Sécuriser le système d’information d’une PME consiste à protéger ses postes, serveurs, comptes, données et accès à Internet pour que l’entreprise puisse continuer à travailler, même après une attaque. La méthode tient en dix étapes, par ordre de priorité : inventorier, mettre à jour, activer la double authentification, sauvegarder selon la règle 3-2-1, protéger les postes avec un EDR, filtrer avec un pare-feu, limiter les droits, sensibiliser les équipes, préparer la réponse à un incident et vérifier son assurance. Elles s’appuient sur les recommandations de l’ANSSI pour les TPE et PME.
Selon l’ANSSI, certaines relèvent des bonnes pratiques et d’autres demandent un investissement plus important. Voici pourquoi s’y mettre, puis le détail de chaque étape.
Pourquoi sécuriser le système d’information d’une PME
- 39 % des TPE et PME ont subi au moins un incident de cybersécurité au cours des douze derniers mois, l’hameçonnage (18 %) et les virus ou logiciels malveillants (8 %) en tête (baromètre France Num 2026, Crédoc pour la Direction générale des Entreprises) ;
- Cybermalveillance.gouv.fr a assisté 27 934 entreprises et associations en 2025, soit 73 % de demandes en plus qu’en 2024 ; le piratage de compte (21 %), l’hameçonnage (16 %) et la fraude au virement (13,5 %) sont les trois premières menaces (rapport d’activité, mars 2026) ;
- l’ANSSI a eu connaissance de 128 compromissions par rançongiciel en 2025, et les PME, TPE et ETI restent la catégorie d’entités la plus touchée (Panorama de la cybermenace 2025, mars 2026).
Chez les entreprises victimes interrogées par Cybermalveillance.gouv.fr, les attaques ont surtout entraîné des interruptions d’activité, des pertes ou vols de données et des atteintes à la réputation. La préparation reste faible : 80 % des TPE et PME interrogées ne s’estiment pas suffisamment préparées ou ne savent pas si elles le sont, et 65 % n’ont pas de procédure de réaction en cas d’attaque (baromètre 2025, sondage OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises de moins de 250 salariés).
La méthode en 10 étapes
| Étape | Mesure | Difficulté selon l’ANSSI |
|---|---|---|
| 1 | Inventorier matériels, logiciels, données et accès | Facile à moyenne |
| 2 | Appliquer les mises à jour, remplacer ce qui n’est plus maintenu | Facile à moyenne |
| 3 | Mots de passe robustes et double authentification | Facile à moyenne |
| 4 | Sauvegardes dont une copie hors ligne, restaurations testées | Facile à moyenne |
| 5 | Protéger les postes : antivirus, puis EDR | Facile (antivirus) |
| 6 | Pare-feu et cloisonnement du réseau | Facile à expert |
| 7 | Comptes sans droits d’administration, accès révoqués au départ | Facile à moyenne |
| 8 | Sensibiliser les équipes | Facile à moyenne |
| 9 | Préparer la réaction à une cyberattaque | Moyenne à experte |
| 10 | Faire évaluer son assurance au risque cyber | Moyenne |
La colonne de droite reprend les niveaux indiqués dans le guide « La cybersécurité pour les TPE/PME en 13 questions » publié par l’ANSSI et la Direction générale des Entreprises.
Étapes 1 à 3 : inventaire, mises à jour et double authentification
Inventorier. L’ANSSI en fait la toute première question : ordinateurs, mobiles, serveurs, mais aussi box, switchs, clés 4G et imprimantes ; logiciels et versions ; données vitales (fichier clients, comptabilité) et lieu où elles sont stockées ; accès, pour vérifier qu’aucun ancien salarié ou ancien prestataire ne peut encore se connecter. Cet inventaire est à mettre à jour au moins une fois par an.
