5 signes que votre PME a besoin d'une vraie solution de cybersécurité

Ce que disent réellement les chiffres

Commençons par écarter une phrase que vous avez sûrement lue : « 60 % des PME ferment dans les six mois qui suivent une cyberattaque ». Aucune étude française sérieuse ne l'établit. L'étude Bessé-Stelliant publiée en octobre 2022, souvent citée pour la soutenir, dit autre chose : sur un échantillon de 48 incidents touchant des ETI et PME non cotées, le risque de défaillance de l'entreprise augmente d'environ 50 % dans les six mois suivant l'annonce. Un risque qui augmente de moitié n'est pas une entreprise sur deux qui ferme. La différence est énorme, et la répéter dessert tout le monde.

Voici ce qui est établi, avec les sources.

L'ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents, selon son panorama de la cybermenace publié le 11 mars 2026. Dans ce même panorama, les PME, TPE et ETI représentent 48 % des victimes de rançongiciel connues de l'agence, contre 37 % un an plus tôt.

Le baromètre TPE-PME 2025 de Cybermalveillance.gouv.fr, mené auprès de 588 entreprises, montre que 16 % d'entre elles ont subi au moins un incident de sécurité au cours des douze mois précédents. Parmi ces victimes, 43 % citent l'hameçonnage.

Enfin, la fraude au virement, qui regroupe la fraude au président, le faux fournisseur et le changement frauduleux de RIB, a représenté 13,5 % des demandes d'assistance des entreprises et associations en 2025, en hausse de 93 % sur un an. C'est la catégorie qui progresse le plus vite, et c'est aussi celle qui ne demande à l'attaquant aucune compétence technique : juste un email crédible.

Quant au temps de reprise, la même étude Bessé-Stelliant mesure un retour à l'activité normale en 29 jours en moyenne pour les PME de son échantillon. Un mois. C'est ce chiffre-là qui devrait guider les décisions, plus que n'importe quel pourcentage de fermeture.

Signe n° 1 : votre seule défense est un antivirus

Un antivirus compare ce qu'il voit à une liste de menaces connues. Il fait correctement ce travail. Le problème est que les attaques qui touchent aujourd'hui les PME ne ressemblent pas à un virus : ce sont des identifiants volés par hameçonnage, puis utilisés pour se connecter normalement à votre messagerie. Aucun logiciel malveillant n'est installé, donc aucun antivirus ne se déclenche.

Ce qui manque alors est la détection de comportement : une connexion depuis un pays où vous n'avez aucun salarié, une règle de transfert automatique créée en douce sur une boîte mail, un volume de fichiers ouverts d'un coup sur un serveur. Ces signaux ne sont visibles que si quelqu'un ou quelque chose les surveille en continu.

Signe n° 2 : votre sauvegarde n'a jamais été restaurée

Presque toutes les PME ont une sauvegarde. Très peu ont vérifié qu'elle se restaure.

La question à poser à votre prestataire est précise, et sa réponse est révélatrice : « quand avons-nous restauré un serveur complet pour de vrai, et combien de temps cela a-t-il pris ? ». Si personne ne peut donner de date, vous n'avez pas une sauvegarde, vous avez l'espoir d'en avoir une.

Deuxième question, tout aussi importante : la sauvegarde est-elle accessible depuis le réseau avec un compte administrateur ? Si oui, un rançongiciel qui obtient ce compte chiffrera aussi les sauvegardes. C'est le scénario le plus courant. Une copie déconnectée ou immuable est ce qui fait la différence entre trois jours d'arrêt et un mois.

Signe n° 3 : des comptes d'anciens salariés sont encore actifs

Ouvrez l'annuaire de votre messagerie et comparez-le à la liste du personnel. Cet écart existe dans presque toutes les entreprises qui n'ont pas de procédure de départ écrite.

Un compte inactif est une porte ouverte que personne ne surveille : aucune alerte ne se déclenchera si quelqu'un s'y connecte, puisque personne n'attend d'activité dessus. Le même raisonnement vaut pour les comptes de prestataires partis, et pour les comptes partagés dont le mot de passe circule depuis des années.

Signe n° 4 : la messagerie n'a pas de double authentification

C'est la mesure la plus efficace par rapport à son coût, et elle reste absente d'une majorité de petites structures.

L'hameçonnage vise à obtenir un mot de passe. La double authentification rend ce mot de passe insuffisant à lui seul. Sans elle, toute la sécurité de votre entreprise repose sur le fait qu'aucun salarié ne cliquera jamais sur le mauvais lien, un jour de fatigue. Ce n'est pas une politique de sécurité, c'est un pari.

Signe n° 5 : personne ne sait qui appeler à 3 heures du matin

Les attaques par rançongiciel se déclenchent la nuit, le week-end et pendant les ponts, précisément parce que la réaction y est plus lente.

Posez la question à votre équipe : si le système est chiffré un samedi à 3 heures, qui appelle-t-on, à quel numéro, et sous quel délai d'intervention contractuel ? Si la réponse est le numéro d'un informaticien qui répondra lundi, vous connaissez déjà votre temps d'arrêt.

C'est la raison d'être d'un SOC, un centre de supervision qui surveille 24 heures sur 24 et intervient en dehors des heures ouvrées. Longtemps réservé aux grands comptes par son coût, il est devenu accessible aux PME en service mutualisé.

Faut-il s'inquiéter de NIS2 ?

Probablement moins que ce que le marketing du secteur laisse entendre, mais la question mérite une réponse exacte.

La directive européenne NIS2 devait être transposée en droit français au 17 octobre 2024. Elle ne l'est toujours pas : le projet de loi a été adopté par le Sénat le 12 mars 2025, puis par une commission spéciale de l'Assemblée nationale le 10 septembre 2025, sans vote en séance publique à ce jour.

Sur le fond, le texte vise les entités d'au moins taille moyenne, autour de 50 salariés ou 10 millions d'euros de chiffre d'affaires, dans dix-huit secteurs dont la santé, l'énergie, les transports, l'eau, l'administration et les services numériques gérés. Une TPE ordinaire hors secteur critique n'est en principe pas concernée.

Le vrai sujet pour une PME n'est donc pas NIS2 directement, mais son effet de ricochet : les grands donneurs d'ordre soumis à la directive reportent leurs exigences sur leurs fournisseurs, par questionnaire et par clause contractuelle. Une PME qui ne sait pas répondre à ces questionnaires perd des marchés bien avant qu'une autorité ne s'intéresse à elle.

Par où commencer, concrètement

Dans l'ordre, du plus rentable au plus lourd : activez la double authentification sur la messagerie et les accès distants, faites la liste des comptes actifs et supprimez ce qui ne correspond à personne, testez une restauration complète et chronométrez-la, mettez une copie de sauvegarde hors d'atteinte du réseau, puis seulement ensuite regardez la supervision continue.

Les quatre premières actions ne coûtent presque rien et couvrent les scénarios les plus fréquents. Commencer par acheter un outil avant d'avoir fait ces quatre-là est l'erreur la plus courante.