Une PME peut perdre 97 000 € en moyenne après une cyberattaque, se retrouver sous le coup d’une sanction CNIL et voir sa réputation entamée en quelques jours. Pourtant, moins d’une PME sur dix est réellement protégée en France. Le lien entre cybersécurité et RGPD est direct : dès qu’une attaque touche des données personnelles, elle déclenche automatiquement une procédure RGPD, quelle que soit la taille de votre entreprise.
🔐 Ce qu’il faut retenir
97 000 € de coût moyen
Le coût direct d’une cyberattaque pour une PME, hors sanctions RGPD.
Jusqu’à 4 % du CA mondial
Le plafond des sanctions CNIL pour manquement aux droits des personnes.
50 % de faillite en 18 mois
La proportion de PME qui ne survivent pas à une cyberattaque majeure.
| Type de risque | Montant ou impact | Déclencheur |
|---|---|---|
| Sanction CNIL niveau 1 | Jusqu’à 10 M€ ou 2 % du CA mondial | Défaut de conformité (registre, DPO) |
| Sanction CNIL niveau 2 | Jusqu’à 20 M€ ou 4 % du CA mondial | Atteinte aux droits des personnes |
| Frais de notification | 7 € par contact notifié | Violation de données personnelles |
| Coût moyen cyberattaque | 97 000 € | Toute intrusion sur le système d’information |
| Risque de faillite | 1 PME sur 2 dans les 18 mois | Arrêt d’activité prolongé post-attaque |
Les PME sont-elles vraiment dans le viseur des cyberattaquants ?
Beaucoup de dirigeants partent du principe qu’ils sont trop petits pour intéresser des cybercriminels. C’est précisément ce qui les rend vulnérables. Grâce à une solution externalisée comme Dipeeo, les PME peuvent pourtant structurer leur conformité sans mobiliser de ressources internes importantes. Sur le terrain, les chiffres racontent une tout autre histoire : une PME subit en moyenne 330 000 tentatives d’attaques par an, contre 17 000 pour un grand groupe. Les cybercriminels ciblent délibérément les structures les moins protégées, parce qu’elles offrent le meilleur ratio effort-gain.
Seulement 10 % des PME françaises sont réellement protégées, et moins de la moitié réalisent des sauvegardes régulières de leurs données. Ce déficit de protection n’est pas anodin : il transforme chaque incident en crise potentiellement fatale. Et depuis l’entrée en vigueur du règlement général sur la protection des données, une cyberattaque qui touche des données personnelles de clients, salariés ou fournisseurs n’est plus seulement un problème informatique. Elle devient immédiatement un incident soumis aux obligations légales du RGPD, avec des conséquences financières qui s’accumulent.
Que risque concrètement une PME en cas de manquement au RGPD ?
Le RGPD prévoit deux niveaux de sanctions administratives, tous deux applicables aux PME comme aux multinationales. Le premier niveau concerne les manquements à la mise en conformité (absence de registre des traitements, pas de délégué à la protection des données, procédures inexistantes) : l’amende peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé s’appliquant. Le second niveau vise les atteintes directes aux droits des personnes concernées (consentement absent, demandes d’accès ignorées, données non effacées) : le plafond monte à 20 millions d’euros ou 4 % du CA mondial.
Ces montants ne concernent pas que le CAC 40. La CNIL peut être saisie directement par vos clients ou salariés, sans qu’aucun contrôle préalable ne soit nécessaire. En cas de violation de données, vous disposez de 72 heures pour la notifier à l’autorité de contrôle. Si les personnes concernées sont exposées à un risque élevé, vous devez aussi les prévenir individuellement. Ce process a un coût : 7 € par contact notifié en moyenne, ce qui représente 35 000 € pour 5 000 clients touchés, avant même d’avoir mobilisé un expert juridique ou informatique pour mener l’enquête interne obligatoire.
Les PME bénéficient d’une priorité de contrôle moindre que les grandes structures, mais une démarche documentée (registre tenu, procédure de gestion des violations formalisée) joue directement en votre faveur si un contrôle survient. L’absence totale de démarche, elle, aggrave systématiquement la sanction.
