Politique de sécurité informatique PME : modèle complet 2026 à télécharger

La politique de sécurité informatique (PSI), également appelée politique de sécurité des systèmes informatiques (PSSI), est le document fondateur de la cybersécurité de toute entreprise. Pourtant, selon l’ANSSI, moins de 30 % des PME françaises disposent d’une politique de sécurité formalisée en 2026. Sans ce document, vos équipes n’ont pas de référentiel clair, vos prestataires ne savent pas quelles règles respecter, et votre assureur cyber peut refuser d’indemniser un sinistre faute de preuves de diligence. Ce guide complet vous explique comment rédiger une politique de sécurité informatique adaptée à une PME, et vous propose un modèle gratuit à télécharger en Word et PDF, directement utilisable après personnalisation. Il est lié à notre guide sur l’audit cybersécurité PME et à notre checklist des 10 actions de sécurité à mettre en place, qui constituent avec cet article un socle documentaire complet pour structurer votre sécurité.

Qu’est-ce qu’une politique de sécurité informatique et pourquoi votre PME en a besoin

Une politique de sécurité informatique est un document officiel qui définit les règles, les responsabilités et les procédures à respecter pour protéger le système d’information d’une entreprise. Ce n’est pas un simple guide de bonnes pratiques, c’est un document opposable, signé par la direction, que chaque collaborateur, prestataire et partenaire doit connaître et respecter.

La PSI répond à une question fondamentale : qui a le droit de faire quoi, sur quels systèmes, dans quelles conditions ? Elle couvre tout, des mots de passe aux sauvegardes, des accès distants à la gestion des incidents, en passant par l’utilisation des outils d’IA générative et du cloud. Dans le contexte de la directive NIS2 et du RGPD, disposer d’une PSI formalisée n’est plus une option pour les PME exposées à des obligations réglementaires.

PSI et PME : des idées reçues à déconstruire

La première idée reçue est que la PSI est réservée aux grandes entreprises avec un DSI et une équipe sécurité dédiée. C’est faux. Une PME de 20 salariés a autant besoin d’une PSI qu’un groupe de 5 000 personnes, elle doit simplement la calibrer à son niveau de maturité et à ses risques réels. La deuxième idée reçue est que la PSI est un document figé que l’on rédige une fois et que l’on oublie. Une PSI vivante, révisée au moins une fois par an, est au contraire un levier de culture de sécurité au quotidien.

Les cinq raisons de formaliser votre PSI en 2026

1. Conformité réglementaire. Le RGPD impose la mise en oeuvre de mesures techniques et organisationnelles appropriées pour protéger les données personnelles. Une PSI est la preuve documentaire de ces mesures. Sans elle, en cas de contrôle CNIL ou de violation de données, vous ne pouvez pas démontrer votre diligence.

2. Eligibilité à l’assurance cyber. Les assureurs cyber examinent de plus en plus précisément les pratiques de sécurité avant d’accorder une couverture. Beaucoup exigent une PSI formalisée comme condition de souscription. Notre article sur l’assurance cyber pour PME détaille ces exigences en profondeur.

3. Réduction des risques internes. La majorité des incidents de sécurité implique une erreur humaine. Quand vos collaborateurs disposent de règles claires et écrites sur ce qu’ils peuvent et ne peuvent pas faire, le risque d’erreur diminue significativement. Consultez notre article sur la menace interne pour comprendre l’ampleur de ce risque.

4. Encadrement des prestataires. Vos prestataires informatiques, hébergeurs et sous-traitants traitent souvent des données sensibles. Sans PSI, vous n’avez pas de base contractuelle pour leur imposer des exigences de sécurité. Votre guide sur la gestion des risques tiers développe ce point en détail.

5. Gouvernance et responsabilisation. Une PSI désigne clairement qui est responsable de quoi. En cas d’incident, il n’y a pas d’ambiguïté sur qui doit agir, dans quel délai et selon quelle procédure. C’est la base d’un plan de réponse à incident efficace.

Téléchargez le modèle PSI PME 2026 gratuit (Word + PDF)

Nous avons conçu un modèle complet de politique de sécurité informatique spécialement adapté aux PME françaises, conforme au RGPD, à la directive NIS2 et aux recommandations de l’ANSSI. Il comprend 18 sections rédigées, des tableaux de classification, des matrices de droits d’accès et six annexes opérationnelles, dont une feuille d’émargement à faire signer par chaque collaborateur.

Les 10 sections indispensables d’une politique de sécurité informatique PME

Une PSI efficace n’est pas un catalogue exhaustif de règles. C’est un document structuré, couvrant les domaines de risque prioritaires d’une PME. Voici les 10 sections que nous considérons indispensables, quel que soit votre secteur d’activité.

