Par Hélène Barbier — 15 ans animatrice QHSE en site industriel, consultante indépendante depuis 2023.
On m’a rarement demandé d’écrire sur la cybersécurité. Mon métier, pendant quinze ans : l’affichage sécurité, les plans de prévention, les audits du jeudi matin. Puis le sujet cyber est arrivé dans les réunions du lundi, avec sa charte informatique de onze pages. J’ai reconnu la mécanique. Des consignes de sécurité irréprochables sur le papier, un atelier qui fait autrement à 14 h. Voilà pourquoi je parle de protection de l’entreprise contre les risques cyber : je ne suis pas DSI, je ne vends aucune solution de sécurité informatique, j’ai passé quinze ans à regarder pourquoi les règles ne tiennent pas.
Le jour où le sujet cyber est descendu dans l’atelier
Longtemps, la cybersécurité en entreprise restait à l’étage. Une affaire de serveurs, de logiciels, de réseau informatique — pas de production. Ça a changé vers 2019 chez nous. Un fournisseur s’est fait pirater sa messagerie. Nous avons reçu une facture avec un RIB modifié. La comptable a payé, comme les vingt fois précédentes.
Ce jour-là, la sécurité informatique a cessé d’être un sujet de DSI. Elle est devenue un sujet de processus, de gestion quotidienne, de pratiques — ma partie.
Depuis, je vois le même schéma partout. Le dirigeant de TPE PME sait que les risques cyber existent. Il pense que les cyberattaques visent les autres : les grands groupes, les hôpitaux, ceux qui manipulent des données personnelles par millions. Il se demande vaguement comment protéger son entreprise contre les cybermenaces, il repousse, il a une commande à livrer.
Protéger une entreprise ne veut pas dire acheter des solutions de cybersécurité. Ça veut dire réduire des risques cyber avec les moyens réels d’une structure de douze personnes, sur des pratiques que les employés tiendront un mardi de rush. Le reste, c’est de la décoration.
Les chiffres, avant les conseils
Dans son Panorama de la cybermenace 2025, publié en mars 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) recense 128 compromissions par rançongiciel sur 3 586 événements de sécurité traités. Là où ça devient intéressant : 48 % des victimes sont des TPE PME ETI. Presque une sur deux, contre 37 % en 2024.
La cible des attaques s’est déplacée vers le bas. Pas par gourmandise des cybercriminels. Par facilité : ces entreprises ont rarement des experts en cybersécurité, jamais de détection, souvent aucune politique écrite.
Le rapport d’activité 2025 de Cybermalveillance.gouv.fr recense plus de 504 000 demandes d’assistance en ligne (+20 %). Les entreprises pèsent 6 % du total, en progression de 73 % sur un an. Le piratage de compte arrive en tête des menaces touchant les professionnels (+45 %). La fraude au virement — mon histoire de facture — représente 13,5 % des demandes des entreprises (+93 %). Les piratages informatiques bondissent de 112 %.
Les risques cyber se déplacent là où la protection est la plus faible, exactement comme l’eau. Les cyberattaques ne visent plus prioritairement les gros systèmes informatiques bien gardés : elles visent les entreprises sans DSI, sans budget, sans temps.
| Dispositif de protection en place | 2024 | 2025 |
|---|---|---|
| Antivirus | — | 84 % |
| Sauvegarde des données | — | 78 % |
| Pare-feu | — | 69 % |
| Politique de mots de passe | 40 % | 51 % |
| Authentification multi facteurs (MFA) | 20 % | 26 % |
| Solution de détection d’attaque | 12 % | 16 % |
| Nombre moyen de solutions installées | 3,62 | 4,06 |
| Dirigeants s’estimant fortement exposés aux risques cyber | 38 % | 44 % |
| Dirigeants estimant avoir un bon niveau de protection | 39 % | 58 % |
Source : Cybermalveillance.gouv.fr / OpinionWay, 2ᵉ baromètre national de la maturité cyber des TPE-PME, 588 entreprises interrogées, octobre 2025.
Regardez les deux dernières lignes. La perception de protection bondit de 19 points ; le nombre d’outils installés progresse de 0,44. La confiance monte quatre fois plus vite que l’équipement. J’ai vu ça toute ma carrière : le sentiment de sécurité progresse plus vite que la sécurité réelle. C’est même souvent le premier symptôme.
Une ligne me frappe davantage : 26 % d’authentification multi facteurs. Trois quarts des TPE PME n’ont pas activé la case à cocher que Microsoft ou Google mettent gratuitement à disposition, sur des systèmes qu’elles utilisent tous les jours. Le budget de sécurité informatique reste inférieur à 2 000 € par an pour 77 % d’entre elles. En face, les cybercriminels ont industrialisé leurs attaques : marketplaces de données volées, kits de phishing prêts à l’emploi, faux téléconseillers.
