Cybersécurité PME en France : les chiffres 2026

Les dirigeants de PME sous-estiment souvent le risque cyber. Pourtant, les données officielles dessinent un tableau alarmant, mais aussi actionnable.

Les PME, cible n°1 en France

77 % des cyberattaques en France visent les PME. Ce n’est pas une statistique théorique : les attaquants utilisent des outils automatiques qui scannent Internet à la recherche de failles simples, comme des logiciels obsolètes, des services mal configurés ou des correctifs non installés.

L’ANSSI a traité 4 386 événements de sécurité en 2024, soit +15 % par rapport à 2023, dont 1 361 incidents confirmés.

Le coût d’une attaque réussie

Pour une PME, un incident coûte en moyenne 466 000 €. La répartition typique :

• 50 % : pertes d’exploitation (arrêt de production)
• 20 % : experts externes
• 20 % : remise en état des systèmes
• 10 % : atteinte à la réputation

60 % des entreprises victimes ferment dans les 18 mois qui suivent. Le délai moyen pour sortir d’une crise majeure : 29 jours.

Vecteurs d’attaque dominants

• Phishing : environ 60 % des intrusions commencent par un e-mail ou un message trompeur
• Exploitation de vulnérabilités techniques : 47 % des cas
• Les attaques DDoS contre des cibles françaises ont doublé en 2024

NIS2 : la réglementation change la donne

Depuis octobre 2024, la directive NIS2 impose de nouvelles obligations aux entreprises de plus de 50 salariés ou 10 M€ de chiffre d’affaires :

• Analyse de risques et sécurisation de la chaîne d’approvisionnement
• Signalement des incidents à l’ANSSI sous 72 heures
• Sanctions jusqu’à 7 M€ ou 1,4 % du chiffre d’affaires mondial
• Responsabilité personnelle des dirigeants en cas de négligence grave

Ce que vous pouvez faire dès maintenant

L’ANSSI recommande trois mesures essentielles :

1. Authentification multifacteur (MFA) sur les comptes sensibles
2. Sauvegardes hors ligne, déconnectées du réseau
3. Installation immédiate des correctifs de sécurité

Pour aller plus loin, un scan de vulnérabilités externe (EASM) permet de voir ce qu’un attaquant voit sur Internet, avant qu’il n’exploite vos failles.

Aides disponibles pour les PME

Bpifrance et la DGE proposent le programme Cyber PME :

• Phase A : diagnostic de 8 jours par un expert certifié (subventionné par l’État)
• Phase B : co-financement de la mise en œuvre, entre 30 000 € et 80 000 € (jusqu’à 70 % des coûts)

Sources : ANSSI (rapport 2024), directive NIS2 (UE 2022/2555), Bpifrance Cyber PME.