Créer une culture cyber dans une PME : mission impossible ou priorité rentable ?

Beaucoup de dirigeants de PME pensent que la cybersécurité est réservée aux grands groupes et entreprises. Pourtant, plusieurs patrons racontent avoir changé leurs pratiques sans recruter ni investir massivement, quand d’autres ont vu la cybersécurité leur ouvrir des marchés.

Comme souvent, en entreprise comme au quotidien, ce n’est que lorsqu’un cybercriminel retrouve le seul et unique mot de passe utilisé depuis la création d’un compte que l’on s’aperçoit de l’importance de bien maîtriser sa cybersécurité.

Selon le baromètre ImpactCyber, publié en 2026 par Cybermalveillance.gouv.fr, une entreprise sur six a subi une attaque au cours des douze derniers mois et huit dirigeants sur dix ont admis ne pas être préparés. L’organisme a recueilli des témoignages de dirigeants qui ont changé leurs habitudes sans recruter ni multiplier les dépenses. France Num, la plateforme publique dédiée aux entreprises, a de son côté publié des cas où la cybersécurité a permis à des PME de préserver ou de décrocher des marchés, loin de l’image d’une dépense purement défensive. Ces dirigeants de TPE ou de PME racontent leur histoire avec au départ, un budget restreint.

François et Guillaume ont transformé leur sécurité sans recruter

François dirige une entreprise de couverture de dix-huit salariés à Tours. Jusqu’à récemment, l’accès distant de toute l’équipe dépendait d’une adresse IP fixe, et le mot de passe reprenait simplement le nom de l’entreprise. Après avoir pris conscience de la vulnérabilité de son système de sécurité, François a changé de prestataire informatique. Il a aussi renouvelé le serveur et fait installer un pare-feu qui filtre désormais les connexions, en plus de fixer des mots de passe individuels et structurés pour toute l’équipe.

D’après lui, les e-mails de l’entreprise contiennent des données bancaires et ces données auraient pu être exploitées pour usurper l’identité de l'entreprise auprès des clients.

Guillaume a fondé une fintech de soixante collaborateurs, spécialisée dans l’épargne. Une prise de contrôle d’ordinateur par erreur humaine représente, selon lui, le risque le plus probable pour son activité. Il a donc mis en place des formations pour les salariés et imaginé plusieurs scénarios d’attaque dans le plan de continuité de l’entreprise. Il préfère investir dans la formation plutôt que dans les seuls outils techniques, comme François avant lui.

Trois dirigeants ont tiré un bénéfice de leur remise à niveau cyber

Chez Acrotir, la cybersécurité a d’abord été une question commerciale, avant d’être une question de prévention. Laurent Elles a fondé cette entreprise de cordistes en 1990 à Lunéville, en Meurthe-et-Moselle, spécialisée dans les travaux en hauteur. En 2024, Acrotir n’a pas pu répondre à un appel d’offres du ministère de la Défense, faute de respecter les exigences de sécurité des données du marché. Il a alors compris que sa PME devait rattraper son retard numérique pour continuer à grandir. Il a engagé depuis une remise à niveau de sa cybersécurité, saluée par le prix Cybersécurité des Trophées numériques de la CPME.

Edwige Le Douarin a fondé Aquatiris, une entreprise d’assainissement écologique par les plantes qui fédère aujourd’hui soixante-cinq franchisés. Après une fraude au faux RIB subie en 2022, elle a engagé son entreprise dans une stratégie cyber complète. Edwige Le Douarin estime aujourd'hui que cette mise à niveau lui a aussi permis de gagner en efficacité, au-delà de la seule protection contre les attaques.

Le bénéfice d’une préparation cyber n’est pas toujours commercial. Carole Alves Saldanha, directrice administrative et financière de Fondouest, un bureau d’études géotechniques d'une soixantaine de salariés répartis entre la Bretagne, la Normandie et les Pays de la Loire, en sait quelque chose. Le 1^er février 2024, un ransomware a paralysé les deux tiers du parc informatique et la téléphonie de l’entreprise sur ses cinq sites. Quelques jours plus tôt, la CCI Normandie avait réalisé un diagnostic RGPD et cybersécurité chez Fondouest. Grâce à ce diagnostic, Fondouest a réagi avec méthode, entre plainte déposée dans les délais et notification à la CNIL sous 72 heures.

La CPME et Cybermalveillance.gouv.fr mesurent des progrès, mais aussi des résistances

Cybermalveillance.gouv.fr, la CPME, le MEDEF, l’U2P et le Club EBIOS ont associé leurs travaux pour établir le baromètre ImpactCyber, réalisé par l’institut OpinionWay entre juin et juillet 2025 auprès de 588 entreprises de moins de 250 salariés. Le premier constat, c’est une amélioration progressive. Le nombre moyen de dispositifs de sécurité installés par les TPE-PME était de 4,06 en 2025, contre 3,62 un an plus tôt. 58 % des entreprises interrogées ont déclaré bénéficier d’un bon ou très bon niveau de protection, contre 39 % l’année précédente.

Une nuance, toutefois, vient teinter ces résultats. Près de trois entreprises sur dix jugent la cybersécurité non prioritaire, une part en hausse de onze points par rapport à l'année précédente. 63 % des TPE-PME interrogées citent un manque de connaissances et d’expertise. 61 % signalent des contraintes budgétaires. 59 % invoquent un manque de temps. François, Guillaume, Laurent Elles, Edwige Le Douarin et Carole Alves Saldanha ont tous engagé leur transformation après un incident ou un marché perdu, au prix d'un incident ou d'un manquement à la réglementation.

Six TPE-PME sur dix ont pourtant mis en place des actions de sensibilisation, voire 90 % dans les structures de plus de dix salariés.

Enfin, parmi les services et dispositifs en accès libre, Cybermalveillance.gouv.fr propose Mon ExpertCyber, un service gratuit de mise en relation avec des prestataires informatiques labellisés, pour accompagner cette première étape sans mobiliser de budget conséquent. Vincent Strubel, directeur général de l’ANSSI et président du GIP ACYMA, en explique son fonctionnement, dans la vidéo ci-dessous.