La cybersecurite PME regroupe l'ensemble des mesures techniques, organisationnelles et humaines qui protegent le systeme d'information d'une petite ou moyenne entreprise contre les cybermenaces. En 2026, 10 actions concretes suffisent a bloquer 90 % des attaques courantes, pour un budget de 50 a 200 euros par utilisateur et par mois.
En 2025, l'ANSSI a enregistre une hausse de 30 % des incidents cyber touchant les PME et ETI. Le rapport Cybermalveillance.gouv.fr confirme : 43 % des demandes d'assistance proviennent d'entreprises de moins de 250 salaries. Les attaquants ne ciblent pas les mieux protegees. Ils ciblent les moins preparees.
Ce guide n'est pas une liste de principes abstraits. C'est un plan d'action concret, avec pour chaque mesure le niveau de difficulte, le cout et l'impact reel. Si vous gerez une PME entre 10 et 250 salaries, ces 10 actions sont votre priorite pour 2026.
Pourquoi les PME sont les premieres cibles
Le cout disproportionne des attaques. Selon IBM (Cost of a Data Breach 2024), le cout median d'une fuite de donnees pour une entreprise de moins de 500 salaries se situe entre 150 000 et 350 000 euros. Pour une PME a 3 millions de chiffre d'affaires, c'est potentiellement la cessation d'activite. 60 % des PME victimes d'une cyberattaque majeure deposent le bilan dans les 18 mois.
Les attaquants sont rationnels. Entre une grande entreprise avec un SOC, un RSSI et des budgets securite a 6 chiffres, et une PME avec un antivirus gratuit et des mots de passe sur des post-it, le choix est vite fait. Les PME sont les cibles de volume : moins de protection, plus de chances de reussite, des rancons de 10 000 a 100 000 euros que beaucoup paient par panique.
Le profil type des attaques en PME :
- Ransomware (38 %) : chiffrement des donnees avec demande de rancon. Vecteur principal : piece jointe email ou exploitation d'un VPN non patche.
- Phishing/BEC (29 %) : usurpation d'identite pour obtenir un virement ou des identifiants. L'arnaque au president touche des PME de toutes tailles.
- Vol de donnees (18 %) : exfiltration de fichiers clients, donnees bancaires, propriete intellectuelle. Souvent detecte des semaines apres l'intrusion.
- Deni de service (8 %) : saturation des serveurs, souvent pour extorquer ou masquer une autre attaque.
- Compromission supply chain (7 %) : l'attaquant entre via un prestataire ou fournisseur dont les acces ne sont pas restreints.
Pour une premiere evaluation de votre exposition, commencez par notre checklist de 25 points de controle securite.
Les 10 actions qui protegent 90 % des PME
Classees par priorite. Les 5 premieres couvrent 80 % des risques. Les 5 suivantes completent le dispositif.
Activer le MFA partout
FacileGratuit a 3 euros/user/moisL'authentification multifacteur bloque 99,9 % des attaques par vol de mot de passe selon Microsoft. A deployer en priorite sur Microsoft 365, la messagerie, le VPN et les applications metier. Les solutions MFA modernes (Microsoft Authenticator, Yubikey) prennent moins de 5 minutes par utilisateur a configurer.
Deployer un EDR sur tous les postes
Moyen3 a 8 euros/user/moisL'antivirus classique ne suffit plus. Un EDR (Endpoint Detection and Response) detecte les comportements suspects en temps reel, isole les postes compromis et permet une reponse rapide. Les solutions comme CrowdStrike, SentinelOne ou Microsoft Defender for Endpoint couvrent postes et serveurs. Un infogerant supervise les alertes 24/7.
Sauvegardes 3-2-1 testees
Moyen5 a 15 euros/user/mois3 copies de vos donnees, sur 2 supports differents, dont 1 hors site (cloud ou site distant). Le point critique : tester la restauration au moins une fois par trimestre. 40 % des entreprises qui pensent avoir des sauvegardes decouvrent le jour du sinistre qu'elles ne fonctionnent pas. Consultez notre guide complet sur la sauvegarde.
Patch management automatise
Moyen2 a 5 euros/user/mois80 % des failles exploitees par les attaquants sont connues et disposent d'un correctif. Le probleme : les mises a jour ne sont pas appliquees, ou trop tard. Un outil de patch management (WSUS, Intune, NinjaRMM) automatise le deploiement des correctifs OS et applicatifs dans un delai de 48 a 72h apres publication.
