La cybersécurité PME regroupe l'ensemble des mesures techniques, organisationnelles et humaines qui protègent le système d'information d'une petite ou moyenne entreprise contre les cybermenaces. En 2026, 10 actions concrètes suffisent à bloquer 90 % des attaques courantes, pour un budget de 50 à 200 euros par utilisateur et par mois.
En 2025, l'ANSSI a enregistré une hausse de 30 % des incidents cyber touchant les PME et ETI. Le rapport Cybermalveillance.gouv.fr confirme : 43 % des demandes d'assistance proviennent d'entreprises de moins de 250 salariés. Les attaquants ne ciblent pas les mieux protégées. Ils ciblent les moins préparées.
Ce guide n'est pas une liste de principes abstraits. C'est un plan d'action concret, avec pour chaque mesure le niveau de difficulté, le coût et l'impact réel. Si vous gérez une PME entre 10 et 250 salariés, ces 10 actions sont votre priorité pour 2026. PME auvergnate ? Notre offre de cybersécurité en Auvergne vous accompagne sur ces priorités.
Pourquoi les PME sont les premières cibles
Le coût disproportionné des attaques. Selon IBM (Cost of a Data Breach 2024), le coût médian d'une fuite de données pour une entreprise de moins de 500 salariés se situe entre 150 000 et 350 000 euros. Pour une PME à 3 millions de chiffre d'affaires, c'est potentiellement la cessation d'activité. 60 % des PME victimes d'une cyberattaque majeure déposent le bilan dans les 18 mois.
Les attaquants sont rationnels. Entre une grande entreprise avec un SOC, un RSSI et des budgets sécurité à 6 chiffres, et une PME avec un antivirus gratuit et des mots de passe sur des post-it, le choix est vite fait. Les PME sont les cibles de volume : moins de protection, plus de chances de réussite, des rançons de 10 000 à 100 000 euros que beaucoup paient par panique.
Le profil type des attaques en PME :
- Ransomware (38 %) : chiffrement des données avec demande de rançon. Vecteur principal : pièce jointe email ou exploitation d'un VPN non patché.
- Phishing/BEC (29 %) : usurpation d'identité pour obtenir un virement ou des identifiants. L'arnaque au président touche des PME de toutes tailles.
- Vol de données (18 %) : exfiltration de fichiers clients, données bancaires, propriété intellectuelle. Souvent détecté des semaines après l'intrusion.
- Déni de service (8 %) : saturation des serveurs, souvent pour extorquer ou masquer une autre attaque.
- Compromission supply chain (7 %) : l'attaquant entre via un prestataire ou fournisseur dont les accès ne sont pas restreints.
Pour une première évaluation de votre exposition, commencez par notre checklist de 25 points de contrôle sécurité.
Les 10 actions qui protègent 90 % des PME
Classées par priorité. Les 5 premières couvrent 80 % des risques. Les 5 suivantes complètent le dispositif.
Activer le MFA partout
FacileGratuit à 3 euros/user/moisL'authentification multifacteur bloque 99,9 % des attaques par vol de mot de passe selon Microsoft. À déployer en priorité sur Microsoft 365, la messagerie, le VPN et les applications métier. Les solutions MFA modernes (Microsoft Authenticator, Yubikey) prennent moins de 5 minutes par utilisateur à configurer.
Déployer un EDR sur tous les postes
Moyen3 à 8 euros/user/moisL'antivirus classique ne suffit plus. Un EDR (Endpoint Detection and Response) détecte les comportements suspects en temps réel, isole les postes compromis et permet une réponse rapide. Les solutions comme CrowdStrike, SentinelOne ou Microsoft Defender for Endpoint couvrent postes et serveurs. Un infogérant supervise les alertes 24/7.
Sauvegardes 3-2-1 testées
Moyen5 à 15 euros/user/mois3 copies de vos données, sur 2 supports différents, dont 1 hors site (cloud ou site distant). Le point critique : tester la restauration au moins une fois par trimestre. 40 % des entreprises qui pensent avoir des sauvegardes découvrent le jour du sinistre qu'elles ne fonctionnent pas. Consultez notre guide complet sur la sauvegarde.
Patch management automatisé
Moyen2 à 5 euros/user/mois80 % des failles exploitées par les attaquants sont connues et disposent d'un correctif. Le problème : les mises à jour ne sont pas appliquées, ou trop tard. Un outil de patch management (WSUS, Intune, NinjaRMM) automatise le déploiement des correctifs OS et applicatifs dans un délai de 48 à 72h après publication.
Sensibilisation phishing récurrente
Facile2 à 4 euros/user/moisLe facteur humain reste le premier vecteur d'attaque. Une campagne de phishing simulé tous les trimestres, combinée à des micro-formations de 5 minutes, réduit le taux de clic de 30 % à moins de 5 % en 6 mois. Des plateformes comme KnowBe4 ou Mailinblack automatisent le processus.
