PME • Guide pratique
Guide complet cybersécurité PME 2026
Les PME sont exposées aux ransomwares, au phishing et aux interruptions d’activité. Ce guide propose huit étapes pour protéger les données, les accès et la continuité de service avec un budget adapté.
Pourquoi ce guide en 2026 ?Les obligations NIS2 dépendent de votre activité, de votre taille et de la législation applicable. Vérifiez aussi les garanties et exclusions de votre assurance cyber : les exigences varient selon les contrats.
1. Faire l'inventaire et cartographier les risques
On ne protège bien que ce que l'on connaît. La première erreur des PME est d'acheter des outils avant de savoir ce qu'elles possèdent. Pendant 2 heures, listez : postes de travail, serveurs, mobiles, imprimantes connectées, SaaS (Microsoft 365, Google Workspace, compta, CRM), noms de domaine, accès prestataires.
Méthode express en 3 colonnes
- Actifs critiques : données clients, fichiers de paie, secrets industriels, accès bancaires. Ce sont eux qui justifient le budget.
- Menaces réalistes : phishing ciblé, ransomware via RDP, vol de laptop, prestataire compromis, erreur humaine.
- Exposition : qui a accès à quoi ? Comptes admin partagés ? Anciens employés encore actifs dans M365 ?
Utilisez un tableur pour l’inventaire et consultez le guide d’hygiène informatique de l’ANSSI. Documentez les responsables et les priorités de protection.
2. Activer le MFA partout, sans exception
Le MFA réduit le risque lié au vol d’identifiants. Privilégiez les méthodes résistantes au phishing et prévoyez des procédures de récupération et des exceptions documentées.
Priorité d'activation
- Jour 1 : Messagerie (M365 / Google), banque, VPN, administration de domaine
- Jour 7 : CRM, ERP, Git, stockage cloud, réseaux sociaux entreprise
- Jour 14 : Tout le reste, y compris outils marketing
Privilégiez une application d'authentification (Microsoft Authenticator, Google Authenticator) ou des clés FIDO2 / Passkeys. Évitez les codes par SMS, jugés vulnérables au SIM-swapping. Imposez des mots de passe de 14 caractères minimum via un gestionnaire d'entreprise (1Password Business, Bitwarden). Interdisez la réutilisation. Activez le Conditional Access : bloquer les connexions depuis pays à risque ou IP anonymisées.
Astuce PME : En cas de résistance interne, montrez le coût moyen d'un incident : 35 000€ pour une PME française (CESIN 2024) contre 3€/utilisateur/mois pour le MFA.
3. Mettre en place une vraie stratégie de sauvegarde 3-2-1-1
Une sauvegarde non testée n'est pas une sauvegarde. La règle 3-2-1-1 modernise l'ancienne 3-2-1 : 3 copies de vos données, sur 2 supports différents, dont 1 hors site et 1 immutable / offline.
- Support 1 : Sauvegarde locale rapide (NAS avec snapshots). Restauration en minutes.
- Support 2 : Cloud chiffré immuable (Backblaze B2, Wasabi, Azure Immutable Blob). Conservation 30 à 90 jours minimum.
- Support +1 offline : Disque externe déconnecté ou bande, stocké hors site, testé chaque trimestre.
Chiffrez vos sauvegardes avec une clé détenue par vous (BYOK) et stockez-la hors du système sauvegardé. Automatisez la vérification : un e-mail quotidien "backup OK / KO" + test de restauration complet chaque trimestre avec chronométrage. Documentez la procédure RTO (Recovery Time Objective) et RPO (Recovery Point Objective). Objectif PME réaliste en 2026 : RPO 24h, RTO 4h pour les systèmes critiques.
4. Automatiser les mises à jour et le patch management
Les vulnérabilités connues non corrigées peuvent être exploitées. Organisez les mises à jour, les essais et les redémarrages avec les responsables métier.
Windows : Activez Windows Update for Business avec anneaux : 5% des postes en test (J+1), 95% en production (J+7). macOS : profil MDM (Mosyle, Fleet gratuit). Applications : utilisez un gestionnaire comme Patch My PC ou l'auto-update de M365. Routeurs, firewall, NAS : abonnez-vous aux alertes constructeur, planifiez un créneau mensuel.
Maintenez un inventaire des logiciels en fin de support. Le support standard de Windows 10 a pris fin en octobre 2025 ; vérifiez les éventuelles extensions de support et planifiez la migration. Fixez les délais de correction selon le risque et les contraintes de service, sans les confondre avec une obligation générale NIS2.
5. Former vos équipes : l'humain reste le firewall n°1
Une formation annuelle ennuyeuse ne change pas les comportements. Passez à la micro-formation continue : 3 minutes par mois, simulations réalistes et bienveillantes.
- Phishing : Apprenez à vérifier l'expéditeur réel, survoler les liens, signaler en 1 clic. Outil bouton "Report Phishing" dans Outlook/Gmail.
- Double vérification : Procédure obligatoire pour tout virement, changement de RIB, demande sensible : rappel vocal sur numéro connu.
- Hygiène numérique : Verrouillage automatique 5 min, pas de clé USB inconnue, signalement d'un laptop perdu < 1h.
