La cybersécurité d’une PME française ne se limite pas à des considérations techniques : elle s’inscrit dans un cadre réglementaire et institutionnel précis. Savoir à qui s’adresser, quelles obligations vous incombent et quels dispositifs publics sont gratuits change considérablement la manière d’aborder le sujet.
Les institutions à connaître
L’ANSSI
L’Agence nationale de la sécurité des systèmes d’information est l’autorité française en la matière. Elle publie des guides d’hygiène informatique librement accessibles, dont le « Guide d’hygiène informatique » en 42 mesures, qui constitue une excellente feuille de route pour une PME. Elle diffuse également des alertes sur les vulnérabilités critiques via son centre opérationnel, le CERT-FR.
Cybermalveillance.gouv.fr
Ce dispositif national est probablement le plus utile au quotidien pour une petite structure. Il remplit trois fonctions : assistance aux victimes avec mise en relation avec des prestataires référencés, sensibilisation avec des supports réutilisables en interne, et observation des menaces. Son recours est gratuit.
La CNIL
Compétente sur les données personnelles, elle reçoit les notifications de violation et publie des recommandations concrètes sur la sécurité des traitements. Ses délibérations de sanction constituent une lecture instructive : elles décrivent précisément les manquements reprochés.
Vos obligations réglementaires
Le RGPD
Le règlement européen impose, dans son article 32, des mesures de sécurité « appropriées au risque ». Il ne prescrit pas de solution technique particulière, mais attend une démarche documentée. Point souvent négligé : l’article 33 vous oblige à notifier la CNIL dans les 72 heures après avoir pris connaissance d’une violation de données personnelles présentant un risque. Ce délai court vite lorsqu’on découvre l’incident un vendredi soir.
La directive NIS2
Transposée en droit français, NIS2 élargit considérablement le périmètre des entreprises régulées au-delà des seuls opérateurs critiques. Deux catégories coexistent, les entités « essentielles » et « importantes », déterminées par le secteur d’activité, l’effectif et le chiffre d’affaires. Même hors périmètre direct, vous pouvez être concerné indirectement : les entités régulées répercutent leurs exigences sur leurs sous-traitants par voie contractuelle.
La responsabilité des dirigeants
NIS2 introduit un changement de nature : la responsabilité de la gouvernance est explicitement engagée. La sécurité cesse d’être un sujet délégué à l’informatique pour devenir une obligation de direction, avec des sanctions pouvant atteindre un pourcentage du chiffre d’affaires mondial pour les entités essentielles.
Les spécificités du tissu économique français
Les PME françaises présentent quelques caractéristiques qui orientent les priorités.
- Une forte externalisation. Beaucoup confient leur informatique à un prestataire local. C’est rationnel, mais cela déplace le risque sans le supprimer : vérifiez ce que couvre réellement votre contrat d’infogérance, notamment sur les sauvegardes et la réponse à incident.
- Une dépendance à Microsoft 365. L’écrasante majorité des PME utilise cette suite. C’est une chance : les protections nécessaires y sont largement incluses, et souvent simplement désactivées par défaut.
- La sous-traitance industrielle. Si vous travaillez pour l’aéronautique, la santé ou la défense, vos donneurs d’ordre vous imposeront des exigences croissantes, indépendamment de votre taille.
Que faire en cas d’incident
L’ordre des actions compte, et il n’est pas intuitif.
- Isolez sans éteindre. Débranchez le réseau plutôt que d’arrêter les machines : éteindre détruit des traces utiles à l’analyse.
- Ne payez pas la rançon. Rien ne garantit la restitution et le paiement finance l’écosystème criminel.
- Déposez plainte auprès de la police ou de la gendarmerie. C’est souvent exigé par les assureurs.
- Notifiez la CNIL sous 72 heures si des données personnelles sont concernées.
- Faites-vous assister via cybermalveillance.gouv.fr si vous n’avez pas de prestataire de confiance.
En résumé
Une PME française dispose de ressources publiques gratuites et de qualité, largement sous-utilisées. Le guide d’hygiène de l’ANSSI et le dispositif cybermalveillance.gouv.fr couvrent l’essentiel des besoins d’une petite structure. Côté obligations, retenez surtout deux délais : 72 heures pour notifier la CNIL, 24 heures pour l’alerte précoce à l’ANSSI si vous relevez de NIS2. Le reste découle d’une démarche documentée et régulière.