Les TPE, PME et ETI représentent désormais 48 % des victimes de rançongiciels recensées par l’ANSSI en 2025, contre 37 % en 2024. Cette progression de onze points en un an ne traduit pas une simple variation statistique : elle reflète un ciblage délibéré des structures dont les défenses périmétriques restent sous-dimensionnées par rapport à la valeur opérationnelle de leurs données.
Empilement réglementaire CRA, NIS2, DORA : ce que les PME sous-traitantes doivent anticiper avant septembre 2026
La plupart des analyses se concentrent sur NIS2 et ses obligations de gouvernance. Nous observons que le vrai angle mort pour les PME de la chaîne numérique se situe ailleurs : le Règlement sur la cyberrésilience (CRA), dont les obligations de notification démarrent le 11 septembre 2026 pour les acteurs qui fabriquent, intègrent ou distribuent des produits ou logiciels connectés, quelle que soit leur taille.
Concrètement, une PME éditrice d’un logiciel métier embarqué dans l’offre d’un donneur d’ordres soumis à NIS2 se retrouve prise dans un double étau réglementaire. DORA, qui s’applique déjà au secteur financier depuis janvier 2025, impose à ses entités régulées de vérifier la posture cyber de leurs prestataires. NIS2 étend cette logique à des secteurs bien plus larges. Le CRA, lui, impose des exigences propres au cycle de vie du produit.
Cette superposition normative signifie qu’une PME peut être concernée simultanément par les trois textes selon la nature de ses clients et de ses livrables, un point que le cabinet Fidens accompagne régulièrement dans ses missions d’analyse de conformité auprès de structures intermédiaires.
Supply chain cyber : pourquoi les donneurs d’ordres vont forcer la main aux PME
La lecture purement réglementaire ne suffit pas à expliquer l’urgence. Le levier le plus puissant en 2026 est contractuel. Les grandes entreprises soumises à NIS2 sont tenues de maîtriser le risque cyber de leur chaîne d’approvisionnement. En pratique, cela se traduit par des clauses de sécurité insérées dans les appels d’offres et les renouvellements de contrats.
Nous voyons apparaître des questionnaires de maturité cyber systématiques, des exigences de certification (ISO 27001, qualification ANSSI) et des audits de conformité technique imposés aux sous-traitants. Une PME incapable de produire une politique de sécurité documentée, un plan de réponse à incident ou la preuve d’un MFA généralisé risque de perdre des marchés, pas seulement de recevoir une amende.
- Exigence de plan de continuité d’activité (PCA) testé au moins une fois par an, avec preuve de restauration effective des sauvegardes
- Obligation de notification d’incident au donneur d’ordres dans un délai contractuel souvent fixé à 24 ou 48 heures
- Démonstration d’une segmentation réseau effective séparant les environnements de production des postes bureautiques
- Fourniture d’un registre de traitement des vulnérabilités avec priorisation par criticité
Le marché lui-même devient le régulateur. Les PME qui n’investissent pas maintenant dans leur posture cyber perdront leur accès aux écosystèmes de sous-traitance avant même que les sanctions réglementaires ne tombent.
Rançongiciels ciblant les PME : anatomie d’un modèle économique qui s’industrialise
L’augmentation du ratio de PME parmi les victimes de rançongiciels n’est pas accidentelle. Les groupes cybercriminels optimisent leur retour sur investissement en ciblant des structures qui paient plus vite et négocient moins. Le modèle Ransomware-as-a-Service (RaaS) a démocratisé l’accès aux outils d’attaque : un affilié achète un kit, cible des PME par lots et partage les revenus avec l’opérateur de la plateforme.
Sur le terrain, les vecteurs d’entrée restent remarquablement stables. Le piratage de comptes représente la première cause d’assistance sur Cybermalveillance.gouv.fr, suivi de l’hameçonnage et de la fraude au virement. Ce qui change, c’est la vitesse d’exécution : l’IA permet désormais d’identifier des cibles, d’analyser leurs vulnérabilités et de lancer des opérations sans intervention humaine à chaque étape.
Pour une PME à quelques millions de chiffre d’affaires, une interruption d’activité de deux à trois semaines combinée à une rançon et aux coûts de remédiation peut menacer directement la viabilité de l’entreprise. Le rapport coût de la protection / coût d’un incident ne laisse plus de place à l’attentisme.
Budget cybersécurité PME : trois investissements à effet immédiat
Nous recommandons de concentrer le budget disponible sur trois postes dont l’effet de réduction du risque est le plus élevé par euro dépensé.
Le premier est le déploiement d’un EDR sur l’ensemble des postes et serveurs. Les antivirus classiques à signatures ne détectent plus les techniques d’attaque actuelles. Un EDR managé offre une capacité de détection comportementale et de réponse rapide, externalisable via un SOC pour les structures sans équipe sécurité dédiée.
Le deuxième est l’activation systématique du MFA sur tous les comptes à privilèges et les accès distants. Le piratage de comptes reste le premier vecteur d’intrusion : un MFA correctement implémenté (pas par SMS, mais par application TOTP ou clé FIDO2) bloque la majorité des tentatives d’accès illégitime.
- EDR managé avec capacité de réponse à incident intégrée
- MFA par application TOTP ou clé FIDO2 sur tous les comptes à privilèges, VPN et messagerie
- Sauvegardes 3-2-1 avec au moins une copie hors ligne, testées trimestriellement par restauration complète
Le troisième poste, les sauvegardes selon la règle 3-2-1 avec copie hors ligne, reste le dernier rempart contre le chiffrement par rançongiciel. Une sauvegarde non testée équivaut à une sauvegarde inexistante : nous observons régulièrement des restaurations échouées faute de vérification périodique.
Ces trois mesures ne couvrent pas l’ensemble du spectre, mais elles traitent les vecteurs d’attaque qui concentrent la majorité des incidents documentés en France. La fenêtre pour agir sans pression réglementaire ou contractuelle se referme. Les PME qui auront structuré leur posture cyber avant fin 2026 disposeront d’un avantage concurrentiel tangible, les autres devront le faire dans l’urgence, à coût bien supérieur.
