Une PME industrielle française n'a généralement ni direction sûreté, ni juriste interne, ni responsable de la sécurité des systèmes d'information. Elle a en revanche des plans, un fichier clients, des prix de revient, un procédé que ses concurrents n'ont pas — et, depuis le 1er août 2018, une loi censée les protéger. Huit ans plus tard, ce que cette loi couvre réellement se lit dans les décisions de justice, pas dans les plaquettes.
Le tableau est plus étroit qu'annoncé. Le secret des affaires ne protège que ce que l'entreprise protégeait déjà ; les services de l'État documentent des captations qui passent par des stagiaires, des visiteurs et des restaurants voisins plus que par des pirates ; et l'équipement réel des TPE-PME, mesuré chaque année, reste loin de la confiance qu'elles affichent. Cette enquête met textes, jugements et chiffres côte à côte, puis en tire dix mesures, chacune adossée à une source.
L'enquête en 30 secondes
Que protège vraiment la loi sur le secret des affaires ?
La loi n° 2018-670 du 30 juillet 2018 transpose la directive européenne 2016/943 du 8 juin 2016 et crée dans le code de commerce les articles L151-1 et suivants. Le premier pose trois conditions cumulatives : l'information n'est pas « généralement connue ou aisément accessible » aux personnes du secteur ; elle « revêt une valeur commerciale, effective ou potentielle, du fait de son caractère secret » ; elle « fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables, compte tenu des circonstances, pour en conserver le caractère secret ».
La troisième condition change tout pour une PME. La loi ne crée pas un droit sur l'information ; elle sanctionne l'obtention, l'utilisation ou la divulgation illicites (articles L151-4 et L151-5) d'une information que son détenteur avait déjà pris soin de protéger. Une entreprise qui n'a rien fait avant la fuite n'a, juridiquement, rien à faire valoir après. Le texte protège les prévoyants.
Il faut aussi lire ce qu'il ne fait pas. Les articles L151-7 et L151-8 écartent la protection lorsque la divulgation est exigée par une autorité ou relève de la liberté d'expression ou de l'alerte sur une faute ; l'article L151-9 préserve l'information des représentants du personnel. La voie ouverte par le texte est civile — interdiction, destruction des supports (L152-3), dommages-intérêts (L152-6) — et le juge peut aménager le débat pour que la pièce litigieuse ne circule pas (L153-1).
Qu'ont jugé les tribunaux depuis 2018 ?
La synthèse de jurisprudence 2023-2026 publiée par l'avocat Olivier de Maison Rouge sur le Village de la Justice donne la mesure de l'exigence des juges. La cour d'appel de Paris (pôle 5-5, 23 mai 2024, n° 21/17351) rappelle qu'« il appartient à la partie qui invoque le secret d'en justifier la stricte légitimité ». Le tribunal judiciaire de Paris (3e chambre, 2 juillet 2025, n° 24/04422) refuse la qualification à des prix de revient, pourtant sensibles, faute de « mesures de protection suffisantes ». Le même tribunal (7 novembre 2025, n° 23/09323, Iconeus c/ Resolve Stroke) l'écarte pour des codes informatiques publiés en ligne : il « ne suffit pas d'invoquer un savoir-faire pour bénéficier du régime ». Une PME qui plaide doit produire des preuves — marquage, accès restreints, clauses signées, journaux — et c'est ce que la plupart des dossiers n'ont pas.
La Cour de cassation a ajouté deux pièces en 2025, dans des directions opposées. Le 5 février (chambre commerciale, n° 23-10.953, Speed Rabbit Pizza c/ Domino's Pizza), elle juge qu'une pièce couverte par le secret peut être produite en justice au nom du droit à la preuve, si c'est indispensable et strictement proportionné : le secret cède devant le procès. Le 24 septembre (n° 24-13.078), elle casse la cour d'appel de Rennes et pose que la société créée par un ancien dirigeant ou salarié d'un concurrent commet une concurrence déloyale par la seule détention d'informations confidentielles obtenues pendant le mandat ou le contrat, sans qu'il faille prouver leur exploitation. L'affaire portait sur la balance comptable d'une association de festival, transmise par son ancien vice-président ; la cour d'appel l'avait jugée peu stratégique. Peu importe, dit la Cour : l'origine déloyale fait la faute.