Chacune de ces sections correspond à un domaine de risque documenté par l’ANSSI dans son guide d’hygiène informatique. Notre guide complet cybersécurité PME 2026 développe les recommandations techniques associées à chacun de ces domaines.

Comment rédiger votre politique de sécurité informatique en 7 étapes

Rédiger une PSI from scratch peut sembler intimidant. En suivant cette méthode en 7 étapes, vous pouvez produire un document complet et opérationnel en moins de deux semaines, même sans expert en sécurité informatique en interne. Commencez par notre outil d’audit cybersécurité PME pour identifier vos points faibles avant de rédiger vos règles.

Étape 1 : réaliser un inventaire des actifs et des risques

Avant d’écrire une seule règle, vous devez savoir ce que vous protégez. Listez tous vos actifs informatiques (politique BYOD) : serveurs, postes de travail, smartphones, applications métier, bases de données, services cloud. Pour chaque actif, évaluez la criticité (quel impact si cet actif est compromis ?) et la sensibilité des données qu’il traite. Cet inventaire est le socle de votre politique de classification.

Étape 2 : obtenir l’engagement de la direction

Une PSI sans signature de la direction est un document sans autorité. Le dirigeant doit non seulement valider le document, mais aussi en être l’ambassadeur. La PSI doit être présentée en réunion d’équipe, expliquée, et non pas simplement envoyée par email. L’engagement de la direction conditionne l’adoption par les équipes.

Étape 3 : définir le périmètre et les parties prenantes

Qui est concerné par votre PSI ? Tous les collaborateurs en CDI et CDD, mais aussi les stagiaires, les alternants, les prestataires ayant accès à votre système d’information, et les sous-traitants traitant des données pour votre compte. Définissez clairement ce périmètre dès le début du document pour éviter les zones grises.

Étape 4 : rédiger les règles section par section

Utilisez notre modèle Word comme base. Pour chaque section, adaptez les règles génériques à votre contexte : votre secteur d’activité, vos outils spécifiques, vos contraintes opérationnelles. Une règle doit être précise, vérifiable et réaliste. « Utiliser des mots de passe robustes » n’est pas une règle. « Utiliser un mot de passe d’au moins 14 caractères, incluant majuscules, minuscules, chiffres et caractères spéciaux, renouvelé tous les 180 jours pour les comptes standards » est une règle.

Étape 5 : faire valider le document par les équipes

Avant la validation finale, faites relire votre PSI par les responsables de chaque service : comptabilité, commercial, production, IT. Certaines règles peuvent être inadaptées à leur réalité opérationnelle. Mieux vaut les adapter avant la diffusion que de produire un document que personne ne respectera parce qu’il est inapplicable.

Étape 6 : diffuser, former et faire signer

La diffusion de la PSI doit être traçable. Chaque personne concernée doit recevoir le document, en accuser réception et signer une attestation de prise de connaissance (annexe F du modèle). Cette signature a une valeur juridique en cas de litige. Organisez une session de présentation de 30 minutes pour expliquer les points clés et répondre aux questions.

Étape 7 : planifier la révision annuelle

Dès la signature du document, planifiez sa prochaine révision dans 12 mois. Nommez un responsable de la mise à jour. Certains événements doivent déclencher une révision anticipée : un incident de sécurité majeur, une nouvelle réglementation, un changement organisationnel important (fusion, acquisition, ouverture d’un nouveau site). La PSI est un document vivant.

Classification des données et des actifs informatiques

La classification des données est le pilier de toute politique de sécurité. Sans elle, impossible de savoir quelles données protéger en priorité, avec quels moyens et selon quelles règles. La plupart des PME fonctionnent avec une approche « tout ou rien » : soit une donnée est accessible à tous, soit elle est considérée comme secrète. Cette approche binaire est insuffisante. Une classification à quatre niveaux est le standard recommandé par l’ANSSI.

Pour chaque niveau, votre PSI doit définir des règles précises : comment le document doit être labellisé (en-tête, pied de page, filigrane), comment il peut être transmis (email chiffré, partage sécurisé, courrier recommandé), comment il doit être stocké (dossier chiffré, accès restreint) et comment il doit être détruit en fin de vie (suppression sécurisée, destruction physique).

Le chiffrement des données classifiées N3 et N4 est une exigence du RGPD dès lors que ces données contiennent des informations personnelles. Notre article sur la conformité RGPD avec l’IA détaille les outils disponibles pour automatiser cette protection. Pour le chiffrement des fichiers locaux, NordLocker offre une solution simple et abordable adaptée aux PME.

