Les risques informatiques entreprise se cartographient sur deux axes : la probabilité d’un incident et son impact financier. En 2025, la France a enregistré plus de 17 500 cyberattaques, en hausse de 4 % sur un an. Une attaque par rançongiciel coûte entre 130 000 et 250 000 euros à une PME. Cartographier avant d’assurer reste la seule grille de décision rationnelle.
Le dirigeant qui traite la cybersécurité comme une dépense technique se trompe de niveau de décision. Le sujet relève de la gouvernance, au même titre que la trésorerie ou la conformité. Cette page propose une grille de lecture chiffrée pour arbitrer, et non une liste d’outils à empiler.
Les chiffres qui changent la posture du dirigeant
La donnée disqualifie l’intuition. Les TPE, PME et ETI représentent 37 % des attaques par rançongiciel signalées à l’ANSSI en 2025. Ces structures détiennent des données à forte valeur derrière des défenses modestes. L’attaquant calcule ce ratio aussi bien que vous.
L’impact dépasse la rançon elle-même. Pour les cas lourds, une cyberattaque atteint 466 000 euros et représente plus de 10 % du chiffre d’affaires annuel d’une PME française. Le coût visible (déchiffrement, expertise) masque le coût caché : arrêt de production, clients perdus, réputation entamée.
Le chiffre qui doit alerter tout dirigeant tient en une statistique. Près de 60 % des entreprises victimes d’une attaque majeure ferment dans les 18 mois. La cybersécurité n’est pas un poste de charges. C’est une condition de survie de l’actif.
| Indicateur 2025 | Valeur | Source |
|---|---|---|
| Cyberattaques recensées en France | 17 500+ | ANSSI |
| Part des TPE/PME/ETI dans les attaques rançongiciel | 37 % | ANSSI |
| Coût moyen ransomware sur une PME | 130 000 à 250 000 € | rapports cybersécurité |
| Coût d’un cas lourd | jusqu’à 466 000 € | rapports cybersécurité |
| Fermetures à 18 mois après attaque majeure | ~60 % | rapports cybersécurité |
Quels risques pèsent vraiment sur votre structure
Le terme « risque informatique » recouvre des réalités d’ampleur très inégale. Confondre une panne disque avec une compromission par rançongiciel fausse l’allocation du budget. Quatre familles structurent la cartographie.
Le risque malveillant externe
Le rançongiciel domine le paysage. Selon l’ANSSI, les souches Qilin (21 % des cas), Akira (9 %) et LockBit 3.0 (5 %) concentraient l’activité en 2025. Le mode opératoire chiffre les données, puis exige un paiement contre la clé.
L’attaquant entre rarement par effraction technique sophistiquée. Le phishing et le spear phishing constituent le premier vecteur d’accès initial. Le baromètre CESIN 2025 chiffre à 55 % la part des incidents impliquant du phishing. Un clic suffit.
Le risque interne et humain
L’erreur de manipulation pèse autant que la malveillance. Suppression accidentelle, mauvaise configuration d’un accès, envoi de fichier sensible au mauvais destinataire : ces incidents échappent aux pare-feu. La formation des équipes traite cette surface mieux que tout logiciel.
Le départ d’un salarié constitue un angle mort fréquent. Un accès non révoqué reste une porte ouverte des mois après le départ. La gestion des droits, sujet jugé administratif, devient un sujet de sécurité dès qu’un compte oublié subsiste dans le système.
Le risque de dépendance technique
Une PME pilotée sur un assemblage de fichiers Excel, de logiciels obsolètes et de tableurs partagés accumule une dette invisible. Chaque export manuel introduit une erreur potentielle. Chaque outil non maintenu devient une faille. La fragmentation du système d’information est un risque en soi.
Ce risque se mesure rarement, car il ne provoque pas d’incident spectaculaire. Il agit par érosion : une donnée perdue ici, une version périmée là, un accès partagé sans contrôle. Le jour où l’attaque survient, ce terrain dispersé multiplie les points d’entrée et complique la restauration.
Le risque réglementaire
L’inaction expose désormais juridiquement le dirigeant. La directive NIS2, en cours de transposition, déplace la responsabilité vers les organes de direction. Ignorer le cadre revient à signer un risque personnel, détaillé plus bas.
Pondérer l’exposition selon votre secteur
La cartographie générique ne suffit pas. Le même rançongiciel ne produit pas le même dégât selon l’activité. Un cabinet de conseil perd ses livrables clients. Un industriel perd sa chaîne de production. Le poids du risque varie avec la dépendance aux données et au temps réel.
Trois critères pondèrent l’exposition réelle d’une structure. Le premier mesure la sensibilité des données détenues : un fichier patient ou un fichier client RGPD vaut plus cher qu’un catalogue produit public. Le second mesure la tolérance à l’arrêt : un e-commerce perd du chiffre à la minute, un bureau d’études tient quelques jours.
Le troisième critère pèse souvent le plus lourd. Plus l’entreprise dépend d’un système d’information unique et centralisé, plus l’attaque paralyse l’ensemble. Une structure aux processus dispersés subit un dégât partiel. Une structure entièrement numérisée mais mal sauvegardée subit un dégât total.
| Profil d’entreprise | Donnée critique | Tolérance à l’arrêt | Priorité de réduction |
|---|---|---|---|
| Service B2B (conseil, expertise) | Livrables et fichiers clients | Moyenne | Sauvegarde et confidentialité |
| Commerce et e-commerce | Catalogue, paiements, RGPD | Faible | Disponibilité et continuité |
| Industrie et production | Pilotage et planning | Très faible | Redondance et segmentation |
Ce tableau ne remplace pas un audit. Il fixe un point de départ. Le dirigeant identifie son profil dominant, puis affine la priorité de réduction qui en découle.
