L'ANSSI vient de publier son panorama de la cybermenace 2025. Les PME normandes sont en première ligne. Chiffres officiels, cas concrets et plan d'action pour les dirigeants.
📅 10 mars 2026 ⏱ 9 min de lecture ✍️ Rédaction Cybera Télécom
Frédéric L. dirige une PME de 22 personnes spécialisée dans la maintenance industrielle, à la périphérie de Caen. Il n'a pas d'équipe informatique. Son « responsable IT », c'est un prestataire qui passe deux fois par an pour mettre à jour les logiciels et vérifier les sauvegardes. En mars 2025, quand Cybera Télécom lui a proposé un audit de sécurité gratuit, il a accepté par curiosité. « Je m'attendais à ce qu'on me dise que tout allait bien, ou presque. » Le rapport d'audit a identifié sept vulnérabilités critiques : un pare-feu non mis à jour depuis dix-huit mois, des mots de passe partagés entre collègues sur des accès critiques, une sauvegarde quotidienne stockée sur le même NAS que les données de production, et trois postes de travail sous Windows 10 sans EDR. « J'ai réalisé que ma PME était une passoire. »
Frédéric L. n'est pas un cas isolé. Il est, statistiquement, la norme.
Ce que dit le Panorama de la cybermenace 2025
Le 11 mars 2026, l'ANSSI a présenté son bilan annuel. Derrière la baisse apparente de 18 % du nombre d'événements traités — expliquée en grande partie par le pic exceptionnel des Jeux olympiques de Paris en 2024 — se cache une réalité structurellement préoccupante. Les PME, TPE et ETI représentent toujours 48 % des victimes de rançongiciels signalés à l'Agence. Premier groupe ciblé, loin devant les collectivités territoriales (11 %) et les établissements de santé (8 %).
Un chiffre particulièrement frappant dans le rapport 2025 : les exfiltrations de données ont augmenté de 51 % par rapport à 2024. Les attaquants ne se contentent plus de chiffrer les données pour demander une rançon — ils les volent d'abord, pour menacer de les publier si la rançon n'est pas payée. Pour une PME normande dont le carnet d'adresses clients est son principal actif commercial, cette évolution change radicalement la nature de la menace.
48%
des victimes de rançongiciels sont des PME/TPE/ETI — ANSSI 2025
+51%
d'exfiltrations de données en France vs 2024 — ANSSI
74%
des PME françaises sous le niveau « Essentiel » ANSSI — Docaposte/Cyblex 2026
63%
citent le manque de connaissances comme obstacle principal — Cybermalveillance 2025
Pourquoi la Normandie est particulièrement exposée
La Normandie est une région d'industrie, de logistique, d'agroalimentaire et de services. Des secteurs qui traitent des données opérationnelles à haute valeur — commandes, flux logistiques, recettes industrielles, données fournisseurs — souvent sans équipe IT dédiée. Cette combinaison d'actifs précieux et de défenses légères est exactement ce que recherchent les groupes cybercriminels.
Il y a un deuxième facteur, moins souvent évoqué : le risque de contamination par rebond. Les grands donneurs d'ordre normands — industriels, groupes coopératifs, distributeurs — ont depuis plusieurs années considérablement renforcé leurs propres défenses. Leurs fournisseurs et sous-traitants, eux, sont restés en retrait. Les cybercriminels l'ont compris : attaquer le sous-traitant d'un grand groupe, c'est souvent la voie la plus courte vers les données de ce grand groupe. L'ANSSI a documenté cette tendance dans son rapport 2025 sous le terme d'attaques par « supply chain numérique ».
On nous a expliqué qu'on avait servi de point d'entrée pour atteindre l'un de nos clients grands comptes. Ils avaient accès à nos emails, et donc à nos échanges avec ce client. On n'a jamais su exactement ce qui a été récupéré. Ça a failli nous coûter le contrat.
M. et Mme V., co-gérants, PME sous-traitance mécanique, Eure — 14 collaborateurs
NIS2 : la directive européenne qui arrive dans vos locaux
La directive européenne NIS2, adoptée en 2022 et dont la transposition en droit français est en cours en 2026, va changer la donne pour un grand nombre d'entreprises qui n'étaient jusqu'ici soumises à aucune obligation formelle de cybersécurité. La directive étend considérablement le périmètre des entités concernées : fabrication industrielle, agroalimentaire, gestion des déchets, services postaux, services numériques, transports.
