Combien coûte une cyberattaque à une PME? Le vrai prix d’un piratage

Selon les études, le coût moyen d’une cyberattaque pour une PME française oscille entre 59 000 € et 466 000 €, un écart qui déroute autant qu’il inquiète les dirigeants qui cherchent une réponse simple. Cette fourchette n’est pas une incohérence des chercheurs : elle reflète des méthodologies différentes, des périmètres de coûts différents, et surtout une réalité que peu d’articles expliquent clairement, à savoir que le prix d’un piratage dépend presque entièrement de sa gravité et de la préparation de l’entreprise au moment où il survient.

Cet article rassemble les données les plus récentes et les plus fiables disponibles sur le sujet (ANSSI, Asterès, Hiscox, CESIN, IBM) pour répondre précisément à une question que beaucoup de dirigeants de PME se posent trop tard : combien coûterait réellement une cyberattaque à mon entreprise, poste par poste, et comment réduire concrètement cette exposition financière.

Pourquoi il n’existe pas un seul « coût moyen » d’une cyberattaque

Chaque étude publiée sur le sujet donne un chiffre différent, et c’est normal : elles ne mesurent pas la même chose. Trois facteurs expliquent l’essentiel de ces écarts.

Moyenne ou médiane. Une poignée d’attaques catastrophiques (ransomware paralysant, fuite massive de données clients) tire fortement la moyenne vers le haut, alors que la majorité des incidents restent contenus et peu coûteux. Le coût médian, qui représente la situation de l’entreprise « typique », est donc systématiquement inférieur au coût moyen. C’est pour cela que le rapport Hiscox Cyber Readiness annonce un coût médian de 15 000 € en France, quand d’autres études affichent des moyennes vingt à trente fois supérieures.

Coûts directs seuls ou coût total. Certaines études ne comptabilisent que les dépenses techniques immédiates (restauration des systèmes, rançon éventuelle), d’autres intègrent les pertes d’exploitation, l’impact réputationnel et les surcoûts d’assurance des mois suivants. Le même incident peut ainsi être chiffré à 20 000 € ou à 200 000 € selon ce que l’on choisit de mesurer.

Toutes tailles confondues ou PME isolées. Beaucoup de statistiques agrègent TPE, PME et ETI dans une seule catégorie, ce qui dilue ou au contraire gonfle le chiffre selon la composition de l’échantillon étudié. Notre article sur pourquoi les PME sont les cibles préférées des hackers détaille déjà pourquoi ces structures concentrent près de la moitié des victimes de rançongiciels recensées en France par l’ANSSI.

Cette diversité de méthodes n’est pas un problème à ignorer, c’est au contraire l’information la plus utile pour un dirigeant : le montant que vous risquez dépend directement de votre niveau de préparation au moment de l’attaque, pas d’une fatalité statistique.

Combien coûte une cyberattaque à une PME en 2026 : les chiffres de référence

Voici une synthèse des données les plus solides et les plus récentes disponibles sur le coût des cyberattaques touchant les PME françaises, en précisant systématiquement la source et la méthode de calcul.

Ces chiffres portent sur des périmètres et des méthodologies différents (voir la section précédente) : ils ne s’additionnent pas et ne se contredisent pas, ils éclairent chacun une facette différente du même phénomène.

À titre de comparaison internationale, le coût moyen d’une violation de données en France pour les organisations de toute taille atteint 3,8 millions de livres sterling (environ 4,8 millions de dollars) selon le Cost of a Data Breach Report 2025 d’IBM. Ce chiffre concerne des organisations généralement plus grandes que la PME moyenne (le panel IBM porte sur des violations de plusieurs milliers d’enregistrements), mais il donne la mesure de l’écart d’exposition entre une PME et une grande structure, et rappelle qu’une cyberattaque n’est jamais un non-événement financier, quelle que soit la taille de l’entreprise touchée.

Ce qui compose vraiment la facture : décomposition du coût réel

La rançon est le poste de coût le plus visible, mais elle est rarement le plus lourd. Le « vrai prix » d’un piratage se construit sur plusieurs mois et implique des postes que peu de dirigeants anticipent avant d’y être confrontés.

Ce constat rejoint les retours d’expérience des prestataires de réponse à incident : la négociation ou le paiement d’une rançon capte l’attention médiatique, mais c’est l’incapacité à travailler pendant plusieurs jours ou semaines qui met réellement en danger la trésorerie d’une PME. Notre guide sur le ransomware et les PME françaises détaille l’anatomie complète de ce type d’attaque, de l’infiltration initiale jusqu’à la demande de rançon.

Le poste le plus lourd : l’interruption d’activité

Une PME non préparée met en moyenne 21 jours à retrouver un fonctionnement normal après une attaque par rançongiciel, et ce délai peut s’étendre à 3 à 7 semaines lorsque les sauvegardes ne sont pas immédiatement exploitables ou qu’aucun plan de reprise n’a été anticipé. Pendant toute cette période, l’entreprise continue de supporter ses charges fixes (salaires, loyers, abonnements) sans générer de chiffre d’affaires normal, ce qui explique pourquoi l’ANSSI estime que la moitié du coût total d’une attaque provient de cette seule interruption.