NIS2 : la conformité devient une affaire de gouvernance
La transposition française progresse vite. Le Sénat a adopté la loi Résilience le 12 mars 2025, qui transpose la directive NIS2 dans le droit national. Le texte vise près de 15 000 entités, réparties entre entités essentielles et entités importantes.
Le critère d’inclusion combine secteur et taille. Sont généralement concernées les structures dépassant 50 salariés et 10 millions d’euros de chiffre d’affaires. Les fournisseurs d’infrastructure numérique relèvent du dispositif quelle que soit leur taille.
La bascule majeure tient à la responsabilité personnelle. Les organes de direction répondent désormais des manquements. Les sanctions atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial, et peuvent entraîner une interdiction temporaire d’exercer. Sécuriser ses données rejoint ainsi les obligations de gouvernance, comme la structuration juridique de la croissance ou la protection juridique professionnelle.
Réduire l’exposition avant de transférer le risque
La cartographie sert une décision : que traiter en interne, que transférer à un assureur. L’ordre compte. Réduire d’abord, assurer ensuite. Un assureur cyber tarife le risque résiduel, pas le risque brut.
Trois leviers de réduction couvrent l’essentiel à coût maîtrisé.
- Former les équipes au phishing : le levier au meilleur rendement, vu les 55 % d’incidents concernés.
- Appliquer les mises à jour : fermer les vulnérabilités connues neutralise le deuxième vecteur d’accès.
- Sauvegarder hors ligne : une sauvegarde déconnectée et testée ramène une attaque par rançongiciel à un incident d’exploitation.
Le quatrième levier traite la dette technique de fond. Remplacer l’empilement de tableurs et de logiciels obsolètes par un système maîtrisé réduit mécaniquement la surface d’attaque et le risque d’erreur humaine. Des solutions de digitalisation métier consolident les processus dispersés en un outil unique, avec propriété complète du code source et fin du verrouillage fournisseur. Un système d’information cohérent se sécurise, se met à jour et s’audite. Un assemblage hétérogène, jamais entièrement.
Le risque résiduel, lui, se transfère. L’assurance cyber et la responsabilité civile professionnelle avec ses garanties et exclusions couvrent ce qui subsiste après réduction. Lire les exclusions avant de signer évite la mauvaise surprise au moment du sinistre.
Anticiper le déroulé d’un incident
Réduire l’exposition limite la probabilité. Préparer la réponse limite l’impact. Une entreprise qui découvre son plan de crise pendant la crise perd les heures les plus précieuses. Le coût d’un incident se joue souvent dans les premières heures.
La détection ouvre la séquence. Plus l’attaque reste invisible, plus l’attaquant progresse dans le système. Une supervision minimale et des alertes configurées raccourcissent ce délai aveugle. Sans détection, le premier signal arrive souvent avec la demande de rançon.
L’isolement suit la détection. Couper les machines compromises du réseau empêche la propagation. Cette réaction réflexe se prépare à l’avance : qui décide, qui débranche, selon quelle procédure. Improvisée, elle arrive trop tard.
La restauration clôt la séquence. Une sauvegarde déconnectée, testée et récente transforme une catastrophe en interruption gérable. Le test compte autant que la sauvegarde elle-même : une sauvegarde jamais restaurée n’est qu’une promesse. Beaucoup d’entreprises découvrent au pire moment que leur sauvegarde était corrompue.
Chaque étape demande une décision désignée à l’avance. Le dirigeant qui attribue ces rôles avant l’incident gagne les heures qui sauvent la structure.
Arbitrer le budget de sécurité par le risque évité
Le budget de cybersécurité se justifie par comparaison, pas par principe. Investir 20 000 euros pour éviter un sinistre de 250 000 euros relève de l’évidence économique. Le calcul rationnel confronte le coût de la protection au coût attendu de l’incident, pondéré par sa probabilité.
Cette logique recadre le débat budgétaire. Le dirigeant ne dépense pas pour la sécurité : il achète une réduction de perte espérée. Vu les fourchettes de coût d’attaque (130 000 à 466 000 euros), même une probabilité annuelle modérée justifie un effort de plusieurs milliers d’euros.
Trois postes structurent la dépense efficace. La prévention humaine arrive en tête par son rendement : la formation coûte peu et neutralise le vecteur majoritaire. La protection technique vient ensuite, avec les sauvegardes et les mises à jour. Le transfert assurantiel ferme la liste, sur le seul risque résiduel.
L’erreur classique inverse cet ordre. Souscrire une assurance cyber sans réduire l’exposition revient à payer une prime élevée pour un risque brut. L’assureur tarife au risque réel : une structure non préparée paie plus cher, ou se voit refuser la couverture. La réduction précède toujours le transfert.
Construire un plan de continuité chiffré
La question n’est plus « serai-je attaqué » mais « combien de temps puis-je rester à l’arrêt ». Le plan de continuité répond à cette question par des seuils, pas par des intentions. Deux indicateurs le structurent.
Le premier mesure la perte de données tolérable. Si vos sauvegardes datent de 24 heures, une attaque efface une journée de travail. Le second mesure le temps de redémarrage acceptable avant que les pertes financières ne deviennent critiques.
Ces seuils dictent les arbitrages budgétaires. Une entreprise qui ne survit pas à 48 heures d’arrêt investit dans la redondance, pas dans le superflu. La trésorerie disponible conditionne aussi la capacité d’absorption : un incident se finance, et optimiser sa trésorerie via plusieurs leviers renforce directement la résilience face à un arrêt subi.
Prochaine étape : lister vos trois processus vitaux, chiffrer le coût d’une journée d’arrêt pour chacun, puis confronter ce montant au budget de sécurisation actuel. L’écart révèle la décision à prendre.