Ce que les sources publient réellement
Les données disponibles ne mesurent pas toutes la même chose. Certaines décrivent la fréquence et les conséquences déclarées par les entreprises ; d’autres proposent une estimation d’assureur. Elles ne permettent pas de produire un coût moyen universel pour les PME françaises.
| Source | Population / périmètre | Indicateur publié | Limitation |
|---|---|---|---|
| Cybermalveillance.gouv.fr, 2025 | 588 entreprises françaises de moins de 250 salariés | Donnée observée. 16 % ont déclaré un incident au cours des 12 derniers mois ; parmi les conséquences déclarées : 29 % d’interruption de service, 11 % de perte financière et 22 % de vol de données. | Limite de la donnée. Enquête de maturité, et non étude du coût des incidents. |
| Hiscox France, 2026 | Guide d’assureur destiné aux PME | Fourchette publiée par un assureur. Estimation de 50 000 € à 466 000 € selon la gravité. | Limite de la donnée. Estimation d’assureur, et non moyenne ou médiane nationale. |
Calculer son coût, poste par poste
Pour estimer l’exposition de votre entreprise, séparez les coûts qui apparaissent pendant la réponse à incident de ceux qui se prolongent après la remise en service. Cette méthode produit une estimation propre à votre activité ; elle ne transforme pas une fourchette publiée en prévision certaine.
Coûts directs à documenter
- Investigation technique, confinement et restauration des systèmes.
- Temps des équipes internes et assistance externe mobilisés pour l’incident.
- Conseil juridique, notifications et communication auprès des personnes ou organisations concernées.
Coûts indirects à estimer selon votre activité
- Chiffre d’affaires non réalisé ou reporté pendant l’indisponibilité.
- Coûts fixes maintenus alors que le service ne fonctionne pas normalement.
- Pénalités contractuelles éventuelles, reports de projets et conséquences commerciales à suivre dans le temps.
Pour l’arrêt d’activité, partez de votre chiffre d’affaires, de vos coûts fixes, du temps nécessaire à la restauration et de vos engagements contractuels. Une simulation arithmétique ne vaut que comme illustration de ces hypothèses internes : elle n’est pas une donnée observée ni une moyenne sectorielle.
Prioriser la prévention sans pourcentage universel
Le niveau d’investissement dépend de l’exposition, de l’impact métier potentiel et des priorités de remédiation. Une entreprise qui dépend d’un service en ligne critique ne retient pas les mêmes priorités qu’une organisation dont les systèmes peuvent être temporairement isolés.
- MFA sur les accès critiques. Protégez la messagerie, les accès distants, les consoles cloud et les comptes administrateurs.
- Sauvegardes testées. Vérifiez que les données et les systèmes indispensables peuvent être restaurés.
- Correctifs suivis. Incluez les postes, serveurs, équipements réseau et services exposés.
- Cartographie des actifs exposés. Inventoriez les sous-domaines, adresses publiques, bases de données et comptes sensibles. C’est le point de départ d’un audit de sécurité informatique.
- Plan de réaction documenté. Définissez les contacts, les accès de secours et l’ordre des décisions à prendre pendant un incident.
Cette checklist constitue un socle de préparation. Elle peut être complétée par un test d’intrusion ou un audit adapté au périmètre et aux risques identifiés.
Sources et limites
- Cybermalveillance.gouv.fr, 2ème édition du baromètre national de la maturité cyber des TPE et PME 2025 : cybermalveillance.gouv.fr
- Hiscox France, Comment réagir après une suspicion de fuite de données : étapes, obligations et rôle de l’assureur : hiscox.fr
Avant d’utiliser un chiffre dans une décision budgétaire, vérifiez sa population, sa période, sa méthode et ce qu’il mesure réellement. Une enquête de maturité, une déclaration de sinistre et une estimation d’assureur répondent à des questions différentes.