Segmentation réseau
AvancéConfiguration pare-feu, pas de surcoût récurrentSéparer le réseau comptabilité du réseau production, isoler les serveurs critiques, créer un VLAN invité pour le Wi-Fi. En cas de compromission d'un poste, la segmentation empêche l'attaquant de se propager latéralement à tout le SI. Un pare-feu de nouvelle génération (Fortinet, Sophos) gère ces règles.
Politique de mots de passe robuste
Facile3 à 5 euros/user/mois (gestionnaire)Minimum 12 caractères, gestionnaire de mots de passe obligatoire (Bitwarden, 1Password), interdiction de réutiliser les mots de passe entre services. L'ANSSI recommande de ne plus imposer le changement périodique si le MFA est actif, sauf en cas de compromission avérée.
Chiffrement des données sensibles
MoyenGratuit (intégré aux OS)BitLocker sur les postes Windows, FileVault sur Mac, chiffrement des sauvegardes, TLS 1.3 pour les flux réseau. En cas de vol de portable ou de fuite de données, le chiffrement rend les données illisibles sans la clé. C'est aussi une exigence RGPD pour les données personnelles.
Plan de reprise d'activité (PRA)
AvancéInclus dans l'infogéranceDéfinir les applications critiques, les RTO (délai de reprise) et RPO (perte de données acceptable) pour chaque service. Documenter les procédures de restauration et les tester en conditions réelles. Un PRA non testé est un PRA qui ne fonctionne pas. Notre guide PRA/PCA détaille la méthode en 5 étapes.
Assurance cyber
Facile1 000 à 5 000 euros/anL'assurance cyber couvre les frais de gestion de crise (expertise forensic, notification CNIL, communication), les pertes d'exploitation et la responsabilité civile. Coût moyen : 1 000 à 5 000 euros/an pour une PME de 50 salariés. Condition préalable : la plupart des assureurs exigent un audit de sécurité et le MFA actif.
Ces 10 actions constituent le socle de notre guide des réflexes essentiels en cybersécurité. Pour aller plus loin, un audit de sécurité permet de prioriser en fonction de votre contexte.
Checklist gratuite : 25 points de contrôle sécurité
Évaluez vous-même le niveau de sécurité de votre SI en moins de 15 minutes. Scoring par domaine, recommandations, références ANSSI et CNIL.
Télécharger la checklist gratuiteNIS2 : ce qui change pour les PME en 2026
La directive européenne NIS2, transposée en droit français, étend les obligations de cybersécurité bien au-delà des grandes entreprises. Désormais, les PME de plus de 50 salariés ou 10 millions de CA dans les secteurs critiques (énergie, transport, santé, eau, numérique, agroalimentaire) sont concernées.
Ce que NIS2 impose concrètement :
- Analyse de risques formalisée et mise à jour annuelle
- Politique de gestion des incidents avec notification sous 24h
- Plan de continuité et de reprise d'activité (PCA/PRA)
- Sécurité de la chaîne d'approvisionnement (prestataires et fournisseurs)
- Formation et sensibilisation régulière des collaborateurs
- Tests de sécurité périodiques (audits, pentests)
Les sanctions pour non-conformité vont jusqu'à 10 millions d'euros ou 2 % du CA mondial. Notre article dédié NIS2 et PME détaille les obligations secteur par secteur et fournit un quiz d'auto-évaluation. Pour structurer la gouvernance sécurité dans la durée, un DSI externalisé porte la conformité auprès de la direction.
Votre PME est-elle concernée par NIS2 ?
Plus de 50 salariés ou 10M de CA, dans un secteur critique ? Vous avez probablement des obligations. Faites le quiz NIS2.
Combien coûte la cybersécurité d'une PME
Le budget cybersécurité d'une PME varie en fonction de la taille, du secteur et du niveau de risque. Voici les fourchettes constatées en 2026 :
- Niveau 1 : fondamentaux (MFA, antivirus/EDR, sauvegardes basiques, sensibilisation annuelle) : 30 à 50 euros/user/mois
- Niveau 2 : standard (EDR managé, sauvegardes 3-2-1 testées, patch management, sensibilisation trimestrielle, audit annuel) : 80 à 120 euros/user/mois
- Niveau 3 : avancé (SOC/surveillance 24/7, PRA testé, segmentation réseau, pentest annuel, conformité NIS2, DSI externalisé) : 150 à 250 euros/user/mois
Chez Sicollab, le Plan 2 à 100 euros/user/mois couvre le niveau standard. Le Plan 3 à 200 euros/user/mois inclut l'ensemble du niveau avancé avec DSI externalisé et gestion de projet. Pour une PME de 50 postes, cela représente 5 000 à 10 000 euros/mois, à comparer avec le coût moyen d'un incident (150 000 à 350 000 euros). La surveillance 24/7 de ce niveau avancé repose sur un SOC MDR pour PME.
Pour une vision globale de vos dépenses IT, consultez notre guide du budget informatique PME 2026.
