La newsletter AG2R ARPEGE

La numérisation constitue un levier de croissance et de productivité incontestable. En optimisant les processus, en réduisant certains coûts – notamment logistiques et administratifs – et en rapprochant les entreprises de leurs clients, de leurs fournisseurs ou encore des services publics, les outils digitaux ouvrent des perspectives de développement et d’innovation considérables. Mais l’intensification des flux d’information et les réseaux toujours plus connectés et interdépendants exposent les organisations à des risques accrus en matière de sécurité.

Intrusion dans les systèmes, vol de données sensibles, chantage au rançongiciel, déni de service, usurpation d’identité… Les actes de malveillance se multiplient, se diversifient, gagnent en sophistication. Et ils ne sont plus l’apanage des grandes entreprises. Longtemps considérées comme des cibles secondaires, les plus petites structures sont désormais en première ligne. Selon l’Agence nationale de la sécurité des systèmes d’information (Anssi), les TPE, PME et ETI représentaient 37 % des victimes « d’évènements de sécurité numérique » traités par ses services en 2024, devant les collectivités territoriales (29 %)⁽¹⁾.

Les 10 principales menaces cyber pour les entreprises et associations en 2024⁽²⁾ 

Pour les cybercriminels, les petites et moyennes entreprises présentent un double intérêt : elles détiennent des données de valeur – informations bancaires, coordonnées clients, brevets, projets de R&D… – sans pour autant disposer de moyens de protection aussi robustes que ceux des grands groupes. Elles constituent par ailleurs des portes d’entrée détournées vers ces réseaux plus difficiles à pénétrer. Or, si les organisations bien préparées sont en mesure de surmonter un piratage, celles qui ne le sont pas en ressortent souvent durablement fragilisées.

Une attaque informatique peut en effet mettre en péril l’équilibre économique d’une PME. Ainsi, un rançongiciel — qui rend les systèmes indisponibles jusqu’au paiement exigé — a la capacité de paralyser une chaîne de production ou de bloquer l’accès à un site marchand. Le manque à gagner est alors immédiat. À ces pertes commerciales directes s’ajoutent également les dépenses liées à la gestion de l’incident : remise en état des équipements affectés, indemnisation des clients impactés, hausse des primes d’assurance, éventuelle amende administrative en cas de manquements constatés (lire encadré)…

Des obligations légales en matière de protection des données 
Le Règlement général sur la protection des données (RGPD) impose de déclarer toute violation de données personnelles auprès de la Commission nationale de l'informatique et des libertés (CNIL), dans les 72 heures suivant la découverte de l’incident. Cette notification peut entraîner de lourdes sanctions financières — jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial — en cas de non-respect des obligations légales.

Le préjudice financier peut dès lors se chiffrer en dizaines, voire en centaines de milliers d’euros. Sans compter les coûts indirects de l’atteinte à la réputation et de la perte de confiance des clients et des partenaires. Dans certains cas, c’est la survie même de l’entreprise qui est en jeu : le risque de défaillance augmente d’environ 50 % dans les six mois qui suivent l’annonce de l’incident⁽³⁾.

Pour les dirigeants de TPE et PME, cette réalité peut sembler abstraite, complexe et très technique. De fait, par méconnaissance ou faute de compétences dédiées, les petites entreprises peinent à engager de réelles démarches de sécurisation. L’Anssi estime ainsi qu’un tiers d’entre elles seulement sont correctement protégées. Souvent dépourvues de direction informatique structurée, elles peuvent cumuler de nombreuses vulnérabilités techniques et organisationnelles : postes de travail non mis à jour, serveurs exposés sur Internet, recours à des solutions obsolètes ou mal paramétrées… Plus préoccupant encore, leurs salariés sont insuffisamment préparés aux menaces en ligne : seules 39 % des TPE et PME ont mis en place des actions de formation de leur personnel⁽⁵⁾.

