La cybersécurité dans les PME suisses: six constats tirés de la pratique

Ce que les évaluations de sécurité révèlent sur la technologie, l’organisation et les responsabilités

Le mois d'octobre est le Mois européen de la cybersécurité. C'est l’occasion de faire le point en toute objectivité, pour voir où en sont réellement les PME suisses en matière de cybersécurité? Au cours des derniers mois, nous avons réalisé de nombreuses évaluations de sécurité auprès de PME. Les mêmes constats reviennent régulièrement et diffèrent souvent de l’image que beaucoup d’entre elles se font de leur situation.

Dans son rapport semestriel, l’Office fédéral de la cybersécurité (OFCS) montre comment les cybercriminels utilisent l’intelligence artificielle pour adapter leurs tentatives d’escroquerie de manière ciblée à chaque entreprise. Si les attaques gagnent sans cesse en sophistication, elles exploitent des failles qui, elles, restent les mêmes depuis des années.

Constat n°1: les bases techniques sont généralement solides

Commençons par une bonne nouvelle: la plupart des PME que nous évaluons disposent de bases techniques solides — pare-feu, protection antivirus, mises à jour et sauvegardes — et leurs partenaires informatiques fournissent un travail de qualité.

Cette bonne nouvelle explique aussi pourquoi de nombreuses entreprises se sentent à l’abri. Or, aujourd’hui, les cyberattaques aboutissent rarement à cause d’une faille purement technique.

Constat n°2: il manque des procédures claires

Les lacunes concernent le plus souvent la définition claire des responsabilités, la documentation des procédures et l’établissement de circuits de décision. Qui est autorisé à valider un ordre de paiement reçu par e-mail de la part de la direction? À qui les collaboratrices et collaborateurs doivent-ils signaler un message suspect? Qui décide, à trois heures du matin, d’arrêter des systèmes critiques? Bien souvent, ces questions ne font l’objet d’aucune réponse claire, écrite ou orale.

Les cas typiques sont les suivants: des paiements sont exécutés sur la base d’un seul e-mail, sans contre-vérification téléphonique; les accès d’anciennes collaboratrices ou d’anciens collaborateurs restent actifs pendant des mois; des prestataires externes conservent un accès permanent sans véritable contrôle. Il ne s’agit pas de problèmes techniques, mais chacun de ces cas accroît le risque pour l’entreprise.

Constat n°3: le partenaire informatique ne remplace pas un plan d’urgence

De nombreuses entreprises partent du principe qu’en cas d’incident, leur partenaire informatique prendra en charge toutes les mesures nécessaires. Cette hypothèse est courante, mais elle comporte des risques. Un prestataire informatique peut restaurer les systèmes, pour autant qu’il en ait reçu le mandat, que des sauvegardes soient disponibles et qu’il dispose des ressources nécessaires. Or, lors d’un incident de grande ampleur, plusieurs clientes et clients peuvent toutefois être touchés simultanément.

La continuité des activités demeure toutefois du ressort de l’entreprise. Combien de temps la production peut-elle se poursuivre sans systèmes informatiques? Quelles clientes et quels clients faut-il informer? Qui communique avec l’assurance, les autorités ou les médias? Aucun partenaire informatique ne peut répondre à ces questions à la place de l’entreprise. Un plan d’urgence qui se résume à un contrat de prestations informatiques n’est pas un véritable plan d’urgence.

Constat n°4: les situations de crise font trop rarement l’objet d’exercices

La plupart des PME n’ont encore jamais simulé concrètement une cyberattaque. Souvent, elles ne disposent pas non plus d’un document qui regroupe les principaux contacts, rôles et décisions et qui reste accessible même lorsqu’aucun ordinateur ne fonctionne plus.

Un exemple récent illustre l’importance de cette préparation: durant l’été 2026, une fiduciaire d’Yverdon-les-Bains a été victime d’une attaque par rançongiciel. L’entreprise a réagi de manière exemplaire: elle a isolé ses systèmes, restauré ses données à partir d’une sauvegarde et n’a versé aucune rançon. Malgré cela, plus de 100’000 dossiers concernant des particuliers, des entreprises et une quinzaine de communes se sont retrouvés sur le darknet, les cybercriminels ayant copié les données avant leur chiffrement. Les entreprises qui gèrent des données de tiers doivent donc savoir comment et à quel moment informer les personnes et organisations concernées en cas d’incident.

Constat n°5: une sensibilisation efficace exige de la continuité

De nombreuses PME organisent une séance de sensibilisation une fois par an, puis considèrent le sujet comme traité. L’expérience montre pourtant qu’une grande partie des connaissances acquises en janvier s’oublie au fil des mois, tandis que les méthodes d’attaque continuent d’évoluer. Une approche plus efficace consiste à mettre en place un programme annuel associant de courts rappels réguliers et des exemples concrets tirés du secteur d’activité concerné.

Les solutions modernes vont aujourd’hui bien au-delà des formations classiques et des e-mails de test. Elles accompagnent les collaboratrices et collaborateurs dans leurs activités quotidiennes. Un module complémentaire dans Outlook peut, par exemple, signaler dès l’ouverture d’un message des éléments potentiellement suspects. Si un e-mail paraît inhabituel, il peut être signalé en un clic et analysé en quelques minutes. Même lorsqu’un lien est ouvert par inadvertance, il peut d’abord être contrôlé dans un environnement sécurisé, puis bloqué en cas de tentative de fraude, avant qu’un dommage ne survienne.

La sensibilisation n’est ainsi plus une obligation annuelle, mais un filet de sécurité permanent. Les collaboratrices et collaborateurs deviennent un maillon essentiel de la défense, plutôt qu’un point faible.

Constat n°6: la direction est responsable des cyberrisques

Le constat le plus important vient souvent en dernier. Dans de nombreuses PME, la cybersécurité est encore perçue comme une question purement informatique, laissée à la personne responsable de l’informatique ou au prestataire externe. Or, une cyberattaque n’est pas un simple incident technique. Elle constitue un risque pour l’entreprise, au même titre qu’un incendie, la perte d’une cliente ou d’un client majeur ou encore un cas de responsabilité du fait des produits.

Une attaque peut paralyser les activités pendant plusieurs semaines et menacer l’existence même de l’entreprise. De tels risques doivent donc être traités au niveau de la direction et du conseil d’administration. Cela suppose des responsabilités clairement définies, un suivi régulier de la situation et des décisions prises avant la crise, et non lorsqu’elle est déjà en cours.

Être prêt avant que l’incident ne survienne

La cybersécurité ne se joue pas uniquement au niveau du pare-feu. Elle repose avant tout sur des responsabilités claires, des processus éprouvés et un accompagnement quotidien des collaboratrices et collaborateurs. Les PME n’ont pas besoin de tout mettre en place en même temps. En identifiant les principaux risques, en fixant des priorités claires et en se préparant aux situations d’urgence, elles renforcent progressivement leur résilience. Elles disposent ainsi de deux atouts essentiels lorsqu’un incident survient: du temps pour agir et la capacité de prendre les bonnes décisions au bon moment.