PME : et si le chemin vers la résilience cyber commençait par la préparation ?

La cybersécurité des PME ne bénéficie pas toujours de l'attention qu'elle mérite, y compris de la part des petites entreprises elles-mêmes. Cette situation est préoccupante pour de nombreuses raisons. Selon le Forum économique mondial (WEF), les PME représentent 90 % des entreprises dans le monde, emploient 70 % de la population active et génèrent 50 % du PIB mondial. Ces dernières disposent de ressources plus limitées à consacrer à la cybersécurité, alors elles doivent utiliser leurs budgets de la manière la plus efficace possible.

Pour ces entreprises, l'objectif est d'atteindre une cyber résilience efficace, c'est-à-dire d'être en capacité de poursuivre leurs activités et de se relever, même en cas d'incident majeur. Mais par où commencer ? La préparation aux cybermenaces consiste à mettre en place les processus et les mesures de sécurité nécessaires pour prévenir, détecter et répondre aux menaces. Un nouveau rapport d'ESET, le Panorama ESET 2026 de la Cybersécurité PME en France, dresse un état des lieux du niveau de préparation des PME, des principaux défis auxquels elles sont confrontées et des mesures à prendre pour renforcer leur résilience.

La cybersécurité, une condition essentielle au fonctionnement de l'entreprise

À bien des égards, les PME ne sont pas si différentes des grandes entreprises. Elles évoluent dans un paysage de menaces qui continue de changer à un rythme soutenu, où les cybercriminels exploitent les technologies les plus récentes pour accroître le volume, l'ampleur et la rapidité de leurs attaques. La surface d'attaque des entreprises s'étend à chaque nouvel outil numérique déployé et à chaque nouvel investissement technologique. Les collaborateurs restent une source de risque, tandis que les entreprises doivent également se conformer à un nombre croissant d'exigences réglementaires.

Selon le Panorama ESET 2026 de la Cybersécurité PME en France, 44 % des entreprises françaises ont subi au moins un incident au cours des 12 derniers mois. Leurs principales préoccupations concernent la perte de données, les perturbations des activités et les conséquences financières.

Ces préoccupations sont les mêmes que celles des RSSI et des conseils d'administration des plus grandes multinationales. Elles soulignent à quel point la préparation aux cybermenaces est devenue un enjeu stratégique pour l'entreprise. C'est pourquoi la cybersécurité doit être considérée comme une composante essentielle de son fonctionnement, et non comme une fonction informatique isolée. Elle doit être pleinement intégrée à la culture de l'entreprise et à ses activités quotidiennes. Cette évolution est d'autant plus importante que, si de nombreuses PME Françaises parviennent à se remettre d'un incident, 30 % d'entre elles ont encore besoin de deux à six semaines pour le résoudre, une durée de perturbation opérationnelle qui peut avoir des conséquences désastreuses pour beaucoup d'entre elles.

TÉLÉCHARGEZ NOTRE PANORAMA ESET 2026 DE LA CYBERSÉCURITÉ PME EN FRANCE

L'IA est-elle vraiment au cœur des préoccupations ?

Le rapport révèle également que la majorité des PME (66 %) intègrent déjà l'IA à leurs activités, tout en étant conscientes que cette évolution s'accompagne de nouveaux risques. Elles s'inquiètent aussi du potentiel de cette technologie lorsqu'elle est utilisée à des fins malveillantes. Ainsi, les logiciels malveillants alimentés par l'IA sont considérés comme la menace la plus préoccupante par la plus grande part des répondants (à 36%). Cette inquiétude est-elle justifiée ?

En réalité, les logiciels malveillants qui exploitent l'IA de manière automatisée et en temps réel restent encore peu répandus, malgré ce que peuvent laisser penser certains titres de presse. Les cas observés demeurent relativement rares, ce qui en fait davantage un sujet d'étude pour les chercheurs en cybersécurité qu'une préoccupation immédiate pour les PME.

Si l'on s'intéresse aux incidents de cybersécurité réellement observés, ce sont les menaces les plus classiques qui restent à l'origine de la majorité des attaques. Le phishing et l'exploitation de vulnérabilités non corrigées arrivent en tête, ce qui rejoint les conclusions d'autres études, comme le dernier rapport DBIR de Verizon, qui les classe parmi les trois principaux vecteurs d'accès initial aux systèmes des PME. Les mots de passe faibles et l'absence de supervision de la sécurité figurent également parmi les principaux facteurs de risque identifiés dans les données d'ESET.