Les deux arrêts ne parlent pas du même terrain. Le premier applique L151-1 ; le second se fonde sur la responsabilité civile de droit commun, qui n'exige pas les trois conditions. Contre un ex-salarié parti avec des documents, la concurrence déloyale est donc souvent une arme plus sûre que le secret des affaires.
Une décision plus récente montre le régime à plein rendement. Le 30 juillet 2026, la cour d'appel de Nouméa — selon le compte rendu du cabinet Kohen Avocats — a condamné in solidum une ancienne salariée d'une agence immobilière, la société concurrente qui l'avait accueillie et son gérant à 2,5 millions d'euros pour la copie du fichier clients sur un espace de stockage en ligne avant démission. Le fichier a été reconnu comme secret des affaires parce qu'il faisait l'objet de restrictions d'accès, de mots de passe et de clauses de confidentialité. Sans ces trois éléments, l'indemnisation se serait plaidée sur un terrain bien plus fragile.
Du texte européen au juge : dix ans de secret des affaires
Naissance du Flash ingérence
La DGSI lance sa publication de cas anonymisés d'ingérence économique. Ponctuelle d'abord, elle devient mensuelle en janvier 2016 et brièvement hebdomadaire pendant le confinement de 2020.
Que documentent la DGSI et le SISSE sur les ingérences économiques ?
Deux services publient, avec deux formats : le SISSE, rattaché à la direction générale des Entreprises, donne des volumes ; la DGSI donne des cas.
Le rapport d'activité 2025 de la DGE, publié en janvier 2026, indique que le SISSE a traité « plus de 750 alertes », « couvrant des menaces diverses : tentatives de rachat non désirées, captation d'informations sensibles, cyberattaques, pressions sur les ressources humaines ou tentatives d'influence normatives ». Il fait état de plus de 110 contrôles du respect des engagements pris par des investisseurs étrangers et d'un réseau de 21 délégués régionaux. Le service veille aussi à l'application de la loi n° 68-678 du 26 juillet 1968, dite loi de blocage, qui encadre la communication de documents économiques à des autorités étrangères — un point que les sous-traitants de groupes internationaux découvrent souvent au moment d'un litige américain.
La DGSI ne publie pas de statistiques. Son Flash ingérence, créé en juillet 2012 et mensuel depuis janvier 2016, décrit des cas réels anonymisés. La 100e édition, en février 2024, en réunit six, dont un vise directement le tissu des PME : une docteure recrutée par une PME sous-traitante de grands groupes stratégiques est approchée sur les réseaux sociaux par une prétendue consultante ; après plusieurs rendez-vous « dans un climat convivial », celle-ci réclame des documents internes et pose un appareil électronique face à elle. La scientifique alerte sa direction ; la DGSI établit que la consultante appartient à un service de renseignement étranger. Un autre cas décrit un industriel qui découvre des micros dans les distributeurs automatiques de ses locaux, dont les terminaux de paiement étaient dotés de caméras réactivables à distance.
Le n° 102, en avril 2024, traite des approches hors du cadre professionnel : un restaurant voisin de laboratoires dont les gérants photographient la clientèle et l'interrogent sur ses employeurs ; un club sportif ; une soirée privée. La DGSI y écrit que « tous les salariés, même ceux n'ayant pas accès à des informations sensibles, peuvent transmettre des informations stratégiques sans en avoir conscience ». Le n° 117, en décembre 2025, porte sur trois entreprises confrontées à des risques liés à l'usage de l'intelligence artificielle au travail.
L'ingérence économique en chiffres publics
+ de 0
alertes de sécurité économique traitées par le SISSE en 2025
+ de 0
contrôles du respect des engagements d'investisseurs étrangers en 2025
0
délégués régionaux à l'information stratégique et à la sécurité économiques
0
éditions du Flash ingérence DGSI atteintes en février 2024, sur des cas réels anonymisés
Par où l'information sort-elle : recrutement, stages, visites, salons ?
