Votre cybersécurité ne doit pas commencer par un outil.
Elle commence par ce qui permet de tenir, résister, redémarrer.
Sommaire
- 1. Chiffres clés
- 2. Introduction
- 3. Symptômes : quand une PME dépend d'un numérique fragile
- 4. Acteurs : ANSSI, Cybermalveillance.gouv.fr, CNIL, dirigeant, prestataire, assureur
- 5. Définition : ce qu'est un socle cyber minimal
- 6. Pourquoi le sujet devient prioritaire en 2026
- 7. Les cinq piliers : sauvegardes, MFA, messagerie, mises à jour, réaction
- 8. Méthode recommandée : 9 blocs pour bâtir un socle défendable
- 8.1. Identifier les données et services critiques
- 8.2. Mettre en place des sauvegardes 3-2-1
- 8.3. Activer la MFA sur les comptes critiques
- 8.4. Sécuriser la messagerie
- 8.5. Gérer les mots de passe avec un coffre
- 8.6. Réduire les droits et supprimer les comptes dormants
- 8.7. Mettre à jour postes, serveurs, CMS et SaaS
- 8.8. Préparer la fiche réflexe incident
- 8.9. Tester, documenter, refaire
- 9. Conseils Logiks : protéger d'abord ce qui permet de redémarrer
- 10. Grille de maturité : votre PME peut-elle tenir 72 heures ?
- 11. Erreurs fréquentes : six raccourcis qui coûtent cher
- 12. Plan d'action 30 / 60 / 90 jours
- 13. FAQ : socle cyber minimal PME
- 13.1. Quelle est la première mesure cyber à mettre en place dans une PME ?
- 13.2. La double authentification est-elle vraiment nécessaire ?
- 13.3. Une sauvegarde cloud suffit-elle ?
- 13.4. Qui doit porter le sujet dans une PME ?
- 13.5. Faut-il une assurance cyber ?
- 13.6. Que faire si un poste semble compromis ?
- 14. Conclusion : la base cyber devient une discipline de continuité
- 15. Sources principales
1. Chiffres clés
2. Introduction
Une PME vit rarement dans un système d'information spectaculaire. Elle vit dans une messagerie Microsoft 365 ou Google Workspace, un logiciel métier, un CRM, un site web, quelques postes, des dossiers partagés, des accès prestataires, des fichiers comptables, parfois un serveur local que plus personne n'ose vraiment toucher. Rien de grandiose. Tout est essentiel.
Nous défendons une position simple : la base cyber d'une PME ne se réduit pas à une collection d'outils. Nous parlons d'une architecture de continuité. Elle protège ce qui permet de travailler lundi matin, d'envoyer une facture, de répondre à un client, de restaurer un dossier, de retirer un accès, de contenir une attaque, de parler clairement à ses équipes.
Le problème du lecteur tient souvent en quelques symptômes : mots de passe réutilisés, double authentification absente, sauvegardes jamais restaurées, messagerie exposée, anciens comptes prestataires actifs, mises à jour repoussées, aucune procédure si un poste se comporte mal :
La PME fonctionne, mais elle ne sait pas encore si elle peut redémarrer.
Sans sauvegarde testée, la reprise demeure théorique.
Sans MFA, la frontière demeure fragile.
Sans réflexe d'incident, la maîtrise disparaît.
3. Symptômes : quand une PME dépend d'un numérique fragile
On reconnaît une organisation exposée à des détails très concrets. Le dirigeant ne sait pas qui administre réellement les comptes. Le prestataire garde un accès permanent "au cas où". Les collaborateurs utilisent leur messagerie comme coffre-fort documentaire. Les devis importants dorment dans un dossier partagé sans règle claire. Le CRM exporte des fichiers que personne ne purge. Les sauvegardes existent, mais aucun test de restauration n'a été réalisé depuis leur mise en place.
Le jour normal, tout semble tenir. Le jour de l'incident, chaque approximation devient une dette.
Le phishing n'a pas besoin d'une entreprise naïve. Il lui suffit d'une urgence, d'une pièce jointe crédible, d'un faux fournisseur, d'un lien de connexion, d'un compte sans double authentification. Le rançongiciel n'a pas besoin de comprendre votre stratégie. Il lui suffit d'un poste compromis et d'un chemin vers les fichiers utiles.
Une grande organisation dispose d'équipes, d'astreintes, de procédures et de segmentation ; une PME dépend souvent d'une poignée de personnes. Cette proximité peut être une force : décision rapide, inventaire plus court, arbitrages directs. Elle peut aussi devenir une fragilité si personne ne porte le sujet.
