Cybersécurité pour PME

Deux critères principaux : (1) la taille (au moins 50 employés ou 10 millions d’euros de CA), (2) un secteur listé en annexe de la loi (santé, fabrication critique, énergie, transport, banque, infrastructure numérique, alimentation, eau, services postaux). Les entités sont classées essentielles ou importantes, avec des obligations et des sanctions différentes. Si vous êtes sous-traitant d’une entité essentielle, vous êtes aussi concerné indirectement, par ses exigences. En cas de doute, le CCB publie les critères et un point de contact sur son portail Safeonweb@Work.

Trois actions à fort impact et faible coût : (1) le MFA sur tous les accès externes, souvent inclus dans vos licences Microsoft 365. (2) Un EDR professionnel à la place de l’antivirus standard (facturé par poste, sur abonnement annuel). (3) Des sauvegardes immuables hors site et testées. Le total reste sans commune mesure avec les semaines d’arrêt que chacune de ces mesures permet d’éviter. Le niveau CyFun Basic couvre précisément ces fondamentaux, c’est un bon fil conducteur gratuit.

En dessous de 250 employés, un CISO à temps plein est rarement justifié. L’approche la plus adaptée est un vCISO (CISO à temps partagé) présent 2 à 4 jours par mois : il pilote la stratégie cyber, anime le comité de pilotage, suit la conformité et gère les incidents majeurs. Vous ne payez que ces jours-là, avec une expérience de grand compte. Le coût dépend du nombre de jours et du périmètre confié. Nous établissons un devis écrit sous 48 h après un premier échange.

Un service EDR/MDR managé surveille vos systèmes en continu et détecte les comportements suspects, y compris la nuit et le week-end, quand les attaques par ransomware sont souvent déclenchées parce que personne ne regarde. Il qualifie les alertes, isole les machines compromises et coordonne la réponse. Pour une PME de 50 personnes, le coût dépend de la couverture retenue. Sans supervision, une intrusion peut rester invisible pendant des mois.

Non. Une cyber-assurance couvre les conséquences financières d’un incident, mais : (1) les assureurs exigent un niveau de maturité minimum (MFA, EDR, sauvegardes immuables) et peuvent refuser l’indemnisation s’il n’est pas atteint. (2) L’assurance ne réduit pas le risque, elle le transfère. (3) Les assureurs tiennent compte de votre posture cyber pour fixer la prime, voire pour accepter de vous couvrir.

Pour une PME qui part de zéro, comptez 9 à 12 mois pour atteindre une maturité démontrable (mesures de l’art. 21 et gouvernance). Pour une PME qui a déjà des bases (audit récent, MFA déployé, sauvegardes testées), 4 à 6 mois. La voie de démonstration la plus accessible est la certification CyberFundamentals (CyFun) au niveau correspondant à votre profil de risque. ISO 27001 et l’inspection du CCB sont les deux autres. Pour rappel, l’échéance d’avril 2026 pour les entités essentielles est passée.

Oui, si rien n’est fait. Le télétravail élargit la surface d’attaque : réseaux Wi-Fi domestiques, appareils personnels, mots de passe partagés en famille. Les bonnes pratiques : VPN avec MFA obligatoire, EDR sur les ordinateurs portables fournis, MDM (Intune ou Jamf) pour gérer la flotte, charte de télétravail signée. Bien équipé, le télétravail n’est pas plus risqué que le travail au bureau.

Heure 0 : détection. Heures 1 à 4 : isolation des machines compromises. Heures 4 à 24 : analyse forensique pour mesurer l’étendue. Sous 24 h : alerte au CCB si vous êtes dans le périmètre NIS2, puis notification d’incident sous 72 h. Sous 72 h également : notification à l’APD si des données personnelles sont concernées. Jours 1 à 30 : reconstruction propre à partir de sauvegardes saines. Mois 1 à 6 : remédiation et durcissement, avec, sous NIS2, un rapport final au régulateur dans le mois qui suit la notification. Sans plan préparé, ces délais deviennent très difficiles à tenir.