97 000 € en moyenne : ce qu’une cyberattaque coûte réellement à une PME
Le chiffre de 97 000 € de coût moyen recouvre des réalités très concrètes. Un rançongiciel bloque l’intégralité de votre système d’information : vous ne pouvez plus facturer, produire, ni communiquer. Chaque jour d’arrêt génère des pertes directes d’exploitation, et la reprise d’activité nécessite des interventions techniques coûteuses. À cela s’ajoutent les frais d’investigation pour identifier l’origine et l’étendue de l’attaque, obligation légale dans le cadre du RGPD dès lors que des données personnelles sont concernées.
Le scénario du doxing illustre bien la double exposition des PME : un attaquant vole vos bases de données clients, puis menace de les publier pour obtenir une rançon. Vous vous retrouvez à arbitrer entre payer la rançon et subir les sanctions RGPD pour violation de données, les deux n’étant pas mutuellement exclusifs. Régler la rançon n’efface pas l’obligation de notification à la CNIL.
Les coûts s’accumulent de plusieurs façons :
- Pertes d’exploitation pendant l’interruption d’activité
- Frais de remise en état du système informatique
- Honoraires d’experts techniques et juridiques pour l’enquête interne
- Frais de notification des personnes concernées
- Fraudes consécutives à l’exploitation des données volées
C’est cette accumulation qui explique que 50 % des PME victimes d’une cyberattaque déposent le bilan dans les 18 mois. Le choc initial est rarement mortel seul ; c’est la somme des coûts qui épuise la trésorerie.
Quels coûts invisibles fragilisent durablement l’entreprise après une attaque ?
Au-delà des frais immédiats, une cyberattaque engendre des pertes difficiles à chiffrer mais bien réelles. Ces impacts indirects sont souvent absents des calculs de risque des dirigeants de PME, alors qu’ils peuvent peser autant que les coûts directs sur la santé financière à moyen terme.
Réputation et perte de clients
Selon un sondage Opinion Way, 8 Français sur 10 se disent prêts à boycotter une entreprise qui ne protège pas correctement leurs données personnelles. Une fuite rendue publique, même partielle, génère un dommage réputationnel qui s’installe dans la durée. Les avis négatifs, les articles de presse locale ou les signalements sur les réseaux sociaux ont une longévité bien supérieure à l’incident lui-même. Pour une PME dont la clientèle repose sur la confiance et le bouche-à-oreille, cet impact peut se révéler plus destructeur que l’amende.
Risque commercial B2B
Les donneurs d’ordre intègrent désormais des clauses de conformité RGPD dans leurs contrats de sous-traitance. Une PME qui ne peut pas démontrer sa conformité se retrouve écartée des appels d’offres ou exposée à une résiliation de contrat. Ce risque commercial touche particulièrement les PME prestataires de services, qui traitent des données pour le compte d’autres entreprises et endossent à ce titre la responsabilité de sous-traitant au sens du RGPD.
Responsabilité civile
Les personnes dont les données ont été compromises peuvent engager une action en responsabilité civile contre votre entreprise. Frais de défense juridique, honoraires d’avocat, indemnités potentielles : ce risque, encore peu activé en France, progresse à mesure que les consommateurs prennent conscience de leurs droits. Il constitue une exposition financière réelle, même si elle reste aujourd’hui moins fréquente que les sanctions administratives.
Comment réduire son exposition financière sans tout réinventer ?
Réduire son exposition ne demande pas de tout refondre d’un coup. Quelques actions ciblées suffisent à changer radicalement votre profil de risque, à la fois devant la CNIL et face aux attaquants.
Les priorités concrètes à mettre en place :
- Tenir un registre des activités de traitement (modèles gratuits disponibles sur cnil.fr) : c’est le premier document examiné en cas de contrôle
- Formaliser une procédure de gestion des violations, même simple : qui prévient qui, dans quel délai, comment notifier la CNIL sous 72 heures
- Mettre en place des sauvegardes régulières et déconnectées, seule protection réelle contre les rançongiciels (42 % des PME seulement le font)
- Sensibiliser vos équipes au phishing, premier vecteur d’intrusion dans les PME
Des ressources gratuites existent : l’autodiagnostic sur cybermalveillance.gouv.fr, l’outil BPI France et le numéro d’urgence 17 cyber. Pour les entreprises qui souhaitent aller plus loin, la cyberassurance couvre les frais de notification CNIL, l’assistance technique post-attaque, l’interruption d’activité et la responsabilité civile. Ce n’est pas une solution de conformité, mais un filet de sécurité financier qui change concrètement l’issue d’une crise.
