La plupart des dirigeants de PME imaginent la cyberattaque comme un événement qui les vise. Quelqu’un choisit leur entreprise, cherche une faille, entre.
Dans la réalité, beaucoup d’entreprises sont touchées sans avoir jamais été visées. Elles se trouvaient simplement dans la liste de clients d’un prestataire piraté. C’est le principe de l’attaque par la chaîne d’approvisionnement, et c’est l’angle mort le plus courant de la sécurité des PME suisses.
Le principe : viser un fournisseur pour atteindre ses clients
Attaquer une PME rapporte peu. Attaquer le prestataire informatique qui administre cinquante PME rapporte cinquante fois plus, pour le même effort.
Les attaquants ont fait ce calcul depuis longtemps. Plutôt que de forcer cinquante portes, ils en forcent une seule : celle du fournisseur qui possède déjà les clés de toutes les autres. Votre informaticien dispose en général d’un accès à distance à vos serveurs, de droits d’administration, parfois de vos mots de passe. Votre éditeur de logiciel métier pousse des mises à jour que vos postes installent sans poser de questions. Votre fiduciaire détient votre comptabilité et vos données salariales.
Chacun de ces liens est légitime et nécessaire. Chacun est aussi un chemin d’entrée qui contourne toutes vos défenses, parce qu’il vient de l’intérieur du cercle de confiance.
Quand un attaquant utilise l'accès de votre prestataire, il ne force aucune porte : il se connecte comme lui, avec ses identifiants, depuis ses outils habituels, souvent en dehors des heures de bureau. Aucun pare-feu ne signale une connexion autorisée. C'est ce qui rend ces attaques si difficiles à détecter, et si efficaces.
L’effet le plus fréquent est le rançongiciel déployé simultanément chez tous les clients d’un même prestataire. En une nuit, plusieurs entreprises sans lien entre elles découvrent le même matin que leurs serveurs sont chiffrés. C’est aussi pourquoi la sauvegarde hors site prend ici tout son sens : elle doit rester hors d’atteinte y compris des accès de votre prestataire, comme l’explique la règle 3-2-1 des sauvegardes.
L’autre angle : et si le maillon faible, c’était vous ?
Retournez maintenant la perspective. Votre PME est elle-même le fournisseur de quelqu’un. Vous livrez des pièces à un industriel, vous développez un module pour un groupe, vous gérez la paie de sociétés plus grandes que la vôtre.
Pour un attaquant qui vise ce grand client, vous êtes une cible bien plus accessible que lui. Le groupe dispose d’une équipe sécurité, de systèmes de détection, de procédures. Vous non. Mais vous avez un accès à son portail fournisseurs, un compte sur son extranet, un canal de facturation reconnu, ou simplement une relation de messagerie que personne ne remet en doute.
C’est ce raisonnement, et non un excès de bureaucratie, qui explique le changement observé depuis quelques années : les grands donneurs d’ordre n’attendent plus que leurs fournisseurs soient sécurisés, ils l’exigent par contrat. Questionnaires de sécurité, clauses de notification d’incident, droit d’audit, exigences d’authentification forte. Beaucoup de PME romandes découvrent ces documents au moment de renouveler un contrat important.
Un questionnaire de sécurité mal rempli, ou une incapacité à répondre, peut aujourd'hui coûter un appel d'offres. À l'inverse, une PME capable de documenter ses mesures en quelques pages se distingue immédiatement de ses concurrents. La sécurité n'est plus seulement un coût : elle est devenue un argument commercial.
Savoir quoi répondre le jour où ce document arrive change beaucoup de choses, et nous y consacrons un article entier : comment répondre à un questionnaire de sécurité client.
Quelles questions poser à votre prestataire informatique ?
Vous n’avez pas besoin de compétences techniques pour mener cet entretien. Vous avez besoin des bonnes questions, et de savoir ce qu’une bonne réponse ressemble.
| Question à poser | Ce que vous cherchez à savoir | Bonne réponse |
|---|---|---|
| Quels accès avez-vous exactement sur nos systèmes ? | L’étendue réelle des droits détenus par un tiers | Une liste précise, limitée à ce qui est nécessaire |
| Ces accès sont-ils protégés par une authentification à deux facteurs ? | Si un mot de passe volé suffit à entrer chez vous | Oui, sans exception, y compris pour les accès à distance |
| Chaque technicien a-t-il son propre compte ? | S’il existe un compte partagé impossible à tracer | Des comptes nommés, et une trace de qui fait quoi |
| Que se passe-t-il si vous êtes vous-même victime d’une attaque ? | L’existence d’un plan, et votre place dedans | Un plan écrit, avec un délai d’information des clients |
| Sous quel délai nous prévenez-vous en cas d’incident vous concernant ? | Votre capacité à réagir à temps | Un délai chiffré, idéalement 24 à 48 heures |
| Où sont hébergées nos données, et nos sauvegardes ? | Le pays, et la séparation des copies | Une réponse claire, sauvegardes hors de votre réseau |
| Sous-traitez-vous une partie de nos prestations ? | La chaîne au-delà du premier maillon | La liste des sous-traitants, et leurs pays |
| Comment récupérerions-nous nos données si nous changions de prestataire ? | Votre dépendance réelle | Un format exportable et exploitable, sans blocage |
Une remarque de méthode : l’objectif n’est pas de piéger votre prestataire. Un partenaire compétent appréciera généralement ces questions, parce qu’elles lui permettent de justifier des investissements qu’il vous propose peut-être depuis des années. Le signal d’alerte n’est pas une réponse imparfaite, c’est le refus de répondre.
