Protéger votre entreprise d’une cyberattaque ne consiste pas à acheter le bon logiciel. Cela consiste à agir sur quatre fronts complémentaires : la technique, l’humain, la préparation à l’incident et la conformité. Aucun ne se suffit à lui-même, et le meilleur pare-feu du monde ne protège pas d’un collaborateur qui vire de l’argent sur un faux ordre.
La bonne nouvelle, c’est qu’une PME n’a pas à se défendre contre un adversaire déterminé. Elle a surtout à cesser d’être une cible facile. Ce guide vous donne la méthode d’ensemble ; chaque mesure renvoie ensuite vers un article détaillé. Et parce que chaque entreprise est différente, il se termine sur ce qu’aucune liste générique ne peut faire à votre place.
À quoi ressemble une cyberattaque contre une PME ?
Les attaques qui touchent les PME suisses ne sont presque jamais des opérations sur mesure. Ce sont des campagnes automatisées qui balaient des milliers d’entreprises et s’arrêtent sur celles qui présentent une faiblesse connue : un mot de passe réutilisé, un logiciel non mis à jour, une pièce jointe ouverte trop vite.
En 2025, l’Office fédéral de la cybersécurité a reçu 64’733 déclarations volontaires de cyberincidents, contre 62’954 l’année précédente. Dans le même temps, seules 42 % des PME suisses estimaient leur protection suffisante, contre 55 % un an plus tôt. Le détail de ces chiffres figure dans notre panorama de la cybercriminalité en Suisse. L’enjeu n’est pas de viser l’invulnérabilité, que personne ne peut promettre, mais de sortir du champ de ces campagnes opportunistes.
Commencer par un état des lieux
On ne protège pas ce qu’on ne connaît pas. Avant toute dépense, il faut savoir où vous en êtes : quelles données vous traitez, où elles se trouvent, quels accès existent, et ce qui est déjà en place. C’est cet état des lieux qui évite d’investir au mauvais endroit.
Pour situer votre point de départ en quelques minutes, notre check-up cyber reprend les mesures essentielles sous forme de questions et vous donne une vue d’ensemble. C’est un excellent premier réflexe, mais gardez à l’esprit qu’un questionnaire donne une photographie générale, pas une analyse de vos processus particuliers. Nous y revenons plus bas.
1. Le front technique
Une poignée de mesures techniques traite l’essentiel des scénarios destructeurs. Elles sont détaillées dans notre guide des 10 mesures essentielles ; voici celles qui comptent le plus.
- Des sauvegardes avec une copie hors ligne, et une restauration testée. C’est ce qui transforme un rançongiciel en mauvaise semaine plutôt qu’en fin d’activité. Voir la règle 3-2-1.
- La double authentification sur la messagerie, la banque et les comptes d’administration. Elle rend inutile un mot de passe volé, point de départ de la plupart des attaques. Voir la double authentification.
- Les mises à jour automatiques, partout, y compris sur le routeur, l’imprimante et les objets connectés. Voir mises à jour et failles.
- Un mot de passe unique par service, via un gestionnaire. Voir les mots de passe.
- Le retrait des accès au départ d’un collaborateur et des comptes sans droits d’administrateur au quotidien. Voir la gestion des accès.
- La protection de la messagerie (filtrage, SPF, DKIM, DMARC) pour empêcher qu’on usurpe votre domaine. Voir la sécurité de la messagerie.
2. Le front humain : former votre personnel
C’est le front le plus négligé, et souvent le plus décisif. La messagerie reste la porte d’entrée dominante, et les messages les plus dangereux sont justement ceux qu’aucun filtre ne bloque : un faux ordre de virement signé du nom du dirigeant, une facture d’un fournisseur habituel dont le numéro de compte a changé, un hameçonnage impeccablement imité.
Contre la fraude au président et ces manipulations, la technique ne peut pas grand-chose. Ce qui protège, c’est une équipe qui sait reconnaître les signaux, qui connaît la procédure de vérification d’un virement, et surtout qui ose signaler un doute sans craindre le ridicule.