Pour une PME, la cybersécurité se joue moins dans la sophistication que dans la discipline.
4. Acteurs : ANSSI, Cybermalveillance.gouv.fr, CNIL, dirigeant, prestataire, assureur
Une base cyber défendable doit nommer les acteurs. Sinon, les responsabilités se diluent entre "l'informatique", "le prestataire", "la direction" et "les utilisateurs".
L'ANSSI donne la colonne vertébrale, Cybermalveillance.gouv.fr apporte le réflexe terrain. La CNIL rappelle l'obligation de sécurité, le prestataire doit produire des preuves. L'assureur promet une couverture, le dirigeant doit comprendre les conditions.
La responsabilité ne se sous-traite pas entièrement. Elle s'organise.
5. Définition : ce qu'est un socle cyber minimal
Le socle de sécurité minimal désigne l'ensemble des mesures prioritaires qui permettent à une PME de limiter les compromissions les plus courantes, de protéger ses données critiques, de maintenir des accès maîtrisés et de reprendre son activité après incident.
Cette définition compte. Elle exclut deux erreurs symétriques : réduire la cybersécurité à un antivirus, ou la transformer en programme inaccessible. Cette base se situe entre les deux. Elle ne prétend pas couvrir tous les scénarios. Elle traite d'abord les risques à forte probabilité et à fort impact : perte d'accès, compromission de messagerie, chiffrement des fichiers, fuite de données, arrêt d'activité, perte de confiance.
La base minimale ne promet pas l'invulnérabilité. Elle crée une capacité de résistance.
6. Pourquoi le sujet devient prioritaire en 2026
80 % des TPE-PME interrogées par l'étude ImpactCyber 2025 déclarent ne pas être préparées aux attaques ou l'ignorent (Cybermalveillance.gouv.fr, Mémento ImpactCyber 2026). Ce chiffre ne dit pas que les dirigeants se désintéressent du sujet. Il dit quelque chose de plus précis : la conscience progresse plus vite que l'exécution.
La menace, elle, ne patiente pas. Cybermalveillance.gouv.fr indique que les demandes d'assistance liées aux violations de données ont bondi de 107 % en 2025, tous publics confondus. La CNIL constate un record de 6 167 violations notifiées, avec un piratage dans un cas déclaré sur deux. L'ANSSI observe encore 128 compromissions par rançongiciel portées à sa connaissance, avec les PME, TPE et ETI comme catégorie la plus affectée.
Le contexte culturel a aussi changé. Le client accepte moins l'amateurisme numérique. Le salarié veut savoir quoi faire. Le partenaire demande parfois des garanties. L'assureur questionne les sauvegardes, les accès, la MFA. Le prestataire lui-même doit documenter ses interventions. Le sujet quitte l'arrière-cuisine technique.
Elle devient une condition de sérieux.
7. Les cinq piliers : sauvegardes, MFA, messagerie, mises à jour, réaction
La base minimale tient sur cinq piliers. Pas parce que le reste serait inutile, mais parce que ces cinq zones concentrent la capacité de prévention et de reprise.
Ces cinq piliers ne remplacent pas une stratégie cyber complète. Ils donnent un plan de départ. Dans une PME, partir de là a un mérite rare : la direction le comprend, le prestataire peut l'exécuter, l'équipe peut le vérifier.
Ce n'est pas un catalogue. C'est une fondation.
8. Méthode recommandée : 9 blocs pour bâtir un socle défendable
La méthode recommandée ci-dessous ne constitue pas une méthode propriétaire Logiks. Elle s'appuie sur les guides ANSSI, les ressources Cybermalveillance.gouv.fr, les obligations de sécurité du RGPD et les bonnes pratiques de continuité d'activité.
En atelier, on avance comme sur une mise en place de cuisine : identifier les produits critiques, ranger le plan de travail, verrouiller les accès, vérifier le froid, préparer le service du lendemain. Pas de théâtre. Des gestes qui tiennent.
8.1. Identifier les données et services critiques
Commencez par la question la plus directe : que faut-il absolument récupérer pour travailler demain ? Fichier client, comptabilité, devis, commandes, e-mails, logiciel métier, contrats, catalogue produit, données RH, site e-commerce, accès bancaire, CRM.
L'ANSSI rappelle que chaque entité possède des données sensibles et qu'il faut identifier où elles se situent pour les protéger. Cette cartographie peut rester simple. Elle demande surtout une mise à jour régulière.
Sans inventaire, une sauvegarde ressemble à une prière.
