Lundi, 8 h 30. Votre comptable vous appelle : plus aucun fichier ne s’ouvre, et un message réclame une rançon en cryptomonnaie.

Autre version, plus discrète : un fournisseur vous a envoyé vendredi un nouveau RIB, et le virement de fin de mois est parti vers un compte inconnu.

Dans les deux cas, ce n’est pas votre prestataire informatique qui devra trancher. C’est vous. Payer ou non, prévenir les clients, arrêter la production : chaque décision engage l’entreprise.

Le risque cyber se gère donc d’abord depuis le bureau du dirigeant. Je vous montre comment rendre une attaque moins probable, et comment éviter qu’elle ne vide votre trésorerie si elle arrive quand même. C’est parti !

Pourquoi le risque cyber est d’abord l’affaire du dirigeant ?

On imagine souvent que les pirates visent les grands groupes et les hôpitaux. Les chiffres de l’ANSSI disent l’inverse.

En 2025, 128 attaques par rançongiciel ont été signalées à l’agence. Près d’une sur deux (48 %) a frappé une PME, une TPE ou une ETI, contre 37 % un an plus tôt. Ces entreprises restent la première catégorie de victimes, loin devant les collectivités.

Pourquoi elles ? Parce qu’elles ont des données et des virements qui valent de l’argent, et rarement une équipe sécurité pour surveiller le réseau la nuit.

Et quand l’attaque arrive, les vraies questions ne sont pas techniques :

• Faut-il arrêter la production ou tenir en mode dégradé ?
• Qui prévient les clients, et avec quels mots ?
• Faut-il payer quand la demande de rançon tombe ?
• Qui règle la facture des experts, du redémarrage et des jours perdus ?

Toutes reviennent au dirigeant. La directive européenne NIS2 va d’ailleurs dans ce sens : elle rend la direction des entités concernées responsable des mesures de sécurité et l’oblige à se former. Sa transposition française, le projet de loi Résilience, est examinée par l’Assemblée nationale depuis le 9 novembre 2026.

Face à ce risque, vous disposez de deux leviers. Le premier consiste à réduire la probabilité d’une attaque réussie, grâce à la prévention. Le second consiste à réduire son impact financier, en transférant une partie du risque à un assureur.

Les deux vont ensemble. C’est d’ailleurs la démarche des courtiers spécialisés comme Cyber Cover : mesurer l’exposition de l’entreprise avant de parler contrat, pour la rendre assurable dans la durée.

Combien coûte vraiment une cyberattaque à une PME ?

Le montant de la rançon fait les gros titres. C’est pourtant rarement le poste le plus lourd. Une attaque coûte surtout en jours d’arrêt et en remise en route.

Voici les postes qui reviennent dans presque tous les sinistres :

• La perte d’exploitation : chaque jour sans logiciel de production, sans caisse ou sans facturation, c’est du chiffre d’affaires qui ne rentre pas.
• Les experts : analyse de l’attaque (l’investigation dite forensique), nettoyage, puis restauration des systèmes.
• Le volet juridique : avocat, notification à la CNIL, information des clients dont les données ont fuité.
• La responsabilité envers les tiers : un client ou un partenaire touché par rebond peut vous demander réparation.
• La réputation : des clients qui partent, un appel d’offres perdu, des avis négatifs.

Les assureurs voient la tendance de près. Dans son étude LUCY 2026, l’AMRAE (l’association des risk managers) a recensé 1 251 sinistres cyber en 2025 dans son panel, contre 448 un an plus tôt.

Chez les petites entreprises (2 à 10 M€ de chiffre d’affaires), leur nombre a doublé, de 115 à 233. Et chez les ETI, le montant indemnisé a été multiplié par quatre.

Les attaques qui ne font pas de bruit

Toutes les attaques ne bloquent pas vos écrans. Les plus fréquentes passent par la boîte mail et visent directement votre compte en banque.

Le bilan 2025 de Cybermalveillance.gouv.fr, publié en mars 2026, le montre bien :

• l’hameçonnage est la menace n°1, tous publics confondus, en hausse de 70 % ;
• le piratage de comptes arrive en tête des menaces qui touchent les professionnels (+45 %) ;
• les fraudes au virement bondissent de 170 % et gagnent la facturation électronique et la paie.

Le scénario type ? Un pirate récupère votre nom, votre SIRET et le nom de votre expert-comptable dans une fuite de données. Il vous envoie ensuite un mail parfaitement crédible, au bon moment.

J’ai décortiqué un cas réel en vidéo : la fuite de données de Welyb, un portail d’échange entre cabinets comptables et clients, détectée le jour même du démarrage de la facturation électronique.

