Entre 60 et 80 % des incidents de cybersécurité trouvent leur origine dans un facteur humain. Pas dans une faille technique sophistiquée. Un clic sur un lien piégé, un mot de passe réutilisé, une négligence ordinaire. Trois études indépendantes convergent vers le même constat :
- 60 % des brèches impliquent le facteur humain, que ce soit par erreur, manipulation ou abus d’identifiants (Verizon, Data Breach Investigations Report, 2025)
- 80 % des violations de données signalées au Royaume-Uni en 2021 étaient dues à une erreur utilisateur (CybSafe / ICO UK)
Deux rapports, Deux méthodologies, un même verdict : le problème n’est pas dans les machines. Il est dans les décisions, les habitudes et l’organisation. Et ça, c’est le terrain du dirigeant, pas celui du technicien.
Ce n’est plus un problème informatique, c’est un problème d’entreprise
Quand on parle de cyberattaque à un dirigeant, il pense souvent à un écran noir, un virus, un problème que « l’informatique » va régler. La réalité est différente.
Une attaque par rançongiciel ne bloque pas un serveur. Elle paralyse une activité entière. Plus de messagerie, plus de devis, plus de facturation, plus de logiciel métier. Pendant des jours, parfois des semaines. Les salariés arrivent le matin et ne peuvent pas travailler. Les clients appellent et personne ne peut leur répondre. Les livraisons s’arrêtent. La trésorerie encaisse le choc.
Les chiffres du dernier rapport de l’ANSSI (Panorama de la cybermenace 2025, publié en mars 2026) donnent la mesure : 1 366 incidents de sécurité confirmés sur l’année. Près de quatre par jour. Et ce ne sont que ceux qui ont été déclarés. La réalité est probablement bien supérieure.
Le chiffre le plus révélateur : près d’une victime de rançongiciel sur deux est une PME ou une TPE. Pas un grand groupe avec un département sécurité de trente personnes. Une entreprise comme la vôtre, peut-être. Le Verizon DBIR 2025 confirme cette tendance à l’échelle mondiale : 88 % des brèches impliquant des PME contenaient un composant rançongiciel, contre 39 % pour les grandes entreprises.
Et le coût n’est pas celui qu’on imagine. Ce n’est pas le prix d’un nouveau serveur ou d’un prestataire en urgence. C’est le chiffre d’affaires perdu pendant l’arrêt d’activité (un perte d’exploitation), les pénalités contractuelles, la perte de confiance des clients, parfois la perte du client lui-même. Le Hiscox Cyber Readiness Report 2025 le confirme : 33 % des entreprises victimes d’une attaque ont subi une amende suffisamment importante pour impacter la santé financière de leur activité. 29 % ont eu du mal à attirer de nouveaux clients après l’incident. Certaines entreprises ne s’en remettent pas.
Pourquoi les PME et TPE sont devenues des cibles à part entière
« On est trop petits pour intéresser un hacker. » C’est probablement la phrase la plus dangereuse qu’un dirigeant puisse prononcer en 2026.
Les attaquants ne ciblent pas uniquement les grandes entreprises. Ils ciblent les entreprises les moins protégées. Et dans cette catégorie, les PME et les TPE sont surreprésentées. Moins de moyens, moins de sensibilisation, moins de procédures. Des portes ouvertes, pour un attaquant qui n’a même pas besoin de forcer la serrure.
Le baromètre national de la maturité cyber des TPE-PME 2025, publié par Cybermalveillance.gouv.fr, chiffre cette réalité : 80 % des TPE-PME reconnaissent ne pas être préparées aux cyberattaques. 63 % citent le manque de connaissances et d’expertise comme obstacle principal. 61 % évoquent des contraintes budgétaires. Trois quarts d’entre elles consacrent moins de 2 000 euros par an à la cybersécurité. C’est souvent moins que le budget café de l’entreprise.
La logique des attaquants est industrielle. Les cybercriminels ne passent pas des semaines à élaborer une attaque sur mesure pour chaque cible. Ils envoient des milliers de mails piégés, scannent des milliers de systèmes, et exploitent les failles là où elles se trouvent. Le volume fait le rendement. Votre entreprise n’a pas besoin d’être intéressante. Elle a juste besoin d’être vulnérable.
Et il y a un deuxième mécanisme, plus vicieux : la chaîne de sous-traitance. Si vous travaillez pour un grand groupe, dans la défense, l’aéronautique, l’énergie ou l’industrie, vous êtes une porte d’entrée. L’ANSSI le documente dans son rapport 2025 : plusieurs entreprises industrielles qui fabriquaient des composants pour la défense ont été compromises. Elles ne se considéraient pas comme des cibles stratégiques. Elles l’étaient pourtant, par ricochet.
Nous reviendrons en détail sur ce sujet dans les articles 07 et 08 de ce dossier. Mais le principe est posé : la taille ne protège pas. Elle expose.
La menace cyber a changé de nature
Pour un dirigeant qui ne suit pas l’actualité cyber au quotidien, et c’est normal puisque ce n’est pas son métier, trois évolutions majeures méritent d’être comprises. Non pas dans le détail technique, mais dans ce qu’elles changent concrètement pour l’entreprise.
