Longtemps, la cybersécurité a semblé être un sujet de grand groupe. Les multinationales et les banques dans les médias, les PME hors du radar. Cette idée a la vie dure, alors qu'elle ne correspond plus à la réalité du terrain.
Selon l'ANSSI, les TPE, PME et ETI représentaient déjà 40 % des attaques par rançongiciel en 2022. Une enquête de la CPME montrait qu'en 2021, une petite entreprise sur cinq avait déjà subi une cyberattaque, et le rapport Hiscox notait que le nombre d'attaques recensées contre les entreprises de moins de 10 salariés avait été multiplié par quatre entre 2020 et 2021.
La question n'est donc plus « est-ce que ça peut m'arriver », mais « combien ça coûte si ça arrive ». Et la réponse mérite d'être posée avec des chiffres, pas avec de la peur.
Le coût réel, chiffres à l'appui
Les études ne s'accordent pas sur un montant unique, ce qui est normal : le coût dépend de la taille de l'entreprise, du type d'attaque et de sa gravité. Mais elles convergent sur un ordre de grandeur.
- Coût médian : autour de 50 000 €. L'étude Astérès 2024, réalisée pour le MEDEF, chiffre à 50 000 € le coût médian d'une cyberattaque pour une PME française. Le rapport Hiscox 2021 donnait 7 273 € pour les plus petites structures, un écart qui montre à quel point la facture grimpe vite avec la gravité de l'incident.
- Coût moyen : jusqu'à 450 000 à 500 000 €, voire 466 000 € selon les recoupements de données ANSSI et CESIN, avec un impact pouvant dépasser 10 % du chiffre d'affaires annuel de l'entreprise touchée.
- 20 % des TPE attaquées subissent un préjudice supérieur à 50 000 €, et 13 % dépassent les 100 000 €, selon le MEDEF.
- Certaines analyses évoquent même une fermeture définitive pour six PME victimes sur dix dans les 18 mois suivant l'attaque, quand la trésorerie ne suffit pas à absorber le choc.
Le baromètre CESIN 2025 (397 RSSI interrogés) apporte une nuance importante : la part d'entreprises françaises touchées par une attaque significative recule d'année en année (40 % en 2025, contre 47 % en 2024 et 65 % en 2019), grâce aux investissements en protection. Mais quand une attaque aboutit malgré tout, ses conséquences sont plus lourdes qu'avant :
81 % des entreprises touchées déclarent un impact réel sur leur activité.
Où part vraiment l'argent ?
La rançon n'est presque jamais le poste de dépense le plus lourd. La structure du coût ressemble davantage à ceci :
- 50 % : pertes d'exploitation. Arrêt de la production, commandes non traitées, chômage technique.
- 20 % : remédiation technique. Reconstruction de l'infrastructure, achat de matériel, restauration des données.
- 20 % : prestations d'urgence. Experts en réponse à incident, avocats, communication de crise.
- 10 % : préjudice réputationnel. Perte de clients, sanctions CNIL en cas de fuite de données personnelles.
Concrètement, une PME de 40 salariés victime d'un rançongiciel peut avoir une facture technique directe (intervention, restauration) sous 30 000 €. Mais l'arrêt de production pendant plusieurs jours, le temps de direction mobilisé sur la gestion de crise plutôt que sur l'activité, et la hausse de la prime d'assurance l'année suivante peuvent représenter plusieurs fois ce montant. C'est cet effet cumulatif, plus que la réparation technique isolée, qui fait le plus mal.
À cela s'ajoute une réalité que peu de dirigeants anticipent : si l'authentification multifacteur n'était pas en place ou si les sauvegardes n'étaient pas déconnectées du réseau au moment de l'attaque, l'assureur peut refuser d'indemniser. La prévention n'est plus une option en marge du contrat, elle en est une condition.
Pourquoi les petites structures sont des cibles de choix
Les hackers ne ciblent pas manuellement chaque entreprise. Ils balaient des milliers de systèmes chaque jour, à la recherche de failles simples : mots de passe faibles, absence de double authentification, logiciels non mis à jour, sauvegardes inexistantes. Le phishing reste la porte d'entrée numéro un : il est responsable de 55 % des intrusions selon le baromètre CESIN.
Une TPE ou une PME coche souvent plusieurs cases à la fois : pas de service informatique dédié, pas de centre de surveillance de sécurité, équipes peu sensibilisées, mais des données clients qui se revendent bien. Le ratio effort/rentabilité pour un attaquant y est excellent. Ce n'est pas une question de notoriété, c'est une question de vulnérabilité.
NIS 2 : la responsabilité qui monte d'un cran
Le cadre réglementaire évolue dans le même sens. Une fois la directive NIS2 transposée en droit français (le processus est encore en cours au Parlement), des milliers d'ESN, d'éditeurs de logiciels et de PME classées entités « essentielles » ou « importantes » seront exposées à des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial en cas de manquement avéré. La responsabilité personnelle du dirigeant peut être engagée. En attendant la transposition, le régime actuel des opérateurs de services essentiels reste en vigueur, avec des sanctions pénales déjà prévues pour les dirigeants.
Autrement dit, la conformité n'est plus seulement un argument commercial pour rassurer un client. Elle devient une protection juridique directe pour le dirigeant.
Réduire le risque, et la facture
Les bonnes pratiques de base restent les plus rentables : authentification multifacteur, sauvegardes régulières et déconnectées, mise à jour des systèmes, sensibilisation des équipes au phishing, contrôle des accès (et suppression des accès des collaborateurs partis, un classique trop souvent oublié). Rien de spectaculaire, mais c'est précisément ce que les études citées plus haut identifient comme les failles les plus exploitées.
C'est là que se joue la vraie différence entre subir une attaque à 7 000 € et en subir une à 450 000 €. Pas dans la technologie la plus chère, dans la rigueur du quotidien.
La conformité comme investissement, pas comme charge
C'est précisément le terrain sur lequel Basilis travaille. Notre conviction : une TPE ou une PME française n'a pas besoin du budget d'un grand groupe pour se mettre sérieusement en conformité, ni de confier ses données à une plateforme américaine soumise au Cloud Act pour y arriver.
Concrètement, Basilis automatise 80 % de la collecte de preuves de conformité (ISO 27001, NIS2, RGPD) grâce aux intégrations sur vos outils existants (Google Workspace, AWS, GitHub, Jira...). Les 20 % restants, la partie qui demande du jugement et de la pédagogie, sont pris en charge par un Expert Cyber attitré qui accompagne vos équipes jusqu'à la veille de l'audit. Pas un logiciel qui recrache des rapports sans contexte, pas un cabinet de conseil facturé au taux journalier pendant des mois : un accompagnement humain, structuré, à un tarif transparent à partir de 4 900 €/an.
L'objectif n'est pas de vous vendre de la peur. C'est de vous donner les moyens de réduire un risque réel et documenté, avec une méthode claire plutôt qu'un tableur Excel et de bonnes intentions.
Sources : ANSSI (via Fiducial) · CPME, enquête 2021 · Hiscox, rapport 2021 · MEDEF / Astérès, étude 2024 · CESIN, baromètre 2025 (OpinionWay) · CriseHelp, Le coût réel des cyberattaques en France · BNP Paribas Entreprises · Sérénity Assurances