Combien coûte une cyberattaque à une PME en 2026 ?

Combien coûte réellement une cyberattaque à une PME ?

La question revient sans cesse chez les dirigeants : combien coûte réellement une cyberattaque ? La réponse tient dans un chiffre repère devenu la référence du secteur : 466 000 € en moyenne pour une TPE ou une PME. Ce montant peut surprendre car il dépasse largement l’idée qu’on se fait d’une simple « panne informatique ». Il agrège en réalité une longue chaîne de dépenses, visibles et invisibles, qui s’étalent parfois sur plusieurs mois après l’incident.

Ce chiffre est une moyenne : elle est tirée vers le haut par les sinistres majeurs. Pour une attaque ciblée plus « classique », le coût médian se situe plutôt entre 50 000 et 150 000 €. Autrement dit, même une attaque sans caractère spectaculaire représente déjà, pour beaucoup de petites structures, l’équivalent de plusieurs mois de trésorerie.

Coût moyen d’une cyberattaque en France : que disent les chiffres ?

La France n’est pas épargnée, au contraire. Le baromètre de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) fait état de 831 intrusions avérées en 2025, contre 594 en 2024. C’est une hausse marquée, et elle touche de plein fouet le tissu économique des petites entreprises : PME, TPE et ETI concentrent 48 % des victimes de rançongiciels. Contrairement à une idée reçue, les grands groupes ne sont donc pas les seules cibles.

Pour une PME française, le coût moyen suit la tendance des 466 000 €, mais l’impact relatif est bien plus violent que pour une grande entreprise : une même somme absorbée sans difficulté par un grand groupe peut représenter, pour une PME de 20 salariés, l’équivalent de plusieurs années de résultat. C’est cette asymétrie qui rend le sujet vital pour les dirigeants de petites structures.

Combien coûte un ransomware et faut-il payer la rançon ?

Le ransomware reste le scénario le plus redouté : un logiciel chiffre l’ensemble des fichiers de l’entreprise et un maître-chanteur exige un paiement pour rendre les données. Mais attention à un contresens fréquent : le montant de la rançon n’est pas le principal poste de coût. Ce qui coûte le plus cher, c’est tout ce qui gravite autour — l’arrêt de production, la remise en état des systèmes, la perte de clients.

Payer, c’est aussi accepter un délai : le déchiffrement, quand il fonctionne, est lent et incomplet. Une entreprise disposant de sauvegardes saines et testées reprend souvent plus vite en restaurant qu’en payant. C’est tout l’enjeu de la préparation en amont.

Coût d’une journée d’arrêt et durée de paralysie

Voici le cœur du problème : l’interruption d’activité est généralement le poste de coût le plus lourd, bien avant la rançon. Chaque journée pendant laquelle les serveurs, la facturation, la production ou la prise de commande sont à l’arrêt représente du chiffre d’affaires perdu qui, souvent, ne se rattrape pas.

Combien de temps une entreprise reste-t-elle paralysée ? Cela dépend directement de sa préparation. Sans plan de reprise ni sauvegardes exploitables, la paralysie totale ou partielle peut durer de plusieurs jours à plusieurs semaines, le temps de reconstruire le système d’information. Avec un plan de continuité et des sauvegardes déconnectées testées, la reprise peut se compter en heures ou en jours.

Exemple chiffré : une PME de services à l’arrêt

Prenons une PME réalisant 3 M€ de chiffre d’affaires annuel, soit environ 12 000 € de CA par jour ouvré. Un ransomware paralyse son activité.

On voit immédiatement que l’arrêt de production pèse plus lourd que la rançon, et que le total dépasse vite plusieurs points de pourcentage du chiffre d’affaires annuel. C’est ainsi qu’on passe d’un coût médian « raisonnable » à une facture qui approche, voire dépasse, la moyenne des 466 000 €.

Coûts directs et coûts cachés : la répartition réelle

Pour comprendre la facture, il faut distinguer deux familles de coûts. Les coûts directs sont ceux qu’on identifie tout de suite. Les coûts indirects — les fameux coûts cachés — sont souvent les plus lourds et les plus durables.

