Toute plaquette de cybersécurité s'ouvre sur un montant. Il est presque toujours faux — non parce qu'il est inventé, mais parce qu'il décrit autre chose que ce qu'il prétend décrire. Cette enquête part d'une question simple : que coûte réellement une attaque à une entreprise française de vingt, cinquante ou deux cents salariés ? La réponse honnête commence par un constat gênant.
D'où vient le chiffre de 4,44 millions de dollars ?
Il provient du rapport annuel Cost of a Data Breach, produit par IBM Security. L'édition 2025 établit le coût moyen mondial d'une violation de données à 4,44 millions de dollars, en baisse de 9 % par rapport aux 4,88 millions de l'édition 2024.
Trois précisions suffisent à rendre ce chiffre inutilisable pour une PME française.
Il ne porte pas sur les cyberattaques, mais sur les violations de données. Un rançongiciel qui chiffre un serveur sans exfiltration, une fraude au virement, un piratage de compte de messagerie : rien de tout cela n'entre dans le périmètre.
Il ne porte pas sur les PME. L'échantillon est constitué d'organisations ayant subi une brèche et acceptant de participer à une étude longue, ce qui sélectionne mécaniquement les structures dotées d'une équipe sécurité — donc grandes.
Il ne porte pas sur la France. Le chiffre est une moyenne mondiale, dominée par les États-Unis, où le coût est gonflé par un régime de responsabilité civile et de notification sans équivalent européen.
Ce montant décrit donc un événement précis — une violation de données dans une grande organisation, majoritairement américaine — que la quasi-totalité des entreprises qui le citent ne subira jamais sous cette forme.
Que mesurent réellement les données publiques françaises ?
Deux dispositifs publics documentent la cybermenace en France. Aucun ne publie de coût.
Le premier est Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes. Son rapport d'activité 2025, publié le 26 mars 2026, recense plus de 504 000 demandes d'assistance, en hausse de 20 % sur un an. Les entreprises représentent environ 6 % de ce volume — mais cette part a progressé de 73 % en un an, principalement portée par les PME.
Le second est le Panorama de la cybermenace de l'ANSSI, publié le 11 mars 2026 pour l'année 2025. L'agence y déclare avoir traité 3 586 événements de sécurité, en baisse de 18 % par rapport à 2024, reçu 2 209 signalements et eu connaissance de 1 366 incidents.
Ces deux séries ne se contredisent pas : elles ne mesurent pas la même chose. Cybermalveillance compte des victimes qui demandent de l'aide, majoritairement des particuliers et des petites structures. L'ANSSI traite des incidents visant des organisations d'importance, publiques ou stratégiques. Une PME de trente salariés apparaît dans la première statistique, jamais dans la seconde.
Quelles menaces frappent réellement les professionnels ?
C'est le point où l'écart entre la perception et les données est le plus large. Le rançongiciel occupe l'espace médiatique ; il n'est pas la première menace en volume pour les professionnels.
En 2025, le piratage de compte devient la première menace pour les professionnels sur le dispositif national, en hausse de 45 %. L'hameçonnage progresse de 70 % toutes audiences confondues et devient la première menace globale. Les violations de données bondissent de 107 %.
Le rançongiciel, lui, totalise environ 2 700 demandes d'assistance en 2025, dont 1 691 émanant de professionnels — en hausse de 7 %, après le ralentissement observé en 2024. Il se classe au quatrième rang des menaces déclarées par les entreprises, avec 8,1 % des demandes.
Cette hiérarchie a une conséquence budgétaire directe. Une entreprise qui investit exclusivement dans la sauvegarde et la restauration se protège contre la quatrième menace en volume, et pas contre les trois premières — qui relèvent d'abord de l'authentification, de la sensibilisation et du contrôle des flux financiers.
Pourquoi personne ne publie le coût réel pour une PME ?
Le trou statistique n'est pas un oubli. Il résulte de quatre mécanismes convergents.
Les victimes ne déclarent pas. Une PME qui subit une fraude au virement a un intérêt direct à ne pas l'ébruiter : relation bancaire, confiance des clients, responsabilité du dirigeant. Le dépôt de plainte reste minoritaire et n'est pas agrégé publiquement par taille d'entreprise.
Le coût est diffus dans le temps. La rançon éventuelle est la partie visible et souvent la plus petite. L'arrêt d'activité, la reconstruction du système, les heures de gestion de crise, la perte de contrats et la hausse de la prime d'assurance s'étalent sur des mois et ne sont jamais consolidés dans une ligne comptable.
Les seuls acteurs qui disposent des données sont juges et parties. Les assureurs cyber connaissent les sinistres, les prestataires de réponse à incident connaissent les factures. Les uns et les autres vendent respectivement des polices et des prestations. Leurs publications sont des documents commerciaux, ce qui ne les rend pas faux mais interdit de les traiter comme des statistiques publiques.
Aucune obligation ne l'impose. Le RGPD impose la notification des violations de données personnelles à la CNIL, pas la déclaration de leur coût. La directive NIS2, transposée en droit français, étend les obligations de sécurité et de notification à un périmètre bien plus large d'entités — sans créer davantage d'obligation de chiffrage économique.
Qu'est-ce qui est chiffrable, alors ?
Une PME qui veut budgéter son risque ne trouvera pas de moyenne nationale. Elle peut en revanche calculer ses propres ordres de grandeur, et ce calcul-là est à sa portée.
