Chaque année, la Mobilière, digitalswitzerland et plusieurs partenaires interrogent les PME suisses sur leur exposition aux cyberattaques. L'édition 2026, relayée par l'Office fédéral de la cybersécurité le 22 octobre, donne un ordre de grandeur frappant : environ 6 % des PME déclarent avoir subi une cyberattaque aux conséquences graves au cours des trois dernières années, soit quelque 35 000 entreprises.
Le chiffre n'est pas le plus intéressant de l'étude. Ce qui l'est davantage, c'est l'écart qu'elle documente entre l'équipement technique des PME et leur préparation à l'incident.
Les outils sont là
Sur le plan technique, le tableau est plutôt rassurant. Plus de 80 % des PME installent les mises à jour logicielles, neuf sur dix font des sauvegardes, et la double authentification est devenue courante. Près d'une PME sur deux considère désormais la cybersécurité comme importante ou très importante, après une baisse l'année précédente, et davantage d'entreprises désignent un responsable du sujet.
C'est un progrès réel, et il correspond à ce que nous voyons sur le terrain : l'antivirus, la sauvegarde et le pare-feu font partie du socle, plus personne ne les discute.
L'organisation ne suit pas
Le décrochage apparaît dès que l'on quitte l'outil pour la méthode. Seule une PME sur trois forme régulièrement ses collaborateurs ou tient un inventaire systématique de son informatique. Les plans d'urgence, les audits de sécurité et la vérification de la sécurité des fournisseurs sont nettement moins répandus encore.
Et surtout : si neuf PME sur dix sauvegardent, une sur quatre seulement teste la restauration. Autrement dit, trois PME sur quatre ne savent pas si leur sauvegarde fonctionne. Elles le découvriront le jour où elles en auront besoin.
C'est le cas que nous rencontrons le plus souvent en intervention d'urgence. La sauvegarde existe, elle tourne toutes les nuits, et elle ne permet pas de repartir : elle ne contient pas la base de données du logiciel métier, elle est chiffrée avec une clé que personne ne retrouve, ou elle est stockée sur le même réseau que les postes chiffrés par le rançongiciel. Nous avions détaillé ces scénarios dans pourquoi les sauvegardes ne suffisent pas.
L'IA change l'échelle, pas la nature
Quatre PME sur cinq s'attendent à une hausse des menaces liée à l'intelligence artificielle. L'anticipation est fondée : les courriels d'hameçonnage sont mieux rédigés, les faux appels de dirigeants plus crédibles, et l'incident UpdraftPlus d'octobre montre des attaquants qui industrialisent l'exploitation en quelques heures, comme nous le racontons dans l'article consacré à UpdraftCentral.
Mais l'IA ne change pas ce qui protège. Un faux virement est arrêté par une procédure de double validation, pas par un logiciel. Une attaque réussie est surmontée par une sauvegarde testée et un plan écrit, pas par un meilleur antivirus. C'est le message central de l'étude : la cybersécurité est devenue une responsabilité de direction, au même titre que la protection contre l'incendie.
Quatre chantiers concrets
- Tester une restauration au moins deux fois par an, sur un échantillon réel : une boîte aux lettres, un dossier partagé, la base du logiciel comptable. Chronométrer le temps nécessaire.
- Écrire le plan d'urgence sur deux pages : qui appeler, dans quel ordre, quels systèmes relancer en premier, comment travailler en mode dégradé. Le conserver imprimé, hors du réseau.
- Tenir l'inventaire des postes, des comptes et des fournisseurs qui ont un accès. C'est la condition de tout le reste, y compris du tri des correctifs.
- Former les collaborateurs sur les scénarios qui coûtent vraiment : faux fournisseur qui change de coordonnées bancaires, faux dirigeant pressé, lien piégé dans une facture.
Aucun de ces chantiers n'exige d'achat. Ils exigent du temps, une méthode et quelqu'un qui s'en charge. L'étude note aussi qu'une cyberassurance peut atténuer les pertes sans remplacer la responsabilité de l'entreprise ; c'est le sujet de notre article sur la cyberassurance en PME, où l'on voit que les assureurs posent précisément ces questions.
Ce que couvre le contrat
Dans le cadre de l'infogérance, les tests de restauration sont planifiés et documentés, le plan de reprise est rédigé avec la direction, et l'inventaire est tenu à jour en continu. C'est la partie la moins visible du travail, et celle qui fait la différence le jour de l'incident.
L'infogérance démarre à 120 HT / mois dans le Bassin Genevois, côté suisse comme côté français. La synthèse de l'étude est publiée sur le site de l'Office fédéral de la cybersécurité.
À retenir
Environ 35 000 PME suisses ont subi une cyberattaque grave en trois ans. Elles sont bien équipées techniquement, mais seule une sur quatre teste ses restaurations et peu disposent d'un plan d'urgence. L'IA accélère les attaques sans changer ce qui protège : une sauvegarde testée, un plan écrit, un inventaire tenu, des collaborateurs formés.
Quand avez-vous restauré une sauvegarde pour la dernière fois ? Si la réponse est « jamais », parlons-en.