Sensibilisation phishing recurrente
Facile2 a 4 euros/user/moisLe facteur humain reste le premier vecteur d'attaque. Une campagne de phishing simule tous les trimestres, combinee a des micro-formations de 5 minutes, reduit le taux de clic de 30 % a moins de 5 % en 6 mois. Des plateformes comme KnowBe4 ou Mailinblack automatisent le processus.
Segmentation reseau
AvanceConfiguration pare-feu, pas de surcout recurrentSeparer le reseau comptabilite du reseau production, isoler les serveurs critiques, creer un VLAN invite pour le Wi-Fi. En cas de compromission d'un poste, la segmentation empeche l'attaquant de se propager lateralement a tout le SI. Un pare-feu de nouvelle generation (Fortinet, Sophos) gere ces regles.
Politique de mots de passe robuste
Facile3 a 5 euros/user/mois (gestionnaire)Minimum 12 caracteres, gestionnaire de mots de passe obligatoire (Bitwarden, 1Password), interdiction de reutiliser les mots de passe entre services. L'ANSSI recommande de ne plus imposer le changement periodique si le MFA est actif, sauf en cas de compromission avérée.
Chiffrement des donnees sensibles
MoyenGratuit (integre aux OS)BitLocker sur les postes Windows, FileVault sur Mac, chiffrement des sauvegardes, TLS 1.3 pour les flux reseau. En cas de vol de portable ou de fuite de donnees, le chiffrement rend les donnees illisibles sans la cle. C'est aussi une exigence RGPD pour les donnees personnelles.
Plan de reprise d'activite (PRA)
AvanceInclus dans l'infogeranceDefinir les applications critiques, les RTO (delai de reprise) et RPO (perte de donnees acceptable) pour chaque service. Documenter les procedures de restauration et les tester en conditions reelles. Un PRA non teste est un PRA qui ne fonctionne pas. Notre guide PRA/PCA detaille la methode en 5 etapes.
Assurance cyber
Facile1 000 a 5 000 euros/anL'assurance cyber couvre les frais de gestion de crise (expertise forensic, notification CNIL, communication), les pertes d'exploitation et la responsabilite civile. Cout moyen : 1 000 a 5 000 euros/an pour une PME de 50 salaries. Condition prealable : la plupart des assureurs exigent un audit de securite et le MFA actif.
Ces 10 actions constituent le socle de notre guide des reflexes essentiels en cybersecurite. Pour aller plus loin, un audit de securite permet de prioriser en fonction de votre contexte.
Checklist gratuite : 25 points de controle securite
Evaluez vous-meme le niveau de securite de votre SI en moins de 15 minutes. Scoring par domaine, recommandations, references ANSSI et CNIL.
Telecharger la checklist gratuiteNIS2 : ce qui change pour les PME en 2026
La directive europeenne NIS2, transposee en droit francais, etend les obligations de cybersecurite bien au-dela des grandes entreprises. Desormais, les PME de plus de 50 salaries ou 10 millions de CA dans les secteurs critiques (energie, transport, sante, eau, numerique, agroalimentaire) sont concernees.
Ce que NIS2 impose concretement :
- Analyse de risques formalisee et mise a jour annuelle
- Politique de gestion des incidents avec notification sous 24h
- Plan de continuite et de reprise d'activite (PCA/PRA)
- Securite de la chaine d'approvisionnement (prestataires et fournisseurs)
- Formation et sensibilisation reguliere des collaborateurs
- Tests de securite periodiques (audits, pentests)
Les sanctions pour non-conformite vont jusqu'a 10 millions d'euros ou 2 % du CA mondial. Notre article dedie NIS2 et PME detaille les obligations secteur par secteur et fournit un quiz d'auto-evaluation.
Votre PME est-elle concernee par NIS2 ?
Plus de 50 salaries ou 10M de CA, dans un secteur critique ? Vous avez probablement des obligations. Faites le quiz NIS2.
