Cybersécurité des TPE-PME : les priorités révélées par France Num 2026

Ce que le baromètre mesure réellement

Le communiqué de la Direction générale des Entreprises du 28 septembre 2026 indique que 39 % des TPE-PME interrogées déclarent au moins un incident de cybersécurité au cours des douze derniers mois. France Num confirme ce résultat dans son dossier actualisé le 2 octobre. Le chiffre couvre des incidents de natures différentes ; il ne signifie pas que 39 % des entreprises ont subi un rançongiciel ou un arrêt complet.

L’enquête porte sur 9 655 entreprises, interrogées du 23 mars au 18 avril 2026. Il s’agit de déclarations nationales recueillies au printemps, pas d’un comptage des attaques d’octobre ni d’un taux propre à Caen ou à la Normandie.

Selon le même communiqué, 84 % des TPE-PME ont au moins une mesure de protection, 67 % une sauvegarde externe et 39 % une authentification multifacteur. Ces équipements ne prouvent pas, à eux seuls, que tous les comptes sont protégés ou que les sauvegardes peuvent être restaurées. Notre recommandation : vérifier les dispositifs en situation, puis suivre les corrections.

Protéger d’abord les accès qui permettent de travailler

La CNIL recommande des mots de passe uniques, un gestionnaire de mots de passe et la double authentification, notamment pour la messagerie, les comptes administrateurs et les services en ligne. Elle recommande également les mises à jour et l’installation d’applications depuis les sources officielles.

Pour passer à l’action, nous proposons de commencer par une liste de vos comptes indispensables : messagerie, facturation, site internet, stockage et outils métier. Pour chacun, notez le propriétaire, le prestataire et le moyen de récupération. Faites réaliser les changements techniques par la personne compétente.

• Repérer les comptes partagés et les accès d’anciens collaborateurs ou prestataires.
• Vérifier la double authentification sur chaque compte prioritaire, sans désactiver les protections existantes.
• Conserver les moyens de récupération dans un emplacement protégé accessible au responsable désigné.
• Fixer un rendez-vous avec le prestataire pour traiter les équipements ou logiciels qui ne sont plus maintenus.

Vérifier qu’une sauvegarde permet vraiment de reprendre

La CNIL recommande plusieurs copies sur des supports différents, dont une déconnectée du réseau, ainsi que des tests réguliers de restauration. Une simple présence de fichiers dans le cloud ne suffit pas à démontrer la capacité de reprise.

Notre exercice proposé : choisir un dossier non sensible, demander au prestataire de le restaurer dans un environnement de test et consigner le résultat. Préservez les fichiers de production. Mesurez le temps nécessaire et identifiez ce qui manquerait pour traiter les commandes après une panne.

• Lister les données indispensables : devis, factures, contacts clients, planning et dossiers en cours.
• Identifier la dernière sauvegarde disponible et la personne chargée de la vérifier.
• Documenter le test, les erreurs rencontrées et l’action corrective décidée.
• Prévoir l’accès aux contacts et procédures lorsque l’ordinateur habituel est indisponible.

Installer un contrôle simple des changements de RIB

La CNIL invite à vérifier par un autre canal les messages suspects, notamment ceux demandant un paiement ou une modification des coordonnées bancaires. Utilisez le numéro habituel de votre interlocuteur.

Exemple hypothétique : un fournisseur transmet un nouveau RIB avec une demande urgente. Votre procédure interne peut imposer un appel au contact déjà enregistré, puis une validation distincte avant paiement. Présentez cette règle à toutes les personnes qui traitent les factures et convenez de qui remplace le responsable en son absence. Il s’agit d’une proposition d’organisation, pas d’une obligation nouvelle issue du baromètre.

En Normandie : distinguer prévention et assistance à incident

Dans le Calvados, la CCI Caen Normandie propose un autodiagnostic Flashdiag gratuit et une offre de diagnostic pour identifier les priorités. Consultez sa page cybersécurité pour demander un accompagnement et vérifier le périmètre et les conditions de la prestation. Aucun financement automatique n’est annoncé ici.

Pour les PME et ETI normandes, Normandie Cyber est un centre régional de réponse aux incidents et d’orientation vers les professionnels. Son numéro est le 0808 800 001 ; son adresse est contact@normandie-cyber.fr. L’accueil téléphonique fonctionne de 8 h 15 à 17 h du lundi au jeudi et de 8 h 15 à 15 h 45 le vendredi, hors jours fériés.

La page actuelle de Normandie Numérique oriente spécifiquement les TPE et associations locales vers le diagnostic de 17Cyber. Utilisez cette porte d’entrée pour obtenir une orientation adaptée ; ne supposez pas qu’une intervention technique complète du centre régional est incluse.

En cas de système compromis, Normandie Cyber recommande d’isoler les appareils concernés du réseau et de préserver les preuves. Contactez rapidement l’assistance depuis un appareil sain. Les décisions de remise en service doivent être prises avec les spécialistes qui analysent l’incident.

Un plan de vérification sur quatre semaines

Nous proposons le calendrier suivant pour une entreprise sans incident en cours. Il sert à attribuer des responsabilités et à obtenir des preuves de fonctionnement ; il ne remplace pas un audit de sécurité.

Relier la sécurité au pilotage de l’entreprise

Votre tableau de suivi peut tenir en cinq colonnes : priorité, responsable, échéance, preuve de vérification et prochaine revue. L’indicateur utile est le nombre de points corrigés et testés, avec les problèmes encore ouverts.

Business United peut vous aider à organiser les responsabilités, le budget et le suivi de ce plan dans le cadre du pilotage des opérations. Le diagnostic technique, la sécurisation des systèmes et la réponse à incident restent confiés à des spécialistes. Préparez votre liste de dépendances pour un premier échange.