Mesurez le taux de clic sur simulations, mais ne punissez jamais. Félicitez ceux qui signalent. Intégrez la sécurité dans l'onboarding et l'offboarding : suppression des accès le jour du départ = contrôle RGPD prioritaire.
6. Sécuriser l'accès et le réseau sans usine à gaz
Le VPN traditionnel est souvent mal configuré. En 2026, les PME migrent vers Zero Trust / ZTNA : on ne fait plus confiance au réseau interne, on vérifie chaque accès.
Checklist réseau PME
- Séparez le Wi-Fi invité du LAN compta/RH via VLAN. Idéalement 3 SSID: Corporate, IoT, Invité.
- Désactivez le RDP exposé sur Internet. Jamais. Utilisez un bastion ou ZTNA (Cloudflare Zero Trust gratuit jusqu'à 50 users).
- Déployez un EDR léger (Microsoft Defender for Business inclus dans M365 Business Premium, ou SentinelOne) + firewall avec filtrage DNS (Quad9, Cloudflare Gateway).
- Principe du moindre privilège : 80% des employés n'ont pas besoin d'être admin local. Retirez ces droits.
7. Préparer un plan de réponse à incident (même sur 2 pages)
Vous serez attaqué. La question est quand, pas si. Un plan imprimé et connu vaut mieux qu'un PDF de 40 pages que personne ne lit.
1. Détection
Qui appeler ? EDR alerte, collègue signale mail bizarre. Numéro IT + prestataire.
2. Confinement
Isolez le système selon votre procédure et contactez le responsable de réponse à incident. La décision d’éteindre dépend du risque et de la préservation des preuves.
3. Communication
Prévenez les responsables. Une notification à l’autorité compétente peut être requise sous 72 heures après connaissance d’une violation de données personnelles, sauf si elle est peu susceptible d’engendrer un risque pour les personnes. Documentez votre évaluation.
4. Reprise
Restauration depuis sauvegarde immuable, analyse causes, leçons apprises.
Organisez régulièrement un exercice de réponse à incident. Conservez les contacts et procédures de reprise hors ligne. Définissez la conservation des journaux selon les besoins, les contrats et les règles de protection des données.
8. Conformité RGPD et pilotage continu
La sécurité n'est pas un projet, c'est un rythme. Chaque mois, 30 minutes suffisent pour piloter 4 indicateurs :
- % MFA actif (>98% objectif), % postes à jour, % sauvegardes OK, taux de signalement phishing.
- Registre de traitement à jour, contrats sous-traitants avec clauses sécu, durées de conservation respectées.
- Droits d'accès revus trimestriellement. Supprimez les comptes dormants.
- Assurance cyber : relisez les exclusions, gardez les preuves de MFA/EDR/backup pour l'expert.
Conclusion : Par où commencer cette semaine ?
Ne cherchez pas la perfection. Suivez ce plan sur 30 jours : Semaine 1 inventaire + MFA messagerie. Semaine 2 sauvegardes 3-2-1-1 + test restauration. Semaine 3 patch + retirer admin local. Semaine 4 formation éclair + plan incident 2 pages. Vous passerez devant 90% des PME.
La cybersécurité en 2026 n'est plus une option technique, c'est une preuve de professionnalisme envers vos clients. Protéger leurs données, c'est protéger votre réputation. Et tout commence par le MFA et une sauvegarde que vous aurez vraiment testée.
FAQ - Cybersécurité PME 2026
Combien coûte la sécurisation d'une PME de 20 personnes ? ⌄
Comptez 30€ à 60€ par poste/mois si vous incluez M365 Business Premium (MFA, Defender, Intune) + sauvegarde cloud immuable + EDR. Soit 600€-1200€/mois pour 20 users, soit 10x moins qu'un incident moyen. Le plus coûteux reste le temps d'organisation, pas les licences.
Le MFA est-il obligatoire pour le RGPD ? ⌄
Le RGPD exige des mesures appropriées (art.32). La CNIL et l'ANSSI considèrent le MFA comme une mesure de base pour tout accès à des données personnelles à distance. En cas de fuite sans MFA, votre responsabilité sera plus facilement engagée.
Faut-il acheter un antivirus payant en plus de Defender ? ⌄
Non, si vous avez Microsoft Defender for Business bien configuré + Attack Surface Reduction + DNS filtering. L'essentiel est l'EDR et la détection comportementale, pas le moteur antivirus seul. Investissez plutôt dans la sauvegarde immuable et la formation.
Que faire en premier si on n'a rien ? ⌄
1) Activez MFA sur la messagerie. 2) Vérifiez que vous avez une sauvegarde externe déconnectée d'internet. 3) Faites les mises à jour critiques. Ces 3 actions prennent une après-midi et coupent 80% des scénarios d'attaque PME.
Avertissement : Ce guide fournit des conseils défensifs généraux. Il ne constitue pas un audit de sécurité personnalisé. Pour un risque spécifique, consultez un prestataire qualifié PASSI / SecNumCloud. Aucune instruction de contournement, d'intrusion ou de hacking offensif n'est fournie, conformément aux règles Google AdSense.
Ces conseils généraux ne remplacent pas un audit personnalisé ni un avis juridique. Toute vérification technique doit être autorisée par le propriétaire du système.