Ce délai dépend directement de deux éléments préparables à l’avance : la fraîcheur et la fiabilité des sauvegardes, et l’existence d’un plan documenté pour réagir sans improviser sous pression. Notre article sur la règle 3-2-1 pour sauvegarder vos données et notre plan de réponse à incident pour les PME permettent de réduire concrètement cette durée. Si l’attaque est déjà en cours, notre guide que faire dans les 24 premières heures d’une cyberattaque détaille les actions à mener dans l’ordre, sans perdre de temps précieux.

Combien coûte une rançon de ransomware pour une PME française

Les demandes de rançon adressées aux PME françaises sont généralement calibrées par les attaquants pour rester « payables » : entre 5 000 et 50 000 € dans la majorité des cas documentés, un montant volontairement fixé en dessous du seuil qui pousserait la victime à refuser catégoriquement de négocier. À l’échelle mondiale, le montant médian des rançons versées atteint 115 000 dollars selon le Data Breach Investigations Report de Verizon, un chiffre qui inclut des entreprises de toutes tailles et donne un ordre de grandeur utile pour resituer le cas français.

Deux points méritent d’être rappelés clairement. D’abord, l’ANSSI déconseille formellement de payer une rançon : le paiement ne garantit ni la récupération des données ni l’absence de republication, finance des organisations criminelles, et transforme souvent la victime en cible récurrente. Des alternatives de déchiffrement gratuites existent parfois via le projet No More Ransom. Ensuite, même lorsqu’une rançon est versée, elle représente rarement le poste de dépense principal une fois l’ensemble de l’incident chiffré, la restauration des systèmes et l’interruption d’activité pesant presque toujours davantage dans la facture finale.

Les sanctions réglementaires qui alourdissent la facture : NIS2 et RGPD

Être victime d’une cyberattaque n’exonère pas automatiquement une PME de ses obligations réglementaires, et peut même déclencher un contrôle si les mesures de sécurité en place s’avèrent manifestement insuffisantes. Deux régimes de sanctions se sont considérablement durcis ces dernières années et viennent s’ajouter au coût direct de l’incident.

La directive NIS2 multiplie par 80 le plafond des sanctions applicables par rapport à l’ancien régime français, et son entrée en application progressive concerne un nombre croissant de PME sous-traitantes ou fournisseurs d’entités essentielles. Notre guide de mise en conformité NIS2 pour PME détaille les 10 mesures obligatoires et le plan d’action à suivre. Sur le volet RGPD, notre article sur les obligations concrètes des PME en 2026 complète cette lecture, et notre article sur la responsabilité du dirigeant en cas de cyberattaque explique dans quels cas la responsabilité personnelle du dirigeant peut être engagée.

« Une PME sur deux ferme après une cyberattaque » : mythe ou réalité ?

Ce chiffre, souvent arrondi à « 60 % des PME déposent le bilan », circule depuis des années dans les présentations sur la cybersécurité. Comme nous l’avons détaillé dans notre article sur pourquoi les PME sont les cibles préférées des hackers, il n’existe à ce jour aucune étude fiable et vérifiable, en France comme à l’échelle européenne, permettant d’affirmer qu’une majorité de PME ferment réellement leurs portes dans les mois suivant une cyberattaque. L’origine de ce chiffre remonterait à une déformation d’un sondage ancien mesurant la crainte des dirigeants face à ce risque, et non le nombre réel de fermetures observées.

Cela ne signifie pas que les conséquences sont anodines, loin de là. Deux données vérifiables et beaucoup plus solides doivent servir de référence : selon le 11e baromètre du CESIN, 81 % des entreprises victimes d’une attaque significative déclarent un impact réel sur leur activité, et 43 % des PME victimes d’un ransomware ne se sont pas remises financièrement 18 mois après l’incident. Ces chiffres suffisent amplement à justifier un investissement en prévention, sans qu’il soit nécessaire de répéter une statistique de fermeture d’entreprise qu’aucune étude sérieuse n’a jamais démontrée.

Comment réduire l’exposition financière de votre PME

La bonne nouvelle, documentée par les mêmes études citées dans cet article, est que la facture d’une cyberattaque n’est pas une fatalité : elle dépend directement des mesures mises en place avant l’incident. Voici les leviers qui ont le plus d’impact sur le montant final.

• Connaître son niveau de risque réel. Un audit cybersécurité structuré permet d’identifier les failles avant qu’un attaquant ne le fasse. L’outil d’audit cyber PME de SIAC Media propose une première évaluation gratuite en quelques minutes.
• Sécuriser les accès et les identifiants. L’authentification multifacteur reste la mesure la plus efficace et la moins coûteuse pour bloquer la majorité des attaques par vol d’identifiants, premier vecteur d’entrée des ransomwares.
• Tester réellement ses sauvegardes. Une sauvegarde non testée est une sauvegarde qui peut échouer au moment critique ; la règle des 3-2-1 (3 copies, 2 supports différents, 1 copie hors ligne) reste la référence exigée par la quasi-totalité des assureurs cyber.
• Souscrire une assurance cyber adaptée. Notre guide complet de l’assurance cyber pour PME détaille les garanties, les exclusions à surveiller et les fourchettes de prix selon la taille de l’entreprise.
• Documenter un plan de réponse à incident. Disposer d’une procédure écrite et testée réduit significativement la durée du sinistre, donc son coût ; voir notre plan de réponse à incident pour les PME.
• Encadrer l’usage de l’intelligence artificielle générative. Un usage non maîtrisé de ChatGPT ou d’autres outils d’IA par les équipes peut créer de nouvelles fuites de données coûteuses ; une charte IA pour PME pose un cadre clair. Le générateur de charte IA de SIAC Media permet d’en produire une en quelques minutes.

