Combien vous coûterait une cyberattaque ?

Ce que coûte réellement une cyberattaque pour une PME

Quand un dirigeant imagine le coût d'une cyberattaque, il pense généralement à une rançon. C'est la partie visible, celle qui apparaît dans les articles de presse. Dans la comptabilité d'une PME touchée, elle est rarement la ligne la plus lourde, et parfois elle n'existe même pas.

La facture réelle se compose de plusieurs postes, dont certains n'apparaissent jamais dans une facture. Le premier est la perte d'exploitation : pendant que les systèmes sont bloqués, l'entreprise ne facture plus, ou beaucoup moins. Le deuxième est la remise en état technique : un prestataire intervient, analyse ce qui s'est passé, nettoie les postes, reconstruit les serveurs, restaure les données et vérifie que l'attaquant n'a plus d'accès. Ce travail se compte en jours d'intervention facturés.

Le troisième poste est invisible et souvent le plus sous-estimé : le temps de vos propres équipes. Ressaisir des commandes, reconstituer des dossiers à partir de courriels, rappeler des clients un par un, rattraper le retard accumulé pendant l'arrêt. Ces heures ne font l'objet d'aucune facture, mais elles sont payées, et elles ne produisent rien de nouveau.

S'ajoutent ensuite des coûts variables selon les cas : l'annonce aux personnes concernées si des données personnelles ont fuité, les conseils juridiques, l'éventuel dépôt de plainte, les pénalités de retard prévues dans vos contrats, et le renforcement technique décidé après coup, qu'il aurait été bien moins coûteux d'engager avant. La rançon, quand elle est payée, s'ajoute à tout cela sans rien remplacer : elle n'accélère la reprise que partiellement, et n'efface aucun des autres postes.

L'ampleur du phénomène n'a rien de théorique. L'Office fédéral de la cybersécurité a reçu 64 733 déclarations volontaires d'incidents en 2025, contre 62 954 l'année précédente, selon son rapport semestriel 2025/II publié le 30 mars 2026. Parmi elles, 57 incidents liés à des rançongiciels ont été annoncés au deuxième semestre 2025. Ces chiffres ne disent rien du coût, mais ils disent que le sujet n'est plus une hypothèse d'école.

Pourquoi l'arrêt d'activité pèse plus lourd que la rançon

Une rançon est un montant unique, connu, négociable. L'arrêt d'activité est un compteur qui tourne. C'est la différence essentielle, et c'est elle qui explique pourquoi deux entreprises de taille comparable, touchées par la même attaque, peuvent afficher des factures qui varient de un à dix.

Prenez une entreprise de services qui réalise deux millions de francs de chiffre d'affaires. Sur environ deux cent cinquante jours ouvrés, cela représente huit mille francs par jour. Si l'essentiel de son activité passe par ses fichiers et ses logiciels, chaque journée d'immobilisation coûte plusieurs milliers de francs avant même qu'un informaticien ait envoyé sa première facture. Trois jours d'arrêt et dix jours d'arrêt ne sont pas le même événement.

Ce qui détermine cette durée n'est pas la sophistication de l'attaque, mais la qualité de la préparation. Une entreprise qui dispose d'une copie de ses données hors du réseau, et qui a déjà vérifié que cette copie se restaure, repart en quelques jours. Une entreprise dont les sauvegardes n'ont jamais été testées découvre au pire moment que le fichier de restauration est incomplet, corrompu, ou qu'il a lui aussi été chiffré parce que le disque restait branché en permanence. Elle entre alors dans une reconstruction longue, et c'est à ce moment précis que payer une rançon devient tentant.

C'est pourquoi la question des sauvegardes testées pèse plus lourd, dans le simulateur ci-dessus, que le secteur d'activité ou la taille de l'entreprise. C'est aussi pourquoi la règle 3-2-1 des sauvegardes est la mesure au meilleur rapport entre effort et protection pour une PME. Elle ne coûte presque rien, et elle divise la durée de l'arrêt, donc le coût, dans des proportions qu'aucune autre mesure n'atteint.

