«PME Cybersécurité 2026»: La cybercriminalité devient un risque commercial pour les PME suisses
Quatre PME suisses sur cinq s’attendent à une augmentation des cybermenaces en lien avec l’IA. L’étude « PME Cybersécurité 2026 » menée par la Mobilière en collaboration avec différents partenaires montre aussi que si beaucoup d’entreprises sont bien protégées du point de vue technique, elles ont encore des progrès à faire sur le plan organisationnel pour faire face à un cyberincident.
Après avoir connu un recul en 2025, le thème des cyberrisques a repris de l’importance. Près d’une PME sur deux considère la cybersécurité comme importante, voire très importante. En outre, les PME sont plus nombreuses qu’auparavant à définir des responsabilités claires en la matière. Les auteures et auteurs de l’étude y voient un signal positif: la cybersécurité est de plus en plus perçue comme une tâche de management, et non plus uniquement comme une question purement informatique.
Il reste essentiel d’associer les mesures techniques de protection à des responsabilités clairement définies, à des formations pour le personnel et à des concepts d’urgence. Environ deux entreprises sur cinq prévoient d’adopter des mesures de sécurité supplémentaires d’ici trois ans.
« Les résultats sont clairs: les PME qui présentent un haut degré de maturité numérique et qui sont parmi les premières à tester et à utiliser les nouvelles technologies font état d’un niveau de cyberrésilience nettement plus élevé que les autres. La cybersécurité ne commence donc pas par un pare-feu, mais par une stratégie numérique claire », analyse Marc K. Peter, responsable de projet et chargé de cours à la HES-SO Valais-Wallis.
Cybermenaces : L’IA change la donne
Quatre PME sur cinq s’attendent à ce que les cybermenaces augmentent à la faveur du développement de l’IA. Les cybercriminels seront susceptibles d’utiliser eux aussi cette technologie pour commettre leurs méfaits. À noter cependant que près de la moitié des PME n’y ont pas encore recours pour leurs propres projets. L'IA est ainsi perçue à la fois comme une opportunité économique et comme un facteur de risque supplémentaire.
« La cybercriminalité est devenue un vrai risque commercial pour les PME suisses. L’IA aggrave cette tendance. Au cours des trois dernières années, quelque 35 000 PME suisses ont subi une cyberattaque: le thème de la cybercriminalité est désormais tout aussi important que la protection contre les incendies ou les dangers naturels. Par conséquent, la cybersécurité ne doit pas être considérée comme une simple question informatique. C’est une tâche de management qui doit être intégrée à la stratégie de l’entreprise. Une cyberassurance peut atténuer les risques, mais rien ne remplace la responsabilité individuelle », déclare Jesús Pampín, responsable du centre de compétences Cyber Risk de la Mobilière.
Des PME bien protégées techniquement, mais souvent en retard sur le plan organisationnel
Les PME suisses peuvent s’appuyer sur de solides mesures techniques de protection. Plus de 80 % d’entre elles effectuent des mises à jour logicielles et neuf sur dix créent des sauvegardes de données. L’authentification multifacteur fait, quant à elle, désormais partie intégrante du quotidien de nombreuses entreprises.
En revanche, les PME suisses ont encore des progrès à faire du point de vue organisationnel. Environ un tiers d’entre elles seulement forme régulièrement son personnel ou réalise systématiquement l’inventaire de ses systèmes informatiques. Elles sont encore nettement moins nombreuses à penser aux plans d’urgence, aux audits de sécurité et aux évaluations de la sécurité informatique de leurs fournisseurs. Si sauvegarder les données est devenu très courant, seule une PME sur quatre vérifie qu’il est effectivement possible de restaurer ces données en cas d’urgence.
« Bon nombre d’entreprises se reposent encore beaucoup trop sur des mesures de protection élémentaires et négligent la préparation aux situations d’urgence. Or, il ne suffit pas de sauvegarder ses données. Les PME doivent tester régulièrement leur capacité à reprendre rapidement leurs activités après une cyberattaque », affirme Anu Anthamatten, responsable de projet chez digitalswitzerland.
Les cyberincidents affectent l’ensemble de l’exploitation
Les conséquences des cyberattaques ne sont pas seulement financières. Les entreprises touchées évoquent le plus souvent la charge de travail considérable que représente la gestion de tels incidents. Manifestement, les cyberincidents représentent plus qu’un simple risque financier: les PME évoquent aussi leur caractère chronophage et les interruptions de l’exploitation qui pèsent particulièrement sur les équipes et les responsables. Les entreprises comptant au moins dix personnes ont été nettement plus touchées que les plus petites structures.
La cybersécurité est l’affaire de tous. Signaler les incidents et partager les connaissances permet d’affiner notre compréhension de l’état global des cyberrisques. «L’information, la prévention et la collaboration sont les piliers d’un écosystème de cybersécurité résilient», résume Romain Geiser, Manager de programme Cyberstratégie nationale à l’Office fédéral de la cybersécurité (OFCS).
Les résultats complets de l’étude «PME Cybersécurité 2026» seront disponibles sur www.cyberstudie.ch.