Pour les entreprises classées « entités importantes » sous NIS2, les obligations incluront : une politique de sécurité formalisée et documentée, une gestion des incidents avec notification dans les 24 heures pour les incidents majeurs, une sécurisation de la chaîne d'approvisionnement (vos sous-traitants devront eux aussi répondre à des exigences), et des formations régulières des équipes. Les sanctions en cas de non-conformité peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Jean-Luc M., responsable cybersécurité
Cybera Télécom — Pôle sécurité des systèmes
« NIS2 n'est pas une contrainte administrative de plus. C'est une opportunité pour les dirigeants de PME de structurer leur cybersécurité avec le soutien d'un cadre réglementaire clair. Les entreprises qui anticipent maintenant éviteront les mises en conformité précipitées — et coûteuses — dans 12 à 18 mois. »
La méthode des cercles concentriques : par où commencer sans se noyer
Face à la complexité apparente du sujet, beaucoup de dirigeants de PME tombent dans l'un de deux pièges : soit l'inaction par paralysie (« c'est trop complexe, je ne sais pas par où commencer »), soit l'investissement désordonné (« on a acheté un nouvel antivirus, c'est bon »). La méthode que nous recommandons chez Cybera Télécom est celle des cercles concentriques : commencer par protéger ce qui est irremplaçable, puis élargir progressivement.
Premier cercle : les données critiques
Identifiez ce dont la perte stopperait immédiatement votre activité. Pour un cabinet comptable : les dossiers clients. Pour un artisan : les devis et bons de commande. Pour un industriel : les ordres de fabrication. Ces données doivent être sauvegardées selon la règle 3-2-1 avec une copie déconnectée du réseau — et la restauration doit être testée régulièrement. C'est la priorité absolue, avant même d'investir dans quoi que ce soit d'autre.
Deuxième cercle : les accès
Chaque collaborateur n'accède qu'à ce dont il a besoin pour son travail. Un stagiaire commercial n'a pas besoin d'accéder aux serveurs comptables. Un prestataire externe ne devrait jamais avoir un accès permanent à votre réseau. L'authentification à double facteur s'applique à tous les accès distants sans exception. La gestion des comptes départ doit être systématique : quand un collaborateur quitte l'entreprise, tous ses accès sont révoqués le jour même.
Troisième cercle : les équipements exposés
Votre pare-feu, votre VPN, votre routeur : ce sont les équipements directement exposés à internet. L'ANSSI a documenté en 2025 des campagnes massives exploitant des vulnérabilités sur ces équipements — parfois plusieurs mois après que les correctifs étaient disponibles. Mettez-les à jour systématiquement. Si votre pare-feu est une box opérateur, remplacez-la par un équipement professionnel.
Quatrième cercle : les postes et les utilisateurs
EDR sur tous les postes, politique de mots de passe avec gestionnaire, sensibilisation au phishing : c'est le quatrième cercle. Pas le moins important, mais le dernier dans l'ordre de priorité si vos ressources sont limitées.
Check-list niveau « Essentiel » ANSSI
✓ Sauvegardes 3-2-1 avec copie déconnectée, testées mensuellement
✓ Antivirus / EDR sur tous les postes de travail
✓ Pare-feu professionnel configuré et mis à jour
✓ Mots de passe uniques et robustes — gestionnaire de mots de passe
✓ 2FA sur tous les accès distants et la messagerie
✓ Mises à jour des systèmes appliquées dans les 72h après publication
✓ Procédure documentée en cas d'incident
✓ Sensibilisation des collaborateurs au phishing (min. 1x/an)
L'audit de Frédéric L. s'est conclu par un plan d'action en six semaines et un investissement total d'environ 4 200 euros — pare-feu professionnel DrayTek, EDR ESET sur tous les postes, reconfiguration des sauvegardes. « Ce que j'ai surtout retenu de cet audit, c'est que la question n'est pas si on sera attaqué, mais quand. Et maintenant au moins, si ça arrive, je ne suis plus une passoire. »
Sources & références
- ANSSI, Panorama de la cybermenace 2025, 11 mars 2026
- Cybermalveillance.gouv.fr, Baromètre national maturité cyber TPE-PME 2025, décembre 2025
- Docaposte / Cyblex Consulting, Baromètre cybersécurité PME 2025, mars 2026
- Parlement européen, Directive NIS2 (UE) 2022/2555
- ANSSI, Guide d'hygiène informatique — 42 mesures
Les témoignages et cas présentés dans cet article sont des reconstructions basées sur des situations réelles rencontrées par Cybera Télécom ou documentées dans la presse spécialisée. Les noms, fonctions et détails identifiants ont été modifiés pour préserver l'anonymat.