Quelles clauses contractuelles sont utiles ?
Un contrat n’arrête aucune attaque. Il détermine ce qui se passe ensuite, et c’est déjà beaucoup. Quatre points méritent d’y figurer, quelle que soit la taille du prestataire.
La notification d’incident. Le prestataire s’engage à vous informer sans délai s’il subit un incident susceptible de vous affecter, avec un délai chiffré. Sans cette clause, vous pouvez l’apprendre bien trop tard, voire par vos propres clients.
L’encadrement de la sous-traitance. Votre prestataire doit vous informer s’il confie une partie de la prestation à un tiers, et ce tiers doit être tenu aux mêmes obligations. Une chaîne ne vaut que par son maillon le plus faible, et vous ne connaissez souvent que le premier.
Les mesures de sécurité minimales. Authentification à deux facteurs sur les accès à vos systèmes, comptes nominatifs, chiffrement des sauvegardes, journalisation des connexions. Ces exigences se formulent en quelques lignes.
La restitution et la suppression des données. À la fin du contrat, vos données vous sont restituées dans un format exploitable, puis supprimées chez le prestataire. Ce point s’oublie systématiquement, et se paie cher au moment de changer de partenaire.
Ces clauses gagnent à être revues par un juriste, surtout si le contrat porte sur des données sensibles ou sur un volume d’affaires important.
Protection des données et effet NIS2
Deux cadres réglementaires touchent directement ce sujet, et il vaut la peine de ne pas les confondre.
En droit suisse, la loi sur la protection des données vous laisse responsable. Si vous confiez des données personnelles à un prestataire, vous restez le responsable du traitement : ce n’est pas parce que la fuite vient de chez lui qu’elle cesse d’être votre problème. La loi sanctionne d’ailleurs le fait de confier un traitement à un sous-traitant sans s’être assuré qu’il garantit la sécurité des données (art. 61 LPD). En pratique, cela signifie vérifier avant de confier, et le documenter. Le détail de ces obligations est traité dans notre article sur vos obligations nLPD.
Du côté européen, la directive NIS2 (directive UE 2022/2555) ne s’applique pas directement en Suisse. Une entreprise établie ici n’y est en règle générale pas soumise à ce titre. Mais elle vous atteint par ricochet, et c’est précisément son intention : les entreprises européennes concernées doivent sécuriser leur chaîne d’approvisionnement, y compris leurs fournisseurs étrangers. Elles répercutent donc ces exigences par contrat. Une PME romande qui livre des clients en Allemagne ou en France subit ainsi NIS2 sans y être soumise. Le sujet est approfondi dans notre article dédié à NIS2, et les fabricants de produits connectés trouveront un cadre voisin du côté du règlement sur la cyberrésilience.
Dans les deux cas, la même prudence s’impose : la qualification exacte de votre situation dépend de votre activité, de vos clients et des données traitées. En cas de doute sur un engagement contractuel, faites-vous accompagner.
Par où commencer, concrètement
Le sujet paraît vaste. Il se ramène en réalité à un inventaire et à quelques décisions.
Commencez par lister vos fournisseurs numériques, sur une seule page : informaticien, éditeurs de logiciels, hébergeur, fiduciaire, prestataire de paie, solution de caisse, plateforme de messagerie. Pour chacun, notez deux choses. Quelles données détient-il, et quel accès a-t-il à vos systèmes. Cette page suffit à faire apparaître les deux ou trois dépendances vraiment critiques.
Traitez ensuite ces deux ou trois là en priorité, avec les questions du tableau ci-dessus. Le reste peut attendre.
Pour chaque fournisseur important, demandez-vous : que se passe-t-il pour mon entreprise s'il est indisponible trois jours, s'il perd mes données, ou si un attaquant prend le contrôle de ses accès ? Si vous ne savez pas répondre, vous venez d'identifier votre priorité. Trois questions, dix minutes par fournisseur.
Deux repères pour finir. Le climat général ne s’améliore pas : l’Office fédéral de la cybersécurité a reçu 64 733 déclarations volontaires de cyberincidents en 2025, contre 62 954 l’année précédente. Et la confiance des entreprises recule : selon l’étude PME Cybersécurité 2025, 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt. Cette baisse n’est pas forcément une mauvaise nouvelle. Elle traduit surtout une lucidité nouvelle.
La maîtrise des accès accordés à des tiers rejoint directement le sujet plus large de la gestion des accès, et les conséquences d’une compromission par un fournisseur sont celles décrites dans nos articles sur le rançongiciel et sur le vol de données.
Pour situer votre exposition globale en quelques minutes, le check-up cyber comporte plusieurs questions consacrées aux prestataires et aux accès externes. Les autres risques auxquels une PME est confrontée sont regroupés dans le pilier Menaces.