Une panne informatique ne se solde plus par une matinée perdue. Elle bloque la facturation, immobilise la production, mobilise la direction et fragilise la relation client. La résilience numérique protège directement le chiffre d’affaires, la trésorerie et la capacité d’une PME à honorer ses engagements contractuels.
Les données françaises confirment ce déplacement. Le cabinet Asterès évalue à 2 milliards d’euros le coût annuel des cyberattaques réussies en France, avec une moyenne de 59 000 euros par attaque, dont 25 600 euros de coûts directs hors rançon et 216 heures de travail définitivement perdues. Ces montants relèvent de la perte d’exploitation, pas du budget informatique.
L’informatique, une infrastructure de production comme une autre
Aucun dirigeant industriel ne traiterait sa ligne d’assemblage comme un centre de coûts. Le système d’information remplit pourtant une fonction équivalente dans la plupart des PME : l’ERP, la messagerie, le logiciel de facturation et les accès distants constituent la chaîne de production administrative. Leur indisponibilité arrête l’entreprise aussi sûrement qu’une machine en panne.
Cette continuité suppose de ne plus traiter séparément le support, les sauvegardes et la sécurité. Une approche associant infogérance et cybersécurité pour les PME permet de piloter ces dimensions de manière cohérente, avec un responsable identifié et des délais d’intervention contractualisés. À défaut, chaque prestataire optimise son périmètre et personne ne répond de la reprise d’activité le jour où tout s’arrête.
Ce que coûte vraiment une journée d’arrêt
Les ordres de grandeur disponibles pour la France dessinent une facture qui dépasse largement la remise en service technique.
| Indicateur | Valeur | Source |
|---|---|---|
| Coût moyen d’une attaque réussie | 59 000 € | Asterès / CRiP |
| Coût direct hors rançon | 25 600 € | Asterès / CRiP |
| Temps de travail perdu par attaque | 216 heures | Asterès / CRiP |
| Hausse du risque de défaillance à 6 mois | environ +50 % | Bessé / G.P. Goldstein |
La moyenne masque des écarts considérables. Une fraude au virement se règle en quelques heures quand un rançongiciel impose plusieurs semaines de reconstruction du système d’information. Le coût dominant reste l’arrêt lui-même : commandes non traitées, factures non émises, salariés désœuvrés, pénalités de retard, clients réorientés vers un concurrent. Pour une PME à trésorerie tendue, trois jours sans facturation pèsent plus lourd que la remédiation technique.
Une réserve s’impose sur les statistiques qui circulent. Les chiffres annonçant 60 % de fermetures dans les six mois n’ont aucune base française solide. La donnée la plus défendable vient d’une analyse Bessé portant sur 48 incidents en entreprises non cotées : le risque de défaillance augmente d’environ moitié après l’annonce publique d’un incident cyber. Une hausse de risque, pas une condamnation.
Sauvegardes, support, sécurité : le prix des silos
La plupart des PME possèdent déjà les briques techniques. Ce qui manque relève de la coordination. Les scénarios d’échec observés se ressemblent :
- une sauvegarde signalée « réussie » que personne n’a jamais restaurée ;
- des copies connectées en permanence au réseau, chiffrées avec le reste lors de l’attaque ;
- une authentification multifacteur activée sur la messagerie mais absente du VPN ou de la console de sauvegarde ;
- un prestataire qui garantit la disponibilité sans surveiller les alertes la nuit ni le week-end ;
- aucun nom en face des décisions de crise : couper le réseau, prévenir l’assureur, notifier la CNIL sous 72 heures.
Une sauvegarde réussie n’est pas une sauvegarde restaurable. Seul un test de restauration le démontre.
L’ANSSI recommande la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne. Elle insiste surtout sur un point que les PME négligent, à savoir rendre l’infrastructure de sauvegarde indépendante de l’annuaire de production. Un rançongiciel qui compromet le compte administrateur atteint sinon les copies en même temps que les originaux.
La sécurité devient une condition d’accès aux marchés
Les donneurs d’ordre transforment la maturité cyber en critère commercial. Le baromètre CESIN 2025 indique que 85 % des entreprises interrogées ont intégré des clauses de sécurité dans leurs contrats et que 74 % soumettent leurs fournisseurs à des questionnaires de sécurité. Un tiers des incidents significatifs proviennent d’ailleurs d’une attaque passée par un tiers, ce qui explique cette vigilance contractuelle. Les outils collaboratifs hébergés élargissent encore la surface exposée et les menaces propres aux environnements de travail cloud figurent désormais parmi les premiers points de contrôle des donneurs d’ordre.
La directive NIS2 amplifie le mouvement. Une PME rarement assujettie en direct se retrouve concernée par ruissellement dès qu’elle fournit une entité essentielle ou importante : preuves de sauvegarde, journalisation, notification d’incident, droit d’audit. Une gouvernance informatique pour PME structurée, avec inventaire des actifs et procédures écrites, devient alors un argument de référencement autant qu’une protection.
L’effet se prolonge lors d’une cession. Un acquéreur examine l’historique des incidents, la localisation des données, la dépendance à un prestataire unique et la capacité réelle à restaurer l’activité. Une entreprise incapable de le démontrer subit une décote, une garantie d’actif et de passif renforcée ou un report de l’opération.
Comment transformer la résilience numérique en actif mesurable ?
Deux indicateurs suffisent à ouvrir la discussion en comité de direction : le RTO, durée maximale acceptable avant rétablissement d’un service, et le RPO, volume de données que l’entreprise accepte de perdre. Un ERP de production tolère rarement plus de quatre heures d’arrêt et quinze minutes de données perdues quand un archivage documentaire supporte deux jours. Ces arbitrages appartiennent aux métiers, pas au technicien, car ils déterminent le coût de l’architecture.
Les deux chiffres à poser sur la table
RTO
Durée maximale acceptable avant le rétablissement d’un service.
Exemple : un ERP de production tolère rarement plus de 4 heures d’arrêt.
RPO
Volume de données que l’entreprise accepte de perdre.
Exemple : 15 minutes pour l’ERP, jusqu’à 2 jours pour un archivage documentaire.
La règle 3-2-1 recommandée par l’ANSSI
3 copies des données · sur 2 supports différents · dont 1 hors ligne. Avec une infrastructure de sauvegarde indépendante de l’annuaire de production.
Ces arbitrages appartiennent aux métiers : ils déterminent le coût de l’architecture.
Le décalage reste net. Le baromètre Cybermalveillance 2025 montre que 75 % des TPE-PME consacrent moins de 2 000 euros par an à la cybersécurité et que 80 % ne se sentent pas préparées à une attaque. La bonne question porte moins sur le budget de protection que sur son inverse : combien vaut une heure d’arrêt, une journée, une semaine ?
Réunir support, sauvegarde, sécurité et pilotage dans un même contrat évite les angles morts entre prestataires. Des acteurs spécialisés comme Easy Service Informatique, référencés sur la plateforme cybermalveillance.gouv.fr et labellisés ExpertCyber, structurent cette prise en charge autour d’un interlocuteur unique. Reste une obligation que beaucoup de dirigeants ignorent : depuis la loi LOPMI, l’indemnisation d’un sinistre cyber par l’assureur suppose un dépôt de plainte dans les 72 heures suivant la découverte des dommages. La résilience se prépare à froid, jamais le jour de l’incident.