Le coût d'une journée d'arrêt. Chiffre d'affaires annuel divisé par le nombre de jours ouvrés, corrigé de la part d'activité réellement dépendante du système d'information. C'est la variable qui domine tout le reste : les retours d'expérience publics sur les rançongiciels font état d'indisponibilités qui se comptent en jours, parfois en semaines.
Le coût de reconstitution des données non sauvegardées. Il se mesure en heures de travail à refaire, pas en euros de matériel.
L'exposition aux flux financiers. Le montant du plus gros virement qu'un salarié peut déclencher seul est la mesure directe du risque de fraude au président. C'est une donnée que chaque dirigeant connaît, et qui se corrige sans budget informatique — par une procédure de double validation.
Quelles mesures réduisent le risque sans budget informatique ?
Le trou statistique sur le coût a une conséquence perverse : faute de pouvoir chiffrer le risque, beaucoup de dirigeants arbitrent par le prix de la solution proposée. Or les données de menace désignent des vecteurs dont la correction ne passe pas par un achat.
L'authentification multifacteur. Le piratage de compte est la première menace déclarée par les professionnels, en hausse de 45 %. Il repose très majoritairement sur des identifiants dérobés ou devinés. L'activation de l'authentification multifacteur sur la messagerie, les accès distants et les outils financiers neutralise la majeure partie de ce vecteur, et elle est incluse sans surcoût dans la quasi-totalité des suites bureautiques professionnelles déjà payées par l'entreprise.
La double validation des virements. La fraude au virement progresse de 170 % en un an. Elle ne franchit aucune barrière technique : elle exploite une chaîne de décision où une seule personne peut engager un paiement. Une procédure imposant une validation par un second canal — appel sur un numéro connu, jamais celui figurant dans le message — coûte une note de service.
La règle de sauvegarde 3-2-1. Trois copies des données, sur deux supports différents, dont une hors ligne ou hors site. C'est la recommandation constante de l'ANSSI et du dispositif national d'assistance. Le point décisif n'est pas la sauvegarde elle-même, que presque toutes les entreprises font, mais son isolement : une sauvegarde accessible depuis le réseau est chiffrée en même temps que le reste lors d'une attaque par rançongiciel.
Le test de restauration. Une sauvegarde jamais restaurée est une hypothèse, pas une protection. Un test annuel de restauration complète est la seule mesure qui distingue les deux, et c'est aussi celle qui donne le seul chiffre budgétaire fiable dont dispose l'entreprise : le temps réel qu'il lui faut pour redémarrer.
La sensibilisation ciblée. L'hameçonnage progresse de 70 %. Les dispositifs publics gratuits — kits de sensibilisation de Cybermalveillance.gouv.fr, guides d'hygiène informatique de l'ANSSI — couvrent l'essentiel du besoin pour une PME sans équipe sécurité.
Ces cinq mesures ne relèvent d'aucun budget d'investissement. Elles adressent les trois premières menaces en volume — piratage de compte, hameçonnage, fraude au virement — que la seule sauvegarde ne couvre pas.
Ce que cette enquête n'a pas pu établir
Trois limites, dites franchement.
Le coût moyen d'une cyberattaque pour une PME française n'existe pas comme donnée publique vérifiable. Les montants qui circulent — plusieurs centaines de milliers d'euros — proviennent d'acteurs privés du marché de la cybersécurité ou de l'assurance, dont la méthodologie n'est pas publiée et dont l'échantillon est constitué de leurs propres clients ou sinistrés. Cette enquête a choisi de ne pas les reprendre plutôt que de les blanchir en les citant.
La répartition des victimes de rançongiciel par taille d'entreprise circule largement à partir du Panorama de l'ANSSI, mais le document primaire est diffusé dans un format dont le texte n'est pas extractible de façon fiable. Les pourcentages relayés par la presse spécialisée n'ont donc pas pu être vérifiés à la source et ne figurent pas ici.
Enfin, les évolutions en pourcentage citées plus haut portent sur des volumes de demandes d'assistance. Une hausse peut refléter une aggravation de la menace autant qu'une meilleure notoriété du dispositif public. Les deux effets coexistent et aucune donnée ne permet de les séparer.
FAQ
Quel est le coût moyen d'une cyberattaque pour une PME en France ?
Aucun organisme public français ne publie ce chiffre. Les montants qui circulent proviennent d'acteurs privés du marché de la cybersécurité ou de l'assurance, à partir d'échantillons de clients et selon des méthodes non publiées. Le chiffre de 4,44 millions de dollars souvent cité est mondial, porte sur les violations de données et concerne de grandes organisations.
Quelle est la première cybermenace pour les entreprises françaises ?
Le piratage de compte, en hausse de 45 % en 2025 selon Cybermalveillance.gouv.fr. L'hameçonnage est la première menace toutes audiences confondues, en hausse de 70 %. Le rançongiciel se classe au quatrième rang des menaces déclarées par les professionnels, avec 8,1 % des demandes d'assistance.
Une PME est-elle concernée par la directive NIS2 ?
Cela dépend de son secteur et de sa taille. NIS2 élargit très fortement le périmètre par rapport à la première directive, en incluant des entreprises de taille moyenne dans dix-huit secteurs d'activité. Une PME sous-traitante d'une entité financière peut par ailleurs être concernée par le règlement DORA.
Faut-il déposer plainte après une cyberattaque ?
Pour être indemnisée du versement d'une rançon par son assureur, une entreprise doit déposer plainte dans les 72 heures suivant la connaissance de l'infraction. Indépendamment de l'assurance, la plainte est ce qui alimente la statistique publique, aujourd'hui très incomplète faute de déclarations.