés.
Isoler les systèmes touchés, ne pas payer de rançon, contacter son prestataire informatique et signaler l’incident sur cybermalveillance.gouv.fr avant toute restauration de sauvegarde.