Ces mesures s’inscrivent dans une démarche plus large de cyber-résilience pour PME, qui va au-delà de la seule prévention pour aborder la capacité à encaisser et rebondir après un incident, et dans notre guide complet de la cybersécurité PME, qui pose les bases pour l’ensemble des sujets abordés ici.

Souveraineté numérique : un levier sous-estimé pour réduire le risque et le coût

Un aspect du coût d’une cyberattaque est rarement évoqué : la complexité juridique ajoutée lorsque les données d’une PME française transitent par des prestataires soumis au Cloud Act américain, qui autorise les autorités des États-Unis à exiger l’accès à des données hébergées par des entreprises sous juridiction américaine, y compris lorsque ces données sont stockées physiquement en Europe. En cas d’incident, cette architecture peut compliquer la gestion de crise, allonger les délais de notification RGPD et brouiller la chaîne de responsabilité entre l’entreprise victime et son fournisseur cloud.

Choisir des solutions hébergées et opérées en France ou en Union européenne, soumises exclusivement au droit européen, simplifie la conformité NIS2 et RGPD et constitue un argument de plus en plus valorisé par les assureurs cyber lors de l’évaluation du profil de risque. Notre guide de cybersécurité souveraine anti-CLOUD Act détaille cette approche pour les PME françaises qui souhaitent réduire cette exposition sans sacrifier la qualité de service, et notre article sur les équipements Wi-Fi souverains sans Cloud Act complète cette approche au niveau réseau.

Questions fréquentes sur le coût d’une cyberattaque

Quel est le coût moyen d’une cyberattaque pour une PME française en 2026 ?

Selon les études, il s’échelonne de 59 000 € en moyenne toutes tailles confondues (Asterès) à 466 000 € pour les cas les plus lourds touchant spécifiquement des PME et TPE (étude Groupama, synthèse Hiscox/ANSSI/CESIN). Le coût médian, plus représentatif du cas courant, se situe autour de 15 000 € selon Hiscox.

Quelle part du coût d’une cyberattaque est due à l’interruption d’activité ?

Environ 50 % du coût total selon l’ANSSI, ce qui en fait le poste de dépense le plus lourd, devant la rançon elle-même. Une PME non préparée met en moyenne 21 jours à retrouver un fonctionnement normal après une attaque par rançongiciel.

Faut-il payer la rançon demandée par les attaquants ?

L’ANSSI déconseille formellement de payer une rançon : le paiement ne garantit pas la récupération des données, finance la criminalité organisée, et n’exempte pas des autres coûts de restauration et d’interruption. Des alternatives de déchiffrement gratuites existent parfois via le projet No More Ransom.

Une PME peut-elle être sanctionnée financièrement après avoir été victime d’une cyberattaque ?

Oui, si l’enquête qui suit révèle un manquement grave aux obligations de sécurité. La CNIL peut appliquer une procédure simplifiée plafonnée à 20 000 € pour les PME, ou une procédure classique pouvant atteindre plusieurs millions d’euros pour les manquements les plus graves. Les entités soumises à NIS2 encourent jusqu’à 7 à 10 millions d’euros selon leur catégorie.

Comment réduire le coût potentiel d’une cyberattaque pour sa PME ?

Les leviers les plus efficaces par rapport à leur coût sont l’authentification multifacteur, des sauvegardes chiffrées et testées régulièrement, un plan de réponse à incident documenté, un audit de sécurité annuel et une assurance cyber adaptée à votre secteur. Ces mesures combinées permettent de réduire à la fois la probabilité d’un incident et son coût en cas de survenue.

Conclusion

Le « vrai prix » d’un piratage n’est jamais le montant de la rançon affiché en gros titre : c’est la somme discrète de plusieurs semaines d’interruption d’activité, de frais de restauration, d’obligations réglementaires et d’une prime d’assurance qui grimpe l’année suivante. Que le chiffre retenu soit 15 000 €, 59 000 € ou 466 000 €, la conclusion opérationnelle reste identique pour toute PME française : le coût de la préparation est systématiquement inférieur au coût de l’improvisation, et chaque euro investi en amont (audit, MFA, sauvegardes testées, assurance) réduit directement la facture du jour où l’incident survient. La question n’est plus de savoir si votre entreprise sera un jour ciblée, mais si elle abordera ce jour-là avec un plan ou avec une surprise à plusieurs dizaines de milliers d’euros.