Politique des mots de passe et authentification MFA

Les attaques par force brute et credential stuffing représentent l’une des principales causes de compromission de comptes en PME. Une politique des mots de passe bien construite, couplée à l’authentification multi-facteurs (MFA), réduit ce risque de plus de 99 % selon Microsoft.

Ces règles doivent impérativement s’accompagner de l’interdiction de réutilisation des 12 derniers mots de passe, de l’interdiction du partage de credentials entre collaborateurs, et de la procédure de révocation immédiate lors du départ d’un salarié. Pour un guide approfondi sur le déploiement du MFA, consultez notre article MFA pour PME.

Appliquer ces règles manuellement est impossible. Un gestionnaire de mots de passe professionnel est l’outil indispensable pour rendre votre politique opérationnelle. Notre comparatif Bitwarden vs 1Password vs Dashlane peut vous aider à choisir.

Politique de sauvegarde et continuité d’activité

La politique de sauvegarde est souvent la section la plus sous-estimée d’une PSI. Pourtant, c’est celle qui détermine si votre entreprise survive à une attaque ransomware ou à une panne matérielle majeure. Notre article sur la règle 3-2-1 détaille la stratégie optimale pour les PME.

Deux indicateurs doivent figurer explicitement dans votre PSI : le RTO (Recovery Time Objective), soit le délai maximum acceptable pour reprendre l’activité après un incident, et le RPO (Recovery Point Objective), soit la quantité maximale de données que vous acceptez de perdre. Pour la plupart des PME, un RTO de 4 à 8 heures et un RPO de 24 heures sont des objectifs réalistes.

Le point critique, souvent négligé : tester les restaurations. Une sauvegarde non testée n’est pas une sauvegarde. Planifiez un test de restauration complet au moins une fois par trimestre, et documentez les résultats. Notre comparatif des meilleurs outils de sauvegarde cloud pour PME peut vous aider à choisir la solution adaptée.

PSI, télétravail et cloud : sécuriser les accès distants

Avec la généralisation du télétravail et la migration vers le cloud, la frontière du système d’information de votre PME a disparu. Votre PSI doit intégrer une section dédiée aux accès distants, à l’utilisation des services cloud et aux outils d’IA générative, qui représentent de nouveaux vecteurs de risque majeurs en 2026. Notre guide sécuriser le télétravail en PME est une ressource complémentaire indispensable.

Les règles d’accès distant à inclure dans votre PSI

Votre politique doit imposer les règles suivantes pour tout accès au système d’information depuis l’extérieur des locaux. Premièrement, l’utilisation obligatoire d’un VPN d’entreprise ou d’un ZTNA (Zero Trust Network Access) pour tout accès aux ressources internes depuis un réseau externe. Un réseau Wi-Fi domestique ou public n’est jamais considéré comme de confiance. Deuxièmement, l’interdiction de connexion depuis des équipements non approuvés par l’entreprise. Troisièmement, le verrouillage automatique de session après 5 minutes d’inactivité, que ce soit sur site ou en télétravail.

Gouvernance des services cloud dans votre PSI

L’encadrement des outils d’IA générative mérite une attention particulière. Notre article ChatGPT et IA générative en entreprise liste les risques spécifiques liés à l’utilisation de ces outils dans un contexte professionnel. Votre PSI doit interdire explicitement de saisir des données clients, des données financières, des données RH ou tout secret commercial dans un outil d’IA non approuvé.

Pour les PME souhaitant utiliser l’IA tout en gardant la maîtrise de leurs données, les solutions d’IA en local et les offres souveraines comme Mistral AI sont des alternatives conformes à intégrer dans votre liste des services autorisés. Pour les infrastructures hébergées, privilégiez des solutions conformes au RGPD et hors CLOUD Act, comme celles proposées par kSuite d’Infomaniak.

Gestion des incidents et obligations légales RGPD et NIS2

La section gestion des incidents est celle qui sera la plus sollicitée en cas de crise. Elle doit être suffisamment précise pour que n’importe quel collaborateur sache quoi faire s’il détecte quelque chose d’anormal, même en l’absence du responsable IT. Notre article que faire dans les 24 premières heures après une cyberattaque est un complément opérationnel indispensable.

L’obligation de notification à la CNIL sous 72 heures en cas de violation de données personnelles est inscrite dans l’article 33 du RGPD. Ce délai court dès le moment où vous avez connaissance de l’incident, pas à partir du moment où vous avez fini d’en évaluer l’ampleur. Votre PSI doit donc désigner clairement la personne responsable de cette notification et prévoir un modèle de déclaration (disponible dans l’annexe B de notre modèle).

