En 2026, plus d'une cyberattaque sur deux recensées en France vise une PME, une TPE ou une ETI — pas les grands groupes que l'actualité met en avant. Dans le même temps, une nouvelle réglementation européenne, NIS2, s'apprête à élargir considérablement le cercle des entreprises tenues à des obligations formelles de cybersécurité. Deux mouvements qui, ensemble, changent la donne pour les dirigeants de PME françaises.
Les PME, cible numéro un des cyberattaques
Les chiffres qui circulent depuis le début de l'année 2026 convergent sur un point : les structures de moins de 250 salariés ne sont plus une cible secondaire, elles sont devenues la cible principale. Les PME concentreraient à elles seules environ la moitié des cyberattaques recensées sur le territoire national, et une part comparable des victimes identifiées de rançongiciels. Le ransomware reste le mode opératoire dominant, porté par une industrialisation croissante de ces attaques : des kits « clé en main » permettent désormais à des groupes peu sophistiqués de lancer des campagnes à grande échelle, en ciblant en priorité les entreprises les moins bien défendues plutôt que les plus rentables.
Cette bascule s'explique simplement : une grande entreprise dispose généralement d'une équipe sécurité dédiée et d'outils de détection avancés, quand une PME s'appuie souvent sur un antivirus standard et une informatique gérée en interne à temps partiel. Le rapport coût/bénéfice pour l'attaquant penche naturellement vers la cible la plus vulnérable.
Le coût réel d'une cyberattaque pour une PME
Les estimations varient selon les méthodologies, mais toutes pointent dans la même direction : le coût d'une cyberattaque pour une PME française dépasse largement ce que beaucoup de dirigeants imaginent. Les ordres de grandeur avancés vont de plusieurs dizaines de milliers d'euros pour un incident courant à plusieurs centaines de milliers, voire au-delà du million d'euros, pour une attaque par rançongiciel ciblée et bien exécutée. À ce montant s'ajoute un coût souvent sous-estimé : l'arrêt d'activité, qui peut se prolonger plusieurs jours, avec un impact direct sur la trésorerie, la relation client et parfois la pérennité même de l'entreprise.
Le baromètre national de la maturité cyber des TPE-PME, publié par Cybermalveillance.gouv.fr, situe la médiane des attaques ciblées d'intensité moyenne dans une fourchette qui confirme cet ordre de grandeur — largement supérieure au budget qu'une PME consacre en général, sur une année entière, à sa sécurité informatique.
NIS2 : une nouvelle donne réglementaire qui s'approche
Adoptée au niveau européen fin 2022, la directive NIS2 (Network and Information Security 2) élargit très largement le périmètre des entreprises soumises à des obligations formelles de cybersécurité, par rapport à la précédente directive de 2016. En France, sa transposition passe par la loi dite « Résilience », dont l'adoption définitive est attendue en 2026, les décrets d'application et le référentiel technique de l'ANSSI devant suivre. Selon les estimations disponibles, près de 15 000 entités françaises entreraient dans le périmètre de la directive — un changement d'échelle qui dépasse très largement les seuls grands groupes et opérateurs historiquement régulés, pour toucher de nombreuses PME sous-traitantes ou fournisseurs de secteurs considérés comme critiques (énergie, santé, transport, numérique, industrie...).
NIS2 impose des obligations de gouvernance, de gestion des risques et de notification rapide des incidents, avec une nouveauté notable : la responsabilité personnelle des dirigeants est engagée si les mesures nécessaires n'ont pas été prises. Les sanctions prévues sont dissuasives, pouvant atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires mondial selon la catégorie de l'entité. Une étude du CESIN publiée début 2026 indiquait qu'une large majorité des PME françaises entrant dans le périmètre de NIS2 n'avaient pas encore engagé leur mise en conformité — un retard qui laisse peu de marge une fois les décrets publiés.
Se préparer sans attendre le décret d'application
Qu'une entreprise soit ou non directement soumise à NIS2, les fondamentaux d'une cybersécurité sérieuse restent les mêmes et n'attendent pas la réglementation pour être utiles.
L'authentification à plusieurs facteurs (MFA) sur les comptes sensibles — email, VPN, outils métiers — reste la mesure la plus simple et la plus efficace contre la majorité des compromissions de comptes.
Des sauvegardes réellement testées, isolées du réseau principal, permettent de restaurer une activité après une attaque sans céder à la pression d'une demande de rançon.
Une cartographie des données et des accès sensibles évite qu'un compte compromis donne, par effet domino, un accès total au système d'information.
Une sensibilisation régulière des équipes reste indispensable : la grande majorité des compromissions commencent encore par un email de phishing ouvert par un collaborateur, pas par une faille technique sophistiquée.
Un audit initial permet enfin de savoir précisément où se situent les priorités, plutôt que d'investir au hasard dans des outils qui ne couvrent pas le risque réel de l'entreprise.
Comment Assutech accompagne vos équipes
Assutech déploie et supervise pour ses clients une protection à 360° — pare-feu nouvelle génération, protection des postes et des messageries, sauvegardes testées, sensibilisation des équipes — construite pour des PME et non recopiée d'une offre grand compte surdimensionnée. Nos équipes accompagnent aussi les entreprises concernées par NIS2 dans la structuration de leur démarche de conformité, en s'appuyant sur les référentiels ANSSI à mesure qu'ils se précisent.
Où en est la cybersécurité de votre entreprise ?
Faites le test gratuit en 3 minutes ou échangez avec nos experts pour estimer votre budget de protection.
Sources : ANSSI, baromètre national de la maturité cyber des TPE-PME (Cybermalveillance.gouv.fr), étude CESIN sur la conformité NIS2 (2026), analyses et comparatifs sectoriels sur le coût des cyberattaques et la transposition de la directive NIS2 en France (2025-2026).