Cybersécurité pour PME

Deux critères principaux : (1) la taille (au moins 50 employés OU 10M€ de CA), (2) un secteur listé en annexe de la loi (santé, fabrication critique, énergie, transport, banque, infrastructure numérique, alimentaire, eau, postaux). Les entités sont classées essentielles ou importantes, avec des obligations et des sanctions différentes. Si vous êtes sous-traitant d'une entité essentielle, vous êtes aussi concerné·e indirectement via ses exigences. En cas de doute, le CCB publie les critères et un point de contact sur son portail Safeonweb@Work.

Trois actions à fort impact / faible coût : (1) MFA généralisé sur tous les accès externes (souvent inclus dans vos licences Microsoft 365). (2) EDR pro à la place de l'antivirus standard (de l'ordre de 80 €/poste/an). (3) Sauvegardes immuables hors-site testées (quelques milliers d'euros par an pour 50 postes). Le total annuel reste sans commune mesure avec les semaines d'arrêt qu'évite chacune de ces mesures. Le niveau CyFun Basic couvre précisément ces fondamentaux : c'est un bon fil conducteur gratuit.

En dessous de 250 employés, recruter un CISO à temps plein n'est pas rentable. La meilleure approche est un vCISO (CISO fractionnel) à 2-4 jours par mois : il pilote la stratégie cyber, anime le comité de pilotage, suit la conformité, gère les incidents majeurs. Comptez de l'ordre de 1 500 à 4 000 €/mois pour un profil senior, soit une fraction d'un temps plein, avec une expérience grand compte.

Un service EDR/MDR managé surveille vos systèmes en continu et détecte les comportements suspects, y compris les nuits et week-ends, quand les attaques ransomware sont souvent déclenchées précisément parce que personne ne regarde. Il qualifie les alertes, isole les machines compromises et coordonne la réponse. Pour une PME de 50 personnes, comptez de l'ordre de 800 à 2 500 €/mois selon la couverture. Sans supervision, une intrusion peut rester invisible pendant des mois.

Non. Une cyber-assurance couvre les conséquences financières d'un incident, mais : (1) les assureurs exigent un niveau de maturité minimum (MFA, EDR, sauvegardes immuables), sinon ils refusent l'indemnisation. (2) L'assurance ne réduit pas le risque, elle le mutualise. (3) Les primes ont fortement augmenté ces dernières années pour les organisations sans posture cyber documentée.

Pour une PME partant de zéro : 9 à 12 mois pour atteindre une maturité démontrable (les mesures de l'art. 21 + la gouvernance). Pour une PME ayant déjà des bases (audit récent, MFA déployé, sauvegardes testées) : 4 à 6 mois. La voie de démonstration la plus accessible est la certification CyberFundamentals (CyFun) au niveau correspondant à votre profil de risque ; ISO 27001 et l'inspection CCB sont les deux autres. Et rappel : l'échéance d'avril 2026 pour les entités essentielles est passée, le CCB contrôle activement.

Oui, significativement, si rien n'est fait. Le télétravail démultiplie la surface d'attaque (réseaux Wi-Fi domestiques, appareils personnels, partage de mots de passe en famille). Les bonnes pratiques : VPN avec MFA obligatoire, EDR sur les laptops fournis, MDM (Intune ou Jamf) pour gérer la flotte, charte télétravail signée. Bien équipé·e, le télétravail n'est pas plus risqué qu'un bureau.

Heure 0 : détection. Heure 1-4 : isolation des machines compromises. Heure 4-24 : analyse forensique pour comprendre l'étendue. Sous 24h : alerte au CCB si vous êtes dans le périmètre NIS2, puis rapport intermédiaire sous 72h. Sous 72h : notification APD si des données personnelles sont concernées. Jours 1-30 : reconstruction propre depuis des sauvegardes saines. Mois 1-6 : remédiation, durcissement et, sous NIS2, rapport final au régulateur sous un mois. Sans plan préparé, tous ces délais explosent.