8.2. Mettre en place des sauvegardes 3-2-1
Le guide ANSSI consacré aux TPE-PME recommande d'appliquer la règle 3-2-1 : 3 copies de sauvegarde, sur 2 supports différents, dont 1 hors ligne. Il insiste aussi sur les restaurations régulières.
Le point important ne consiste pas seulement à sauvegarder. Il faut restaurer. Une PME peut croire qu'elle possèd'une assurance technique alors qu'elle ne possède qu'un disque silencieux, une option cloud mal configurée ou une copie synchronisée qui chiffrera les mêmes fichiers que le poste compromis.
Une sauvegarde non testée demeure une hypothèse.
8.3. Activer la MFA sur les comptes critiques
La double authentification doit couvrir en priorité la messagerie, les comptes administrateurs, le cloud, le CRM, les outils financiers, le CMS, les réseaux sociaux, les comptes publicitaires et les accès prestataires.
Cybermalveillance.gouv.fr recommande d'activer la double authentification chaque fois que possible. L'ANSSI formule la même priorité dans ses règles d'or. Pour une PME, la MFA relève moins du confort que de la barrière minimale. Elle réduit mécaniquement l'effet domino d'un mot de passe compromis.
Le mot de passe seul appartient à une autre époque.
8.4. Sécuriser la messagerie
La messagerie constitue l'atelier central de la PME : devis, factures, demandes clients, pièces jointes, liens de connexion, échanges bancaires, relances. Elle concentre donc l'hameçonnage, l'usurpation, les fraudes au virement et la compromission de compte.
La vérification doit couvrir le filtrage antispam, la MFA, les règles de transfert automatique, les comptes délégués, les boîtes partagées, les paramètres SPF, DKIM et DMARC, ainsi que la capacité des salariés à signaler un message suspect.
On ne sécurise pas une PME si sa messagerie garde l'allure d'une porte battante.
8.5. Gérer les mots de passe avec un coffre
Un gestionnaire de mots de passe doit remplacer les fichiers Excel, carnets, post-it, notes téléphoniques et réutilisations paresseuses. Il permet de générer des secrets uniques, de partager certains accès sans les faire circuler en clair et de retirer proprement les droits lors d'un départ.
Cette mesure manque de spectaculaire. Elle demeure structurante. Elle réduit la dépendance aux habitudes individuelles et donne une base pour passer à des accès plus propres.
L'hygiène commence souvent par arrêter de bricoler les secrets.
8.6. Réduire les droits et supprimer les comptes dormants
Les comptes administrateurs, prestataires, anciens salariés, stagiaires, outils tiers et connexions API doivent être inventoriés. L'ANSSI recommande les comptes nominatifs, la distinction entre rôles utilisateur et administrateur, ainsi que la revue régulière des accès sensibles.
Dans une PME, le danger se cache dans la commodité : un compte partagé pour gagner du temps, un accès admin conservé pour dépanner, une boîte générique connue de trois prestataires, un compte bancaire sans validation forte.
Le privilège minimum ne relève pas d'une théorie. C'est une hygiène.
8.7. Mettre à jour postes, serveurs, CMS et SaaS
Les mises à jour corrigent des failles que les attaquants savent industrialiser. La difficulté ne tient pas au principe. Elle se loge dans l'inventaire : ordinateurs, mobiles, navigateurs, extensions, plugins, CMS, routeurs, NAS, logiciels métier, outils de prise en main distante.
On distingue trois rythmes : les mises à jour critiques à appliquer vite, les mises à jour courantes à planifier, les équipements obsolètes à remplacer. Un vieux NAS oublié dans un placard ne devient pas moins vulnérable parce qu'il est discret.
Le patrimoine invisible finit toujours par parler.
8.8. Préparer la fiche réflexe incident
Le guide ANSSI destiné aux TPE-PME invite à se préparer avant l'incident, à savoir déconnecter les équipements, à ne pas éteindre les matériels compromis, à tenir une main courante et à porter plainte. Ces gestes ne s'improvisent pas sous pression.
La fiche réflexe doit tenir sur une page : qui appeler, quoi couper, quoi préserver, où trouver les sauvegardes, comment joindre le prestataire, qui prévient la direction, qui parle aux clients, quand évaluer une notification CNIL.
Le calme en crise se fabrique avant la crise.
8.9. Tester, documenter, refaire
Cette base n'a de valeur que si elle est testée : restauration d'un dossier, récupération d'un compte, suppression d'un ancien accès, signalement d'un e-mail suspect, reprise sur un poste de secours.