S'agissant de l'IA, la menace la plus immédiate provient en réalité de l'intérieur de l'entreprise. Selon le DBIR, le Shadow AI constitue la troisième action interne non malveillante la plus fréquente. Par ailleurs, même si les logiciels malveillants alimentés par l'IA ne représentent pas encore la menace la plus pressante, l'IA et l'automatisation permettent déjà aux cybercriminels de gagner en efficacité et de mener leurs attaques à plus grande échelle, qu'il s'agisse d'ingénierie sociale, de recherche et d'exploitation de vulnérabilités ou d'autres menaces plus traditionnelles. Dans ce contexte, les PME interrogées par ESET souhaitent elles aussi s'appuyer sur l'IA pour lutter à armes égales, afin d'anticiper les menaces, d'identifier et de contenir plus rapidement les attaques, ainsi que de détecter les tentatives d'ingénierie sociale.

Le défi est que ces outils n'existent pas encore, ou que les PME ne sont pas en mesure d'en tirer pleinement parti.

Avant ou après l'incident ?

Les PME qui mettent en place des formations de sensibilisation à la cybersécurité sont déjà bien engagées sur la voie d'une meilleure préparation face aux cybermenaces. Mais le font-elles de manière proactive ? Près des ¾ des organisations ont mis en place des programmes structurés de formation, tandis que les entreprises ayant déjà subi plusieurs incidents sont les plus avancées en matière de sensibilisation et de simulations, illustrant le lien entre expérience des incidents et maturité cyber.

Dans un monde idéal, les PME abandonneraient cette logique du « mieux vaut tard que jamais » au profit d'une approche plus proactive, en prenant pleinement conscience des bénéfices d'une bonne préparation aux cybermenaces avant qu'un incident ne leur en fasse payer le prix.

Une confiance élevée

La bonne nouvelle c’est que 80% des entreprises Françaises estiment que leur budget consacré à la cybersécurité est suffisant, voire plus que suffisant. De plus, 42 % d’entre elles prévoient une augmentation de leurs investissements l’année prochaine. Cela témoigne d'une planification réfléchie et d'une allocation efficace des ressources, notamment en ayant recours à l'externalisation lorsque celle-ci présente un intérêt sur les plans financier et opérationnel. Cette tendance traduit également une certaine confiance dans les investissements déjà réalisés. Toutefois, cela ne signifie pas que toutes les PME ont adapté leur budget aux risques les plus susceptibles de mettre leur activité en difficulté.

Faut-il pour autant afficher un tel niveau de confiance dans sa posture de résilience cyber, alors que certaines organisations continuent de subir plusieurs incidents ? La confiance en tout cas est bel et bien là puisque 78 % des PME Françaises intérrogées ont confiance dans leur résilience face aux cyberattaques. Pourtant, il n'existe pas d'état final en matière de préparation aux cybermenaces ou de résilience cyber. Plutôt que de considérer les progrès accomplis comme une fin en soi, les PME doivent poursuivre leurs efforts en s'appuyant sur plusieurs priorités :

privilégier des technologies et des processus axés sur la prévention, notamment la sensibilisation des collaborateurs, l'application régulière des correctifs de sécurité et une gestion rigoureuse des identités et des accès ;
réaliser des évaluations des risques régulières et réalistes afin de mieux prioriser les investissements en cybersécurité ;
mettre en place des capacités de réponse aux incidents permettant d'accélérer la reprise d'activité et de limiter les conséquences des cyberattaques ;
externaliser certaines compétences lorsque cela est pertinent, par exemple en s'appuyant sur un service de détection et de réponse managées (MDR) ;
renforcer la gouvernance afin de mieux maîtriser les risques liés au Shadow IT et au Shadow AI.

Un parcours qui ne fait que commencer

Malgré une gestion réfléchie de leurs budgets,42% des PME prévoient des ressources supplémentaires afin d'améliorer plus rapidement leur niveau de cybersécurité. La complexité des solutions et leur intégration restent des défis majeurs pour les entreprises disposant de ressources limitées. Les répondants expriment le besoin de solutions et de services fiables, riches en fonctionnalités et simples à déployer comme à utiliser.

L'accès à ces outils ne devrait pas être aussi difficile qu'il l'est aujourd'hui pour de nombreuses PME. Si les éditeurs souhaitent réellement contribuer à renforcer la préparation des PME face aux cybermenaces, ils doivent proposer des solutions mieux adaptées à leurs besoins. Pour autant, il n'existe pas de solution miracle. Les entreprises ont déjà engagé des efforts significatifs pour renforcer leur résilience, mais cette démarche s'inscrit dans un processus continu qui devra évoluer au même rythme que les technologies et les menaces. À long terme, leur réussite reposera sur une vigilance permanente et une capacité d'adaptation constante.