L'ANSSI vient de publier son panorama annuel de la cybermenace. Les PME françaises restent la cible numéro un des cybercriminels. Chiffres officiels, cas concrets et plan d'action pour les dirigeants.
Thomas R. dirige une PME de 18 personnes spécialisée dans le négoce de matériaux de construction, en région lyonnaise. Pas d'équipe informatique interne : un prestataire intervient quelques fois par an pour les mises à jour et les sauvegardes. En janvier 2026, après avoir lu un article sur une cyberattaque ayant paralysé une entreprise similaire à la sienne pendant trois semaines, il a demandé un audit de sécurité. « Je pensais être dans la moyenne. Peut-être un peu en retard sur deux ou trois points. » Le rapport a révélé huit failles critiques : un firewall en fin de vie depuis deux ans, des identifiants administrateurs partagés entre plusieurs salariés, une sauvegarde stockée sur le même réseau que les données de production, et quatre postes sans protection endpoint. « J'ai compris ce jour-là que ma PME était une cible, pas une forteresse. »
Thomas R. n'est pas un cas isolé. Il est, statistiquement, la norme.
Ce que dit le Panorama de la cybermenace 2026
En mars 2026, l'ANSSI a présenté son bilan annuel de la cybermenace. Malgré une légère baisse globale du nombre d'incidents traités — liée en partie à l'effet de comparaison avec le pic exceptionnel des Jeux olympiques de Paris en 2024 — la réalité structurelle reste préoccupante. Les PME, TPE et ETI représentent toujours 48 % des victimes de rançongiciels signalés à l'Agence. Premier groupe ciblé, loin devant les collectivités territoriales (11 %) et les établissements de santé (8 %).
Un chiffre particulièrement marquant dans ce panorama : les exfiltrations de données ont progressé de 51 % par rapport à 2024. Les attaquants ne se contentent plus de chiffrer les fichiers pour exiger une rançon — ils les volent d'abord, pour menacer de les publier en cas de non-paiement. Pour une PME dont le fichier clients ou les savoir-faire constituent le principal actif commercial, cette évolution transforme radicalement la nature de la menace.
48% des victimes de rançongiciels sont des PME/TPE/ETI — ANSSI 2026
+51% d'exfiltrations de données en France vs 2024 — ANSSI
74% des PME françaises sous le niveau « Essentiel » ANSSI — Docaposte/Cyblex 2026
63% citent le manque de connaissances comme obstacle principal — Cybermalveillance 2025
Pourquoi les PME françaises sont particulièrement exposées
Le tissu économique français repose en grande partie sur des PME industrielles, de services et de négoce qui traitent des données à forte valeur — carnets de commandes, plans techniques, bases clients, données comptables — souvent sans équipe IT dédiée. C'est précisément cette combinaison d'actifs précieux et de défenses limitées que ciblent les groupes cybercriminels organisés.
Un facteur aggravant est régulièrement documenté par l'ANSSI : le risque de contamination par rebond, ou attaque via la « supply chain numérique ». Les grands donneurs d'ordre ont majoritairement renforcé leur cybersécurité ces dernières années. Leurs sous-traitants et fournisseurs, eux, sont souvent restés en retrait. Attaquer un sous-traitant, c'est fréquemment la voie la plus courte pour accéder aux systèmes — et aux données — d'un grand groupe.
On nous a expliqué après coup que les attaquants étaient passés par nous pour atteindre l'un de nos clients grands comptes. Ils avaient accès à notre messagerie depuis plusieurs semaines. On n'a jamais su exactement ce qui avait été récupéré. Ça a failli nous coûter le contrat, et notre réputation.
S. et P. D., co-gérants, PME sous-traitance industrielle — 22 collaborateurs
Il est 7h43 un lundi matin. La comptable de l'entreprise ouvre sa messagerie et trouve un email de son « directeur général » lui demandant de réaliser un virement urgent de 38 000 euros avant 10h pour débloquer un contrat. Le ton est pressant, le format impeccable. L'adresse expéditrice est presque identique à celle du dirigeant — une lettre en moins.
Elle hésite dix secondes. Elle n'a pas été formée à reconnaître ce type d'attaque. Elle effectue le virement. L'argent est irrécupérable.
Ce scénario — la fraude au président — représente en 2026 l'une des principales causes de pertes financières directes pour les PME françaises. Aucun antivirus ne l'aurait arrêtée. Seule la sensibilisation des collaborateurs permet de s'en protéger.
NIS2 : la directive européenne qui s'impose aux entreprises
La directive européenne NIS2, adoptée en 2022, est en cours de transposition en droit français en 2026. Elle va modifier en profondeur les obligations des entreprises qui n'étaient jusqu'ici soumises à aucune contrainte formelle en matière de cybersécurité. Le périmètre des entités concernées est considérablement élargi : fabrication industrielle, agroalimentaire, gestion des déchets, services postaux, numérique, transports.