La documentation doit rester sobre : dates, responsables, preuves, captures, liens, contrats, décisions. On ne cherche pas à produire un classeur admirable. L'objectif consiste à pouvoir prouver, comprendre et reprendre.
La répétition fait la résilience.
9. Conseils Logiks : protéger d'abord ce qui permet de redémarrer
Nous recommandons de ne pas commencer par acheter un nouvel outil si personne ne sait répondre à trois questions : quelles données font tourner l'entreprise, qui peut y accéder, comment on les restaure ?
Premier conseil : priorisez la reprise avant la perfection. Dans beaucoup de PME, le meilleur investissement initial n'est pas un tableau de bord de sécurité. Nous parlons d'une sauvegarde bien pensée, hors ligne, restaurée devant témoin, avec un délai réel mesuré.
Deuxième conseil : imposez la MFA sur les comptes qui commandent le reste. Messagerie, cloud, administration, banque, CRM, CMS, publicité, réseaux sociaux. Si l'équipe résiste, commencez par les comptes critiques. Puis généralisez.
Troisième conseil : traitez la messagerie comme une infrastructure stratégique. Elle porte la relation commerciale, la preuve, les factures, les relances, les demandes RH, les liens de réinitialisation. Sa compromission donne souvent accès au reste.
Quatrième conseil : demandez des preuves au prestataire. Pas un discours. Une liste des comptes, une politique de sauvegarde, une date de restauration testée, un état MFA, un inventaire des postes, une procédure de départ, un plan d'incident.
Enfin, nous recommandons de créer un tableau de pilotage très simple :
- donnée ou service critique ;
- responsable métier ;
- outil concerné ;
- compte administrateur ;
- sauvegarde ;
- MFA ;
- date du dernier test ;
- action suivante.
Ce tableau ne remplace pas une stratégie. Il évite de piloter dans le brouillard.
10. Grille de maturité : votre PME peut-elle tenir 72 heures ?
Si les sauvegardes et la messagerie sont en "Fragile", commencez là. La suite aura plus de sens ensuite.
11. Erreurs fréquentes : six raccourcis qui coûtent cher
Premier piège : croire que le cloud sauvegarde tout. La synchronisation n'est pas une sauvegarde. Elle peut répliquer une suppression, une erreur ou un chiffrement.
Deuxième dérive : activer la MFA seulement pour la direction. Les assistants, commerciaux, alternants, agences et prestataires manipulent aussi des accès sensibles. L'attaquant choisit souvent le chemin le moins gardé.
Troisième faiblesse : confondre antivirus et cybersécurité. Un antivirus peut aider. Il ne remplace ni les sauvegardes, ni la MFA, ni les mises à jour, ni la gestion des droits.
Quatrième écueil : laisser les anciens accès vivre leur retraite dans le système. Un compte prestataire, une boîte partagée, une clé API ou un accès CMS oublié garde une capacité de nuisance.
Cinquième risque : rédiger une procédure que personne ne connaît. En situation d'incident, une fiche introuvable dans un dossier chiffré ne sert à rien. Elle doit exister hors ligne et être connue des personnes clés.
Dernier point : acheter avant d'arbitrer. Le marché cyber regorge d'outils utiles. Sans inventaire, sans priorités et sans responsable, ils deviennent une couche de complexité supplémentaire.
12. Plan d'action 30 / 60 / 90 jours
12.1. Dans les 30 jours
- lister les données et outils critiques ;
- identifier les comptes administrateurs ;
- activer la MFA sur messagerie, cloud, CRM, CMS et banque ;
- vérifier les sauvegardes existantes ;
- réaliser un premier test de restauration ;
- supprimer les accès d'anciens salariés et prestataires ;
- rédiger une fiche réflexe incident d'une page.
On ne cherche pas encore l'élégance. On ferme les angles morts qui peuvent arrêter l'activité.
12.2. Dans les 60 jours
- appliquer une règle 3-2-1 pour les données critiques ;
- mettre en place un gestionnaire de mots de passe ;
- configurer SPF, DKIM et DMARC avec le prestataire ;
- formaliser les procédures d'arrivée et de départ ;
- établir un calendrier de mises à jour ;
- documenter les contacts incident : prestataire, assureur, banque, CNIL si besoin ;
- sensibiliser les équipes avec des exemples réels.
Le dispositif commence à devenir visible.
12.3. Dans les 90 jours
- revoir les droits sur les dossiers et outils sensibles ;
- tester un scénario de perte de poste ou de compte ;
- vérifier les journaux de connexion sur les comptes critiques ;
- auditer les outils SaaS non utilisés ;
- prévoir un budget annuel de maintien en condition de sécurité ;
- demander au prestataire un rapport trimestriel sobre ;
- relier cette base cyber au plan de continuité d'activité.