Retenez surtout ceci : aucune facture n’a fui, mais des coordonnées suffisent pour monter une fraude crédible. Les vérifications à faire sont détaillées dans mon article sur la fuite de données chez Welyb.

Prévenir : 6 chantiers à lancer cette année

Inutile de viser le niveau de sécurité d’une banque. L’objectif est de sortir des cibles faciles, celles où un mot de passe volé suffit à tout ouvrir.

Ces six chantiers couvrent l’essentiel. La plupart demandent plus de temps que d’argent.

1. Faites mesurer votre exposition

Avant d’acheter quoi que ce soit, faites un état des lieux. Quels comptes ont des droits d’administrateur ? Où sont vos sauvegardes ? Quels services sont visibles depuis Internet ?

Pour un premier diagnostic gratuit, l’ANSSI propose MonAideCyber. Un « aidant cyber » bénévole passe environ 1 h 30 avec vous, vous laisse six mesures prioritaires, puis refait le point six mois plus tard.

Certains courtiers proposent aussi un audit d’exposition gratuit avant toute étude tarifaire. Vous savez ainsi où vous en êtes avant même de parler prix.

2. Verrouillez les accès

Beaucoup d’intrusions commencent par un identifiant volé. La parade la plus rentable tient en deux mots : double authentification.

• Activez-la en priorité sur la messagerie, la banque en ligne et vos outils en ligne (CRM, comptabilité, stockage).
• Supprimez les comptes des anciens salariés et prestataires.
• Retirez les droits d’administrateur à ceux qui n’en ont pas besoin au quotidien.

Pour des mots de passe uniques sans post-it collé sur l’écran, équipez l’équipe d’un gestionnaire de mots de passe d’entreprise.

Et appliquez les mises à jour sans attendre. Une faille connue mais non corrigée reste l’une des portes d’entrée favorites des attaquants.

3. Gardez une sauvegarde hors de portée

Un rançongiciel chiffre tout ce qu’il trouve, sauvegardes connectées comprises. Une copie doit donc rester hors ligne ou non modifiable.

Faites aussi le test une fois par an : restaurez un dossier entier ou un serveur, chronomètre en main. C’est ce délai réel, pas la promesse du prestataire, qui fixera la durée de votre arrêt.

Si votre entreprise entre dans le champ de NIS2, j’ai détaillé ce que la directive change pour vos sauvegardes.

4. Entraînez vos équipes à repérer l’hameçonnage

Vos salariés ouvrent des dizaines de mails par jour. Un seul clic sur une fausse page de connexion peut suffire à ouvrir la porte.

Une formation par an ne suffit pas. Ce qui marche, ce sont des campagnes de faux hameçonnage régulières, suivies d’un débrief bienveillant. On ne sanctionne pas le clic : on valorise le signalement rapide.

Vous trouverez la méthode pas à pas dans mon guide pour sensibiliser vos employés à la cybersécurité.

5. Blindez vos procédures de paiement

Contre la fraude au virement, la technique compte moins que la procédure. Écrivez-la, et faites-la respecter par tout le monde, vous compris :

• Tout changement de RIB se vérifie par un appel, au numéro déjà connu du fournisseur, jamais à celui indiqué dans le mail.
• Double validation au-delà d’un montant que vous fixez.
• Aucune urgence ne justifie de sauter une étape, surtout quand le « président » l’exige par mail.

6. Répétez la crise avant de la vivre

Le jour J, personne ne lit un plan de crise de quarante pages. Réunissez plutôt votre équipe de direction deux heures autour d’un scénario simple : « mardi, 9 h, plus rien ne démarre ».

Qui appelle qui ? Où sont les numéros d’urgence si le réseau est coupé ? Qui parle aux clients ?

Vous découvrirez vite les trous de votre organisation. Mieux vaut les trouver un jeudi après-midi, au calme, qu’en pleine attaque.

Assurance cyber : comment protéger votre trésorerie ?

Même bien préparée, une PME peut tomber. La prévention réduit la probabilité d’une attaque, l’assurance cyber limite la facture.

Elle ne remplace pas la sécurité : elle prend le relais quand celle-ci a cédé.

Ce que couvre un contrat cyber

Les garanties varient d’un assureur à l’autre, mais un bon contrat combine en général :

• une assistance 24 h/24 avec des experts en réponse à incident et en gestion de crise ;
• la prise en charge des frais d’expertise et de restauration des systèmes et des données ;
• l’indemnisation des pertes d’exploitation pendant l’arrêt ;
• les frais juridiques et de notification : avocats, déclaration à la CNIL, information des personnes touchées ;
• la responsabilité civile cyber, si un client ou un partenaire subit un préjudice par votre faute.