Un signal préoccupant vient d'ailleurs de la perception qu'ont les dirigeants eux-mêmes. Selon l'étude PME Cybersécurité 2025, 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt. La confiance recule, ce qui est plutôt sain, mais elle recule sans que les mesures de base soient pour autant généralisées.

Ce que couvre et ne couvre pas une cyberassurance

Une cyberassurance est un outil utile, à condition de savoir ce qu'on achète. Les contrats proposés en Suisse couvrent généralement bien deux choses : les frais d'intervention d'urgence, souvent via un prestataire imposé par l'assureur, et la perte d'exploitation pendant l'interruption, dans une limite et sur une durée définies au contrat.

La plupart des polices intègrent aussi une assistance juridique, les frais de notification aux personnes concernées en cas de fuite de données, et une couverture de responsabilité civile si un tiers vous reproche le dommage. Certaines couvrent la rançon, souvent avec des conditions strictes et un accord préalable de l'assureur.

Ce qui est moins bien couvert mérite une lecture attentive de vos conditions générales. Une franchise temporelle s'applique presque toujours : les premières heures ou les premiers jours d'interruption restent à votre charge, ce qui suffit à absorber une bonne part des petits sinistres. Le temps passé par vos propres équipes n'est pratiquement jamais indemnisé. La perte de clientèle et l'atteinte à la réputation ne le sont pas non plus. Les améliorations techniques décidées après l'incident restent à votre charge, alors qu'elles sont souvent la condition du renouvellement du contrat.

Enfin, plusieurs contrats subordonnent l'indemnisation au respect de mesures de sécurité déclarées lors de la souscription : sauvegardes régulières, double authentification, mises à jour appliquées. Une déclaration inexacte fragilise la couverture au moment où vous en avez besoin. Une assurance transfère une partie du risque financier. Elle ne remplace ni les sauvegardes, ni les mesures de base, et elle ne rembourse pas le temps perdu.

Les limites de toute estimation

Il faut dire clairement ce que ce simulateur ne peut pas faire. Il ne connaît ni la marge de votre activité, ni votre trésorerie, ni vos engagements contractuels, ni la saison à laquelle l'incident surviendrait. Une immobilisation de cinq jours en pleine période creuse et la même immobilisation à la veille d'une échéance majeure n'ont aucun rapport.

Le modèle raisonne sur le chiffre d'affaires et non sur la marge. Une partie de ce chiffre d'affaires est parfois rattrapée après la reprise, quand les commandes sont simplement reportées ; une autre est définitivement perdue, quand le client est allé ailleurs. Nous en tenons compte en appliquant un rattrapage dans la borne basse et aucun dans la borne haute, mais cette répartition reste une hypothèse, pas une mesure.

Les durées d'arrêt retenues sont, elles aussi, des hypothèses de travail assumées. Elles traduisent une réalité simple et observable : une entreprise préparée repart vite, une entreprise non préparée reconstruit. Elles ne prétendent pas décrire votre cas. Si vous avez une raison de penser que votre reprise serait plus rapide ou plus lente, remplacez mentalement le nombre de jours dans le détail affiché et refaites le produit : c'est justement pour cela que chaque ligne du calcul est visible.

Ce que cet outil fait, en revanche, il le fait honnêtement. Il transforme une inquiétude vague en un ordre de grandeur discutable, appuyé sur vos chiffres et sur des hypothèses que vous pouvez contester une par une. C'est suffisant pour trancher la seule question qui compte au départ : l'enjeu se situe-t-il à quelques milliers de francs, ou à plusieurs centaines de milliers. La réponse détermine l'effort qu'il est rationnel de consacrer à la prévention.

Pour aller plus loin, le check-up cyber situe votre niveau de protection en douze questions, et la page Outils regroupe les autres ressources gratuites du site.