Le guide du SISSE, La sécurité économique au quotidien, republié en mai 2026 en 29 fiches, est le document public le plus précis sur les canaux de fuite non numériques. Il ne théorise pas : il liste.
Le personnel temporaire (fiche B2). Stagiaires, intérimaires et prestataires « peuvent être les cibles ou les auteurs d'une malveillance ». Le guide prescrit un répertoire des non-permanents, une clause de confidentialité dans la convention, un badge distinctif, un accès aux systèmes « à partir d'équipements fournis par l'entreprise », des comptes clôturés « immédiatement après la fin de leur contrat », la relecture des rapports de stage — et même de « suivre le parcours des stagiaires durant quelques mois après leur départ ».
Les visiteurs (fiche B3). Identité et fonction connues avant la visite, « n'accepter que ceux qui se sont déclarés », badge contre pièce d'identité, « circuit de notoriété » excluant les zones confidentielles, accompagnement « dans la mesure du possible en permanence », horaires conservés plusieurs semaines, smartphones, montres connectées et clés USB encadrés. Pour les supports des visiteurs : un ordinateur dédié, hors réseau.
Les salons (fiche G3). « Exposer sans trop s'exposer » : éléments de langage écrits à l'avance sur l'innovation, plaquettes « de plusieurs niveaux d'information successifs », ordinateur de présentation vide de données sensibles, déchiqueteuse sur le stand, répliques non à l'échelle quand l'innovation réside dans les matériaux, rapport d'étonnement au retour.
Recrutement et départs (fiche C2). Veille sur les offres d'emploi de la concurrence, cartographie des compétences clés, clauses de confidentialité et de non-concurrence « clairement définies dans le temps, l'espace géographique et la contrepartie financière, afin d'éviter son annulation ». Le Flash n° 100 montre l'autre versant : le dirigeant étranger d'une société innovante française qui embauche des ingénieurs étrangers « pour répertorier l'intégralité des plans et données relatives aux procédés industriels », avant de tenter d'expédier les cadres dupliquer la technologie à l'étranger.
Aucun de ces canaux ne relève de la cybersécurité. C'est pourtant sur elle que se concentrent les budgets, et c'est là que l'on dispose d'une mesure.
Que mesure le baromètre Cybermalveillance de l'équipement réel des PME ?
La deuxième édition du baromètre national de la maturité cyber des TPE-PME a été publiée le 7 octobre 2025 par Cybermalveillance.gouv.fr, avec la CPME, le MEDEF et l'U2P. L'enquête OpinionWay a été menée en ligne du 2 juin au 7 juillet 2025 auprès de 588 entreprises de moins de 250 salariés. C'est un sondage déclaratif, à lire comme tel.
Le trio de tête est stable : 84 % déclarent un antivirus, 78 % des sauvegardes, 69 % un pare-feu. Ensuite la courbe chute : 51 % ont une politique de mots de passe, 46 % un gestionnaire, 26 % une double authentification, 24 % une procédure de réaction aux attaques, 16 % une solution de détection. Le nombre moyen de dispositifs passe de 3,62 à 4,06 en un an.
Ce dont les TPE-PME françaises se déclarent équipées (en %)
Le baromètre contient sa propre contradiction. 58 % des répondants estiment bénéficier d'un bon ou très bon niveau de protection, contre 39 % un an plus tôt. Mais 80 % reconnaissent ne pas être préparés aux attaques (49 %) ou l'ignorer (31 %), et 58 % « ne sauraient pas évaluer les conséquences d'une cyberattaque ». Les trois quarts consacrent moins de 2 000 euros par an à la cybersécurité. Les obstacles cités : manque de connaissances (63 %), budget (61 %), temps (59 %) ; près de trois entreprises sur dix jugent le sujet non prioritaire, en hausse de 11 points.