Mettre à jour. Selon l’ANSSI, la majorité des attaquants exploitent des vulnérabilités publiques et documentées, surtout sur les services exposés à Internet (pare-feu, messagerie, accès à distance). Activez les mises à jour automatiques et remplacez tout matériel ou logiciel qui n’en reçoit plus, comme les PC encore sous Windows 10, dont le support a pris fin le 14 octobre 2025. Le délai pour agir se réduit : d’après le Panorama 2025 de l’ANSSI, environ 29 % des vulnérabilités exploitées en 2025 l’auraient été le jour même de leur publication ou avant.
Activer la double authentification. Le piratage de compte est la première menace pour les entreprises, et seules 39 % des TPE et PME utilisent l’authentification multifacteur (France Num 2026). Commencez par la messagerie, les accès à distance, les comptes administrateurs et les outils cloud, avec des mots de passe différents pour chaque service et un gestionnaire de mots de passe. Voir notre guide sur la double authentification en entreprise.
Étapes 4 et 5 : sauvegardes et protection des postes
Sauvegarder selon la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. L’ANSSI insiste sur un point : les sauvegardes en ligne (NAS, cloud) sont exposées aux rançongiciels et doivent être complétées par une copie déconnectée, et les restaurations doivent être testées régulièrement. Chiffrez les sauvegardes et sachez qui détient les clés. La mise en pratique est détaillée dans notre guide sur la sauvegarde 3-2-1.
Protéger les postes. L’antivirus reste la première ligne de défense, à condition d’être à jour sur tous les équipements connectés à Internet. Mais il reconnaît surtout des menaces connues. Un EDR analyse le comportement des postes et des serveurs et peut isoler une machine compromise : parmi les TPE et PME équipées d’au moins un dispositif de sécurité, 84 % ont un antivirus mais seulement 16 % une solution de détection de type EDR (baromètre Cybermalveillance.gouv.fr 2025). Voir antivirus, EDR et XDR.
Étapes 6 et 7 : pare-feu et droits d’accès
Filtrer avec un pare-feu. L’ANSSI recommande aux PME de déployer en priorité un pare-feu physique pour protéger la connexion à Internet, de journaliser les flux bloqués et, si possible, de séparer le réseau en zones (postes de travail, serveurs, administration). Le pare-feu doit lui-même être mis à jour et son interface d’administration jamais exposée sur Internet : lors du signalement d’une seule vulnérabilité, le CERT-FR a relevé plus de 3 700 interfaces d’administration exposées en France (Panorama 2025). Voir qu’est-ce qu’un pare-feu et, pour le télétravail, le VPN d’entreprise.
Limiter les droits. Chaque salarié dispose d’un compte nominatif sans droits d’administration et navigue uniquement avec ce compte. Les comptes administrateurs servent seulement à configurer les équipements et à installer des logiciels. Au départ d’un collaborateur, tous ses accès sont révoqués. Dans une PME, les connexions directes entre postes sont bloquées par défaut pour limiter la propagation d’un logiciel malveillant.
Étape 8 : sensibiliser contre l’hameçonnage et la fraude
En 2024, 52,6 % des entreprises françaises de 10 à 249 salariés n’informaient pas leurs salariés de leurs obligations en matière de sécurité informatique, contre 39 % en moyenne dans l’Union européenne (Eurostat). L’ANSSI recommande une charte informatique remise à chaque nouvel arrivant et des rappels réguliers. Deux réflexes répondent directement à l’hameçonnage et à la fraude au virement : vérifier par un autre canal toute demande de changement de RIB ou de virement urgent, et signaler immédiatement un message suspect. L’ANSSI conseille de ne pas sanctionner les erreurs signalées, pour éviter qu’elles soient cachées. Voir notre guide sur le phishing.