Les cybermenaces vues de près
Le terme « cyberattaque » évoque un film. La réalité que je vois en entreprise est bureaucratique. Les menaces en ligne qui touchent les TPE PME ressemblent à du travail administratif — le vôtre.
Le phishing arrive en tête des menaces en ligne, tous publics confondus, en hausse de 70 % : la porte d’entrée principale vers vos systèmes d’information. Le mail truffé de fautes appartient au passé. Les cybercriminels travaillent avec des données fuitées, vraies, fraîches — votre numéro de commande, le nom de votre interlocuteur. Un salarié qui clique n’est pas négligent : il est ciblé par un message conçu pour lui.
La fraude au virement tient en trois lignes : piratage d’une messagerie, interception d’une facture, modification du RIB. Aucune prouesse technique, plutôt une bonne compréhension de vos processus internes.
Le rançongiciel reste le plus redoutable (8,1 % des demandes des professionnels). En atelier : la GPAO ne répond plus, les ordres de fabrication n’existent nulle part, la logistique travaille au papier. J’ai vu une ligne tourner trois jours à l’aveugle. Les pertes financières ne viennent pas de la rançon. Elles viennent de l’arrêt d’activité, des clients qu’on rappelle un par un, de la confiance des clients partenaires commerciaux qu’on récupère en dix-huit mois. Ajoutez les attaques par déni de service sur le site web, les virus, l’usurpation d’identité des dirigeants : 51 formes de cybermalveillance recensées.
Pourquoi la consigne parfaite ne tient jamais
Voilà mon sujet depuis quinze ans. Un salarié qui contourne une protection a presque toujours une bonne raison. La question n’est pas de savoir s’il a tort — il a tort, lui le premier le sait. La question, c’est laquelle de ses raisons a gagné contre la consigne.
En atelier, le carter qu’on retire rend le réglage impossible sans arrêter la ligne. En bureau, le mot de passe sur le post-it répond à des politiques de gestion des accès imposant douze caractères renouvelés tous les 90 jours sur sept logiciels différents. Chacun optimise ce qu’on lui demande vraiment. Les politiques de sécurité écrites à l’étage rencontrent toujours le même mur : le temps disponible en bas.
Le post-it a une histoire
Sur un site où j’intervenais, la direction avait déployé une politique de mots de passe très propre. Un mois plus tard, un chef de service m’a montré son tiroir : un carnet, tous les identifiants dedans. Il n’était pas fier. Il gérait les accès de trois intérimaires par semaine, sans droit de créer des comptes, avec un service informatique qui répondait sous 48 heures. Il avait choisi la production, comme tout le monde à sa place.
Là est la vraie question de la protection des données personnelles en entreprise. Pas « faut-il un mot de passe robuste ». Plutôt : quel arbitrage a-t-on demandé à cette personne, seule, à 14 h, un vendredi.
L’audit qu’on « prépare »
La veille d’un audit, on range. C’est humain. En matière de cybersécurité, ça donne des sessions de sensibilisation formation cybersécurité programmées trois jours avant la visite de l’assureur, avec émargement. Tout le monde signe. Personne ne retient. Le taux de participation, lui, est excellent. J’ai animé ces sessions, je ne juge pas : un indicateur qui monte ne prouve rien sur les pratiques réelles d’une équipe, ni sur la protection réelle de l’entreprise.
Les mesures existent, elles sont écrites, elles sont gratuites
Je ne prescris rien, ce n’est pas ma légitimité. Les mesures de protection contre les cyberattaques sont documentées par des gens dont c’est le métier, gratuites, à jour. Aucune entreprise ne manque d’information en matière de cybersécurité : elle manque de temps pour la transformer en gestes. Où je vais chercher, quand un client me pose la question :
- Cybermalveillance.gouv.fr : fiches réflexes, kit de sensibilisation, diagnostic guidé par le 17Cyber. Le point d’entrée le plus simple pour une TPE PME sans service informatique.
- MesServicesCyber, plateforme de l’ANSSI : services gratuits pour sensibiliser les employés, se former, sécuriser les systèmes d’information, se préparer à réagir face à une cyberattaque.
- France Num : les dispositifs d’accompagnement au numérique, les aides, le vocabulaire traduit en français lisible.
- La CNIL : la sécurité des données personnelles, les obligations en cas de violation.
Les mesures qui reviennent dans chacun de ces guides, je les cite sans les commenter : mise à jour de tous les logiciels, y compris ceux du réseau ; sauvegarde testée, isolée ; authentification multi facteurs sur la messagerie d’abord ; gestion des accès — le compte du stagiaire de 2022 fonctionne toujours, dans plus d’entreprises que vous ne l’imaginez ; sensibilisation des employés au phishing ; sécurisation du site web, souvent la seule porte visible depuis Internet.
Sur la réglementation — NIS 2, RGPD, notification de violation de données — je ne commente pas : ni juriste, ni inspectrice. Une donnée du baromètre 2025 tout de même : seules 9 % des entreprises se disent assujetties à NIS 2, prêtes ou en cours de préparation.
