Menace dominante
Rançongiciel, comptes piratés, fraude au virement
Textes
NIS2 à venir, exigences des clients, RGPD
Le contexte
Des cibles par défaut, pas par choix
Les attaquants ne choisissent pas les PME : ils exploitent en masse des accès exposés et des comptes volés, et frappent là où la défense est la plus mince. Dans le même temps, vos grands clients répercutent leurs propres obligations (NIS2, DORA, ISO 27001) sous forme de clauses, de questionnaires et parfois d'audits.
48 %
des victimes de rançongiciel recensées par l'ANSSI en 2025 (37 % en 2024)[1]
+73 %
de demandes d'assistance des entreprises en 2025[2]
21 %
des assistances aux entreprises concernent un compte piraté[2]
Les menaces
Ce qui vise votre secteur
- 01
Le piratage de comptes
Première menace pour les entreprises et associations en 2025 : 21 % des demandes d'assistance, en hausse de 52 %. Les comptes fuités ou hameçonnés deviennent l'accès initial à tout le système d'information.[2]
- 02
La fraude au virement
Entrée dans le trio de tête en 2025 (13,5 % des assistances, +93 %) : faux changement de RIB, fausse facture, arnaque au président, souvent après le piratage d'une messagerie.[2]
- 03
Le rançongiciel
8,1 % des demandes d'assistance des entreprises en 2025, un volume en légère hausse, et la menace la plus lourde en conséquences selon Cybermalveillance.gouv.fr. Près de la moitié des victimes traitées par l'ANSSI sont des PME, TPE ou ETI.[2, 1]
- 04
Les équipements exposés et les failles non corrigées
Selon l'ANSSI, l'exploitation de vulnérabilités reste en 2025 l'un des principaux vecteurs de compromission, en particulier sur les équipements de bordure : pare-feu, VPN, passerelles de messagerie. Un correctif non appliqué sur un équipement exposé suffit.[1]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- Loi en discussion
NIS2, au-delà des seuils
La directive vise les entreprises d'au moins 50 salariés, ou dont le chiffre d'affaires et le total de bilan dépassent 10 M€, dans dix-huit secteurs. En France, la loi de transposition n'est pas encore votée au 6 octobre 2026. Le simulateur NIS2 donne une première indication.
- En vigueur
RGPD
Registre des traitements, sécurité adaptée au risque (article 32), notification des violations à la CNIL sous 72 heures, encadrement de vos sous-traitants.
- Selon votre situation
Les exigences de vos clients
Un client soumis à NIS2 ou à DORA doit encadrer la sécurité de ses fournisseurs : attendez-vous à des clauses, des questionnaires et parfois des audits. Une certification ISO 27001 ou un plan d'action documenté y répondent.
- En vigueur
Cyber Resilience Act, si vous vendez un produit numérique
Pour les fabricants de produits comportant des éléments numériques : signalement des vulnérabilités activement exploitées depuis le 11 septembre 2026, application complète le 11 décembre 2027.
Pour décider
Par où commencer avec un budget de PME
L'ordre qui apporte le plus de sécurité pour l'argent investi, et les aides qui existent :
- D'abord les fondamentaux : MFA sur la messagerie et les accès distants, sauvegardes hors ligne testées, correctifs sur tout ce qui est exposé. Notre diagnostic flash les vérifie.
- Ensuite un responsable : sans RSSI, un RSSI externalisé à temps partagé tient le plan d'action et répond aux questionnaires de vos clients.
- Puis la preuve : un pentest externe, et ISO 27001 si vos clients ou vos marchés l'exigent.
- Aides : Bpifrance propose un Diag Cybersécurité cofinancé pour les PME et ETI (conditions sur son site) ; MonAideCyber, service gratuit de l'ANSSI, propose un premier diagnostic par un aidant ; votre région peut avoir son propre dispositif.
- En cas d'incident : le 17Cyber pour l'assistance de premier niveau, puis un prestataire de réponse à incident.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions des PME et ETI
Sommes-nous trop petits pour intéresser un attaquant ?
Non. La plupart des attaques sont opportunistes : des outils automatiques cherchent des accès vulnérables et des comptes fuités, sans regarder la taille de la cible. En 2025, près d'une victime de rançongiciel sur deux recensée par l'ANSSI était une PME, une TPE ou une ETI.
Par quoi commencer avec un petit budget ?
Par un diagnostic court qui vérifie les fondamentaux (MFA, sauvegardes, correctifs, exposition) et classe les actions. Beaucoup se font ensuite en interne ou avec votre prestataire informatique habituel.
Faut-il viser la certification ISO 27001 ?
Seulement si vos clients ou vos marchés l'exigent, ou si vous voulez structurer durablement votre sécurité. Sinon, un plan d'action suivi par un RSSI externalisé apporte l'essentiel du bénéfice pour un coût plus faible.
Comment savoir si NIS2 nous concerne ?
Notre simulateur NIS2 donne une première indication à partir de votre secteur, de votre effectif et de votre chiffre d'affaires. La réponse définitive dépendra de la loi française, pas encore votée au 6 octobre 2026.
Sources (5)Afficher
- [1]ANSSI, Panorama de la cybermenace 2025 (mars 2026)
- [2]Cybermalveillance.gouv.fr, rapport d'activité 2025 (mars 2026)
- [3]Directive (UE) 2022/2555 (NIS2), EUR-Lex (2022)
- [4]Commission européenne, Cyber Resilience Act (règlement (UE) 2024/2847) (2024)
- [5]MonAideCyber, ANSSI (2026)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).