Cybersécurité entreprise : les questions que se posent les dirigeants de TPE et PME

Les dirigeants de TPE et PME posent presque toujours les mêmes questions : suis-je vraiment une cible, combien dois-je investir, que dit la loi, qui est responsable, comment choisir un prestataire, que faire en premier. Ce guide y répond de façon directe, en renvoyant vers les guides détaillés du site. Le principe général : la cybersécurité d'une PME repose d'abord sur des mesures de base peu coûteuses et sur l'organisation, avant les outils avancés, et la décision relève de la direction, même si l'exécution est déléguée.

Risque et exposition

Mon entreprise est petite, pourquoi serait-elle visée ?

Parce que la plupart des attaques ne sont pas ciblées : des outils automatiques cherchent des comptes aux mots de passe faibles, des équipements non corrigés, des services exposés. La taille ne protège pas, et les petites structures sont aussi des maillons d'attaque contre leurs clients et fournisseurs. Les rançongiciels visent des entreprises de toutes tailles, souvent en fonction de leur capacité à payer et de leur dépendance à leurs systèmes.

Quels sont les scénarios les plus fréquents ?

Quatre reviennent régulièrement : la prise de contrôle d'une messagerie (après hameçonnage ou mot de passe volé), le rançongiciel qui chiffre les données, la fraude au virement par usurpation d'identité, et la fuite de données clients. Les sources publiques comme Cybermalveillance.gouv.fr et l'ANSSI publient des synthèses de la menace pour s'en faire une idée sans spéculer.

Mes données sont dans le cloud : suis-je protégé ?

En partie. Le fournisseur protège son infrastructure, mais vous restez responsable de vos comptes, de vos paramètres de partage, de vos accès et de la sauvegarde selon vos besoins. Une messagerie en ligne sans MFA reste une porte d'entrée.

Budget et choix

Combien dois-je y consacrer ?

Il n'existe pas de pourcentage officiel. Partez de vos scénarios de risque, de votre dépendance au numérique et de vos obligations. Les mesures de base sont peu coûteuses : voir le guide sur le coût de la cybersécurité d'une PME et l'estimateur de budget.

Par quoi commencer avec un petit budget ?

Dans cet ordre : authentification multifacteur, mises à jour, sauvegardes testées, sensibilisation, procédure de double validation des virements, fiche de crise. Le plan d'action sur 90 jours détaille la marche à suivre.

Antivirus, EDR ou service managé ?

Cela dépend de votre capacité à traiter des alertes. Pour une très petite structure, un antivirus bien géré avec les bases d'hygiène peut suffire ; au-delà, un EDR avec suivi ou un service managé est pertinent. Voir le guide sur les antivirus et EDR.

Comment éviter de me faire vendre ce dont je n'ai pas besoin ?

Écrivez votre besoin, demandez plusieurs devis sur un périmètre identique, demandez ce qui est exclu et comparez à partir de critères précis. Voir le guide sur le choix d'un prestataire.

Responsabilité et obligations légales

Le dirigeant est-il responsable en cas de cyberattaque ?

La responsabilité dépend des circonstances : obligations de sécurité du RGPD pour les données personnelles, devoir de diligence du dirigeant, obligations contractuelles envers les clients, et, pour les entités concernées, la directive NIS 2 qui renforce explicitement le rôle de la direction. L'appréciation est juridique et dépend des faits : consultez un avocat en cas de doute.

Que dit le RGPD ?

Le RGPD impose de garantir un niveau de sécurité adapté au risque (article 32), de documenter les violations de données et de notifier la CNIL dans les 72 heures lorsqu'une violation est susceptible d'engendrer un risque pour les personnes (articles 33 et 34). Les sanctions peuvent atteindre, pour les manquements les plus graves, 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, mais les autorités tiennent compte de la gravité, de la taille et des mesures prises.

Suis-je concerné par la directive NIS 2 ?

Cela dépend de votre secteur et de votre taille. Les TPE sont en principe hors champ, mais peuvent être concernées comme sous-traitants. L'état de la transposition française doit être vérifié sur les sites officiels : voir le guide sur la directive NIS 2.

Dois-je déclarer une cyberattaque ?

Selon les cas : plainte (obligatoire en pratique pour être indemnisé par une assurance cyber, dans les 72 heures), notification à la CNIL en cas de violation de données personnelles, notification à l'ANSSI pour certaines entités, déclaration à l'assureur selon le contrat. Voir le guide sur que faire après une cyberattaque.

Assurance

L'assurance cyber est-elle indispensable ?

Pas toujours, mais elle devient pertinente quand un arrêt d'activité de quelques semaines aurait des conséquences lourdes. Elle ne remplace pas la prévention : les assureurs exigent des mesures minimales et peuvent refuser d'indemniser si les déclarations sont inexactes. Voir le guide sur l'assurance cyber.

Mon assurance multirisque professionnelle me couvre-t-elle ?

Rarement de manière suffisante pour le risque informatique. Demandez par écrit à votre assureur ce qui est couvert et exclu.

Prestataires et organisation

Puis-je tout confier à mon prestataire informatique ?

Vous pouvez lui déléguer l'exécution, pas la responsabilité. Gardez une visibilité sur les accès, les sauvegardes et la documentation, et vérifiez ses propres pratiques de sécurité.

Qui doit s'occuper de la sécurité dans une PME sans informaticien ?

Un responsable doit être désigné, même à temps partiel : dirigeant, responsable administratif ou référent. Cette personne pilote le plan d'action et fait le lien avec le prestataire.

Les aides financières existent-elles ?

Certaines régions, CCI ou dispositifs sectoriels proposent des diagnostics ou des subventions. Ils changent souvent : renseignez-vous sur les sites officiels de votre région et de votre CCI avant d'engager la dépense.

Tableau de synthèse : les 6 premières actions

Pour vérifier votre situation rapidement, utilisez la checklist d'hygiène ; pour mesurer ce que vous risquez et ce que vous pouvez gagner, le calculateur de rentabilité.

Quand faire appel à un professionnel

Faites-vous accompagner dès que votre activité manipule des données sensibles, que vos clients vous demandent des garanties de sécurité, que vous soupçonnez une compromission, ou que vous avez des obligations réglementaires. Cybermalveillance.gouv.fr permet de trouver des professionnels de proximité, et l'ANSSI publie les listes de prestataires qualifiés.

Questions fréquentes supplémentaires

Combien de temps faut-il pour être raisonnablement protégé ?

Les mesures de base peuvent être mises en œuvre en quelques semaines à quelques mois selon l'état de départ. La protection se maintient dans le temps par des revues régulières, elle n'est jamais acquise définitivement.

Faut-il certifier mon entreprise ?

Pas par défaut. Une certification comme ISO 27001 peut être demandée par certains clients ou secteurs, mais elle demande des moyens importants. Commencez par l'hygiène de base.

Où trouver de l'aide en cas d'urgence ?

Sur Cybermalveillance.gouv.fr pour une assistance et une mise en relation avec des professionnels, auprès de votre assureur si vous avez une garantie d'assistance, et auprès de la police ou de la gendarmerie pour le dépôt de plainte.

Sources et références

• ANSSI — guides, menaces, NIS 2, prestataires qualifiés.
• Cybermalveillance.gouv.fr — assistance et sensibilisation.
• CNIL — RGPD, notification des violations de données.
• Légifrance — textes officiels.