En 2025, 16 % des PME ont subi au moins un incident cyber, selon le baromètre national de la maturité cyber des TPE-PME. Beaucoup de dirigeants sont conscients de l’essor de la cybercriminalité. Mais entre le manque de temps, l’absence d’expertise interne et un budget limité, beaucoup ne savent pas par où commencer. Pourtant, vous pouvez mettre en place des actions simples pour renforcer considérablement le niveau de cybersécurité de votre PME, à petit budget.
Dans cet article, vous découvrirez :
- pourquoi les PME sont de plus en plus ciblées par les cybercriminels,
- les conséquences d’une cyberattaque pour votre PME,
- qui peut vous aider à structurer votre cybersécurité,
- quel est le rôle du dirigeant dans cette démarche,
- comment agir efficacement avec un petit budget.
1. Pourquoi les PME sont-elles de plus en plus ciblées ?
1.1 Des cibles peu protégées
44 % des dirigeants de PME-TPE estiment que leur entreprise est fortement exposée aux cyberattaques. 58 % jugent bénéficier d’un bon ou très bon niveau de protection. Pourtant, 25 % des petites entreprises n’ont pas encore commencé à structurer leur cybersécurité.
Plusieurs freins sont évoqués par les dirigeants de PME pour expliquer l’absence de mesure de sécurité informatique dans leur entreprise. 67 % mentionnent les coûts d’exploitation et 62 % les coûts de mise en œuvre des dispositifs de cybersécurité. La complexité de maintenance ainsi que le manque de connaissances ou d’expertise sont également des points bloquants. Enfin, 61 % des dirigeants pointent un trop petit budget à investir dans la cybersécurité.
Ce n’est donc pas un hasard si les cybercriminels s’intéressent de plus en plus aux PME. Peu protégées, elles sont des cibles faciles et rapides à attaquer pour les attaquants. Cibler les petites entreprises est donc souvent plus rentable que de s’en prendre à des grands groupes mieux protégés.
Par ailleurs, une grande partie des cyberattaques sont aujourd’hui automatisées avec l’intelligence artificielle. Des outils scannent en temps réel des milliers d’entreprises sur le web. Celles dont les systèmes comportent des vulnérabilités sont détectées et automatiquement attaquées, quelles que soient leur taille ou leur secteur.
1.2 Quelles sont les conséquences d’une cyberattaque pour votre PME ?
D’après une étude de l’ANSSI, le coût moyen d’une cyberattaque s’élève à 466 000 € pour les TPE et les PME, un montant tiré vers le haut par certaines attaques très lourdes. Le coût médian, plus représentatif d’une attaque ciblée d’intensité moyenne, se situe plutôt entre 50 000 et 150 000 €.
Plusieurs frais composent le préjudice financier. Il y a d’abord les pertes d’exploitation provoquées par une interruption de l’activité : certaines attaques paralysent le bon fonctionnement de votre activité, vous empêchant de générer du chiffre d’affaires, parfois pendant plusieurs semaines.
Viennent ensuite les dépenses liées à la restauration des systèmes, l’enquête technique pour déterminer la cause de l’attaque, les frais juridiques, les coûts de notification obligatoire à la CNIL en cas de fuite de données personnelles, ou encore l’achat de solutions de cybersécurité dans l’urgence. À cela s’ajoute un impact réputationnel important.
Trop souvent, l’addition peut être fatale à l’entreprise. C’est par exemple ce qui est arrivé à Octave, éditeur de logiciels, victime d’une cyberattaque en août 2024. Après un redressement judiciaire et huit mois de tentative de sauvetage, sa liquidation a été prononcée en mars 2025, entraînant la suppression de 38 emplois.
1.3 Un risque qui engage votre responsabilité
Une cyberattaque peut engager votre responsabilité personnelle en tant que dirigeant de PME. En cas de faute de gestion caractérisée (par exemple une absence totale de mesures de protection alors que le risque était connu et les solutions accessibles), la jurisprudence a déjà retenu la responsabilité personnelle de dirigeants, la faute étant considérée comme détachable de leurs fonctions.
Les réglementations tendent donc à renforcer le niveau d’exigence envers les entreprises en matière de cybersécurité. Mais ce n’est pas tout : vos clients et partenaires commerciaux deviennent aussi plus regardants. Les grands donneurs d’ordre, sous la pression de réglementations comme la directive NIS2, doivent sécuriser l’ensemble de leur chaîne de sous-traitance : lors des appels d’offres ou des renouvellements de contrats, disposer d’un niveau minimum de maturité cyber est désormais un prérequis. Une PME capable de démontrer un bon niveau de sécurité peut en faire un argument commercial pour rassurer ses clients et en convaincre de nouveaux.