On ne bloque plus votre système, on vole vos données, puis on vous fait chanter
Le rançongiciel classique chiffrait vos fichiers et vous demandait de payer pour les récupérer. C’est toujours le cas, mais ce n’est plus le seul scénario.
Aujourd’hui, les attaquants entrent dans votre système, copient vos données (fichiers clients, contrats, fiches de paie, coordonnées bancaires) puis repartent. Ensuite, ils menacent de tout publier. Le rapport de l’ANSSI recense 196 incidents de ce type en 2025, soit une augmentation de 50 % en un an.
La différence est fondamentale. Un système bloqué, ça se voit immédiatement. Un vol de données peut passer inaperçu pendant des semaines. Et quand vos contrats ou les bulletins de salaire de vos employés se retrouvent en ligne, il n’y a pas de retour en arrière.
Le Hiscox Cyber Readiness Report 2025 apporte un éclairage complémentaire : parmi les entreprises qui ont payé une rançon pour empêcher la publication de leurs données, 29 % ont vu leurs données publiées malgré le paiement. Payer ne garantit rien.
Les frontières entre espionnage d’État et cybercriminalité s’effacent
Le rapport de l’ANSSI est explicite : des États, Russie et Chine principalement, mènent des campagnes d’espionnage contre des entreprises françaises. Et la nouveauté, c’est que les méthodes se confondent. Vous pensez avoir été victime d’un banal ransomware, alors qu’en réalité, on est venu chercher vos données techniques, un plan de fabrication, un cahier des charges confidentiel.
Ce n’est plus de la science-fiction réservée aux films d’espionnage. C’est documenté, chiffré, et ça concerne aussi les structures de 30 ou 50 salariés. Le Verizon DBIR 2025 note une progression de 163 % des brèches liées à l’espionnage, qui représentent désormais 17 % de l’ensemble des incidents analysés.
L’intelligence artificielle change les règles du jeu
L’IA permet aux attaquants d’industrialiser ce qui était artisanal. Des mails de phishing générés automatiquement, personnalisés, sans fautes d’orthographe, dans un français impeccable. Des deepfakes audio pour se faire passer pour un dirigeant au téléphone. Des scans automatisés de milliers de systèmes pour trouver la faille exploitable.
Le Hiscox Cyber Readiness Report 2025 révèle que 62 % des entreprises considèrent les vulnérabilités liées à l’IA comme un risque majeur pour les cinq prochaines années. Et le Verizon DBIR 2025 observe que le volume de texte généré par IA dans les e-mails malveillants a doublé en deux ans.
L’IA est aussi un levier de défense, et nous y reviendrons dans l’article 09 de ce dossier. Mais pour l’instant, elle bénéficie davantage à l’attaquant qu’au défenseur, parce qu’attaquer est plus simple que défendre.
En France, les cyberattaques de 2025 sont un rappel concret
L’année 2025 a été marquée par une série d’incidents qui illustrent la diversité et la gravité des menaces, y compris en France. Kiabi a subi une attaque par réutilisation d’identifiants volés, exposant les données personnelles et les coordonnées bancaires d’environ 20 000 clients. Bouygues Telecom a reconnu l’exposition des données de 6,4 millions de comptes clients. Doctolib a vu fuiter 2,6 millions de profils utilisateurs incluant des historiques de rendez-vous médicaux. Orange Belgique a été touché, avec les données d’abonnement de 850 000 clients exposées.
À l’international, l’attaque contre Jaguar Land Rover est devenue un cas d’école : cinq semaines d’arrêt de production, des milliers d’entreprises sous-traitantes affectées par ricochet, et une facture estimée à plus de deux milliards d’euros. La Banque d’Angleterre a identifié cet incident comme l’un des facteurs ayant pesé sur la croissance économique du Royaume-Uni au troisième trimestre 2025.
Ces exemples ne sont pas des cas isolés. En France, plus de 17 500 cyberattaques ont été enregistrées en 2025, en hausse de 4 % par rapport à 2024 selon le ministère de l’Intérieur. Et si l’on inclut l’ensemble des atteintes numériques (arnaques, escroqueries en ligne), on dépasse les 450 000 crimes et délits, soit une hausse de 14 % en un an.
Le dirigeant est en première ligne, juridiquement et personnellement
Beaucoup de dirigeants considèrent encore la cybersécurité comme un sujet qu’ils délèguent, au DSI, à l’infogérant, au prestataire IT. Le problème, c’est que la responsabilité, elle, ne se délègue pas.
En cas de fuite de données personnelles, c’est l’entreprise, et souvent son dirigeant, qui répond devant la CNIL au titre du RGPD. Les sanctions peuvent atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros. Et au-delà de l’amende, c’est la responsabilité civile, voire pénale, du dirigeant qui peut être engagée s’il est démontré qu’aucune mesure raisonnable n’avait été prise.