Une session courte, une fois par an, suffit à installer ces réflexes, à condition d’y associer la direction, cible privilégiée des fraudes. La campagne nationale S-U-P-E-R fournit un support gratuit et mémorisable. Voir pourquoi sensibiliser vos équipes et, pour aller plus loin, le programme de sensibilisation annuel.
Dans la plupart des incidents évitables, quelqu'un avait eu un doute mais n'a rien dit. Former vos collaborateurs et instaurer une culture du signalement coûte quelques heures par an et arrête des attaques qu'aucun outil n'aurait vues. C'est l'investissement de sécurité le plus rentable pour une PME.
3. Se préparer à l’attaque
Aucune protection n’est totale. La question n’est donc pas seulement d’éviter l’incident, mais de savoir quoi faire s’il survient. Le jour venu, la messagerie est peut-être inaccessible et les fichiers chiffrés : les mauvaises décisions se prennent alors en quelques minutes.
Rédigez une page, imprimée et conservée hors du réseau, qui indique qui appeler, dans quel ordre, avec quels numéros, et les premiers gestes à faire. Notez-y le numéro de votre prestataire, celui de votre assurance et le lien de signalement à l’OFCS. Voir les premières heures après une attaque et la trame complète du plan de réponse aux incidents.
4. La conformité
La protection rejoint vos obligations légales. La loi fédérale sur la protection des données impose de garantir la sécurité des données personnelles par des mesures techniques et organisationnelles appropriées, et d’annoncer au PFPDT une violation entraînant vraisemblablement un risque élevé pour les personnes concernées. Établir l’inventaire de vos données et de leurs hébergeurs est le point de départ : c’est à la fois une bonne pratique de sécurité et le socle de vos obligations nLPD.
Pourquoi faire appel à un expert
Tout ce qui précède vaut pour n’importe quelle PME. Mais une check-list, aussi complète soit-elle, décrit le cas général, pas le vôtre. Vos logiciels métier, vos prestataires, vos données sensibles, votre secteur et votre organisation déterminent des risques qui n’apparaissent dans aucun guide générique, y compris celui-ci.
C’est là qu’un regard extérieur change tout. Un professionnel évalue votre exposition réelle, distingue ce qui est urgent pour vous de ce qui est secondaire, dimensionne les mesures à votre taille et à votre budget, et forme vos équipes sur vos cas concrets plutôt que sur des exemples théoriques. Vous évitez ainsi les deux erreurs coûteuses : dépenser là où ce n’était pas nécessaire, et laisser ouvert l’angle mort qui comptait vraiment.
Deux PME du même secteur peuvent avoir des expositions radicalement différentes selon leurs outils, leurs sous-traitants et leurs habitudes. Une analyse sur mesure, suivie d'une formation adaptée à vos équipes, vaut mieux qu'une longue liste de mesures appliquées à l'aveugle. C'est le meilleur usage de votre budget sécurité.
Adapter l’effort à votre taille
L’ordre des priorités vaut pour toutes les entreprises, mais le rythme réaliste dépend de l’effectif, comme l’explique notre plan d’action selon la taille.
- De 1 à 9 personnes. Traitez d’abord la double authentification, les mises à jour et le gestionnaire de mots de passe : aucun prestataire requis. Puis la sauvegarde, quitte à la confier à un tiers.
- De 10 à 49 personnes. Les mesures d’organisation deviennent prioritaires. Désignez une personne responsable du sujet, même à temps très partiel, avec un budget identifié.
- 50 personnes et plus. Les mesures de base sont votre socle, pas votre programme : politique écrite, revue annuelle des accès, exercice de crise et exigences envers vos fournisseurs.
Que faire cette semaine ?
Ne cherchez pas à tout traiter d’un coup. Cette semaine, faites trois choses : activez la double authentification sur la messagerie et la banque, restaurez un fichier depuis votre sauvegarde pour vérifier qu’elle fonctionne, et fixez une date pour la première sensibilisation de votre équipe.
Ensuite, situez précisément votre point de départ avec le check-up cyber, puis parcourez le pilier Bonnes pratiques pour approfondir chaque mesure. Et pour la partie qu’aucune liste ne remplace, l’analyse de votre situation et la formation de vos équipes, faites-vous accompagner : c’est ce qui transforme une série de bonnes intentions en une protection réellement adaptée à votre entreprise.