Dans la plupart des PME, la sensibilisation à la cybersécurité suit le même trajet : on forme les collaborateurs, on affiche des consignes, et la direction assiste au premier quart d’heure avant de partir en rendez-vous.
C’est exactement l’inverse de ce qu’il faudrait faire. Non pas parce que les dirigeants seraient plus imprudents que les autres, mais parce qu’ils occupent la position la plus intéressante pour un attaquant, et la seule qui donne l’exemple à toute l’entreprise.
Vu de l’attaquant, vous êtes la meilleure cible
Un attaquant ne choisit pas ses victimes au hasard dans une entreprise. Il cherche le compte qui rapporte le plus pour l’effort investi. Sur ce critère, la direction gagne à chaque fois, et pour quatre raisons très concrètes.
Vos accès sont les plus larges. Un dirigeant a en général accès aux contrats, aux données financières, aux dossiers du personnel, aux échanges avec les clients et souvent aux outils de gestion. Compromettre ce compte, c’est obtenir en une fois ce qu’il faudrait patiemment assembler ailleurs.
Vous validez les paiements. Dans une PME, la signature ou l’accord verbal du patron suffit fréquemment à débloquer un virement. Un attaquant qui contrôle votre messagerie n’a plus besoin de forcer quoi que ce soit : il lui suffit d’écrire.
Votre identité vaut de l’argent, même sans piratage. La fraude au président consiste précisément à imiter un dirigeant pour obtenir un virement urgent. Les entreprises suisses ont annoncé 605 cas de ce type à l’Office fédéral de la cybersécurité au premier semestre 2025, et 366 au second. L’attaquant n’a même pas besoin d’entrer dans vos systèmes, il lui suffit de connaître votre nom, votre fonction et votre manière d’écrire.
Votre agenda est public. Site internet, registre du commerce, réseaux professionnels, articles de presse locale, conférences : les informations qui permettent de vous cibler sont accessibles à tout le monde. Un attaquant sait souvent quand vous êtes en déplacement, ce qui rend une demande urgente parfaitement crédible auprès de votre comptable.
Une PME annonce sur son site que son directeur participe à un salon à l'étranger du 12 au 15 du mois. Le 13, la comptable reçoit un message signé du directeur : il est en réunion, il ne peut pas téléphoner, un acompte de 24 000 francs doit partir aujourd'hui pour sécuriser un contrat. Le ton est juste, la signature aussi. Aucun système n'a été piraté. L'attaquant a seulement lu le site de l'entreprise.
Le paradoxe des exemptions
Dans beaucoup d’entreprises, les règles de sécurité s’arrêtent à la porte de la direction. Le schéma est presque toujours le même, et il n’a rien de malveillant : il est né du manque de temps.
La double authentification, ce code supplémentaire demandé à la connexion, est imposée à tout le monde sauf au dirigeant, parce que c’est pénible quand on se connecte vingt fois par jour. Les droits d’administrateur, qui permettent d’installer et de modifier ce qu’on veut sur un poste, restent activés en permanence sur son ordinateur pour éviter de devoir appeler quelqu’un. Et les courriels professionnels arrivent aussi sur le téléphone personnel, celui de la famille, qui n’est protégé par rien de particulier.
Chacune de ces exceptions se comprend individuellement. Mises bout à bout, elles produisent un résultat absurde : le compte le plus convoité de l’entreprise est aussi le moins protégé.
Exempter la direction ne réduit pas le risque global de l'entreprise, cela le déplace. Et il se déplace vers le compte qui donne accès au plus grand nombre de choses, qui déclenche les paiements et dont l'usurpation est la plus crédible. C'est la seule exemption qui multiplie les conséquences au lieu de les diluer.
Le remède est simple à énoncer : la direction s’applique les mêmes règles que les autres, et parfois des règles plus strictes. La double authentification sur la messagerie et un compte administrateur séparé du compte de travail quotidien constituent le minimum.
Une équipe applique ce qu’elle voit, pas ce qu’elle lit
Vous pouvez diffuser la meilleure charte informatique du monde. Si vos collaborateurs vous voient contourner une règle, cette règle est morte.
Le raisonnement de l’équipe est parfaitement rationnel. Si la contrainte était vraiment importante, le patron s’y plierait aussi. Puisqu’il ne le fait pas, c’est une formalité administrative, et on la traitera comme telle : en la contournant discrètement dès qu’elle gêne.
L’inverse fonctionne tout aussi bien, et c’est une bonne nouvelle. Un dirigeant qui explique en réunion qu’il a lui aussi activé la double authentification, qu’il a lui aussi failli cliquer sur un faux message de livraison, et qu’il l’a signalé, obtient en cinq minutes ce qu’une procédure écrite n’obtient jamais.
Ce point est décisif pour la culture du signalement. Un collaborateur qui a commis une erreur ne préviendra vite que s’il est certain de ne pas être humilié. Cette certitude ne se décrète pas dans un document, elle se démontre par le comportement de la direction.
Que devez-vous comprendre, sans devenir technicien ?
Il n’est pas question de vous transformer en spécialiste. Personne n’attend d’un dirigeant qu’il sache configurer un pare-feu, pas plus qu’on n’attend de lui qu’il tienne sa comptabilité ligne par ligne. On attend qu’il sache lire un bilan. C’est exactement le même niveau d’exigence.
