Un cabinet comptable accède chaque mois aux données financières d’une trentaine de clients. Une agence web détient les identifiants du site de ses clients. Un prestataire de maintenance se connecte à distance aux équipements qu’il surveille. Un fournisseur reçoit chaque semaine un fichier de commandes avec les volumes, les prix négociés, les délais.
Aucune de ces entreprises ne se considère comme une cible particulière. Pourtant, chacune est dans une chaîne. Et dans cette chaîne, ce qui intéresse un attaquant, ce n’est pas forcément vous. C’est ce à quoi vous donnez accès, ou ce que vous détenez sans y penser.
Aucune entreprise ne fonctionne en circuit fermé
Chaque jour, votre entreprise transmet des données, reçoit des fichiers, accorde des accès et en obtient d’autres. Ces flux sont le fonctionnement normal d’une activité. Ils sont aussi une surface d’exposition que la plupart des dirigeants n’ont jamais cartographiée.
Un expert-comptable externe qui se connecte chaque mois à votre logiciel de gestion. Un sous-traitant à qui vous envoyez régulièrement un fichier de commandes avec vos prix et vos délais. Un prestataire informatique avec un accès permanent à distance. Un client qui vous a donné accès à sa plateforme pour saisir les bons de livraison. Une agence de communication qui gère vos réseaux sociaux et détient vos mots de passe.
Chacune de ces situations est normale. Aucune n’est anodine. Chaque accès accordé est un accès potentiellement exploitable. Chaque fichier transmis est une donnée qui existe désormais hors de votre périmètre. Et dans la plupart des PME, personne ne pourrait dresser la liste complète de ces flux en moins d’une heure. C’est ce que montre concrètement la chronologie d’une attaque réelle : l’intrusion commence presque toujours par un accès légitime détourné.
Si vous ne savez pas ce que vous avez transmis à l’extérieur ce trimestre, vous ne savez pas ce qui peut être retourné contre vous.
La mécanique de l’attaque en chaîne
Un attaquant qui veut accéder aux données d’une organisation bien protégée cherche son point d’entrée ailleurs : chez un fournisseur, chez un prestataire, chez un sous-traitant. Quelqu’un qui a accès aux systèmes de la cible, mais dont la propre sécurité est moins robuste.
Le Verizon DBIR 2025 chiffre cette évolution : 30 % des brèches analysées impliquaient un tiers, soit le double de l’année précédente. C’est la progression la plus significative du rapport.
Le Panorama de la cybermenace 2025 de l’ANSSI documente ce schéma à plusieurs reprises. Dans un cas, un attaquant compromet un prestataire de services numériques, exfiltre les données de ses clients, puis exploite les interconnexions et les identifiants récupérés pour se propager vers plusieurs organisations clientes. Un seul point d’entrée, des dizaines de victimes. Certaines de ces victimes avaient fait tout ce qu’on leur avait demandé en matière de sécurité. C’est leur prestataire qui a été le maillon faible.
L’ANSSI documente aussi des attaques par rançongiciel ayant touché des PME industrielles de la chaîne d’approvisionnement de la défense et de l’aéronautique entre janvier et juin 2025. Ces entreprises détenaient des informations sensibles qui ont pu être exposées. Ce que le rapport précise, et c’est important : ces attaques n’étaient pas coordonnées. Les entreprises ont été touchées par des opérateurs de rançongiciels distincts, de façon opportuniste. Elles n’ont pas été ciblées parce qu’elles travaillaient pour la défense. Elles ont été ciblées parce qu’elles étaient accessibles.
C’est précisément le point. Le secteur d’activité ne détermine pas le risque. Le niveau de protection, si.
Ce que vous transmettez sans y penser
Le risque n’est pas toujours dans les données que vous considérez sensibles. Il est souvent dans celles auxquelles vous ne pensez plus.
