Cybersécurité PME : le plan d'action poste par poste

La cybersécurité d’une PME se joue sur six postes : la messagerie, les ordinateurs, les comptes, les sauvegardes, le réseau et les prestataires. Commencez par ce qui coûte du temps plutôt que de l’argent : double authentification, comptes sans droits administrateur, copie de sauvegarde déconnectée et testée. Faites ensuite mesurer ce qui reste par un audit, appuyez-vous sur les services publics gratuits, et calculez le budget à partir de votre propre inventaire, pas d’un forfait.

Cybersécurité PME : où en sont les petites entreprises

Le baromètre national de la maturité cyber des TPE-PME, publié en 2025 par Cybermalveillance.gouv.fr et relayé par France Num, donne un point de départ. L’enquête, menée par OpinionWay auprès de 588 entreprises, indique que 16 % d’entre elles déclarent au moins un incident sur les douze derniers mois. L’hameçonnage est cité comme cause dans 43 % des cas.

Les protections de base sont répandues : antivirus, sauvegardes et pare-feu équipent plus de 80 % des entreprises interrogées. Les mesures suivantes restent rares : 26 % utilisent la double authentification, 16 % un outil de détection d’attaque et 24 % une procédure de réaction. Au total, 80 % reconnaissent ne pas être prêtes face à une attaque. Le problème n’est donc pas l’absence d’outils, mais leur réglage et l’organisation autour.

Cinq menaces concentrent l’essentiel du risque pour une petite structure : l’hameçonnage, le rançongiciel, la fraude au faux virement, le vol de comptes et l’attaque qui passe par un prestataire. Ce sont les mêmes que pour la cybersécurité en entreprise en général. Le plan qui suit les traite par l’endroit où elles entrent.

Le plan d’action d’une PME, poste par poste

Le tableau résume la première mesure à prendre sur chaque poste. Le détail suit, dans l’ordre où il est le plus rentable de le traiter.

Poste	Ce qui entre par là	Première mesure	Ce que ça coûte surtout
Messagerie	Hameçonnage, vol de compte, faux virement	Double authentification et blocage des transferts automatiques	Du temps
Postes de travail	Logiciel piégé, ordinateur volé	Comptes sans droits administrateur, disque chiffré	Du temps, une licence si vous ajoutez un EDR
Comptes et mots de passe	Mot de passe réutilisé, ancien salarié	Inventaire des comptes et gestionnaire de mots de passe	Un abonnement par utilisateur
Sauvegardes	Rançongiciel, panne, effacement	Une copie hors d’atteinte, restauration testée	Stockage et logiciel de sauvegarde
Réseau et Wi-Fi	Intrus sur le réseau, accès à distance exposé	Wi-Fi invités séparé, aucun accès à distance ouvert	Du temps, parfois du matériel
Prestataires	Accès de maintenance détourné	Liste des accès, comptes nominatifs	Du temps, des clauses de contrat

Messagerie

La boîte mail est la première porte d’entrée et la clé des autres comptes, puisque c’est elle qui reçoit les liens de réinitialisation de mot de passe.

Activez la double authentification pour tous, en commençant par les comptes administrateurs de la messagerie. Une application d’authentification résiste mieux qu’un code par SMS.
Bloquez le transfert automatique vers une adresse externe, ou faites-vous alerter quand une règle de transfert est créée : c’est souvent le premier geste d’un attaquant qui a pris un compte.
Configurez SPF, DKIM et DMARC sur votre nom de domaine. Ces trois réglages indiquent aux autres serveurs qui a le droit d’envoyer des mails en votre nom. Sans eux, un escroc peut écrire à vos clients avec votre adresse.
Ajoutez une mention « expéditeur externe » sur les messages venus de l’extérieur, et donnez à chacun un moyen simple de signaler un mail douteux.

Postes de travail

Travaillez avec un compte standard au quotidien et gardez un compte administrateur séparé pour les installations. Un logiciel piégé lancé sans droits fait beaucoup moins de dégâts.
Laissez les mises à jour automatiques du système, du navigateur et de la bureautique, et remplacez les machines dont le système n’est plus mis à jour par son éditeur.
Chiffrez les disques : BitLocker sur les éditions professionnelles de Windows, FileVault sur Mac. Un portable volé ne livre alors pas ses fichiers. Rangez la clé de récupération ailleurs que sur la machine.
Choisissez la protection selon la taille du parc. Sur quelques postes surveillés, l’antivirus intégré au système, actif et à jour, forme un socle correct. Un EDR, pour détection et réponse sur les postes, ajoute l’analyse des comportements suspects et une console centrale : utile dès que personne ne regarde les machines une par une.
Tenez un inventaire : chaque machine, son utilisateur, son système, sa date d’achat.