Sur les incidents, deux sources publiques ne se recoupent pas, pour une raison méthodologique. Le baromètre mesure 16 % de TPE-PME déclarant au moins un incident sur douze mois — proportion d'un échantillon d'entreprises. Le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, indique que PME, TPE et ETI représentent 48 % des victimes des 128 compromissions par rançongiciel portées à sa connaissance, contre 37 % en 2024 — proportion d'une population de victimes, parmi 1 366 incidents remontés à l'agence. Le premier chiffre dit la fréquence, le second dit qui encaisse. Ils ne s'additionnent pas.
Combien coûtent les mesures et qui les subventionne ?
Les documents de référence sont gratuits, ce que les vendeurs de solutions rappellent rarement. Le guide La cybersécurité pour les TPE/PME en 13 questions, coédité par l'ANSSI et la DGE (2e édition, octobre 2022), est téléchargeable sans frais ; ses treize points — inventaire, sauvegardes, mises à jour, antivirus, mots de passe, pare-feu, messagerie, séparation des usages, Wi-Fi, mobiles, déplacements, incidents, sensibilisation — recoupent presque ligne à ligne les dispositifs que le baromètre mesure comme absents. L'autodiagnostic DIAGSECO du SISSE, en ligne et gratuit, couvre en neuf sections le capital, la perte ou le vol d'information, la propriété intellectuelle et les systèmes d'information, sans stocker les réponses. Le guide en 29 fiches et le Flash ingérence sont gratuits aussi.
Le premier dispositif chiffré est le Diag Cybersécurité de Bpifrance : 8 800 euros HT pour huit jours d'accompagnement en quatre étapes, subventionnés à 50 %, soit 4 400 euros HT à la charge de l'entreprise, pour les PME indépendantes au sens européen et, selon le périmètre, les ETI. Rapporté aux « moins de 2 000 euros par an » que trois TPE-PME sur quatre dépensent, ce reste à charge vaut plus de deux ans de budget cyber. Des régions financent des diagnostics équivalents ; cette enquête n'a pas pu en établir une grille consolidée.
Le coût des mesures organisationnelles — registre des visiteurs, clause dans une convention de stage, ordinateur dédié aux salons, révocation des accès le jour du départ — n'apparaît nulle part sous forme de prix. Il se paie en heures de direction. C'est précisément pour cela qu'il n'est pas engagé : le baromètre place le manque de temps à 59 % des obstacles.
Quelles sont les dix mesures et sur quoi repose chacune ?
1. Identifier et classer l'information stratégique. Fiche A3 du guide SISSE ; première condition de L151-1. DIAGSECO, gratuit, sert de point de départ.
2. Rendre les mesures de protection démontrables. Marquage « confidentiel », accès restreints, journalisation : troisième condition de L151-1, celle qui a fait échouer le demandeur à Paris le 2 juillet 2025 et gagner celui de Nouméa le 30 juillet 2026.
3. Double authentification et politique de mots de passe. Guide ANSSI-DGE en 13 questions. Le piratage de compte est la première menace visant les professionnels (+ 45 % en 2025) ; 26 % des TPE-PME sont équipées.
4. Sauvegardes déconnectées et mises à jour. Guide ANSSI-DGE ; fiche E6 du guide SISSE. 78 % déclarent des sauvegardes, sans que le baromètre dise si elles sont hors ligne et testées.
5. Encadrer le personnel temporaire. Fiche B2 : répertoire, clause de confidentialité dans la convention, matériel fourni, comptes clôturés le jour du départ, relecture des rapports de stage.
6. Encadrer les visiteurs. Fiche B3 : identité connue à l'avance, badge, circuit de notoriété, accompagnement permanent, appareils encadrés, registre conservé. Le Flash n° 100 rappelle qu'un distributeur automatique est aussi un visiteur.
7. Préparer les salons. Fiche G3 : éléments de langage écrits, ordinateur de démonstration vide, plaquettes à niveaux, prototypes non à l'échelle, rapport d'étonnement au retour.
