Les PME suisses sous-estiment la menace des cyberattaques pour leurs activités

Les cyberincidents se classent au premier rang des risques auxquels sont exposées les entreprises dans le monde depuis cinq années consécutives. Pourtant, les petites et moyennes entreprises suisses considèrent encore que nombre de ces menaces concernent les autres, selon une étude de VZ VermögensZentrum et de la Haute école spécialisée de Lucerne.

Cette mise en garde intervient alors que les cyberrisques dépassent largement le seul domaine informatique. Une attaque peut interrompre la production ou les ventes, corrompre des données, endommager des systèmes, inquiéter la clientèle et entraîner des obligations légales. Elle peut aussi exercer une pression immédiate sur les liquidités si l’entreprise doit rétablir ses activités, remplacer du matériel ou compenser une perte de recettes. Pour une petite entreprise disposant de réserves limitées, une interruption prolongée peut menacer la poursuite de ses activités.

Selon l’étude, de nombreuses PME pensent avoir peu de chances d’être touchées. Cette idée les expose, car les systèmes numériques sont désormais au cœur des tâches courantes dans presque tous les secteurs, des dossiers clients et de la comptabilité à la logistique et aux communications. Il n’est pas nécessaire d’être une entreprise technologique pour dépendre de la technologie.

L’ampleur mondiale du phénomène est manifeste. La cybercriminalité a engendré des coûts estimés à 9 500 milliards de dollars, soit 7 880 milliards de francs, en 2024, ce qui en ferait la troisième économie mondiale si elle était un pays.

Les autorités suisses ont enregistré un peu moins de 58 000 infractions impliquant des moyens numériques en 2025. Ce chiffre ne reflète pas l’ampleur totale du problème, l’étude faisant état d’un grand nombre de cas non signalés. Le taux d’élucidation s’élevait à 17,6 %, de sorte que de nombreuses victimes n’ont pas obtenu de réponse claire.

Pour les PME, le fait de ne pas signaler une infraction peut commencer par un doute. Une entreprise peut ignorer si une demande de paiement suspecte, un compte bloqué ou un fichier disparu relève d’un acte criminel, d’une défaillance technique ou d’une erreur interne. Certaines entreprises peuvent aussi hésiter à révéler un incident par crainte d’atteinte à leur réputation ou de détériorer leurs relations avec la clientèle.

Cette incertitude entraîne des coûts concrets. Une entreprise qui ne consigne pas les faits risque d’avoir du mal à identifier ses dépendances numériques, à avertir les personnes concernées ou à démontrer qu’elle a réagi de manière responsable. Elle peut aussi perdre des informations précieuses susceptibles d’aider les enquêteurs à établir des liens entre différentes affaires.

L’étude ne présente pas les statistiques criminelles comme une mesure exhaustive de l’exposition aux risques. Elles ne constituent qu’une partie visible d’un paysage plus vaste, qui comprend les tentatives d’attaque, les incidents découverts tardivement et les cas qui ne sont jamais signalés aux autorités. Pour les petites entreprises, la première étape est donc simple, mais importante : déterminer qui est chargé de détecter, documenter et signaler un cyberincident.

Une PME doit savoir quels systèmes numériques sont indispensables à la survie de l’entreprise avant que l’un d’eux ne tombe en panne. L’étude de VZ VermögensZentrum et de la HSLU indique que les entreprises peuvent mieux gérer les cyberrisques en cartographiant leurs dépendances numériques et en attribuant clairement les responsabilités.

Cet exercice doit aller au-delà des serveurs et des logiciels. Une entreprise peut dépendre d’un prestataire externe pour les paiements, le stockage dans le nuage, les communications avec la clientèle, les salaires ou la planification de la production. Elle peut s’appuyer sur une seule personne qui sait comment fonctionnent les systèmes, ou sur un fournisseur dont les accès n’ont jamais été vérifiés. Chaque dépendance constitue un point d’interruption possible et implique une décision à prendre en situation de crise.