Étapes 9 et 10 : plan d’incident et assurance
Rédigez une procédure courte et faites-la connaître à tous. Les réflexes recommandés par l’ANSSI et Cybermalveillance.gouv.fr :
- déconnecter du réseau les équipements touchés (câble, Wi-Fi), sans les éteindre ni les modifier ;
- ne pas payer de rançon ;
- tenir une main courante : date, heure, personne et action pour chaque événement ;
- alerter son prestataire et le 17Cyber, service d’assistance en ligne lancé par Cybermalveillance.gouv.fr et le ministère de l’Intérieur, accessible 24 h sur 24 et 7 jours sur 7 ;
- porter plainte et, en cas de violation de données personnelles présentant un risque pour les personnes, notifier la CNIL dans les 72 heures (voir nos repères sur le RGPD).
Le scénario du rançongiciel est détaillé dans notre guide qu’est-ce qu’un ransomware.
L’ANSSI recommande aussi de faire évaluer la couverture de son assurance face au risque cyber, dans un contrat classique ou une police dédiée. Seules 23 % des TPE et PME ont souscrit une assurance cybersécurité (France Num 2026). Point clé : l’article L. 12-10-1 du code des assurances, issu de la loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI), conditionne l’indemnisation à une plainte déposée dans les 72 heures après la découverte de l’attaque. Cette plainte ne dispense pas de la notification à la CNIL : ce sont deux démarches distinctes.
Se faire accompagner
- MonAideCyber (ANSSI) : un premier diagnostic gratuit réalisé par un aidant formé, qui se conclut par six recommandations prioritaires ;
- le label ExpertCyber de Cybermalveillance.gouv.fr, pour identifier des prestataires évalués sur la sécurisation des systèmes d’information ;
- SecNumacadémie (ANSSI, gratuit) et SensCyber (Cybermalveillance.gouv.fr, trois modules) pour former les équipes ;
- les aides locales : il n’existe pas de subvention nationale unique, mais des régions proposent subventions, chèques numériques ou diagnostics cofinancés, recensés notamment par le moteur de recherche d’aides de France Num.
Réseaux VITALIS accompagne les PME d’Île-de-France avec un audit cybersécurité gratuit et sans engagement (pare-feu, sauvegardes, postes, messagerie), puis le déploiement et la supervision des protections, avec un interlocuteur unique et une réponse sous 1 h ouvrée. Voir notre offre de cybersécurité pour les entreprises.
Questions fréquentes
Par où commencer pour sécuriser le système d’information d’une PME ?
Par l’inventaire des matériels, logiciels, données et accès, puis par les mises à jour, la double authentification sur la messagerie et les accès à distance, et des sauvegardes dont une copie hors ligne testée régulièrement. L’inventaire, les sauvegardes et les mises à jour sont les trois premières questions du guide de l’ANSSI pour les TPE et PME.
Une petite entreprise est-elle vraiment une cible ?
Oui. D’après l’ANSSI, les PME, TPE et ETI restent la catégorie la plus touchée par les rançongiciels en 2025, et 39 % des TPE et PME déclarent au moins un incident de cybersécurité sur douze mois (France Num 2026). Les menaces les plus fréquentes pour les entreprises sont le piratage de compte, l’hameçonnage et la fraude au virement (Cybermalveillance.gouv.fr, 2025).
Que faire en cas de cyberattaque ?
Déconnecter les équipements touchés du réseau sans les éteindre, ne pas payer de rançon, noter chaque action dans une main courante, alerter son prestataire et le 17Cyber, porter plainte et notifier la CNIL dans les 72 heures si des données personnelles sont exposées avec un risque pour les personnes.
Faut-il souscrire une assurance cyber ?
Elle ne protège pas le système d’information, mais elle peut couvrir une partie des conséquences financières et apporter une assistance. L’ANSSI recommande d’en faire évaluer la couverture ; seules 23 % des TPE et PME en ont une (France Num 2026). Pour être indemnisé, il faut porter plainte dans les 72 heures après la découverte de l’attaque (article L. 12-10-1 du code des assurances).
À lire ensuite
Un projet ou une question ?
Laissez vos coordonnées : un expert VITALIS vous rappelle pour un audit gratuit et sans engagement. Intervention sur site dès J+1, interlocuteur unique.