L'ANSSI a traité 4 386 événements de sécurité en 2024, soit +15 % par rapport à 2023. Les PME, TPE et ETI restent la principale catégorie visée par les rançongiciels : 37 % des cas en 2024, contre 34 % en 2023. La CNIL a reçu 5 629 notifications de violations de données personnelles, +20 %. Le panorama de la cybermenace 2025 de l'ANSSI (publié en 2026) confirme la tendance : 48 % des victimes de rançongiciels sur les données 2025 sont des PME/TPE/ETI.
Les cybercriminels s'adaptent et réorientent continuellement leurs efforts vers les secteurs les plus vulnérables. Les PME présentent un profil cible idéal : données clients et fournisseurs sensibles, systèmes souvent obsolètes, absence de SOC (Security Operations Center) interne, et dirigeants insuffisamment sensibilisés.
Sources : ANSSI, Panorama de la cybermenace 2024 · ANSSI, Panorama de la cybermenace 2025 (publié 2026) · CNIL, 2024
Le coût visible est la rançon — rarement payée, rarement efficace. Le coût réel est bien plus large : arrêt total de l'activité (en moyenne 3 semaines pour une PME), perte de données clients, dégradation de la relation commerciale, coût de reconstruction des systèmes, atteinte à la réputation. Selon Infolegale, 60 % des entreprises victimes ferment dans les 18 mois. Pour les PME qui survivent, les séquelles opérationnelles durent en moyenne 6 à 12 mois.
La CNIL a enregistré un doublement des violations touchant plus d'un million de personnes en 2024. Ces incidents ne concernent pas que les grandes entreprises — ils concernent toute entreprise qui héberge des données clients, qu'elle soit RGPD-conforme ou non.
Source : CNIL, Rapport annuel 2024 · Infolegale, Cyber Impact Baromètre 2024
La cybersécurité en PME souffre d'un biais de perception : 15 % seulement des TPE/PME ayant subi un incident en 2024 avaient anticipé ce risque (Cyber Impact, 2024). La protection perçue — antivirus, pare-feu, mots de passe complexes — crée une confiance non justifiée. Sans intégration organisationnelle, sans formation des équipes, sans plan de réponse aux incidents, cette protection reste superficielle.
L'ANSSI souligne que la mise en place de l'authentification multifacteur (MFA) peut bloquer jusqu'à 99 % des tentatives d'accès frauduleux. Pourtant, cette mesure élémentaire est loin d'être universellement déployée dans les PME françaises.
Source : ANSSI, Panorama de la cybermenace 2024
La directive européenne NIS 2, transposée en droit français, renforce les obligations de cybersécurité pour un périmètre élargi d'entreprises, incluant les PME sous-traitantes d'opérateurs essentiels. Elle engage la responsabilité personnelle du dirigeant en cas de manquement. La cybersécurité n'est plus seulement une question technique — c'est une question de gouvernance.
Le panorama réglementaire converge : RGPD, NIS 2, CSRD (données de gouvernance), marchés publics — toutes ces obligations renforcent l'exigence de maturité cyber des PME B2B. La question n'est plus de savoir si l'on doit traiter le sujet, mais comment le traiter avec les ressources disponibles.
Iron Project intègre la dimension cybersécurité dans son approche de structuration technique. Nous aidons les dirigeants à construire une posture cyber adaptée à leur contexte réel : cartographie des risques, priorisation des mesures, sensibilisation des équipes, plan de continuité d'activité. Sans over-engineering ni investissements disproportionnés. Avec un objectif : que le dirigeant sache exactement où il est vulnérable et comment réduire son exposition de façon pragmatique.