8. Organiser les départs et écrire les clauses. Fiche C2 : non-concurrence bornée dans le temps et l'espace, avec contrepartie financière sous peine d'annulation ; confidentialité. Cass. com. 24 septembre 2025 : la seule détention de documents par l'ancien salarié est une faute.
9. Sensibiliser tout le monde, y compris hors des murs. Flash n° 102. Six TPE-PME sur dix ont engagé des actions de sensibilisation, 90 % au-dessus de dix salariés.
10. Savoir à qui signaler. Adresse dédiée de la DGSI, délégué SISSE régional, 17Cyber ; fiche D8 du guide SISSE pour les demandes d'une autorité étrangère, où la loi de blocage s'applique. « Ne pas essayer de gérer la situation uniquement en interne. »
Ce que cette enquête n'a pas pu établir
La DGSI ne publie aucune statistique des ingérences constatées : le Flash donne des cas choisis et anonymisés, dont rien ne permet de déduire une fréquence ni une répartition par taille d'entreprise. Les « plus de 750 alertes » du SISSE ne sont pas ventilées, dans le document public, entre rachats, captations, cyberattaques et pressions RH, ni entre PME et grands groupes. Ces chiffres décrivent l'activité de services, pas l'ampleur du phénomène.
Le baromètre repose sur 588 réponses déclaratives, et la comparaison annuelle porte sur deux échantillons distincts. La jurisprudence citée provient d'une synthèse d'avocat et de comptes rendus de cabinets ; l'arrêt de Nouméa n'a été lu qu'au travers du commentaire de Kohen Avocats, sans son numéro de rôle. Aucune de ces décisions ne concerne une PME industrielle plaidant seule devant un tribunal de commerce de province : le contentieux visible est celui des entreprises qui ont les moyens de le rendre visible.
Enfin, aucun prix public consolidé n'existe pour les mesures organisationnelles ni pour les diagnostics régionaux subventionnés. Le seul coût établi avec certitude est celui du Diag Cybersécurité de Bpifrance.
FAQ
Que faut-il pour qu'une information soit protégée par le secret des affaires ?
Trois conditions cumulatives fixées par l'article L151-1 du code de commerce : l'information n'est pas généralement connue ou aisément accessible dans le secteur, elle a une valeur commerciale du fait de son caractère secret, et son détenteur a pris des mesures de protection raisonnables pour la garder secrète. Sans preuve de la troisième, les tribunaux refusent la qualification, comme le tribunal judiciaire de Paris le 2 juillet 2025.
Un fichier clients est-il un secret des affaires ?
Il peut l'être s'il remplit les trois conditions. La cour d'appel de Nouméa a retenu le 30 juillet 2026 qu'un fichier clients protégé par des restrictions d'accès, des mots de passe et des clauses de confidentialité constituait un secret des affaires, et a condamné l'ancienne salariée qui l'avait copié, la société bénéficiaire et son gérant à 2,5 millions d'euros. Un fichier accessible à tous sans mesure ne bénéficierait pas du même régime.
Combien de PME sont réellement touchées par des ingérences ou des attaques ?
Aucune source ne le mesure directement. Le SISSE a traité plus de 750 alertes en 2025, tous types et toutes tailles confondus. Le baromètre Cybermalveillance 2025 compte 16 % de TPE-PME déclarant au moins un incident sur douze mois ; le Panorama ANSSI 2025 indique que les PME, TPE et ETI représentent 48 % des victimes de rançongiciel portées à sa connaissance. Ces chiffres mesurent des choses différentes.
Que coûte un diagnostic de sécurité pour une PME ?
L'autodiagnostic DIAGSECO du SISSE et le guide ANSSI-DGE en 13 questions sont gratuits. Le Diag Cybersécurité de Bpifrance coûte 8 800 euros HT pour huit jours d'accompagnement, subventionnés à 50 %, soit 4 400 euros HT à la charge de l'entreprise. Trois TPE-PME sur quatre consacrent moins de 2 000 euros par an à leur cybersécurité, selon le baromètre 2025.
L'enquête en slides