La leçon est claire : la partie visible de l’iceberg (la rançon) ne représente qu’une fraction du coût total. L’atteinte à la réputation et la perte de confiance des clients se paient pendant des mois, parfois des années, sous forme de contrats non signés et de bouche-à-oreille défavorable.

Pourquoi les PME sont-elles particulièrement ciblées ?

Beaucoup de dirigeants pensent être « trop petits pour intéresser les pirates ». C’est précisément l’inverse. Les PME sont ciblées parce qu’elles combinent des données de valeur et un niveau de protection faible. Les attaquants privilégient les cibles au meilleur rapport effort/gain, et une petite structure mal protégée est une proie idéale.

1. Moins de moyens de défense Peu ou pas d’équipe informatique dédiée, des mises à jour repoussées, une absence de MFA.
2. Des attaques automatisées Les campagnes ne visent pas une entreprise en particulier : elles ratissent large et frappent qui laisse une porte ouverte.
3. Un maillon d’accès aux grands comptes Une PME sous-traitante devient une porte d’entrée vers ses donneurs d’ordre.
4. Une capacité à payer Assez de trésorerie pour verser une rançon, pas assez de défenses pour l’éviter.

Une cyberattaque peut-elle faire faillite à une PME ?

Oui, malheureusement. Quand une attaque combine arrêt d’activité prolongé, perte de clients et frais de remise en état, elle peut représenter plusieurs points de pourcentage du chiffre d’affaires annuel — voire davantage pour les cas les plus graves. Pour une entreprise à la trésorerie tendue, ce choc peut être fatal.

Que faire quand on est victime d’une cyberattaque ?

La rapidité et le sang-froid font la différence sur la facture finale. Voici les premiers réflexes à adopter :

1. Isoler Déconnecter les machines touchées du réseau pour stopper la propagation, sans les éteindre brutalement.
2. Ne pas payer dans la précipitation Le paiement ne garantit rien et alimente la criminalité.
3. Préserver les preuves Conserver les journaux et les traces pour l’investigation forensic.
4. Déclarer Porter plainte, prévenir son assureur et, en cas de fuite de données personnelles, notifier la CNIL sous 72 heures.
5. Restaurer Repartir de sauvegardes saines et déconnectées plutôt que de négocier.
6. Se faire accompagner S’appuyer sur un prestataire cybersécurité pour PME pour piloter la remédiation.

Comment prévenir : la meilleure économie possible

La règle d’or est simple : la prévention coûte une fraction du prix d’un sinistre. Investir quelques milliers d’euros par an dans un socle de sécurité revient bien moins cher qu’une facture de plusieurs centaines de milliers d’euros. Voici les mesures qui offrent le meilleur rapport protection/coût :

1. Sauvegardes déconnectées Des sauvegardes régulières, isolées du réseau et surtout testées : c’est votre meilleure assurance anti-ransomware.
2. Authentification MFA Le MFA (double facteur) bloque l’immense majorité des intrusions par mot de passe volé.
3. Mises à jour Appliquer les correctifs de sécurité sans délai ferme les portes exploitées par les attaquants.
4. Sensibilisation Former les équipes au phishing : l’humain reste le premier point d’entrée.
5. Plan de continuité Savoir à l’avance comment reprendre l’activité réduit drastiquement la durée de paralysie.

Cyberassurance et amende CNIL : deux postes à anticiper

La cyberassurance couvre une partie des frais : remise en état, gestion de crise et pertes d’exploitation. Mais attention, ce n’est pas un bouclier magique. Pour indemniser, l’assureur exige un socle de sécurité minimal : sauvegardes, MFA et plan de reprise. Sans ces prérequis, la garantie peut être réduite ou refusée. Le coût d’une police dépend du chiffre d’affaires, du secteur et du niveau de maturité — et de bonnes pratiques font baisser la prime.