2. Qui peut gérer la cybersécurité de votre entreprise ?
2.1 Le responsable informatique
Si votre entreprise dispose déjà d’un responsable informatique, ce collaborateur est souvent l’interlocuteur naturel avec qui discuter de cybersécurité. Le but n’est pas de lui déléguer intégralement le sujet, mais de s’appuyer sur ses connaissances techniques pour en faire un référent qui coordonne les actions, dialogue avec les prestataires externes et s’assure que les mesures prioritaires sont bien mises en œuvre dans la durée.
2.2 Les prestataires informatiques généralistes
Beaucoup de PME n’ont pas la chance de compter un responsable informatique au sein de leur effectif. Il est alors important de s’entourer de partenaires fiables pour renforcer le niveau de cybersécurité de l’entreprise.
Tournez-vous vers votre infogéreur ou prestataire informatique généraliste qui gère la maintenance, le parc informatique et/ou le réseau. Demandez-lui s’il dispose des compétences pour vous accompagner sur le sujet de la cybersécurité, et déterminez son périmètre d’action. La plupart des prestataires informatiques nouent des partenariats avec des acteurs du monde de la cybersécurité pour consolider le niveau de protection de leurs clients.
2.3 Les acteurs spécialisés
Les prestataires ou cabinets spécialisés en cybersécurité peuvent vous proposer des formations, des tests d’intrusion ou encore des démarches de mise en conformité réglementaire (NIS2, ISO 27001). Cette option est pertinente pour répondre à un besoin précis, mais elle est souvent dimensionnée pour des entreprises déjà plus matures.
Dans le même esprit, vous pouvez mobiliser un consultant indépendant pour une mission cadrée dans le temps. Sa force réside dans sa réactivité, mais il suppose un besoin déjà bien identifié.
Enfin, il existe sur le marché de nombreux éditeurs de solutions de cybersécurité. Cependant, avant d’investir dans une solution, il est important de savoir précisément ce que vous cherchez à protéger et pourquoi. Un outil, aussi performant soit-il, ne compense pas une absence de vision d’ensemble sur vos priorités.
2.4 Quel rôle pour le dirigeant ?
Quel que soit l’interlocuteur choisi, le dirigeant doit conserver un rôle de pilotage qu’il ne peut pas totalement déléguer. En tant que dirigeant, vous devez ainsi arbitrer le budget alloué à la cybersécurité, désigner un référent au sein de l’entreprise (sauf si vous assurez cette fonction vous-même), et valider les priorités d’action proposées par vos collaborateurs et/ou prestataires. En résumé, le dirigeant joue le rôle de chef d’orchestre de la cybersécurité, un rôle auquel il ne doit pas se dérober au risque d’engager sa responsabilité personnelle.
3. Cybersécurité : par où commencer lorsqu’on a un petit budget ?
3.1 Concentrer les efforts sur ce qui réduit le plus de risques
Il est difficile de savoir par où commencer pour investir en cybersécurité lorsque l’on dispose d’un budget restreint. La meilleure approche consiste à adopter les 20 % d’actions qui réduisent 80 % de votre niveau de risque. Paradoxalement, les premières mesures à prendre sont souvent les moins coûteuses.
3.2 10 étapes pour renforcer votre cybersécurité à petit budget
- Cartographiez tous vos actifs numériques et scannez vos vulnérabilités existantes.
Pour savoir ce que vous devez protéger, vous devez d’abord avoir une vision claire de tous vos actifs informatiques : sites web, adresses IP, serveurs, applications… Puis lancez un scanner pour détecter l’ensemble des vulnérabilités présentes dans vos systèmes qui sont exploitables dès maintenant par les cybercriminels. Sekost vous propose un flash cyber totalement gratuit, pour découvrir votre surface d’exposition, recevoir un score de risque, et identifier des alertes sur les points clés de vos systèmes.
- Priorisez les actifs à protéger en premier.
Une fois que votre état des lieux est complété, il convient d’identifier vos actifs les plus importants pour prioriser vos actions de cybersécurité. Appuyez-vous également sur le rapport de vulnérabilités (livrable de l’étape précédente) qui classe vos failles par ordre de criticité pour commencer par le plus urgent.
- Corrigez les vulnérabilités critiques.
Demandez à votre responsable informatique ou à votre prestataire de corriger vos vulnérabilités les plus critiques. Il s’agit parfois simplement d’installer une mise à jour d’un logiciel comportant un correctif de sécurité.
- Supprimez les accès et services inutilisés.
Si le travail de cartographie de vos actifs numériques réalisé lors de l’étape n°1 vous a permis d’identifier des services que vous n’utilisez plus (un compte d’un ancien collaborateur resté actif, un vieux site vitrine oublié…), supprimez-les pour réduire votre surface d’attaque.
- Mettez en place des sauvegardes régulières.