Audit cybersécurité : par où commencer
Si vous ne savez pas où vous en êtes, un audit est le point de départ. Il cartographie votre SI, identifie les failles et produit un plan d'action priorisé. Voici les étapes :
Inventorier tous les équipements et logiciels (postes, serveurs, cloud, SaaS)
Vérifier le MFA sur tous les comptes critiques (admin, messagerie, VPN)
Tester une restauration de sauvegarde complète
Scanner les vulnérabilités du réseau et des serveurs exposés
Évaluer la sensibilisation des collaborateurs (campagne phishing simulée)
Vérifier la gestion des droits d'accès (comptes actifs d'anciens salariés ?)
Documenter le plan de reprise d'activité (PRA) ou constater son absence
Analyser les contrats prestataires (clauses sécurité, SLA, réversibilité)
Notre audit informatique PME couvre ces points en 3 à 10 jours selon le périmètre. Le diagnostic initial de 30 minutes est gratuit. Pour le faire vous-même, notre checklist de 25 points de contrôle est téléchargeable gratuitement.
Protégez votre PME des cybermenaces
EDR, sauvegardes, sensibilisation, audit : tout est inclus dans nos plans dès 100 euros/user/mois.
Découvrir notre offre cybersécuritéCas concret : PME industrielle, 40 postes
Une PME industrielle clermontoise de 40 postes faisait face à des tentatives de phishing hebdomadaires. Aucun EDR, MFA désactivé, sauvegardes non testées depuis 18 mois.
Après 3 mois d'accompagnement Sicollab (Plan 3) : EDR déployé sur tous les postes, MFA activé, sauvegardes testées chaque semaine. Résultat : zéro incident de sécurité sur 12 mois, score de maturité passé de 2/10 à 7/10, couverture assurance cyber renouvelée.
Votre feuille de route cybersécurité sur 12 mois
- Mois 1-2 : diagnostic et quick wins. Activation du MFA sur tous les comptes critiques, renforcement des mots de passe, vérification et test des sauvegardes existantes. Ces actions couvrent déjà 60 % des risques courants.
- Mois 3-4 : déploiement EDR et patch management. Installation d'un EDR sur tous les postes et serveurs, mise en place d'un outil de patch management automatisé pour combler les failles connues sous 72h.
- Mois 5-6 : sensibilisation phishing et rédaction PSSI. Première campagne de phishing simulé, micro-formations trimestrielles, rédaction de la politique de sécurité du système d'information (PSSI) conforme aux recommandations ANSSI.
- Mois 7-12 : audit avancé, PRA, amélioration continue. Test d'intrusion annuel, rédaction et test du plan de reprise d'activité, segmentation réseau, revue trimestrielle des indicateurs de sécurité. Le DSI externalisé pilote cette gouvernance dans la durée.
Questions fréquentes sur la cybersécurité PME
Quel est le budget cybersécurité minimum pour une PME ?
Comptez entre 3 et 8 % de votre budget IT total, soit environ 50 à 200 euros par utilisateur et par mois en fonction du niveau de protection. Le Plan 2 de Sicollab à 100 euros/user/mois couvre les fondamentaux (EDR, sauvegardes, patch management, sensibilisation).
Mon antivirus ne suffit pas ?
Non. Un antivirus détecte les menaces connues par signature. Un EDR analyse les comportements en temps réel et détecte les attaques inconnues (zero-day, attaques sans fichier). En 2026, un antivirus seul est l'équivalent d'une serrure simple sur une porte blindée.
La cybersécurité est-elle obligatoire pour les PME ?
Le RGPD impose des mesures de sécurité proportionnées. La directive NIS2 étend les obligations aux PME des secteurs critiques (énergie, transport, santé, numérique). Même hors NIS2, un incident non protégé peut engager la responsabilité du dirigeant.
Comment sensibiliser mes salariés sans les braquer ?
Des micro-formations de 5 minutes par semaine, des campagnes de phishing simulé sans sanction, et surtout l'exemple de la direction. Le ton doit être pédagogique, pas punitif. Les plateformes modernes gamifient l'expérience pour maintenir l'engagement.
Que faire en cas de ransomware ?
Ne jamais payer la rançon (30 % des payeurs ne récupèrent pas leurs données). Isoler les postes touchés, préserver les preuves, contacter votre infogérant et déposer plainte. Si vos sauvegardes 3-2-1 sont en place et testées, la restauration prend entre 4 et 48 heures selon la taille du SI.
Conclusion
La cybersécurité n'est pas une question de taille. Les PME sont les premières cibles parce qu'elles sont les moins protégées, pas parce qu'elles ont moins de valeur. Les 10 actions de ce guide couvrent 90 % des risques courants, pour un budget qui démarre à 50 euros/user/mois.
Le plus important : commencer. Un MFA activé aujourd'hui protège plus qu'un audit prévu dans 6 mois. Si vous ne savez pas par où commencer, notre diagnostic gratuit de 30 minutes identifie vos 3 priorités immédiates. Et pour les PME qui veulent externaliser complètement le sujet, notre guide de l'externalisation IT explique comment déléguer la sécurité sans perdre le contrôle.
Article rédigé par Quentin Beauger, fondateur de Sicollab et DSI pour PME en Auvergne.
Évaluez votre niveau de cybersécurité
Diagnostic gratuit de 30 minutes ou checklist à remplir en autonomie. Sans engagement.