Combien coute la cybersecurite d'une PME
Le budget cybersecurite d'une PME varie en fonction de la taille, du secteur et du niveau de risque. Voici les fourchettes constatees en 2026 :
- Niveau 1 : fondamentaux (MFA, antivirus/EDR, sauvegardes basiques, sensibilisation annuelle) : 30 a 50 euros/user/mois
- Niveau 2 : standard (EDR manage, sauvegardes 3-2-1 testees, patch management, sensibilisation trimestrielle, audit annuel) : 80 a 120 euros/user/mois
- Niveau 3 : avance (SOC/surveillance 24/7, PRA teste, segmentation reseau, pentest annuel, conformite NIS2, DSI externalise) : 150 a 250 euros/user/mois
Chez Sicollab, le Plan 2 a 100 euros/user/mois couvre le niveau standard. Le Plan 3 a 200 euros/user/mois inclut l'ensemble du niveau avance avec DSI externalise et gestion de projet. Pour une PME de 50 postes, cela represente 5 000 a 10 000 euros/mois, a comparer avec le cout moyen d'un incident (150 000 a 350 000 euros).
Pour une vision globale de vos depenses IT, consultez notre guide du budget informatique PME 2026.
Audit cybersecurite : par ou commencer
Si vous ne savez pas ou vous en etes, un audit est le point de depart. Il cartographie votre SI, identifie les failles et produit un plan d'action priorise. Voici les etapes :
Inventorier tous les equipements et logiciels (postes, serveurs, cloud, SaaS)
Verifier le MFA sur tous les comptes critiques (admin, messagerie, VPN)
Tester une restauration de sauvegarde complete
Scanner les vulnerabilites du reseau et des serveurs exposes
Evaluer la sensibilisation des collaborateurs (campagne phishing simulee)
Verifier la gestion des droits d'acces (comptes actifs d'anciens salaries ?)
Documenter le plan de reprise d'activite (PRA) ou constater son absence
Analyser les contrats prestataires (clauses securite, SLA, reversibilite)
Notre service d'audit cybersecurite PME couvre ces points en 3 a 10 jours selon le perimetre. Le diagnostic initial de 30 minutes est gratuit. Pour le faire vous-meme, notre checklist de 25 points de controle est telechargeable gratuitement.
Protegez votre PME des cybermenaces
EDR, sauvegardes, sensibilisation, audit : tout est inclus dans nos plans des 100 euros/user/mois.
Decouvrir notre offre cybersecuriteQuestions frequentes sur la cybersecurite PME
Quel est le budget cybersecurite minimum pour une PME ?
Comptez entre 3 et 8 % de votre budget IT total, soit environ 50 a 200 euros par utilisateur et par mois en fonction du niveau de protection. Le Plan 2 de Sicollab a 100 euros/user/mois couvre les fondamentaux (EDR, sauvegardes, patch management, sensibilisation).
Mon antivirus ne suffit pas ?
Non. Un antivirus detecte les menaces connues par signature. Un EDR analyse les comportements en temps reel et detecte les attaques inconnues (zero-day, attaques sans fichier). En 2026, un antivirus seul est l'equivalent d'une serrure simple sur une porte blindee.
La cybersecurite est-elle obligatoire pour les PME ?
Le RGPD impose des mesures de securite proportionnees. La directive NIS2 etend les obligations aux PME des secteurs critiques (energie, transport, sante, numerique). Meme hors NIS2, un incident non protege peut engager la responsabilite du dirigeant.
Comment sensibiliser mes salaries sans les braquer ?
Des micro-formations de 5 minutes par semaine, des campagnes de phishing simule sans sanction, et surtout l'exemple de la direction. Le ton doit etre pedagogique, pas punitif. Les plateformes modernes gamifient l'experience pour maintenir l'engagement.
Que faire en cas de ransomware ?
Ne jamais payer la rancon (30 % des payeurs ne recuperent pas leurs donnees). Isoler les postes touches, preserver les preuves, contacter votre infogerant et deposer plainte. Si vos sauvegardes 3-2-1 sont en place et testees, la restauration prend entre 4 et 48 heures selon la taille du SI.
Conclusion
La cybersecurite n'est pas une question de taille. Les PME sont les premieres cibles parce qu'elles sont les moins protegees, pas parce qu'elles ont moins de valeur. Les 10 actions de ce guide couvrent 90 % des risques courants, pour un budget qui demarre a 50 euros/user/mois.
Le plus important : commencer. Un MFA active aujourd'hui protege plus qu'un audit prevu dans 6 mois. Si vous ne savez pas par ou commencer, notre diagnostic gratuit de 30 minutes identifie vos 3 priorites immediates. Et pour les PME qui veulent externaliser completement le sujet, notre guide de l'externalisation IT explique comment deleguer la securite sans perdre le controle.
Evaluez votre niveau de cybersecurite
Diagnostic gratuit de 30 minutes ou checklist a remplir en autonomie. Sans engagement.