Lisez de près deux points. La fraude au virement est souvent traitée à part, en option ou dans un contrat dédié.

Quant aux exclusions, comme les actes de guerre ou les incidents antérieurs à la souscription, elles peuvent changer la portée réelle du contrat. Demandez qu’on vous les explique avant de signer.

Combien coûte une assurance cyber ?

Moins cher qu’on ne l’imagine, au moins pour les petites structures. L’étude LUCY 2026 donne des moyennes indicatives pour 2025, selon le chiffre d’affaires :

Taille de l’entreprise	Couverture souscrite	Franchise	Prime annuelle
Micro-entreprise (moins de 2 M€)	627 000 €	1 076 €	645 €
Petite entreprise (2 à 10 M€)	701 000 €	2 300 €	1 600 €
Entreprise moyenne (10 à 50 M€)	1,4 M€	11 000 €	5 000 €
ETI (50 M€ à 1 Md€)	4,2 M€	91 000 €	34 000 €

Ces chiffres restent des moyennes. Votre prime dépendra de votre secteur, du type de données que vous traitez et surtout de votre niveau de sécurité.

Être assurable, la vraie difficulté

Avant de vous couvrir, l’assureur vous fait remplir un questionnaire de sécurité. Double authentification, sauvegardes isolées, mises à jour, sensibilisation des équipes : les chantiers vus plus haut y reviennent presque tous.

Sans eux, vous vous exposez à une prime élevée, à des exclusions, voire à un refus.

Un courtier spécialisé fait gagner du temps sur ce terrain. Il vous aide à corriger les points faibles avant la souscription, puis met plusieurs assureurs en concurrence et ajuste plafonds et franchises à votre activité.

L’AMRAE note d’ailleurs que la forte hausse du nombre d’ETI et d’entreprises moyennes assurées en 2025 est principalement portée par les courtiers spécialisés qui apportent un support technique. Cyber Cover fait partie des douze courtiers qui ont fourni leurs données à l’étude.

La règle des 72 heures à connaître

Un détail peut tout faire basculer. Depuis la loi d’orientation du ministère de l’Intérieur (LOPMI), l’article L12-10-1 du Code des assurances conditionne l’indemnisation d’une cyberattaque à un dépôt de plainte dans les 72 heures qui suivent sa découverte.

La règle s’applique aux entreprises et aux professionnels depuis le 24 avril 2023. Passé ce délai, l’indemnisation peut vous échapper, même avec un excellent contrat.

Les 72 premières heures : le plan à préparer dès maintenant

Trois jours : c’est le délai qui revient partout après une attaque, pour la plainte comme pour la CNIL. Préparez donc votre marche à suivre maintenant, et imprimez-la. Le jour où le réseau tombe, un PDF rangé sur le serveur ne vous servira à rien.

1. Isolez sans effacer. Débranchez du réseau les postes touchés, sans les éteindre ni supprimer de fichiers : les traces serviront à l’enquête.
2. Appelez l’assistance. Composez le numéro d’urgence de votre assureur si vous êtes couvert. Sinon, le service public 17Cyber vous oriente vers des prestataires labellisés.
3. Portez plainte sous 72 heures, au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République. Sans plainte, pas d’indemnisation.
4. Notifiez la CNIL si des données personnelles sont touchées : dans les 72 heures si possible, quitte à compléter ensuite. Prévenez aussi les personnes concernées quand le risque pour elles est élevé.
5. Ne payez pas la rançon dans la précipitation. Les autorités le déconseillent, et rien ne garantit que vous récupérerez vos données.
6. Communiquez avec un seul porte-parole, auprès des salariés, des clients et de la banque. Des faits, pas de spéculation.

Ajoutez à cette fiche les numéros utiles (assureur, prestataire informatique, banque, avocat) et rangez-en une copie hors de l’entreprise.

Par où commencer cette semaine ?

Pas besoin d’un budget de grand groupe pour sortir de la zone rouge. Si je ne devais garder que quatre gestes pour un dirigeant de PME, ce seraient ceux-là :

• Activer la double authentification sur la messagerie et la banque.
• Écrire la procédure de changement de RIB et la diffuser à l’équipe.
• Tester une restauration de sauvegarde, pour de vrai.
• Faire évaluer votre exposition, puis demander un devis d’assurance cyber adapté à votre taille.

Une attaque reste possible, même chez les mieux préparés. La différence se joue sur ce qui se passe ensuite : une équipe qui sait quoi faire, et une trésorerie qui encaisse le choc.

Et vous, combien de jours tiendriez-vous sans votre informatique ?