Cyberattaque

Piratage de comptes, exfiltration de données, usurpation d'identité : les attaques numériques ne visent plus seulement les grands groupes. Elles frappent d'abord les TPE et PME, souvent moins préparées, et parviennent aux grandes entreprises par leur intermédiaire. Avec 1 366 incidents de sécurité traités par l'ANSSI en 2025 — dont 67 % dans les secteurs de l'éducation, de la recherche, de la santé et des télécoms — et une majorité d'attaques revendiquant des causes politiques ou religieuses, la question n'est plus de savoir si une entreprise sera attaquée, mais quand — et si elle saura réagir. L'État, qui se prépare lui-même à des attaques jugées inévitables, l'affirme clairement : la cybersécurité est aujourd'hui une condition de liberté et un enjeu de souveraineté nationale et européenne.

La menace : des attaques de masse qui visent aussi les plus petits

Les attaques sont devenues indifférenciées : les assaillants saisissent l'opportunité d'attaquer tout le monde et de récupérer ce qui est récupérable. La rançon est de moins en moins utilisée ; le motif dominant est désormais l'exfiltration de données — d'où l'importance cruciale de conserver des sauvegardes hors réseau.

Les chiffres concernant les TPE/PME parlent d'eux-mêmes :

• 48 % des attaques visent les PME et TPE, cibles jugées plus faciles ;
• le dirigeant gère lui-même l'informatique dans 82 % des cas ;
• le piratage de compte arrive en tête des menaces (21 %) ;
• les attaquants entrent par les TPE pour remonter vers les grandes entreprises : la responsabilité du gérant de la TPE est directement engagée.

Le coût moyen d'une attaque oscille entre 50 000 et 200 000 €, dont 70 % de coûts cachés : réputation, arrêt de production, démotivation des équipes, hausse de la prime d'assurance. Et les freins à la protection sont bien identifiés : manque de temps, de budget (il faudrait pourtant seulement 3 à 5 % du budget informatique) et de connaissances. La bonne nouvelle ? La protection repose à 70 % sur du bon sens, et seulement 30 % sur la technique.

La cybersécurité ne se limite pas aux systèmes informatiques. La sécurité de l'information englobe le papier, les processus et les personnes — par exemple l'envoi accidentel d'informations sensibles au mauvais destinataire. Et comme le contrôle technique d'une voiture, elle exige un diagnostic régulier.

La réglementation se renforce : NIS2 et le CRA

La directive européenne NIS2, déclinée en droit français, fait passer le nombre d'opérateurs surveillés de 300 à 25 000. Elle distingue :

• les Entités Essentielles (EE) — dont les collectivités de plus de 30 000 habitants,
• les Entités Importantes (EI) — contraintes allégées, sur les 17 secteurs d'activités concernés.

Des sanctions sont prévues en cas de manquement (pour une EI : jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires). Les entreprises concernées doivent s'enregistrer auprès de l'ANSSI, mettre en place une vingtaine de règles et notifier tout incident. La plateforme : messervices.cyber.gouv.fr/nis2 accompagne cette démarche : inscription, test de maturité, diagnostic CyberDépart (avec un aidant validé, comme la CCI), catalogues d'outils et contacts labellisés.

Côté industriels, le Cyber Résilience Act (CRA) impose désormais la conformité en cybersécurité des machines et logiciels, maintenue au moins 5 ans après leur mise sur le marché. Au programme : analyse de risque (méthode EBIOS RM), revue de code, nomenclature des produits, et gestion des vulnérabilités avec des délais stricts — 24 h pour alerter, 72 h pour documenter, 14 jours pour le rapport final — et deux personnes déclarées (un principal, un secondaire). La cybersécurité devient ainsi une véritable démarche qualité.

IA : une opportunité à encadrer, pas à interdire

L'intelligence artificielle est une technologie de rupture qui facilite les contenus malveillants et accélère les attaques, dans un contexte géopolitique marqué (espionnage et sabotage d'origine étatique, notamment russe et chinoise). Mais interdire l'IA est une impasse : les utilisateurs l'emploieraient en secret. La règle des trois postures aide à y voir clair :

• NIA – non-recours à l'IA : l’entreprise s’expose à une utilisation clandestine ;
• AIA – aidé par l'IA : oblige à s'éduquer, se former et informer les collaborateurs sur l'éthique ;
• GIA – généré par l'IA : avec des incertitudes accrues comme le discernement des sources, le gain réel, la confidentialité, l’audit des résultats nécessaire, la vigilance et la responsabilité.