Si votre PME entre dans le périmètre de la directive NIS2 (secteurs essentiels ou importants), des obligations supplémentaires de notification à l’ANSSI s’appliquent. Notre article sur la directive NIS2 et ses implications pour les PME détaille les critères d’assujettissement et les obligations correspondantes.

Votre PSI doit également prévoir une section sur la communication de crise : qui communique vers les clients en cas d’incident, avec quel message, selon quel calendrier. La mauvaise gestion de la communication post-incident est souvent plus dommageable que l’incident lui-même en termes de réputation.

Faire vivre votre PSI : formation, révision et gouvernance

Une politique de sécurité informatique qui dort dans un tiroir ne protège personne. La valeur d’une PSI réside dans son application quotidienne, qui dépend directement de la qualité de la formation des équipes et de la rigueur du processus de révision. Notre article comment former ses employés à la cybersécurité vous donnera les clés pour construire un programme de sensibilisation efficace.

Le programme de formation associé à votre PSI

Votre PSI doit définir trois niveaux de formation. Formation initiale à l’embauche : tout nouveau collaborateur doit recevoir une présentation de la PSI dans ses deux premières semaines, suivie de la signature de l’attestation de prise de connaissance. Cette formation doit aborder les règles essentielles : mots de passe, gestion des emails suspects, signalement d’incident, utilisation des outils autorisés.

Formation annuelle de sensibilisation : chaque année, organisez une session de rappel, idéalement accompagnée d’un test de phishing simulé pour mesurer le niveau de vigilance de vos équipes. Ces tests, réalisés avec des outils comme KnowBe4 ou Proofpoint, génèrent des statistiques précieuses pour justifier vos investissements en sécurité auprès de la direction.

Formation spécifique par rôle : les administrateurs système, les responsables RH traitant des données sensibles et les équipes commerciales manipulant des données clients doivent recevoir une formation adaptée à leur niveau d’exposition. Un administrateur système qui ne comprend pas les risques liés à l’élévation de privilèges est un vecteur de risque majeur.

Le processus de révision annuelle de la PSI

La révision annuelle de la PSI doit être formalisée comme un projet à part entière, avec un responsable désigné, un calendrier et une validation par la direction. Le processus recommandé comprend : une revue des incidents survenus dans l’année et des règles qui ont montré leurs limites, une veille sur les nouvelles menaces et réglementations, une consultation des équipes sur les règles difficiles à appliquer, et une mise à jour du tableau de révision en annexe E.

Certains événements doivent déclencher une révision anticipée sans attendre l’échéance annuelle : un incident de sécurité significatif, une nouvelle obligation réglementaire, un changement d’infrastructure majeur (migration cloud, déploiement d’un nouvel outil), l’ouverture d’un nouveau site ou une opération de fusion-acquisition. Dans ces cas, une révision partielle ciblée sur les sections impactées suffit.

Indicateurs pour mesurer l’efficacité de votre PSI

Comment savoir si votre PSI fonctionne ? Quatre indicateurs clés méritent d’être suivis et présentés annuellement à la direction. Le taux de signature des attestations de prise de connaissance, qui doit approcher 100 %. Le taux de réussite aux tests de phishing simulés, qui doit progresser d’année en année. Le délai moyen de signalement des incidents par les équipes, qui doit diminuer avec la maturité. Et le taux de conformité aux règles de sauvegarde, vérifié lors des tests de restauration trimestriels.

Pour aller plus loin dans la structuration de votre gouvernance sécurité, consultez notre guide complet cybersécurité PME 2026 et le panorama des technologies IA en cybersécurité PME pour identifier les outils susceptibles d’automatiser la surveillance et le respect de votre politique. Vous pouvez également utiliser notre générateur de charte IA pour compléter votre PSI avec une section dédiée à l’usage de l’intelligence artificielle dans votre entreprise.

La cyber-résilience d’une PME ne se construit pas du jour au lendemain. Elle résulte d’un ensemble de mesures cohérentes, documentées et appliquées au quotidien. La politique de sécurité informatique est le fil conducteur de cette démarche. Notre article sur la cyber-résilience pour PME vous guidera dans les étapes suivantes de votre maturité en sécurité.

Conclusion

La politique de sécurité informatique est bien plus qu’un document administratif. C’est le contrat de confiance entre votre direction, vos équipes et vos parties prenantes sur la manière dont vous protégez vos actifs numériques. En 2026, face à la multiplication des cybermenaces et au renforcement des obligations réglementaires, les PME qui ne formalisent pas leur PSI s’exposent à un risque financier, juridique et réputationnel considérable. Téléchargez notre modèle Word, adaptez-le à votre contexte, faites-le signer par votre direction et vos équipes, et planifiez sa révision annuelle. C’est l’investissement de quelques jours qui peut vous éviter des semaines de crise.