Or, les failles les plus exploitées par les cybercriminels relèvent davantage de l’erreur humaine que de la technologie. La plupart des attaques impliquant l’intrusion d’un logiciel malveillant (« malware ») résultent de comportements de collaborateurs imprudents ou mal informés. C’est le cas du « hameçonnage » (ou « phishing »), procédé visant à tromper la vigilance de l’utilisateur en se faisant passer pour une personne de confiance. Un simple clic sur un courriel frauduleux peut alors suffire à compromettre l’ensemble du réseau.

Une prise de conscience croissante, mais des risques largement sous-estimés 
Parmi les TPE-PME de moins de 250 salariés⁽⁴⁾ : 
• près de la moitié (46 %) se disent insuffisamment préparées en cas d’attaque, 32 % ignorent si elles le sont ; 
• 41 % pensent être faiblement exposées aux risques de cyberattaques ; 
• 7 sur 10 (69 %) ne disposent pas de procédure de réaction ;  
• Dans 82 % des cas, la gestion de l’informatique est du ressort du chef d’entreprise et non d’un responsable dédié.

Face à ces enjeux, il est nécessaire d’adopter une stratégie de défense à la fois globale et graduée. Nul besoin d’investir dans des solutions très onéreuses. Des gestes simples de « cyber-hygiène » permettent déjà de réduire significativement la surface d’exposition au risque. La première étape consiste à instaurer dans l’entreprise une véritable culture de la cybersécurité. Celle-ci passe par une sensibilisation continue des collaborateurs aux bons réflexes — gestion des mots de passe, usage des outils de travail à distance, vigilance face aux messages suspects, etc. Parmi les bonnes pratiques essentielles figure également la mise en œuvre de mesures préventives de base : sauvegardes régulières, application systématique des correctifs de sécurité ou encore recours à l’authentification multifacteurs — qui nécessite une confirmation supplémentaire via un mode de connexion tiers.

Lorsqu’une attaque survient malgré tout, la rapidité de réaction s’avère décisive. Disposer d’un plan de réponse, connaître les autorités compétentes à alerter, être en mesure de communiquer de manière transparente avec les clients sera fondamental pour limiter l’impact opérationnel et réputationnel, et dans un second temps faciliter le redémarrage de l’activité. À l’heure où la transformation digitale s’accélère, la cybersécurité ne doit donc plus être perçue comme un simple poste de dépense, mais comme une condition de performance, de compétitivité et de confiance avec les parties prenantes. Investir dans la résilience numérique, c’est investir dans la pérennité même de l’entreprise.

Les pouvoirs publics aux côtés des petites entreprises
Des ressources et dispositifs d’accompagnement sont à la disposition des TPE et PME pour les aider à renforcer leur protection face aux menaces cyber.
Des guides pratiques : La cybersécurité pour les TPE/PME en 13 questions publié par l’Anssi, Guide Cybersécurité à destination des dirigeants de TPE, PME et ETI publié par Bpifrance et Cybermalveillance.gouv.fr ; 
Des modules de formation en ligne gratuits à destination des dirigeants ou des salariés de TPME/PME ;
Un diagnostic gratuit de premier niveau avec MesServicesCyber de l’Anssi, ou un accompagnement plus approfondi avec Cyber PME opéré par Bpifrance ; 
Certaines collectivités locales proposent également des aides financières dédiées à la sécurisation numérique des entreprises.  

⁽¹⁾ Rapport d’activité 2024 de l’Agence nationale de la sécurité des systèmes d’information (Anssi).
⁽²⁾ Rapport d’activité 2024 de la plateforme Cybermalveillance.gouv.fr.
⁽³⁾ Étude « Risques cyber : analyse de la sinistralité », Bessé, octobre 2022.
⁽⁴⁾ Enquête OpinionWay pour Cybermalveillance.gouv.fr, octobre 2024.
⁽⁵⁾ Baromètre « France Num 2025 » de la Direction générale des entreprises.