🔒 Cybersécurité · État des lieux 2026

Cyberattaques et PME : les 10 chiffres 2026 que tout dirigeant devrait avoir en tête

Données officielles ANSSI et Cybermalveillance.gouv.fr · Ce qu'elles disent vraiment de votre entreprise

YAD Informatique, expert Sage et infrastructure depuis 28 ans De la gestion commerciale à la comptabilité, en passant par la paie, l'hébergement et la sécurité des postes, notre équipe accompagne plus de 400 PME françaises au quotidien.

🏆 Top 40 revendeurs Sage en France

1. La cible a changé : les petites structures sont désormais majoritaires

Pendant des années, le discours dominant était que les cybercriminels visaient les grands groupes. Ce n'est plus vrai. Le rapport annuel de l'ANSSI, l'agence publique chargée de la cybersécurité de l'État et des entreprises, montre un basculement net sur les attaques par rançongiciel, ces logiciels qui chiffrent vos données et exigent une rançon pour les libérer.

Ce dernier chiffre mérite qu'on s'y arrête. Le vol de données progresse plus vite que le chiffrement classique, tout simplement parce qu'il est plus rentable et plus discret pour l'attaquant. Une PME peut se faire voler son fichier clients, ses tarifs, ses contrats et ses données de paie sans que rien ne s'arrête sur le moment. La sanction arrive plus tard : chantage, obligations de notification à la CNIL, perte de confiance des clients.

2. Le paradoxe : la confiance monte plus vite que la protection

C'est l'enseignement le plus intéressant du baromètre national de la maturité cyber des TPE-PME, réalisé par OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises françaises de moins de 250 salariés. Les dirigeants se sentent mieux protégés qu'avant. Les faits ne suivent pas au même rythme.

Regardez l'écart. Près de six dirigeants sur dix se déclarent bien protégés, mais seul un quart a activé la double authentification, c'est-à-dire la vérification en deux étapes lors d'une connexion. C'est pourtant la mesure la plus efficace et la moins coûteuse contre le piratage de compte, qui reste la première menace signalée par les professionnels.

Le reste du tableau est du même ordre. 84 % des TPE-PME déclarent un antivirus, 78 % des sauvegardes et 69 % un pare-feu. Mais seules 16 % disposent d'une solution de détection d'attaque et 24 % d'une procédure de réaction en cas d'incident. Autrement dit : la plupart des entreprises ont installé des outils, très peu ont organisé une réponse.

3. Par où ça rentre : la messagerie, encore et toujours

Inutile d'imaginer des scénarios complexes. Parmi les entreprises victimes interrogées par Cybermalveillance.gouv.fr, 43 % associent leur incident à une tentative d'hameçonnage, loin devant les failles de sécurité (18 %) et la consultation de sites compromis (11 %). L'hameçonnage, c'est ce mail qui imite votre banque, un fournisseur ou un collègue pour vous faire cliquer ou saisir vos identifiants.

La plateforme observe par ailleurs une hausse de 70 % des demandes d'assistance liées à l'hameçonnage sur l'année 2025, tous publics confondus. Une seule erreur d'un collaborateur suffit. Et dans une PME, l'erreur finit souvent par arriver, parce que les mails frauduleux sont devenus très propres et très ciblés.

Le cas classique en PME industrielle ou de négoce

Un comptable reçoit un mail qui semble venir d'un fournisseur connu, avec le bon logo et le bon historique de conversation. Le message annonce un changement de coordonnées bancaires. Le virement part. Personne ne s'en rend compte avant la relance du vrai fournisseur, plusieurs semaines plus tard. Ce scénario n'a besoin d'aucune faille technique : il exploite l'absence de procédure de vérification.

4. Le budget n'est pas le vrai sujet

On lit souvent que les PME ne se protègent pas faute de moyens. Les chiffres racontent une histoire un peu différente.

Une procédure de réaction ne coûte rien. Savoir qui appeler, dans quel ordre, avec quels contacts et quelles sauvegardes disponibles, cela s'écrit sur deux pages. Tester une restauration de sauvegarde une fois par an ne coûte rien non plus, à part une demi-journée. Ce sont les deux mesures les plus rentables du marché, et ce sont précisément celles qui manquent le plus souvent.

Le vrai frein n'est donc pas budgétaire, il est cognitif : les dirigeants ne savent pas par quel bout prendre le sujet. C'est aussi ce que traduit un dernier chiffre, souvent passé sous silence : 64 % des TPE-PME déclarent ne pas connaître la directive NIS2, la réglementation européenne qui étend les obligations de cybersécurité à de nombreux sous-traitants et fournisseurs de secteurs critiques.

▶️

🎬 Vidéo à revoir

L'importance de la cybersécurité pour une PME

Julien Semhoun, responsable technique et expert cyber chez YAD, explique en quelques minutes pourquoi les mesures de base suffisent à écarter la grande majorité des attaques, et lesquelles prioriser.

▶ Voir la vidéo

5. Les 5 actions qui font basculer le rapport de force

Aucune de ces cinq actions ne demande un budget à cinq chiffres. Elles répondent directement aux angles morts identifiés dans les chiffres ci-dessus.

6. Ce que YAD apporte concrètement sur ce terrain

YAD Informatique n'est pas seulement un intégrateur Sage. Depuis 28 ans, nos équipes gèrent aussi l'infrastructure, l'hébergement et la sécurité des postes de plus de 400 PME françaises. Cette position nous donne une vision rare : nous voyons à la fois le logiciel de gestion, les serveurs, les accès et les sauvegardes de la même entreprise.

YAD Informatique, partenaire Sage certifié depuis 28 ans 400+ clients accompagnés en France · Logiciels de gestion, infrastructure et cybersécurité gérés par une seule équipe, sans sous-traitance.

Vos questions sur la cybersécurité en PME