Quatre compétences suffisent, et aucune n’est technique.
Arbitrer un budget. Savoir ce que vous achetez quand on vous présente un devis de sécurité, ce que cette dépense couvre réellement, et ce qu’elle laisse de côté.
Savoir quoi demander à votre prestataire. C’est probablement le point le plus rentable. Un dirigeant qui pose trois bonnes questions obtient plus qu’un dirigeant qui accepte tout.
Décider en situation de crise. Sous pression, avec des informations incomplètes et un téléphone qui sonne.
Connaître vos responsabilités légales. Pour ne pas les découvrir le jour où elles se matérialisent.
Voici les questions qui séparent une réponse sérieuse d’une réponse rassurante.
| La question à poser | Ce qu’une bonne réponse contient | Ce qui doit vous alerter |
|---|---|---|
| Quand avez-vous testé une restauration complète pour la dernière fois ? | Une date, une durée mesurée, un compte rendu | « Les sauvegardes tournent tous les jours » |
| Qui dispose de droits d’administrateur chez nous, et pourquoi ? | Une liste nominative et à jour | Une réponse approximative ou différée |
| Que se passe-t-il concrètement si un poste est chiffré demain matin ? | Un déroulé par étapes, avec des délais | « On a un antivirus » |
| Quels accès conservent nos anciens collaborateurs et nos prestataires ? | Une procédure de retrait documentée | « Normalement, tout est coupé » |
Vous n’avez pas besoin de comprendre la technique de la réponse. Vous avez besoin de repérer si elle est précise ou vague. C’est une compétence de dirigeant, pas d’informaticien.
Quelles sont vos responsabilités personnelles ?
La loi suisse sur la protection des données prévoit une particularité qui surprend souvent les dirigeants : l’amende, qui peut atteindre CHF 250 000, vise la personne physique responsable, et non l’entreprise.
Il faut immédiatement en préciser la portée, car ce point circule sous une forme très exagérée. Seules les violations intentionnelles sont punissables : une négligence, même regrettable, n’entre pas dans le champ. La poursuite intervient le plus souvent sur plainte, elle ne se déclenche pas automatiquement. Et l’article 64 alinéa 2 permet de condamner l’entreprise à la place de la personne lorsque l’amende envisagée n’excède pas CHF 50 000.
Autrement dit, ce n’est pas une épée au-dessus de votre tête au quotidien. C’est en revanche une responsabilité qui existe, qui ne se délègue pas au service informatique, et qui mérite d’être connue plutôt que découverte. Les obligations concrètes qui en découlent, notamment l’annonce d’une violation de données, sont détaillées dans notre article sur la nLPD pour les PME. Pour une situation particulière, un conseil juridique reste indispensable.
Quelles décisions n’appartiennent qu’à vous ?
Lors d’un incident, l’essentiel du travail est technique et revient à des spécialistes. Mais trois décisions ne peuvent être prises par personne d’autre que la direction, et elles arrivent toutes dans les premières heures.
Payer ou non une rançon. C’est un arbitrage entre la survie de l’entreprise, l’absence de garantie de récupérer quoi que ce soit, et le financement d’une activité criminelle. Le sujet est traité en détail dans notre article sur payer ou ne pas payer une rançon.
Communiquer ou non, à qui et quand. Vos clients, vos partenaires, vos collaborateurs, éventuellement la presse locale. Le silence protège rarement, mais une communication improvisée fait des dégâts durables.
Arrêter ou non la production. Débrancher limite la propagation et coûte immédiatement de l’argent. Attendre préserve l’activité et peut transformer un incident circonscrit en sinistre général.
Aucune de ces décisions ne se prend correctement à froid, à trois heures du matin, sans y avoir jamais réfléchi. C’est précisément ce qu’une préparation apporte : non pas la bonne réponse à l’avance, mais le fait d’avoir déjà pensé la question. Les réflexes des premières heures sont décrits dans que faire dans les premières heures.
Que pouvez-vous faire cette semaine ?
Trois gestes, réalisables sans budget et sans prestataire.
Activez la double authentification sur votre propre messagerie, avant de la demander à quiconque. Renoncez à vos droits d’administrateur permanents au profit d’un compte séparé, utilisé uniquement quand c’est nécessaire. Et prenez vingt minutes pour écrire, en une page, quel scénario mettrait réellement votre entreprise en difficulté.
Annoncez en réunion que vous vous appliquez désormais les mêmes règles que tout le monde, et dites pourquoi. Cette phrase produit plus d'effet sur les comportements que n'importe quelle procédure diffusée par courriel. Une équipe imite sa direction, elle n'obéit pas à un document.
Ces gestes constituent un socle, ils ne remplacent pas une analyse de votre situation. Savoir quels sont vos risques réels suppose de regarder vos flux financiers, vos prestataires et vos données, ce qu’aucune liste générique ne peut faire à votre place. Et vérifier que ce qui est en place fonctionne vraiment demande un contrôle par quelqu’un qui sait où regarder.
C’est d’ailleurs là qu’un accompagnement est le plus utile à un dirigeant. Il ne s’agit pas de vous rendre expert, mais de vous donner les questions à poser et les critères pour juger les réponses. Le check-up cyber permet de situer votre entreprise en quelques minutes, et les autres articles du pilier Former ses équipes prolongent cette réflexion vers vos collaborateurs.