1 366 incidents confirmés en 2025, et ce ne sont que ceux déclarés à l’ANSSI : la réalité est très probablement bien supérieure. Près de 4 par jour. Près d’une victime de rançongiciel (ransomware) sur deux : une PME ou une TPE. L’ANSSI vient de publier son rapport annuel. Voici ce qu’il faut en retenir.
Et autant le dire d’entrée : la cybersécurité n’est plus un sujet de techniciens. C’est un sujet de direction. C’est le dirigeant qui porte la responsabilité en cas de fuite de données, c’est lui qui signe les contrats avec les prestataires, c’est lui qui devra répondre devant ses clients et devant la loi. Le rapport de l’ANSSI le rappelle : la menace est devenue systémique, elle touche l’ensemble du tissu économique, et la réponse doit venir du sommet.
Source : Panorama de la cybermenace 2025, ANSSI / CERT-FR, mars 2026.
Tout s’arrête. Vous faites quoi ?
128 entreprises ont vu leurs fichiers chiffrés par un rançongiciel en 2025. Plus de mails, plus de devis, plus de facturation. Pendant des jours, parfois des semaines.
Le rapport décrit un cas révélateur : une entreprise détecte l’intrusion avant le chiffrement. Bonne nouvelle ! Sauf que l’équipe coupe l’alimentation des serveurs dans la panique. Résultat : une perturbation durable, pire que l’attaque elle-même.
Que vous ayez trois serveurs en local ou tout dans le cloud, la question est la même : si demain matin votre messagerie, vos fichiers partagés et votre logiciel métier sont hors service, savez-vous quoi faire ? Avez-vous un plan, même d’une page ? Si la réponse est floue, c’est le premier sujet à mettre sur la table.
On ne bloque plus, on copie, puis on fait chanter
Tendance forte du rapport : les attaquants entrent, copient vos données (fichiers clients, contrats, fiches de paie, coordonnées bancaires) puis repartent. Ensuite, ils menacent de tout publier. 196 incidents de ce type en 2025, +50 % en un an.
Un système bloqué, ça se voit tout de suite. Un vol de données peut passer inaperçu des semaines. Et quand vos contrats ou les bulletins de salaire de vos employés se retrouvent sur Telegram, c’est trop tard.
Le rapport cite un cas concret : en février 2025, plusieurs entreprises agroalimentaires découvrent qu’un faux navigateur web, installé librement sur des postes, aspirait silencieusement les mots de passe. Un salarié télécharge un logiciel gratuit sur son poste pro, et c’est tout le système qui est exposé.
Savez-vous quelles données sensibles votre entreprise détient, et qui y a accès ? Y compris sur le Google Drive partagé ou le NAS du bureau ?
Vous êtes un sous-traitant ? Vous êtes une cible.
Le rapport est clair : des États (Russie, Chine principalement) mènent des campagnes d’espionnage contre des entreprises françaises. Pas seulement les grands groupes : leurs sous-traitants aussi.
Pourquoi forcer la porte d’une forteresse quand on peut passer par le fournisseur de pièces de 30 salariés ?
Au premier semestre 2025, l’ANSSI a constaté la compromission de plusieurs entreprises industrielles qui fabriquent des composants pour la défense et l’aéronautique. Des structures qui ne se considéraient pas comme des cibles stratégiques. Elles l’étaient pourtant, par ricochet.
Et la nouveauté 2025 : les frontières entre espionnage d’État et cybercriminalité s’effacent. Vous pensez avoir été victime d’un banal ransomware, alors qu’en réalité on est venu chercher vos données techniques.
Un plan de fabrication, un échange de mails sur une négociation, un cahier des charges confidentiel : si ça a de la valeur pour quelqu’un d’autre que vous, c’est un risque.
Si vous êtes consultant ou dirigeant d’une petite structure, ne vous laissez pas paralyser par l’ampleur de ces menaces globales. La sécurité commence par des gestes simples et une discipline quotidienne. Pour passer de la théorie à la pratique, nous avons listé pour vous les 50 maximes de cybersécurité : le kit d’hygiène indispensable pour l’indépendant et la TPE. C’est concret, immédiat et adapté à votre échelle.
Votre prestataire (ou fournisseur IT) tombe, vous tombez avec.
Angle mort classique. Vous avez fait le nécessaire chez vous, et un matin, c’est l’hébergeur, l’infogérant ou l’éditeur de votre logiciel métier qui se fait attaquer.
Le rapport décrit plusieurs cas. En juillet 2025 : un hébergeur cloud compromis, des services indisponibles pour des entreprises et le grand public, tout un secteur paralysé. En octobre 2025 : un éditeur de logiciel hébergé chez un fournisseur cloud voit ses ressources chiffrées, tous ses clients dans le noir.
Pire : dans plusieurs incidents, les entreprises n’ont pas pu obtenir les logs de leurs propres données hébergées chez le prestataire. Impossible de savoir ce qui avait été volé.
On se souvient aussi de l’incendie du datacenter OVH à Strasbourg en mars 2021, où beaucoup d’entreprises ont découvert qu’elles n’avaient aucune stratégie de sauvegarde dans un autre datacenter. Le risque n’est pas toujours une cyberattaque : c’est parfois un événement physique, et le résultat est le même.
Concrètement : que prévoit votre contrat si votre prestataire IT ou votre hébergeur Azure/OVH/Scaleway est hors service pendant une semaine ? Avez-vous une copie de vos données ailleurs ?
La cybersécurité devient une obligation légale
Deux réglementations européennes arrivent : NIS 2 et le Cyber Resilience Act.
Ce qu’il faut retenir sans entrer dans le détail technique : toute entité de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires, dans un secteur concerné, est potentiellement soumise à NIS 2. Les secteurs sont larges : énergie, transports, santé, services numériques, industrie manufacturière, alimentation…
Et même si votre entreprise est plus petite, les prestataires et fournisseurs critiques de ces structures sont également inclus dans les obligations, y compris dans les chaînes de sous-traitance. En clair : si votre client est concerné, il vous demandera des garanties. Ne pas pouvoir les fournir, c’est risquer de perdre le marché.
Pour vérifier si vous êtes dans le périmètre, l’ANSSI a mis en ligne un espace dédié : MonEspaceNIS2.
Dernier chiffre du rapport : fin 2025, plus de 6 200 équipements exposés sur Internet en France (pare-feu, passerelles VPN, serveurs accessibles depuis l’extérieur) restaient vulnérables à des failles connues depuis 2023-2024, avec des correctifs disponibles. Le problème n’est pas toujours l’absence de solution. C’est l’absence de passage à l’action.
Ne rien faire, c’est déjà un choix
La menace est réelle, elle touche les petites structures autant que les grandes, et des actions concrètes existent. Mais la cybersécurité est un sujet de direction, pas un problème technique à déléguer sans suivi.
Si vous ne deviez retenir qu’une chose : ne pas agir, c’est déjà un choix. Et quand l’incident arrive, il coûte toujours plus cher que la prévention.
Sources et ressources :