Le cyber-risque devient une priorité pour la direction
L'attaque commence rarement dans la salle des serveurs. Elle se présente sous la forme d'un e-mail crédible dans la boîte de réception, d'un appel téléphonique d'un prétendu dirigeant ou d'un ordre de paiement modifié. Les PME suisses sont souvent victimes d'incidents cybernétiques, mais évaluent leur propre risque à un niveau étonnamment bas. Cet écart entre l'expérience et la perception devient un point faible.
49 % des collaborateurs interrogés dans des PME suisses déclarent avoir été confrontés à un incident cyber grave au sein de leur entreprise au cours des trois derniers mois. Pourtant, seuls 22 % d’entre eux estiment que le risque cyber de leur entreprise est élevé. C’est parmi les micro-entreprises comptant entre un et neuf collaborateurs que l’écart est particulièrement marqué : 38 % font état d’incidents, mais seules 15 % y voient un risque élevé.
C’est alarmant. Aujourd’hui, la cybercriminalité ne cible pratiquement plus les grandes entreprises. Les attaques sont automatisées, évolutives et ciblées. Une petite entreprise peut subir un préjudice direct via des identifiants d’accès, des factures ou des processus de paiement compromis. Elle peut également servir de porte d’entrée vers les chaînes d’approvisionnement et les réseaux de clients.
La protection de base reste lacunaire
Le phishing est la menace la plus fréquemment perçue, avec 25 %. Il touche les entreprises de toutes tailles à peu près aussi souvent. Viennent ensuite, entre autres, les logiciels malveillants, la fraude au PDG, l’usurpation d’identité, les fuites de données potentielles et les perturbations opérationnelles.
Le nouvel indice de cybersécurité des PME de Deloitte atteint 58 points sur 100. Il évalue six mesures de base liées au personnel. En moyenne, ces mesures de protection ne sont donc mises en œuvre qu’à 58 %.
L’authentification est particulièrement frappante. 66 % des entreprises utilisent l’authentification multifactorielle. Les méthodes sans mot de passe et l’authentification unique (Single Sign-On) s’élèvent chacune à 45 %. Chez les micro-entreprises, l’indice n’atteint que 44 points. Seules 32 % d’entre elles organisent des formations régulières, et 24 % effectuent des tests de phishing. Les entreprises de taille moyenne affichent respectivement 82 % et 63 % pour ces deux indicateurs.
L’assurance ne remplace pas la prévention
L’assurance cyber gagne en importance, mais sa diffusion reste faible. En 2025, la Suisse comptait environ 72 000 polices d’assurance pour les entreprises. Cela correspond à 11,5 % des entreprises domiciliées dans le pays. Les micro-entreprises et les petites entreprises, en particulier, restent souvent sans couverture, alors qu’un sinistre peut les toucher particulièrement durement par rapport à leur chiffre d’affaires.
Une police d’assurance ne résout de toute façon guère le problème à elle seule. Les assureurs exigent de plus en plus des normes minimales vérifiables. En l’absence de règles d’accès, de sauvegardes testées ou d’un processus d’urgence bien défini, les bases d’une couverture efficace font souvent défaut.
La résilience relève de la direction
La cybersécurité doit figurer à l’ordre du jour de la direction. Ce sont quelques principes fondamentaux, mis en œuvre de manière cohérente, qui sont déterminants. Une authentification forte, des droits d’accès restrictifs, des formations courtes et régulières, des sauvegardes testées et un plan d’urgence clair renforcent la capacité d’action en cas d’urgence.
Cela va bien au-delà de l’informatique. La cyber-résilience préserve l’activité des pannes, protège les processus de paiement et garantit la confiance des clients et des partenaires.