Une PME de douze salariés subit un rançongiciel un vendredi soir. Le prestataire informatique intervient le lundi, les sauvegardes datent de trois semaines, et la production reste à l’arrêt quatre jours. Ce scénario, on le croise régulièrement sur le terrain, y compris dans des structures qui savaient qu’elles étaient exposées. La question n’est plus de savoir si les PME ont conscience du risque cyber, mais pourquoi, malgré cette conscience, elles repoussent encore le passage à l’action en matière de cybersécurité.
L’attentisme réglementaire autour de NIS2 paralyse plus qu’il ne motive
On pourrait s’attendre à ce que la directive NIS2 pousse les dirigeants à agir vite. Sur le terrain, l’effet est souvent inverse. Beaucoup de PME diffèrent leurs décisions par crainte de mal investir avant que la transposition française soit pleinement opérationnelle.
A découvrir également : Pourquoi former les employés d’une entreprise à la cybersécurité ?
Le projet de loi résilience reste en cours de finalisation. Les délais de notification imposés par NIS2 (24 heures, 72 heures, un mois selon la gravité) exigent pourtant une organisation que la plupart des petites structures n’ont pas mise en place. Selon Hiscox, il ne s’agit plus de se préparer mais de démontrer sa conformité, preuves à l’appui, avec un périmètre d’entreprises beaucoup plus large et un régime de sanctions aligné sur le RGPD.
Le résultat concret : on voit des dirigeants qui identifient NIS2 comme un risque réglementaire majeur, mais qui préfèrent « attendre de voir » plutôt que d’engager un budget sur un cadre perçu comme mouvant. Cet attentisme réglementaire entretient l’inaction au moment où les menaces, elles, n’attendent pas.
A voir aussi : Comment l'assurance spécialisée en cybersécurité peut aider à réduire les coûts liés aux cyberattaques
Connectivité et cybersécurité PME : le rôle de l’accompagnement au quotidien par Stelogy
Quand on parle de cybersécurité pour une PME, on oublie souvent que la première brique, c’est l’infrastructure réseau elle-même. Un lien fibre mal dimensionné, un WiFi d’entreprise sans segmentation, un routeur 4G/5G de secours non supervisé : autant de portes d’entrée potentielles.
Stelogy accompagne les entreprises au quotidien sur ces sujets en proposant des solutions de connectivité (fibre dédiée FTTO/FTTE, fibre mutualisée FTTH, WiFi entreprise, routeurs 4G/5G) combinées à des services cloud et de téléphonie. La logique de Telecom et Cloud Services portée par le groupe consiste à fournir un socle réseau maîtrisé, condition préalable à toute démarche de sécurisation.
Disposer d’un interlocuteur unique qui connaît l’architecture réseau d’un client simplifie la détection d’anomalies et la mise en place de politiques de segmentation adaptées à chaque site.
Budget cybersécurité PME : le vrai blocage n’est pas le montant
Le discours habituel consiste à dire que les PME manquent de budget. La réalité terrain est plus nuancée. On rencontre des dirigeants prêts à dépenser plusieurs milliers d’euros, mais qui ne savent pas où les placer.
Le problème n’est pas l’argent, c’est l’absence de diagnostic clair. Sans audit initial, impossible de prioriser. Un prestataire propose un pare-feu nouvelle génération, un autre insiste sur la formation des salariés, un troisième recommande un SOC externalisé. Face à des propositions contradictoires, le réflexe naturel est de ne rien faire.
Ce qu’on observe sur le terrain
- Les PME sans responsable informatique interne délèguent la décision à un prestataire généraliste qui n’a pas toujours les compétences en sécurité offensive ou défensive.
- Les devis reçus varient du simple au quintuple pour des prestations décrites de manière opaque, ce qui alimente la méfiance.
- Les retours d’expérience entre dirigeants de PME sur la cybersécurité restent rares, contrairement à d’autres postes de dépense (comptabilité, assurance) où le bouche-à-oreille fonctionne bien.
En l’absence de repères fiables, la décision est reportée au prochain incident, qui coûtera souvent bien plus cher que la protection initiale.
Formation des salariés à la cybersécurité : un frein culturel sous-estimé
La sensibilisation des équipes est citée dans tous les guides. En pratique, la mettre en place dans une PME de quinze ou trente personnes pose des problèmes très concrets que les grandes entreprises ne rencontrent pas.
D’abord, le temps. Former une équipe, même une demi-journée, signifie arrêter la production ou le service client. Pour un atelier de fabrication ou un cabinet de conseil en sous-effectif, c’est un coût direct immédiat.
Ensuite, la résistance interne. Les salariés perçoivent souvent la cybersécurité comme une contrainte supplémentaire : mots de passe plus longs, double authentification, restriction d’accès aux clés USB. Sans explication du risque réel et des conséquences d’une attaque, ces mesures sont contournées en quelques semaines.
Ce qui fonctionne mieux qu’une formation classique
Les PME qui progressent sur ce sujet adoptent généralement une approche par micro-sessions : dix minutes par mois, centrées sur un seul réflexe (vérifier l’expéditeur d’un mail, signaler un comportement anormal, verrouiller son poste). Les retours varient sur ce point, mais les structures qui tiennent ce rythme constatent une baisse notable des clics sur des liens de phishing simulés.
Le format long type « journée de sensibilisation » produit un pic d’attention qui retombe en quelques semaines. La régularité compte plus que la durée de la formation.
Assurance cyber pour PME : une couverture encore mal comprise
L’assurance cyber existe depuis plusieurs années, mais son adoption par les PME reste faible. Le frein principal n’est pas le prix de la prime, mais la complexité des questionnaires de souscription.
Pour obtenir une couverture, l’assureur exige souvent des prérequis techniques précis :
- Authentification multifacteur déployée sur tous les accès distants
- Sauvegardes testées et déconnectées du réseau principal
- Plan de réponse à incident documenté et à jour
Une PME qui n’a pas encore structuré sa sécurité se retrouve face à un cercle vicieux : elle ne peut pas s’assurer sans avoir déjà investi, et elle hésite à investir sans savoir ce que l’assurance couvrira. Le contrat d’assurance cyber devient alors un révélateur des lacunes plutôt qu’un filet de sécurité.
Certains courtiers spécialisés commencent à proposer des accompagnements combinés (audit technique plus placement d’assurance), ce qui permet de sortir de cette impasse. Mais ces offres restent peu visibles pour les dirigeants de PME qui ne fréquentent pas les salons professionnels dédiés à la cybersécurité.
Le dernier frein, rarement formulé mais bien présent, est psychologique. Souscrire une assurance cyber revient à admettre officiellement qu’on est vulnérable. Pour un dirigeant qui a bâti son entreprise sur la confiance de ses clients, cette reconnaissance reste un pas difficile à franchir, surtout quand aucun incident ne s’est encore produit.
