Cybersécurité PME : par où commencer ?

Les PME présentent un profil de risque particulier qui en fait des cibles de choix pour les cybercriminels. Contrairement à une idée reçue, les attaquants ne ciblent pas uniquement les grandes entreprises. Les PME sont souvent perçues comme des "fruits à portée de main" : elles détiennent des données de valeur (données clients, propriété intellectuelle, informations financières) tout en disposant de moyens de protection nettement inférieurs à ceux des grands groupes.

Selon une étude de l'ANSSI et de la CPME, 43% des cyberattaques en France ciblent les PME. Plus alarmant encore, 60% des PME victimes d'une cyberattaque significative déposent le bilan dans les 18 mois qui suivent. Le coût moyen d'une cyberattaque pour une PME est estimé entre 25 000 et 50 000 euros, sans compter les pertes indirectes (perte de clients, atteinte à la réputation, interruption d'activité).

Les facteurs de vulnérabilité les plus fréquents chez les PME sont : l'absence de responsable sécurité dédié, le manque de sensibilisation des collaborateurs, des systèmes non mis à jour, l'absence de sauvegardes testées, des mots de passe faibles et réutilisés, et l'absence de plan de réponse à incident. La bonne nouvelle, c'est que la majorité de ces facteurs peuvent être corrigés avec des mesures simples et peu coûteuses.

Inutile de viser la perfection d'emblée. Commencez par ces dix mesures fondamentales qui couvrent les risques les plus critiques et les vecteurs d'attaque les plus courants. Ces actions peuvent être mises en œuvre rapidement, souvent sans investissement important.

La question du budget est souvent le premier frein pour les PME. Pourtant, les recommandations des experts convergent : il est conseillé de consacrer entre 5% et 10% du budget informatique à la cybersécurité. Pour une PME de 50 salariés avec un budget IT annuel de 150 000€, cela représente entre 7 500 et 15 000€ par an.

Ce budget peut être réparti intelligemment : les mesures d'hygiène de base (mises à jour, sauvegardes, MFA) sont souvent gratuites ou peu coûteuses. Les investissements plus importants (solution EDR, audit/pentest annuel, sensibilisation) peuvent être étalés dans le temps. Et il faut mettre ces chiffres en perspective avec le coût moyen d'une cyberattaque (25 000 à 50 000€ pour une PME) : la prévention reste infiniment moins chère que la remédiation.

Pour les PME aux budgets les plus contraints, des aides existent : le dispositif "Mon Aide Cyber" de l'ANSSI propose un premier diagnostic gratuit, certaines CCI et régions offrent des subventions pour des audits de cybersécurité, et France Num accompagne la transformation numérique sécurisée des TPE-PME.

Même sans être soumise à des réglementations sectorielles, toute PME qui traite des données personnelles est concernée par le RGPD, qui impose la mise en place de "mesures techniques et organisationnelles appropriées" pour protéger les données. En cas de violation de données, l'entreprise doit notifier la CNIL dans les 72 heures et, dans certains cas, informer les personnes concernées.

La directive NIS2, transposée en droit français en 2024, élargit considérablement le nombre d'entreprises soumises à des obligations de cybersécurité. Si votre PME opère dans un secteur considéré comme "essentiel" ou "important" (énergie, transport, santé, numérique, alimentation, gestion des déchets, services postaux, fabrication...) et dépasse certains seuils de taille ou de chiffre d'affaires, vous êtes probablement concerné. Les obligations incluent la mise en place de mesures de gestion des risques, la notification des incidents significatifs et la responsabilité de la direction.

Ne pas se conformer à ces réglementations expose l'entreprise à des sanctions financières importantes, mais aussi à une responsabilité personnelle des dirigeants. Il est donc essentiel de vérifier si votre entreprise est concernée par NIS2 et de prendre les mesures nécessaires.

Voici une feuille de route progressive sur 12 mois pour structurer votre démarche de cybersécurité :