L’étude recommande aux PME d’élaborer des plans de continuité et d’évaluer les conséquences financières de différents incidents. Il s’agit d’estimer le coût d’une interruption, de la restauration des données, du recours à des spécialistes, de la communication avec la clientèle et des éventuelles obligations légales. Il faut aussi décider quels risques l’entreprise entend éviter, réduire, assumer ou transférer au moyen d’une assurance.

Les alertes techniques ne sont utiles que si la direction peut les relier aux activités et aux finances. Un système hors service est un problème informatique. Une semaine sans commandes, factures ni livraisons est un problème commercial. Les PME ont besoin de plans qui tiennent compte des deux.

Moins de 12 % des entreprises suisses disposent actuellement d’une cyberassurance. L’étude cite la complexité des produits d’assurance comme l’une des raisons pour lesquelles les PME peuvent avoir de la peine à comparer les couvertures. Elle souligne aussi que l’assurance ne remplace ni la prévention ni une gestion efficace des risques.

Pour une personne à la tête d’une entreprise, la décision ne consiste pas simplement à choisir une police dans une liste. La couverture doit éventuellement tenir compte des pertes liées aux interruptions, de la récupération des données, des frais juridiques, des obligations de notification et du soutien de spécialistes externes. Son utilité dépend des systèmes de l’entreprise, de ses contrats, de sa clientèle et de sa capacité à absorber une interruption prolongée. Une police qui ne correspond pas à ces réalités peut donner un faux sentiment de sécurité.

L’assurance intervient également après que l’entreprise a pris des mesures de précaution élémentaires. Avant d’accorder une couverture ou de régler un sinistre, les assureurs peuvent examiner les contrôles d’accès, les sauvegardes, les procédures en cas d’incident et les responsabilités du personnel. Ces exigences peuvent aider une PME à repérer ses lacunes, mais elles ne suppriment pas la nécessité d’un plan interne.

Le message de l’étude est concret : commencer par comprendre son exposition, puis décider des risques à prévenir, réduire, assumer ou assurer. Pour nombre d’entreprises, cette démarche peut montrer qu’un investissement modeste dans la préparation protège plus directement les liquidités qu’une police considérée isolément.

La survie d’une PME peut dépendre de décisions prises avant même qu’un incident ne survienne. L’étude de VZ VermögensZentrum et de la HSLU invite les entreprises à faire du cyberrisque une question de gestion, avec des responsabilités attribuées, des plans de continuité testés et des calculs financiers clairs.

Cette approche est importante dans toute la Suisse, où de nombreuses petites entreprises fonctionnent avec des équipes réduites et entretiennent des relations étroites avec leur clientèle et leurs fournisseurs. Une perturbation peut rapidement avoir des conséquences sur les commandes, les salaires, les livraisons et la confiance. Même lorsque les systèmes sont rétablis, des données endommagées ou des obligations légales mal définies peuvent prolonger les répercussions.

Les priorités immédiates sont simples. La direction doit repérer les systèmes critiques et les prestataires externes, déterminer qui prend les commandes en cas d’incident, prévoir des solutions de rétablissement opérationnelles et calculer le coût d’une interruption. Le personnel doit aussi disposer d’un moyen de signaler les activités suspectes avant qu’un petit signe d’alerte ne provoque une interruption majeure. Les entreprises doivent réexaminer ces dispositions plutôt que de les laisser dans un dossier que personne n’a ouvert.

Les chiffres disponibles montrent pourquoi il est coûteux de tarder. La Suisse a enregistré près de 58 000 infractions commises au moyen de procédés numériques en 2025, tandis que moins de 12 % des entreprises disposaient d’une cyberassurance. La préparation n’éliminera pas les attaques, et l’assurance ne rétablira pas toutes les relations perdues. Toutes deux font partie d’un plan de gestion des risques plus large, qui considère la résilience numérique comme un élément ordinaire de la continuité des activités.