L’enquête, menée auprès de dirigeants d’entreprise en France, au Royaume-Uni, aux États-Unis, en Allemagne, au Brésil et au Japon, montre qu’une PME sur quatre a subi une cyberattaque ou une violation de données au cours des douze derniers mois – et ce malgré des investissements conséquents dans des outils et des formations en cybersécurité. Les résultats mettent en évidence un décalage croissant entre les budgets alloués à la sécurité et la résilience réelle, avec des enveloppes annuelles des PME allouées à la cybersécurité variant de 5 000 à plus de 250 000 euros, avec une moyenne de 58 000 euros par an sur l’ensemble des six marchés.
L’étude suggère que le problème ne réside ni dans un manque de sensibilisation aux risques cyber, ni dans un manque de préparation, mais plutôt dans une incapacité à appliquer systématiquement des outils sécurisés et à identifier et contrer efficacement les attaques.
Malgré des investissements en cybersécurité, les PME restent vulnérables car les stratégies sur lesquelles elles s’appuient sont en retard face à l’évolution rapide du paysage des menaces. Si 92 % des PME déclarent mettre en œuvre certaines mesures de sécurité et de protection de la vie privée, ces précautions s’avèrent souvent inefficaces dans la pratique. Les erreurs humaines, la mauvaise gestion des mots de passe, les usages inappropriés de l’IA et les niveaux variables de compétence technique – surtout dans les PME dépourvues d’une infrastructure IT et sécurité solide – constituent des faiblesses persistantes, creusant l’écart entre sensibilisation, dépenses et résilience réelle.
« Cette étude déconstruit le stéréotype selon lequel les petites entreprises ne prennent pas la sécurité au sérieux. En réalité, la grande majorité investit dans des outils et des formations. Le vrai problème, c’est que mettre en œuvre la sécurité de manière concrète, avec de vraies personnes, demande beaucoup plus d’efforts que de déployer un outil ou de concevoir un processus. Si votre protection repose sur le fait que chaque employé prenne la bonne décision à chaque fois, elle finira par échouer. Une sécurité efficace s’appuie sur des outils, des politiques et des pratiques qui fonctionnent comme prévu dans toutes, ou la plupart des situations. », explique Patricia Egger, responsable de la sécurité chez Proton.
Face aux progrès rapides des technologies cloud et des services d’IA, souvent hébergés dans des juridictions étrangères aux lois laxistes en matière de protection des données, de nombreux dirigeants d’entreprise admettent ne plus maîtriser pleinement leurs données ni être en mesure de les protéger efficacement. Si la plupart reconnaissent l’importance cruciale de la cybersécurité pour la réussite commerciale, un nombre croissant d’entre eux s’inquiètent de leurs capacités de défense limitées.
Pour les entreprises françaises, dont 222 250 auraient subi une cyberattaque au cours de l’année écoulée, les conséquences sont préoccupantes. Parmi celles qui ont été victimes d’une cyberattaque, 31 % ont connu un arrêt d’activité, 22 % ont engagé des frais juridiques ou de remédiation, 39 % ont subi une perte de données, 23 % ont été victimes d’un vol de fonds, 21 % ont écopé d’amendes ou de sanctions réglementaires, et un tiers (33 %) a signalé une perte de confiance de la part de leurs clients.
En France, 81 % des PME touchées par une cyberattaque ont déclaré des pertes financières comprises entre 4 250 € et 84 000 €. Le budget annuel moyen alloué à la cybersécurité par les entreprises interrogées en France s’élève à 27 000 €, le 5 % des PME qui investissent le plus, ont dépensé entre 85 000 € et 212 000 € par an. Cela signifie qu’un seul incident peut égaler ou dépasser la fourchette des budgets annuels de sécurité dans le pays.
L’étude montre que le problème ne vient ni d’un manque de sensibilisation ni d’un manque de préparation : 73 % des PME françaises ont réalisé une évaluation formelle des risques au cours des douze derniers mois, et beaucoup examinent leur posture de sécurité tous les trimestres (28 %) ou tous les mois (28 %).
39 % des PME déclarent que leurs incidents de cybersécurité sont causés par des erreurs humaines. Même parmi les utilisateurs de gestionnaires de mots de passe, les mauvaises pratiques persistent : 32 % partagent leurs mots de passe par e-mail, 31 % via des documents partagés, 27 % par des applications de messagerie, et 22 % les notent encore sur papier. Cela révèle un écart important entre le fait de disposer d’outils et celui de les utiliser de manière cohérente et sécurisée.
Parallèlement, l’adoption de l’IA progresse rapidement : 69 % des PME utilisent des outils comme ChatGPT d’OpenAI ou Claude d’Anthropic. Pourtant, 30 % se méfient des fournisseurs d’IA pour la protection de leurs données propriétaires, 45 % ne savent pas clairement comment leurs données sont collectées ou stockées, et 32 % craignent que des informations confidentielles servent à entraîner les modèles. Ces chiffres soulignent un manque croissant de transparence alors que l’IA devient un élément central de leurs opérations.
Le rapport montre que 66 % des PME considèrent une solide protection des données comme cruciale ou très importante pour remporter de nouveaux contrats, et 76 % mettent en avant le partage sécurisé de fichiers comme un avantage concurrentiel. Seules 14 % affirment que leurs clients ne posent jamais de questions sur leurs pratiques de sécurité. La posture en matière de cybersécurité influence de plus en plus les décisions d’achat et les relations clients à long terme.
Raphaël Auphan, Chief Operating Officer (COO), Proton indique : « Pour les PME, la cybersécurité n’est plus seulement une dépense informatique ; elle est directement liée au chiffre d’affaires, à la réputation et à la croissance à long terme. Les clients sont de plus en plus exigeants quant à la manière dont leurs données sont traitées, et une seule faille de sécurité peut détruire des années de confiance. Les entreprises qui intègrent la confidentialité et la sécurité comme une véritable proposition de valeur, plutôt que comme une simple case à cocher pour la conformité, seront mieux placées pour remporter des contrats et construire des relations clients durables. »
Le rapport conclut que combler l’écart entre la préparation perçue et la réalité opérationnelle est désormais crucial pour les PME. Les investissements dans les outils et les formations sont généralisés, mais la résilience dépend de la réduction des risques liés au partage d’accès, de la vérification des fournisseurs tiers et de l’intégration de pratiques sécurisées dans les opérations quotidiennes. Sans ce changement, le risque cyber restera à la fois fréquent et coûteux, quel que soit le budget alloué.
Le rapport complet peut être téléchargé en intégralité en suivant ce lien. Dans les prochains mois, d’autres rapports détaillant l’étude par pays et par secteur seront disponibles au téléchargement. Le rapport principal et les analyses qui l’accompagnent seront mis à jour annuellement afin de sensibiliser le public et de proposer des enseignements et des mesures pour garantir une sécurité optimale.
