Cybersécurité des TPE, PME et auto-entrepreneurs : se protéger et réagir
Mis à jour le 21 octobre 2026
Selon le dernier bilan de Cybermalveillance.gouv.fr, publié en mai 2026, le piratage de compte, l’hameçonnage et la fraude au virement représentent la moitié des demandes d’assistance des entreprises. Une TPE se protège d’abord avec des sauvegardes, des mises à jour et la double authentification, que seules 26 % des TPE et PME utilisent. En cas d’attaque, la plateforme publique 17Cyber oriente gratuitement les victimes.
Une petite entreprise n’a pas de service informatique, mais elle a des comptes bancaires, des données clients et une messagerie que les pirates savent exploiter. Ce guide présente les menaces les plus fréquentes, les protections prioritaires et les aides gratuites.
Sommaire
- Quelles cyberattaques visent les TPE et PME ?
- Les 10 réflexes de cybersécurité en entreprise
- Stratégie cyber et obligations légales
- L’assurance cyber : ce qu’elle couvre
- Télétravail et nomadisme
- Que faire en cas de cyberattaque ?
- Les aides gratuites pour les petites entreprises
- Les pépites françaises de la cybersécurité
Voici les menaces qui ont motivé le plus de demandes d’assistance des entreprises et associations auprès de Cybermalveillance.gouv.fr, selon son bilan publié en mai 2026.
| Rang | Menace | Part des demandes | Évolution sur un an |
|---|---|---|---|
| 1 | Piratage de compte | 21 % | +52 % |
| 2 | Hameçonnage | 16 % | +29 % |
| 3 | Fraude au virement et faux RIB | 13,5 % | +93 % |
| 4 | Rançongiciel | 8,1 % | En légère hausse |
| 5 | Fuite de données | 6,6 % | +40 % |
La fraude au virement progresse le plus vite : un faux fournisseur annonce un changement de coordonnées bancaires, et la facture suivante part sur le compte de l’escroc. Nous détaillons cette arnaque au RIB substitué, l’hameçonnage en entreprise et les rançongiciels.
- Sauvegarder les données chaque semaine, avec une copie hors ligne.
- Installer les mises à jour dès leur sortie, sur les ordinateurs comme sur les téléphones.
- Activer la double authentification sur la messagerie, la banque et les outils en ligne.
- Utiliser un gestionnaire de mots de passe, avec un mot de passe différent par service.
- Vérifier par téléphone tout changement de RIB ou demande de virement urgent.
- Séparer les comptes administrateur des comptes de travail quotidien.
- Former les salariés à reconnaître un message piégé.
- Protéger chaque poste avec un antivirus et un pare-feu à jour.
- Limiter les accès aux seules données utiles à chacun.
- Préparer une fiche réflexe pour savoir qui appeler en cas d’attaque.
Les auto-entrepreneurs trouveront une version adaptée dans nos 10 conseils pour les auto-entrepreneurs, et un tutoriel pour activer la double authentification.
Une stratégie cyber commence par un diagnostic : savoir quels outils, données et accès l’entreprise utilise vraiment. Notre tutoriel d’audit pour les PME permet de le faire sans prestataire. Viennent ensuite un plan de crise et, si possible, un exercice pour le tester.
Certaines obligations s’appliquent déjà à toutes les entreprises. En cas de fuite de données personnelles, le RGPD impose de prévenir la CNIL dans les 72 heures. La directive européenne NIS2 étendra des obligations de sécurité à plusieurs milliers d’entreprises de plus de 50 salariés dans 18 secteurs, mais sa transposition en France, la loi Résilience, n’est toujours pas adoptée en octobre 2026. Les éditeurs et fabricants de produits numériques doivent aussi se préparer au Cyber Resilience Act.
Une assurance cyber prend en charge tout ou partie des frais après une attaque : intervention d’experts, restauration des systèmes, perte d’exploitation, notification des clients, et parfois la responsabilité envers des tiers. Les assureurs exigent en échange des protections de base : sauvegardes, double authentification, mises à jour. Depuis 2023, toute indemnisation liée à une cyberattaque, rançon comprise, suppose une plainte déposée dans les 72 heures. Comparez les offres dans notre comparatif des assurances cyber.
Un ordinateur portable emporté dans un train, un Wi-Fi d’hôtel ou un poste partagé avec la famille sont autant de portes d’entrée. Les règles de base : un VPN pour les connexions extérieures, un filtre de confidentialité sur l’écran, et une stricte séparation des usages entre travail et vie privée. Retrouvez nos 10 conseils pour le télétravail.
Que faire en cas de cyberattaque ?
- Débrancher du réseau les appareils touchés, sans les éteindre, pour préserver les traces.
- Ne pas payer de rançon : rien ne garantit la récupération des données.
- Se rendre sur 17Cyber, la plateforme publique d’assistance aux victimes, pour un diagnostic et une mise en relation avec un prestataire.
- Porter plainte au commissariat, à la gendarmerie, ou en ligne pour certaines escroqueries.
- Déclarer la fuite de données à la CNIL dans les 72 heures si des données personnelles sont touchées.
- Prévenir son assureur, sa banque et, si besoin, ses clients.
Le détail figure dans nos 10 gestes d’urgence en cas de cyberattaque.
Les aides gratuites pour les petites entreprises
| Dispositif | Pour quoi | Où |
|---|---|---|
| 17Cyber | Diagnostic et assistance en cas d’attaque | 17cyber.gouv.fr |
| Cybermalveillance.gouv.fr | Conseils, fiches pratiques, annuaire de prestataires labellisés ExpertCyber | cybermalveillance.gouv.fr |
| MonAideCyber (ANSSI) | Diagnostic gratuit avec un bénévole formé | monaide.cyber.gouv.fr |
| SensCyber | Formation en ligne gratuite pour les salariés | Notre article sur SensCyber |
| France Num | Test en ligne du niveau de sécurité | francenum.gouv.fr |
| CCI | Ateliers et accompagnement locaux | La CCI de votre territoire |
Nous présentons aussi les outils de cybersécurité pour les entreprises.
Les pépites françaises de la cybersécurité
De nombreuses entreprises françaises proposent des solutions adaptées aux PME, de la détection des menaces à la protection des données. Nous en présentons une sélection, avec ce qu’elles apportent concrètement.
Sources
- Cybermalveillance.gouv.fr, Quelles sont les principales cybermalveillances visant les professionnels en 2025 ?, mai 2026
- Cybermalveillance.gouv.fr et OpinionWay, baromètre de la maturité cyber des TPE-PME, octobre 2025
- RGPD, article 33 ; directive (UE) 2022/2555 dite NIS2
- Code des assurances, article L12-10-1
Les plus lus
Derniers articles
Contrôle parental français : quelles solutions choisir en 2026 ?
Watch Dogs : ce que la série d’Ubisoft dit vraiment du hacking
Sites Utiles
Messervicescyber - Le portail de la transformation numérique des entreprises
Cybermalveillance.gouv - La cybersécurité pour les TPE/PME – enjeux et solutions
Le Campus Cyber de Paris est le lieu totem de la cybersécurité
Paroles d'expert
Chaque mois retrouvez le témoignage d’un expert en cybersécurité.