Pour les entreprises classées « entités importantes » sous NIS2, les obligations incluront une politique de sécurité formalisée, une gestion des incidents avec notification sous 24 heures pour les incidents majeurs, une sécurisation de la chaîne d'approvisionnement — vos sous-traitants devront eux aussi répondre à des exigences précises —, et des formations régulières des équipes. Les sanctions encourues en cas de non-conformité peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Jean-Luc M., responsable cybersécurité
Expert en sécurité des systèmes d'information
« NIS2 n'est pas une contrainte de plus. C'est une opportunité pour les dirigeants de PME de structurer leur cybersécurité avec le soutien d'un cadre réglementaire clair. Les entreprises qui anticipent dès maintenant éviteront les mises en conformité précipitées — et coûteuses — dans 12 à 18 mois. »
La méthode des cercles concentriques : par où commencer sans se noyer
Face à la complexité apparente du sujet, beaucoup de dirigeants de PME tombent dans l'un de deux pièges : l'inaction par paralysie (« c'est trop complexe, je ne sais pas par où commencer ») ou l'investissement désordonné (« on a acheté un nouvel antivirus, c'est bon »). La méthode que nous recommandons chez Cybera Télécom est celle des cercles concentriques : protéger en premier ce qui est irremplaçable, puis élargir progressivement le périmètre.
Premier cercle : les données critiques
Identifiez ce dont la perte stopperait immédiatement votre activité. Pour un cabinet d'expertise comptable : les dossiers clients. Pour un prestataire de services : les contrats et bons de commande. Pour un industriel : les ordres de fabrication et les plans. Ces données doivent être sauvegardées selon la règle 3-2-1 avec une copie déconnectée du réseau — et la restauration doit être testée régulièrement. C'est la priorité absolue, avant tout autre investissement.
Deuxième cercle : les accès
Chaque collaborateur n'accède qu'à ce dont il a besoin pour son travail. Un stagiaire commercial n'a pas besoin d'accéder aux serveurs comptables. Un prestataire externe ne devrait jamais bénéficier d'un accès permanent à votre réseau. L'authentification à double facteur s'applique à tous les accès distants sans exception. La gestion des départs doit être systématique : quand un collaborateur quitte l'entreprise, tous ses accès sont révoqués immédiatement.
Troisième cercle : les équipements exposés
Votre pare-feu, votre VPN, votre routeur : ce sont les équipements directement exposés à internet. L'ANSSI a documenté en 2025 des campagnes massives exploitant des vulnérabilités sur ces équipements — parfois plusieurs mois après que les correctifs étaient disponibles. Mettez-les à jour systématiquement. Si votre pare-feu est une box opérateur grand public, remplacez-la par un équipement professionnel adapté à vos usages.
Quatrième cercle : les postes et les utilisateurs
EDR sur tous les postes, politique de mots de passe avec gestionnaire dédié, sensibilisation régulière au phishing et à la fraude au président : c'est le quatrième cercle. Pas le moins important, mais le dernier dans l'ordre de priorité si vos ressources sont contraintes.
Check-list niveau « Essentiel » ANSSI
✓ Sauvegardes 3-2-1 avec copie déconnectée, testées mensuellement
✓ Antivirus / EDR sur tous les postes de travail
✓ Pare-feu professionnel configuré et mis à jour
✓ Mots de passe uniques et robustes — gestionnaire de mots de passe
✓ 2FA sur tous les accès distants et la messagerie
✓ Mises à jour des systèmes appliquées dans les 72h après publication
✓ Procédure documentée en cas d'incident
✓ Sensibilisation des collaborateurs au phishing (min. 1x/an)
La question n'est plus de savoir si votre PME sera ciblée, mais quand. Et si vous êtes prêt le jour où ça arrive.
L'audit de Thomas R. s'est conclu par un plan d'action sur six semaines et un investissement total d'environ 4 500 euros — pare-feu professionnel, EDR sur l'ensemble des postes, reconfiguration complète des sauvegardes, et une demi-journée de sensibilisation pour toute l'équipe. « Ce que j'ai surtout retenu, c'est que se protéger ne coûte pas si cher. Ce qui coûte cher, c'est de subir une attaque sans y être préparé. »
Sources & références
- ANSSI, Panorama de la cybermenace 2025, mars 2026
- Cybermalveillance.gouv.fr, Baromètre national maturité cyber TPE-PME 2025, décembre 2025
- Docaposte / Cyblex Consulting, Baromètre cybersécurité PME 2025, mars 2026
- Parlement européen, Directive NIS2 (UE) 2022/2555
- ANSSI, Guide d'hygiène informatique — 42 mesures
Les témoignages et cas présentés dans cet article sont des reconstructions basées sur des situations réelles rencontrées par Cybera Télécom ou documentées dans la presse spécialisée. Les noms, fonctions et détails identifiants ont été modifiés pour préserver l'anonymat.