À ce stade, la PME ne prétend pas tout maîtriser. Elle sait mieux encaisser.
13. FAQ : socle cyber minimal PME
13.1. Quelle est la première mesure cyber à mettre en place dans une PME ?
La première mesure dépend du contexte, mais le meilleur point de départ consiste à identifier les données critiques et à vérifier les sauvegardes. Sans restauration possible, toute autre mesure protège une activité qui peut rester paralysée.
13.2. La double authentification est-elle vraiment nécessaire ?
Oui. Un mot de passe volé, réutilisé ou deviné ne doit pas suffire à ouvrir la messagerie, le cloud, le CRM ou le compte administrateur. La MFA n'empêche pas toutes les attaques, mais elle ferme une porte très fréquente.
13.3. Une sauvegarde cloud suffit-elle ?
Pas seule. La recommandation ANSSI consiste à compléter les sauvegardes en ligne par des copies hors ligne ou déconnectées, selon la règle 3-2-1. La restauration doit être testée régulièrement.
13.4. Qui doit porter le sujet dans une PME ?
La direction doit porter l'arbitrage, même si l'exécution revient à un prestataire ou à un référent interne. La cybersécurité touche la continuité, les clients, la trésorerie, la réputation et les données. Elle dépasse le simple réglage technique.
13.5. Faut-il une assurance cyber ?
Elle peut être utile, mais elle ne remplace pas les mesures de base. Avant de signer, il faut regarder les prérequis, exclusions, franchises, délais de déclaration et preuves demandées. L'assurance transfère une partie du risque. Elle ne restaure pas une donnée non sauvegardée.
13.6. Que faire si un poste semble compromis ?
Il faut isoler l'équipement du réseau, éviter de détruire les preuves, prévenir le référent ou le prestataire, tenir une main courante et évaluer rapidement l'impact. En cas de données personnelles, une notification CNIL peut être nécessaire. En cas de rançon, les sources publiques recommandent de ne pas payer.
14. Conclusion : la base cyber devient une discipline de continuité
Pour une PME, la cybersécurité ne commence pas par la peur. Elle commence par une question de dirigeant : que devons-nous protéger pour continuer à travailler ?
Les sauvegardes répondent à la reprise. La MFA répond à l'accès. La messagerie répond à l'entrée. Les mises à jour répondent aux failles connues. La fiche incident répond au désordre. Ensemble, ces mesures forment une architecture sobre, lisible, défendable.
Nous ne cherchons pas à transformer chaque PME en centre opérationnel de sécurité. Nous cherchons à faire disparaître les fragilités absurdes : compte partagé, sauvegarde jamais testée, e-mail sans MFA, prestataire oublié, procédure inexistante.
Ce n'est plus une dépense informatique.
La sécurité devient une discipline de continuité : protéger, tenir, redémarrer.
15. Sources principales
- Cybermalveillance.gouv.fr - Rapport d'activité 2025 - publié en mars 2026 - https://www.cybermalveillance.gouv.fr/medias/2026/03/RA_2025_Cybermalveillance_gouv_fr.pdf
- Cybermalveillance.gouv.fr - Actualité rapport d'activité 2025 - publié en 2026 - https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/rapport-activite-2025
- Cybermalveillance.gouv.fr - Mémento ImpactCyber TPE-PME - version 2026 - https://www.cybermalveillance.gouv.fr/medias/2020/04/20260112-PM-GIP-ACYMA-MEMENTO.pdf
- Cybermalveillance.gouv.fr - Les 10 mesures essentielles pour assurer votre cybersécurité - mis à jour le 7 mai 2026 - https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique
- ANSSI - Panorama de la cybermenace 2025 - publié en 2026 - https://www.cert.ssi.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf
- ANSSI - La cybersécurité pour les TPE/PME en 13 questions - version 2024 - https://messervices.cyber.gouv.fr/documents-guides/20241212_np_anssi_guide_tpe-pme_v2.pdf
- ANSSI - Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures - https://messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf
- ANSSI - 10 règles d'or en matière de sécurité numérique - consulté le 17 juin 2026 - https://cyber.gouv.fr/securisation/10-regles-or-securite-num%C3%A9rique/
- CNIL - Rapport annuel 2025 - publié le 18 mai 2026 - https://www.cnil.fr/fr/rapport-annuel-2025
- IBM - Cost of a Data Breach Report 2025 - consulté le 17 juin 2026 - https://www.ibm.com/reports/data-breach