Cybersécurité PME 2026 : plan de résilience cyber en 30 jours

Pour rendre votre PME résiliente face au ransomware en 30 jours, activez l’authentification multifacteur partout, mettez en place une sauvegarde hors ligne testée par une vraie restauration, déployez une détection sur les postes, puis rédigez un plan de reprise d’une page et vérifiez votre assurance cyber. Sans DSI, c’est faisable en quatre semaines, une priorité par semaine.

Pourquoi une PME sans DSI est-elle une cible privilégiée en 2026 ?

Parce qu’elle est moins protégée qu’un grand compte et qu’elle ouvre souvent la porte vers ses clients. Selon le Panorama de la cybermenace 2025 de l’ANSSI (publié en 2026), les TPE, PME et ETI représentent 48 % des victimes de rançongiciel traitées en France, contre 37 % en 2024. Sur le terrain, Cybermalveillance.gouv.fr relève dans son rapport d’activité 2025 une hausse de 73 % du nombre d’entreprises assistées en un an, surtout pour du piratage de compte, de l’hameçonnage et de la fraude au virement.

Le détail des scénarios d’attaque est dans mon article sur les risques de cyberattaque pour une PME en 2026. Ici, je me concentre sur ce que vous faites en 30 jours.

Que se passe-t-il concrètement lors d’un ransomware ?

L’attaquant entre par un compte sans MFA ou un accès distant non mis à jour, observe quelques jours, copie vos données, puis chiffre les serveurs et toutes les sauvegardes joignables depuis le réseau. Le coût réel vient rarement de la rançon : il vient de l’arrêt d’activité et d’une restauration qui dure des semaines faute de copie saine. S’ajoute l’obligation de notifier la CNIL sous 72 heures en cas de fuite de données personnelles. La CNIL a reçu 6 167 notifications de violation en 2025, un record, dont une sur deux liée à un piratage (rapport annuel 2025, publié en 2026).

Comment bâtir un plan de résilience cyber en 30 jours ?

Une priorité par semaine, et une preuve à la fin de chaque semaine. Sans preuve, l’étape n’est pas faite.

Semaine 1 : verrouiller les identités

Authentification multifacteur sur la messagerie, les accès administrateur et le VPN, sans exception pour le dirigeant.
Comptes administrateur nominatifs, séparés des comptes du quotidien, et suppression des accès des anciens collaborateurs et prestataires.
Règle anti-fraude au virement : tout changement de RIB se confirme par téléphone à un numéro déjà connu, jamais par retour de mail.
Preuve : la liste des comptes avec MFA activé, validée par vous.

Semaine 2 : sauvegarder et prouver la restauration

Trois copies de vos données, sur deux supports différents, dont une hors ligne ou immuable, inaccessible depuis le réseau bureautique.
Un test de restauration réel et chronométré : un serveur, votre ERP ou vos partages de fichiers, remis en service depuis la sauvegarde.
Un ordre de restauration écrit : quoi remonter en premier (facturation, messagerie, production) et en combien d’heures.
Preuve : le compte rendu du test, avec la durée mesurée.

Semaine 3 : détecter et contenir

Un outil de détection (EDR) sur tous les postes et serveurs, supervisé par un prestataire si personne ne le surveille en interne.
Une procédure d’isolement : n’importe quel salarié sait débrancher un poste suspect du réseau et qui appeler, en moins de deux minutes.
Mises à jour appliquées sur tout ce qui est exposé à Internet : VPN, pare-feu, passerelle de messagerie, systèmes d’exploitation.
Preuve : la capture de la console EDR et la liste des équipements exposés avec leur version.

Semaine 4 : plan de reprise et assurance cyber

Un plan de reprise d’une page : qui décide, qui isole, qui restaure, qui communique, avec les numéros de téléphone hors messagerie (le mail sera peut-être hors service).
Les contacts utiles imprimés : prestataire informatique, assureur, avocat, et 17Cyber.gouv.fr pour l’assistance et le dépôt de plainte.
Relecture de votre contrat d’assurance cyber : exclusions, exigences techniques (MFA, sauvegardes) qui conditionnent l’indemnisation, plafond et délai de déclaration.
Preuve : le plan signé et testé par un exercice sur table d’une heure avec vos responsables.

Faut-il un DSI ou un gros budget pour tenir ce plan ?

Non. Les semaines 1 et 2 relèvent surtout de décisions et de discipline : activer le MFA, choisir un support de sauvegarde, planifier un test. Les semaines 3 et 4 demandent un prestataire ou un accompagnement ponctuel, pas une embauche. Ce qui coûte cher, ce n’est pas le plan, c’est la restauration ratée après l’attaque.

Pour cadrer le budget, lisez combien coûte un audit informatique pour une PME et, si la question de la compétence interne se pose, externaliser sa DSI ou embaucher.

Questions fréquentes sur la cybersécurité des PME

Le MFA suffit-il à bloquer un ransomware ?

Non, mais il ferme la porte la plus utilisée : le compte de messagerie ou l’accès distant dont le mot de passe a fuité. Le MFA réduit fortement le piratage de compte, la menace la plus signalée par les entreprises à Cybermalveillance.gouv.fr en 2025. Il se complète par des sauvegardes hors ligne et une détection sur les postes.

Qu’est-ce qu’une sauvegarde immuable et pourquoi en faut-il une ?

Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une durée fixée, même par un administrateur. Les attaquants cherchent d’abord à détruire vos sauvegardes avant de chiffrer. Une copie immuable ou hors ligne, déconnectée du réseau bureautique, garantit qu’il vous reste une version saine pour redémarrer sans payer.

Faut-il payer la rançon ?

Je le déconseille, et les autorités françaises aussi : payer ne garantit ni la récupération des données ni l’absence de fuite, et vous signale comme une entreprise qui paie. La vraie réponse est une sauvegarde testée qui rend la rançon inutile. Déposez plainte via 17Cyber.gouv.fr et prévenez votre assureur avant toute décision.

Que couvre une assurance cyber pour une PME ?

Généralement les frais de réponse à incident, la restauration, la perte d’exploitation, la gestion de crise et parfois les réclamations de tiers. Attention aux conditions : la plupart des contrats exigent le MFA, des sauvegardes séparées et des mises à jour régulières. Sans ces mesures, l’indemnisation peut être réduite ou refusée.

Dans quel délai faut-il déclarer une cyberattaque à la CNIL ?

Sous 72 heures après en avoir pris connaissance, dès lors que des données personnelles (clients, salariés, prospects) sont concernées, ce qui est le cas de la plupart des ransomwares. La notification se fait en ligne sur le site de la CNIL. Vous devez aussi informer les personnes concernées si le risque pour elles est élevé.

Comment tester un plan de reprise sans arrêter l’activité ?

Par un exercice sur table : réunissez vos responsables une heure, annoncez un scénario (serveurs chiffrés un lundi matin) et déroulez le plan à voix haute. Qui isole, qui appelle qui, quoi restaurer en premier. Les trous apparaissent en trente minutes, sans toucher à la production.

Par où commencer ?

Aujourd’hui, posez une seule question à votre prestataire informatique ou à la personne qui gère vos serveurs : « À quand remonte le dernier test de restauration complet, et combien de temps a-t-il pris ? » Si la réponse est floue, votre semaine 2 devient votre semaine 1. Si vous voulez un regard extérieur sur vos priorités, je prends 30 minutes pour parcourir ce plan avec vous, sans engagement.