Sauvegardez régulièrement vos données afin de pouvoir les rétablir rapidement en cas d’incident cyber, et de limiter le préjudice subi. Il est recommandé d’appliquer la stratégie 3-2-1 : trois copies, sur deux supports, dont au moins une copie hors ligne.
- Activez l’authentification multifacteurs (MFA).
L’authentification renforcée est un dispositif qui permet de vérifier l’identité d’un utilisateur qui tente de se connecter à un service en ligne. Prenons l’exemple d’un de vos collaborateurs qui se fait dérober ses identifiants. Lorsque la personne malveillante tente de se connecter à vos applications professionnelles en utilisant ses identifiants volés, votre collaborateur recevra une notification sur son téléphone pour confirmer qu’il est bien à l’origine de la tentative de connexion. Celui-ci pourra alors refuser la connexion, avant de changer de mot de passe. Il s’agit souvent d’une fonctionnalité à activer dans les paramètres de l’application.
- Adoptez des mots de passe robustes.
Certains cybercriminels utilisent des outils qui testent toutes les combinaisons de mot de passe possibles pour se connecter aux outils en ligne des entreprises. Or, plus le mot de passe est simple, plus ces outils sont efficaces. La CNIL recommande aux entreprises d’utiliser des mots de passe longs de 12 caractères et comportant des majuscules, des minuscules, des chiffres et des caractères spéciaux. Mieux encore : il est possible d’adopter un gestionnaire de mot de passe qui crée et retient un mot de passe unique pour chaque service. Les collaborateurs n’ont qu’à retenir le mot de passe de leur gestionnaire pour se connecter en toute sécurité à leurs différentes applications.
- Utilisez un VPN.
Si vos collaborateurs se connectent à distance au réseau de votre entreprise, par exemple depuis leur domicile en télétravail, ou depuis leurs lieux extérieurs de rendez-vous professionnels, les données qui transitent entre votre entreprise et leur appareil ne sont pas forcément sécurisées et peuvent être interceptées. C’est souvent le cas sur le WiFi public mis à disposition dans les trains, cafés, aéroports, etc. Le VPN est un outil qui chiffre la connexion et rend les données illisibles en cas d’interception, en plus de masquer l’adresse IP lors de la navigation.
- Sécurisez votre messagerie.
Beaucoup de cyberattaques démarrent par un email usurpant l’identité d’un tiers, une pièce jointe infectée ou un lien malveillant. Il existe des solutions de filtrage qui détectent ces emails avant qu’ils n’atteignent la boîte de réception et bloquent les expéditeurs frauduleux. - Formez vos équipes.
La sensibilisation des équipes joue un rôle essentiel dans la prévention des cybermenaces. Formez chaque collaborateur aux principaux modes opératoires des attaquants et aux réflexes à adopter pour entretenir une bonne cyber hygiène. Il est même possible de tester leur vigilance à travers des exercices qui simulent des emails de phishing.
Ce qu’il faut retenir
En tant que PME, l’objectif n’est pas d’adopter l’ensemble de ces préconisations d’un seul coup. Néanmoins, le fait d’avoir un petit budget ne doit pas vous empêcher d’avancer. La bonne logique consiste à avancer en trois temps : amorcer un état des lieux, préparer un plan d’action en fonction de vos priorités et de vos moyens, avant de renforcer progressivement votre niveau de cybersécurité dans le temps.
FAQ
Faut-il un service informatique en interne pour se lancer ?
Non. De nombreuses PME engagent leur démarche via un prestataire externe ou un outil de diagnostic automatisé.
Quelles sont les toutes premières actions à réaliser avec un petit budget ?
La cartographie de vos actifs exposés, l’activation de l’authentification multifacteurs ou le renforcement de vos mots de passe figurent en tête de liste des actions efficaces et à petit budget pour réduire rapidement votre exposition.
Combien de temps faut-il pour mettre en place les premières mesures prioritaires ?
Un premier état des lieux peut être obtenu en quelques jours. Les mesures les plus simples, comme l’activation du MFA ou la suppression d’accès inutilisés, peuvent être mises en œuvre en quelques heures à quelques jours selon la taille de votre système d’information.
Un cabinet spécialisé en cybersécurité est-il adapté à une petite structure ?
Un cabinet spécialisé est surtout pertinent pour des besoins précis, comme une mise en conformité réglementaire ou un test d’intrusion approfondi.
Le dirigeant peut-il être tenu personnellement responsable en cas de cyberattaque ?
Oui, dans certains cas. Si l’entreprise n’avait mis en place aucune mesure de protection minimale malgré un risque connu, la responsabilité personnelle du dirigeant peut être engagée pour faute de gestion, indépendamment de la responsabilité de l’entreprise elle-même.