Ce que j’ai vu tenir dans la durée
Je n’ai pas de méthode, j’ai des observations. Les mesures qui tiennent ne coûtent aucun temps à celui qui les applique, se vérifient sans réunion, ont été discutées avec ceux qui vont les vivre avant leur mise en place.
L’authentification multi facteurs tient : deux secondes, le même geste partout, rien à mémoriser. La sauvegarde automatique isolée du réseau tient, personne n’a rien à faire. La détection d’attaque tourne sans utilisation quotidienne. La mise à jour automatique des logiciels tient, pour la même raison. Le VPN qu’on doit penser à activer ne tient pas, jusqu’au jour où quelqu’un le rend automatique. Une protection efficace est une protection qu’on n’a pas besoin de vouloir.
La sensibilisation qui marche, celle qui abîme
Six TPE PME sur dix déclarent avoir engagé des actions de sensibilisation. Le résultat d’une formation à la cybersécurité dépend entièrement de son format.
Un faux phishing envoyé aux employés, suivi d’une discussion sans sanction : j’ai vu ça fonctionner. Les gens en parlent à la machine à café, ils se racontent qui a cliqué, ils retiennent. La version punitive — liste des cliqueurs, entretien avec le N+1 — donne autre chose : trois semaines plus tard, plus personne ne signalait rien. Le délai de détection passe de dix minutes à trois jours. La sensibilisation avait rendu l’entreprise moins sûre.
Le donneur d’ordre pose désormais la question
39 % des TPE PME s’informent sur les risques cyber auprès de leur prestataire informatique, 31 % via Cybermalveillance.gouv.fr, 19 % via l’ANSSI. La protection numérique d’une petite entreprise repose donc d’abord sur un prestataire. Sauf qu’un prestataire fournit des outils, des solutions — pas des pratiques internes. Il ne décide pas qui a accès à quoi, ni comment on valide un changement de RIB.
J’ai vu un donneur d’ordre réclamer à un sous-traitant, dans son questionnaire annuel, la preuve d’une politique de sauvegarde. Trois questions. Aucune réponse à donner. Dans l’industrie, on remonte la chaîne : le maillon faible de la sécurité d’un grand groupe, c’est son fournisseur à douze salariés. Renforcer sa posture de sécurité devient un argument commercial : la protection des données des clients figure dans la grille de notation fournisseur. Étrange époque.
Questions fréquentes
Une TPE de cinq salariés est-elle vraiment ciblée par les cyberattaques ?
Les chiffres de l’ANSSI répondent mieux que moi : 48 % des victimes de rançongiciel recensées en 2025 sont des TPE PME ETI. Les cybercriminels ne choisissent pas leur cible par sa taille. Ils balayent le web, ils entrent là où c’est ouvert. La taille de l’entreprise ne protège de rien.
Comment protéger efficacement son entreprise sans budget ni service informatique ?
Je ne fais pas de recommandation, ce n’est pas mon rôle. Le parcours guidé du 17Cyber, sur Cybermalveillance.gouv.fr, pose les questions dans l’ordre, gratuitement. MesServicesCyber recense les services gratuits pour renforcer la sécurité de vos systèmes informatiques. Ces ressources numériques sont conçues pour des structures sans experts en interne.
Combien coûte la cybersécurité pour une petite entreprise ?
Budget annuel inférieur à 2 000 € pour 77 % des TPE PME interrogées en 2025. À comparer au coût d’un arrêt d’activité de trois jours dans votre structure — un calcul que vous êtes seul à pouvoir faire.
Quelles sont les principales menaces en ligne pour une entreprise en France ?
D’après le rapport 2025 de Cybermalveillance.gouv.fr : piratage de compte en tête, fraude au virement (13,5 % des demandes des entreprises), rançongiciel (8,1 %), violations de données (6,6 %), piratages informatiques (6 %), cyberharcèlement des dirigeants (5,5 %), virus (3,4 %), attaques par déni de service (2,5 %).
Que faire le jour où ça tombe ?
Une observation, pas un conseil : les entreprises qui s’en sortent le mieux ont une feuille imprimée dans un tiroir. Numéros du prestataire, de l’assureur, de la banque, du 17Cyber. Sur papier — un plan de gestion de crise stocké sur un réseau chiffré ne sert à rien. En QHSE, on appelle ça une fiche réflexe : on en a plein les ateliers pour l’incendie, presque jamais pour le cyber.
Pour finir
La protection d’une entreprise contre les risques cyber ne se joue pas dans le choix des outils, ni dans le nombre de solutions de sécurité installées. Elle se joue dans l’écart entre la consigne de 10 h, la réalité de 14 h. Aucun logiciel ne mesure cet écart. Il se voit en marchant dans les bureaux, en regardant les tiroirs, en écoutant celui qui contourne — sans lui faire la leçon, surtout.
C’est peut-être décevant comme conclusion. C’est le seul truc que quinze ans m’ont vraiment appris.