Le cadre réglementaire se durcit encore avec deux textes européens en cours de transposition :
NIS 2 élargit considérablement le périmètre des entreprises soumises à des obligations de cybersécurité. Toute entité de plus de 50 salariés ou réalisant plus de 10 millions d’euros de chiffre d’affaires, dans un secteur concerné, est potentiellement visée. Et les secteurs sont larges : énergie, transports, santé, services numériques, industrie manufacturière, alimentation, et d’autres encore.
Le Cyber Resilience Act impose des exigences de sécurité pour les produits connectés mis sur le marché européen.
Mais le point le plus important pour un dirigeant de PME n’est peut-être pas dans le texte de loi lui-même. C’est dans l’effet de cascade. Si votre client est soumis à NIS 2, il vous demandera des garanties sur votre propre niveau de sécurité. Ne pas pouvoir les fournir, c’est risquer de perdre le marché. La conformité de vos clients devient votre contrainte commerciale.
Le baromètre TPE-PME 2025 de Cybermalveillance.gouv.fr le confirme : seules 9 % des entreprises se déclarent assujetties à NIS 2, prêtes ou en cours de préparation. La majorité n’a pas encore pris la mesure de ce qui arrive.
Nous détaillerons la responsabilité personnelle du dirigeant dans l’article 04, et le cadre réglementaire complet dans l’article 11 de ce dossier.
Le vrai sujet : savoir poser les bonnes questions
Un dirigeant n’a pas besoin de comprendre le fonctionnement d’un pare-feu. Il n’a pas besoin de savoir configurer un VPN ou de lire des logs de connexion. Ce n’est pas son métier, et ça ne le sera jamais.
En revanche, il doit être capable de répondre à cinq questions fondamentales sur son entreprise. Ces questions correspondent aux cinq fonctions du framework NIST, le cadre de référence international en matière de cybersécurité. Elles n’ont rien de technique. Ce sont des questions de pilotage :
- Identifier : Savez-vous quels sont vos actifs critiques ? Quelles données, quels systèmes, quels accès sont indispensables au fonctionnement de votre entreprise ? Et qui y a accès ?
- Protéger : Des mesures de base sont-elles en place ? Mots de passe robustes, mises à jour appliquées, sauvegardes vérifiées, droits d’accès limités au nécessaire ?
- Détecter : Si quelqu’un entre dans votre système ce soir, combien de temps faudra-t-il avant que vous le sachiez ? Des heures ? Des jours ? Des semaines ?
- Répondre : Si un incident survient demain matin, qui fait quoi ? Avez-vous un plan, même d’une page ? Savez-vous qui appeler ?
- Rétablir : Pouvez-vous redémarrer votre activité après une attaque ? En combien de temps ? Avez-vous une sauvegarde accessible et testée ?
Le baromètre TPE-PME 2025 apporte un éclairage inquiétant sur la réalité du terrain : 65 % des TPE-PME ne disposent d’aucune procédure écrite pour réagir en cas d’incident. Près de six entreprises sur dix ne sauraient pas évaluer les conséquences d’une cyberattaque.
Si vous pouvez répondre à ces cinq questions avec clarté, vous êtes déjà en avance sur la majorité des dirigeants. Si les réponses sont floues, c’est le premier sujet à mettre sur la table, avant d’investir dans quelque outil que ce soit.
La cybersécurité se pilote comme la gestion financière ou la conformité juridique : avec des indicateurs, des responsabilités clairement attribuées et des décisions prises au bon niveau. Comme le résumait Richard Clarke, ancien conseiller à la sécurité nationale des États-Unis : si vous dépensez plus en café qu’en sécurité informatique, vous serez piraté. La formule date, le constat n’a pas pris une ride.
Ne rien faire, c’est déjà un choix
La cybersécurité n’est plus un sujet qu’un dirigeant peut se permettre d’ignorer ou de déléguer sans suivi. Les chiffres sont là : la menace est réelle, elle touche les petites structures autant que les grandes, et elle exploite avant tout les failles humaines et organisationnelles, pas les failles techniques.
La bonne nouvelle, c’est que les premières actions à mettre en place ne sont ni complexes ni coûteuses. Elles demandent de la lucidité, de la méthode et une décision claire du dirigeant.
Ne pas agir, c’est déjà un choix. Et quand l’incident arrive, il coûte toujours plus cher que la prévention.
Sources et références
- ANSSI · Panorama de la cybermenace 2025, CERT-FR, mars 2026 · cyber.gouv.fr
- Verizon · Data Breach Investigations Report (DBIR) 2025 · verizon.com/dbir
- Hiscox · Cyber Readiness Report 2025 · hiscoxgroup.com/hiscox-cyber-readiness-report-2025
- Cybermalveillance.gouv.fr · Baromètre national de la maturité cyber des TPE-PME 2025 · cybermalveillance.gouv.fr
- Arx One · Récap des cyberattaques en 2025 · arxone.com/actualites/recap-cyberattaques-2025
- CybSafe / ICO UK · Analyse des violations de données signalées au Royaume-Uni, 2021 · cybsafe.com/research
- ANSSI · Espace MonEspaceNIS2 · monespacenis2.cyber.gouv.fr
- NIST · Cybersecurity Framework 2.0 · nist.gov/cyberframework