Quand vous vendez votre PME, l'acheteur vérifie vos comptes, mais aussi vos systèmes informatiques, avant de signer. Ce qu'il découvre peut faire baisser son offre ou repousser la vente de plusieurs mois.
Vous êtes sur le point de vendre votre structure. Votre repreneur, et c'est bien logique, ne vous la rachète pas les yeux fermés en vous faisant confiance. Il fait contrôler vos systèmes informatiques par une équipe technique, de la même manière que vos comptes par un expert-comptable.
C'est ce qu'on appelle la due diligence cyber dans le jargon des fusions-acquisitions. Selon Bpifrance Le Lab, 370 000 entreprises françaises changeront de mains d'ici 2030, et 40 % des dirigeants de PME ou d'ETI veulent céder leur activité dans les cinq prochaines années. Pour vous, ce contrôle peut peser sur le prix final ou sur les délais de la vente.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Vos systèmes informatiques sous contrôle
Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, il y a eu plus de 500 000 personnes et entreprises accompagnées sur l'année. Les signalements de fuites de données ont progressé de 107 % par rapport à 2024, et les tentatives d'hameçonnage de 70 %. Normal dans ce cas que cela pousse le repreneur à contrôler vos systèmes avant de vous croire sur parole.
L'équipe technique mandatée par le repreneur cherche d'abord les failles non corrigées dans vos systèmes et vérifie si chaque incident passé a bien été déclaré à la CNIL. Elle chiffre ensuite ce qu'une fuite de vos données clients coûterait après la vente, pour ajuster son offre en conséquence.
Le baromètre 2025 de Cybermalveillance.gouv.fr, mené auprès de 588 entreprises de moins de 250 salariés, indique un incident de sécurité dans 16 % des cas au cours des douze derniers mois. Une PME sur quatre seulement a mis en place une procédure écrite de réponse à incident. Si vous n'avez pas cette procédure, un repreneur le verra dans les premières heures de son contrôle.
La garantie de prix et le risque numérique
Le règlement européen sur la protection des données vous oblige à notifier une violation de données personnelles à la CNIL dans un délai de 72 heures après sa découverte. Si vous avez subi une fuite sans jamais la déclarer, votre acheteur hérite de cette obligation non remplie et du risque d'une sanction pour un manquement commis avant la vente.
Un rançongiciel jamais totalement neutralisé pose un second problème. L'accès que l'attaquant a laissé ouvert peut resservir après la vente, même si vous avez payé une rançon ou restauré vos données au moment des faits.
Ces deux situations pèsent directement sur la garantie de passif que vous signez au moment de la cession. Cette clause protège l'acheteur si la réalité de votre entreprise diffère de ce que vous avez déclaré avant la signature, avec un délai de notification et un plafond fixés par contrat. Une partie du prix, généralement entre 5 et 10 %, est bloquée sur un compte séquestre pendant toute la durée de cette garantie. Dans l'encadré ci-dessous, vous pourrez en apprendre plus sur son fonctionnement précis.
Si vous vendez une très petite structure sans garantie de passif formalisée, l'acheteur compense l'absence de recours contractuel par une décote appliquée dès l'offre initiale. Il calcule cette décote à partir des failles identifiées pendant son contrôle.
Déclarer un incident avant la signature vous permet de négocier son impact sur le prix avant que la vente ne soit conclue. Si vous ne le déclarez pas et que l'acheteur le découvre après coup, il doit vous notifier dans un délai contractuel précis, souvent entre 30 et 60 jours, faute de quoi il perd son droit à indemnisation.
Le prix de cacher un incident
D'après le baromètre de Cybermalveillance.gouv.fr évoqué plus haut, une interruption d'activité touche 29 % des entreprises confrontées à un incident. Un vol de données en touche 22 %, et une perte financière directe 11 %. Pour vous, ces trois conséquences influencent le prix que l'acheteur est prêt à payer, qu'elles soient déclarées à l'avance ou découvertes après coup. Une interruption d'activité de plusieurs jours, par exemple, réduit le chiffre d'affaires que l'acheteur intègre dans son calcul de valorisation.
Une faille majeure détectée pendant le contrôle a aussi un effet sur les délais. La signature peut être reportée le temps qu'un prestataire corrige les points bloquants, ou les clauses de la garantie de passif rediscutées avant la vente.
Toujours selon Bpifrance Le Lab, environ 130 000 TPE et PME changeront de mains en France au cours des cinq prochaines années, au rythme actuel des cessions. Une PME qui prouve une bonne hygiène numérique inverse ce rapport de force et accélère sa vente.
Comment nettoyer votre posture
de sécurité avant la vente pour négocier son prix au plus juste
Documentez votre politique de sécurité informatique avant de mandater un repreneur. L'ANSSI réunit treize mesures essentielles pour les TPE et les PME dans son guide de référence. Comme vous pourrez le lire plus bas dans notre décryptage sur les failles de sécurité liées aux arrivées et aux départs de salariés, la plupart des PME n'ont jamais formalisé leurs droits d'accès ni leurs procédures de départ. Le repreneur repère ces deux lacunes en quelques heures.
Testez vos sauvegardes hors ligne au moins une fois par trimestre et documentez chaque test par écrit. L'acheteur exige toujours une preuve écrite, jamais une simple déclaration orale sur ce point.
Dans notre décryptage sur les prérequis techniques que les assureurs cyber exigent de leurs clients, on vous détaillait les critères qu'ils vérifient. Pour un repreneur, ce sera quasiment la même chose. Activez donc une authentification forte sur vos messageries et vos accès cloud. Isolez vos sauvegardes du réseau principal et testez leur restauration. Mettez en place une supervision continue de vos systèmes et un plan de gestion des correctifs. Formez votre personnel par des campagnes régulières de simulation de phishing.
Téléchargez enfin la MalletteCyber Pro de Cybermalveillance.gouv.fr. Lancé en juin 2026 pour les structures de moins de 250 salariés, cet outil gratuit réunit un livret pratique et un jeu de cartes pour sensibiliser vos équipes sans budget dédié. Onze organisations professionnelles, dont la CCI France et le Medef, soutiennent cette initiative. Le kit est disponible sous licence ouverte et prêt à imprimer directement. Ces vérifications prennent du temps. Mieux vaut les engager plusieurs mois avant de contacter un repreneur, pas après avoir reçu une première offre.