Comptes et mots de passe

Un compte par personne, jamais d’identifiant partagé du type « compta@ » dont tout le service connaît le mot de passe.
Un gestionnaire de mots de passe d’équipe, avec des coffres partagés par service. Il évite la réutilisation et permet de reprendre les accès quand quelqu’un part.
La double authentification partout où l’outil la propose : banque, logiciel de facturation, hébergement du site, réseaux sociaux de l’entreprise.
Une procédure de départ : le jour même, désactivation des comptes, changement des mots de passe partagés connus, récupération du matériel.
Une revue des comptes à date fixe, par exemple chaque trimestre, pour fermer ceux qui ne servent plus.

Sauvegardes

Une synchronisation n’est pas une sauvegarde : si un fichier est effacé ou chiffré sur un poste, la modification se recopie partout. Les solutions cloud pour PME protègent contre la panne de matériel, pas contre l’erreur humaine ni le rançongiciel qui se synchronise.

Listez ce qui doit être sauvegardé, y compris la messagerie et les données stockées dans vos outils en ligne.
Gardez une copie hors d’atteinte : déconnectée (un disque débranché après usage) ou immuable, c’est-à-dire non modifiable pendant une durée fixée.
Testez une restauration d’un dossier puis d’un poste complet, à date fixe, et notez le temps nécessaire. Ce délai vous dit combien de temps l’activité s’arrêterait.

Le choix des supports et de la fréquence suit la règle 3-2-1, trois copies sur deux supports dont une hors site, qui sert de base à toute sauvegarde des données professionnelles.

Réseau et Wi-Fi

Changez le mot de passe d’administration de la box ou du routeur et appliquez ses mises à jour.
Chiffrez le Wi-Fi en WPA2 au minimum, WPA3 si tous vos appareils le gèrent. WPA est le protocole qui chiffre les échanges sans fil.
Créez un réseau invités séparé pour les visiteurs et pour les objets connectés : imprimantes, caméras, écrans.
N’ouvrez aucun accès à distance directement sur Internet, qu’il s’agisse du bureau à distance de Windows ou d’un serveur de fichiers. Passez par un VPN d’entreprise ou par un service protégé par double authentification.

Le poste qui travaille depuis le domicile emporte ces règles avec lui : les outils du télétravail en petite structure doivent passer par les mêmes comptes protégés que ceux du bureau.

Prestataires

Faites la liste de qui accède à quoi : infogérant, éditeur du logiciel de caisse ou de comptabilité, agence web, hébergeur.
Exigez des comptes nominatifs protégés par double authentification, et un accès ouvert à la demande plutôt qu’en permanence quand l’outil le permet.
Écrivez dans le contrat le délai pour vous prévenir d’un incident, le lieu de stockage de vos données, la réversibilité (récupérer vos données en fin de contrat) et un contact d’urgence.
Vérifiez qui détient les accès à votre nom de domaine et à l’hébergement du site : c’est souvent l’agence, pas l’entreprise.

Sécurité informatique PME : un référent et trois règles écrites

Dans le baromètre, les entreprises citent comme freins le manque de compétences (63 %), de budget (61 %) et de temps (59 %), et un quart ne fait appel à aucun acteur spécialisé. La réponse la moins chère est de nommer un référent cybersécurité. Ce n’est pas forcément un technicien : c’est la personne qui tient l’inventaire, suit le plan ci-dessus, fait le lien avec le prestataire et reçoit les signalements.

Donnez-lui trois règles écrites sur une page :

Tout nouveau RIB ou virement urgent est confirmé par un appel à un numéro déjà connu.
Un mail douteux se signale au référent, sans reproche, même après avoir cliqué.
Aucun logiciel ni extension de navigateur ne s’installe sans accord.

Ajoutez une fiche incident imprimée, rangée hors de l’ordinateur : qui appeler, quoi débrancher, où sont les sauvegardes.

L’audit cybersécurité PME : lequel demander

Un audit mesure l’écart entre ce que vous croyez avoir et ce qui est réellement en place. Il en existe plusieurs niveaux, qui ne répondent pas à la même question.

Type	Ce qu’il vérifie	Qui le fait	Quand le demander
Autodiagnostic	Vos pratiques, par questionnaire	Vous, avec les ressources publiques gratuites	Avant toute dépense
Audit d’organisation et de configuration	Comptes, droits, sauvegardes, messagerie, contrats des prestataires	Un prestataire	Après les premières mesures, pour mesurer ce qui manque
Test d’intrusion	Un spécialiste tente d’entrer comme un attaquant, sur un périmètre défini	Un prestataire spécialisé	Si vous exposez un site marchand, une application ou un accès à distance

Avant de signer, demandez un périmètre écrit, un rapport qui classe les corrections par priorité et par effort, et une contre-vérification après corrections. Si l’auditeur vend aussi les corrections, demandez un second avis sur la liste des travaux. Un audit sans budget prévu pour corriger ne sert qu’à documenter le risque.