Un fichier Excel envoyé à un fournisseur pour synchroniser les références produits contient peut-être aussi vos marges. Un mail en réponse à un appel d’offres, transmis en copie à un partenaire extérieur, contient peut-être des conditions tarifaires confidentielles. Un accès accordé à un prestataire pour une mission ponctuelle n’a peut-être jamais été révoqué, deux ans après la fin de la mission. Et le dossier partagé auquel plusieurs collaborateurs et quelques intervenants externes ont accès contient peut-être des documents dont vous avez oublié l’existence.
Le rapport de l’ANSSI souligne que la frontière entre cybercriminalité et espionnage économique s’efface. Ce que cherchent certains attaquants dans une PME, ce n’est pas toujours de l’argent. C’est parfois un cahier des charges, un devis, des conditions de négociation en cours. Des informations dont vous ne mesurez pas la valeur pour quelqu’un d’autre.
La bonne question n’est pas : est-ce que mes données intéressent quelqu’un ? Elle est : est-ce que je sais ce que je détiens et ce que j’ai transmis ?
Ce que vos clients vont commencer à vous demander
La directive NIS 2, en cours de transposition en France via la loi Résilience, oblige les entreprises concernées à évaluer et surveiller la sécurité de leurs fournisseurs et prestataires critiques. Ce n’est plus une recommandation. C’est une exigence réglementaire.
Si votre client est soumis à NIS 2, il va vous demander des preuves de votre niveau de sécurité. Des questionnaires, des clauses contractuelles, des exigences d’audit. Pas parce qu’il se méfie de vous, mais parce que sa propre conformité en dépend.
Et même si votre entreprise n’est pas directement dans le périmètre de NIS 2, l’effet de cascade s’applique. Les grands groupes exigeront des garanties de leurs fournisseurs de premier rang, qui les répercuteront sur leurs propres sous-traitants. La chaîne de conformité descend jusqu’au maillon le plus petit.
Ne pas pouvoir répondre à ces demandes, c’est un risque commercial concret. Et si un incident survient dans cette chaîne, la responsabilité du dirigeant peut être engagée, y compris lorsque la faille vient d’un tiers. Le baromètre TPE-PME 2025 de Cybermalveillance.gouv.fr le mesure : seules 9 % des entreprises interrogées se déclarent prêtes ou en cours de préparation sur NIS 2. Les premiers appels d’offres avec des exigences de sécurité formalisées arrivent déjà. La cybersécurité devient un critère de sélection commerciale, au même titre que le prix ou le délai.
Ce que vous pouvez faire dès cette semaine
Aucune de ces décisions ne demande de compétence technique.
Cartographier ce que vous transmettez à l’extérieur. Pas un audit exhaustif : une feuille A4. Qui reçoit quoi, dans quelles conditions, par quel canal. Fichiers clients, données financières, accès à vos systèmes. L’exercice prend une heure et révèle presque toujours des surprises.
Auditer les accès que vous avez accordés. Combien de prestataires ont encore un accès actif à vos systèmes ? Combien d’anciens collaborateurs ont conservé des identifiants ? Un accès qui n’est plus nécessaire doit être révoqué. Ce n’est pas de la méfiance. C’est de la gestion.
Anticiper les demandes de vos clients. Avant de recevoir un questionnaire d’audit, prenez contact avec vos clients principaux pour comprendre ce qu’ils attendent de vous. Anticiper vaut mieux que subir.
Vérifier votre exposition à NIS 2. L’ANSSI met à disposition l’outil MonEspaceNIS2 pour identifier si votre entreprise est dans le périmètre. Le Référentiel Cyber France (ReCyF), publié en mars 2026, liste les mesures recommandées selon le profil de l’entreprise.
La taille ne protège pas. L’accessibilité expose.
La bonne question n’est pas : est-ce que mon entreprise est assez importante pour être une cible ? Elle est : est-ce que mon entreprise est accessible ? Et dans une chaîne, tout le monde l’est.
Ce que vous transmettez, ce à quoi vous donnez accès, ce que vous détenez sans y penser : voilà ce qui détermine votre exposition réelle. Pas votre secteur d’activité, pas votre taille, pas votre chiffre d’affaires.