Le phénomène du Shadow IA - l'usage d'outils IA non approuvés (IA intégrées, extensions, agents SaaS…) - concerne 90 % des entreprises, et 43 % des utilisateurs cumulent IA officielle et IA clandestine. Le phénomène est impossible à bloquer : il faut l'encadrer, par la visibilité (cartographier toutes les IA utilisées), la gouvernance (charte IA, politique de sécurité, conformité IA Act et RGPD), l'accompagnement (sensibilisation, guides d'usage, alternatives approuvées) et le contrôle (outils CASB et DLP, après classification des données).

L'IA fait aussi planer un risque d'espionnage industriel : elle croise, synthétise et surtout déduit — reliant l'IT (mail, ERP, CRM) à l'OT (machines, capteurs, recettes). Une donnée banale en soi peut devenir stratégique par déduction, surtout si elle est combinée à d’autres données toutes aussi inoffensives lorsqu’elles sont prises séparémment. Deux garde-fous simples :

• la règle des 4C : une information est sensible si elle est Critique (avantage concurrentiel), Client (ses données), Confidentielle, ou Combinable ;
• le test du concurrent : « Serais-je à l'aise si mon principal concurrent lisait cette information demain ? »

L'objectif n'est pas d'arrêter l'IA, mais de maîtriser ce qu'on lui confie — rendre le « oui » possible dans des conditions maîtrisées.

Se protéger : les bons réflexes

Plusieurs dispositifs publics et gratuits existent :

• MonAideCyber (ANSSI) : diagnostic gratuit et 6 recommandations de base ;
• Cybermalveillance.gouv.fr : plus de 500 000 demandes d'assistance traitées, pour TPE/PME et collectivités 
• Le diagnostic MyCyber360 (base ISO 27001, 93 mesures) : un rapport complet avec plan d'action priorisé, adapté à la taille de l'entreprise — disponible via la CCI
• Les fiches pratiques IA de la CNIL et les guides de l'ANSSI sur la sécurité des IA génératives
• Protection de la marque en ligne (INPI) : réserver noms de domaine et comptes réseaux sociaux, prévoir des clauses contractuelles, et en cas d'atteinte, mettre en demeure et porter plainte.

En interne, la gouvernance repose sur quatre acteurs : le dirigeant, qui engage sa responsabilité et valide la stratégie ; le référent sécurité, formé et reconnu (inventaire du vital, plans d'action, préparation aux crises) ; les collaborateurs, premier risque à sensibiliser ; et les prestataires, qui installent les outils sans connaître la stratégie globale. Le facteur humain reste le risque le plus élevé — d'où l'importance de la sensibilisation, des tests de phishing en conditions réelles et de fiches de crise prêtes à l'emploi.

Conclusion

La sécurité numérique n'est plus une option technique réservée aux grands groupes : c'est une discipline de gestion, à la croisée du bon sens, de la réglementation et du facteur humain. Entre NIS2, le CRA et l'essor de l'IA, le cadre se durcit — mais les moyens d'agir sont là, souvent gratuits et à portée de main : un diagnostic, un référent désigné, des sauvegardes hors réseau, des équipes sensibilisées et des usages de l'IA encadrés. La vraie question n'est donc plus « faut-il s'y mettre ? » mais « par quoi commencer ? ». La réponse : par un diagnostic, dès aujourd'hui.

Plan de base cyber-sécurité pour toute entreprise

• Diagnostic : MonAideCyber (gratuit, ANSSI) puis MyCyber360 via la CCI (rapport priorisé).
• Gouvernance : désigner et former un référent sécurité, définir une charte, sensibiliser les équipes.
• Sauvegardes hors réseau et plan de gestion de crise (fiche + test de phishing).
• Conformité : vérifier son statut NIS2, s'inscrire sur les plateformes
• IA : cartographier les usages (Shadow IA), appliquer la règle des 4C et le test du concurrent, publier une charte IA.

Article rédigé sur la base des interventions du Digital Day – Champagnole (Jura) 2026.