Aides et dispositifs publics

Le baromètre note que le soutien financier est très demandé par les entreprises. Voici ce qui existe et se vérifie sur les sites officiels.

MesServicesCyber : la plateforme publique qui rassemble les services et ressources cyber gratuits. On y trouve le guide de l’ANSSI La cybersécurité pour les TPE/PME en treize questions, une bonne base d’autodiagnostic.
Cybermalveillance.gouv.fr : assistance aux victimes, fiches par type d’attaque, et publication du baromètre cité plus haut.
France Num, l’initiative de l’État pour le numérique des TPE et PME : fiches pratiques, diagnostics, formations, annuaire des Activateurs France Num (experts du numérique référencés), et un moteur de recherche d’aides financières.
Le Prêt Boost Transformation numérique, présenté par France Num pour financer la numérisation des TPE PME : c’est un prêt, pas une subvention. Vérifiez les conditions et si la sécurité entre dans les dépenses éligibles.
Bpifrance, votre région, les programmes France 2030 : ces dispositifs fonctionnent souvent par appels qui ouvrent et ferment. Montants et critères changent : consultez le site de l’organisme et demandez si l’aide couvre un audit, des outils ou de la formation.

Quel budget pour la cybersécurité d’une PME

Aucun prix public fiable ne vaut pour toutes les PME. Le seul repère sourcé est descriptif : selon le baromètre, les trois quarts des TPE-PME interrogées consacrent moins de 2 000 € à la cybersécurité. Il dit ce qu’elles dépensent, pas ce qu’il faudrait dépenser. Construisez plutôt votre chiffre :

Partez de l’inventaire : nombre d’utilisateurs, de postes, de comptes en ligne et de prestataires.
Classez en trois blocs. Le temps interne : double authentification, droits, mises à jour, Wi-Fi invités, règles écrites. Les abonnements par utilisateur ou par poste, qui forment l’outillage de cybersécurité au quotidien : gestionnaire de mots de passe, sauvegarde externalisée, EDR. Les prestations ponctuelles : audit, réglage SPF, DKIM et DMARC, formation.
Demandez des prix unitaires à deux ou trois prestataires, multipliez-les par votre inventaire, sur douze mois.
Ajoutez le temps du référent, en heures par mois.
Comparez au coût d’un arrêt : ce que vous perdez par journée sans messagerie ni fichiers, multiplié par le délai de restauration mesuré lors de votre test.

La réserve

Ce plan réduit le risque, il ne l’annule pas. Son coût le plus sous-estimé n’est pas un logiciel mais le temps du référent, pris sur un autre travail. Chaque contrôle ajoute aussi un peu de friction, et des règles imposées sans explication finissent contournées. Les aides publiques demandent des démarches et des délais, changent souvent, et un prêt reste une dette. Enfin, les chiffres du baromètre sont déclaratifs, sur un échantillon de 588 entreprises : ils donnent une tendance, pas une mesure de votre propre exposition.

Questions fréquentes

Quels sont les risques cyber pour les PME ?

Les principaux sont l’hameçonnage, le rançongiciel, la fraude au faux virement, le vol de comptes et l’attaque qui passe par un prestataire. Dans le baromètre 2025 de Cybermalveillance.gouv.fr, les dirigeants redoutent surtout la perte ou le vol de données, les répercussions financières, l’interruption d’activité et l’atteinte à la réputation.

Quel est le meilleur antivirus pour une PME ?

Il n’existe pas de meilleur antivirus dans l’absolu, et les classements publiés par des vendeurs ne valent pas un test indépendant. Comparez plutôt la console de gestion centrale, la détection de comportements suspects (EDR), l’assistance en français, le prix par poste et ce que fait l’éditeur quand une alerte tombe. Sur un petit parc Windows suivi de près, Microsoft Defender, intégré au système, actif et à jour, constitue un socle correct.

Qui est considéré comme PME ?

En France et dans l’Union européenne, une PME emploie moins de 250 personnes et réalise un chiffre d’affaires annuel de 50 millions d’euros au plus, ou affiche un total de bilan de 43 millions d’euros au plus. Les microentreprises, moins de 10 personnes, en font partie. Pour un cas limite, notamment un groupe ou des filiales, demandez confirmation à votre expert-comptable.

Quelle est la subvention pour la cybersécurité pour les PME ?

Il n’existe pas une subvention nationale unique et permanente. Les services publics gratuits (MesServicesCyber, Cybermalveillance.gouv.fr, France Num) couvrent l’autodiagnostic et l’orientation, le Prêt Boost Transformation numérique est un prêt, et les aides de Bpifrance, des régions ou de France 2030 ouvrent par appels. Vérifiez les conditions en cours sur le site de chaque organisme.