Le coût médian d'un sinistre cyber sur PME française se chiffre désormais en dizaines, parfois centaines de milliers d'euros. Voici la décomposition réelle, par taille d'entreprise et par type d'attaque, avec les sources qui font autorité.
La hausse n'est pas un effet de communication. Trois dynamiques structurelles tirent les coûts vers le haut sur la cible PME.
1. L'industrialisation criminelle. Les groupes ransomware fonctionnent désormais comme des éditeurs de logiciel : ransomware-as-a-service, support technique aux affiliés, négociateurs salariés. Le coût d'entrée pour lancer une attaque a chuté, le nombre d'attaques explose, et les PME — moins défendues que les grands groupes — concentrent une part croissante des cibles. L'ANSSI rapporte une hausse continue des signalements PME dans son Panorama de la menace 2024-2025.
2. L'IA générative au service du phishing. La fraude au président, autrefois reconnaissable à ses fautes d'orthographe, est désormais rédigée en français impeccable, avec des éléments contextuels glanés sur LinkedIn et les bilans publiés au BODACC. Le CESIN documente une augmentation de plus de 30% des fraudes au président réussies sur PME entre 2023 et 2024, avec des montants moyens en hausse.
3. Le RGPD comme amplificateur de coût. Un vol de données qui aurait coûté 30 k€ à traiter techniquement il y a cinq ans en coûte aujourd'hui le triple, parce qu'il faut notifier la CNIL sous 72 heures, informer les personnes concernées, gérer une crise médiatique potentielle, et provisionner une sanction administrative. La CNIL a sanctionné plusieurs dizaines de PME en 2024 pour des montants allant de 5 000 € à plus de 200 000 €.
Ce qu'il faut retenir Un sinistre cyber ne coûte plus uniquement en frais techniques. C'est désormais un sinistre juridique, réputationnel et opérationnel simultané, et c'est ce cumul qui multiplie la facture.
Six postes de coût se cumulent. Pour un ransomware classique sur PME 50-100 salariés, voici les fourchettes observées en 2024-2025.
Forensic, restauration des sauvegardes, durcissement des systèmes, audit de propreté. Le ticket d'entrée pour un cabinet spécialisé est de 15 à 20 k€ pour une PME standard.
Arrêt partiel ou total de l'activité pendant 5 à 25 jours en moyenne selon la profondeur de l'attaque. Sur une PME à 4 M€ de CA annuel, c'est 50 à 250 k€ de marge brute non réalisée.
Notification CNIL, information des personnes concernées, conseils juridiques sur responsabilité contractuelle vis-à-vis des clients, gestion des plaintes éventuelles.
Quand elle est payée (déconseillée par l'ANSSI), la rançon médiane sur PME française se situe entre 30 et 80 k€. Les attaquants ajustent leur demande à la santé financière publiée au BODACC.
Cabinets de communication spécialisés, refonte du site, préparation de la prise de parole CEO. Souvent sous-estimé jusqu'au jour où la presse locale s'empare du sujet.
Quantification difficile mais réelle, surtout dans les secteurs où la confidentialité est centrale (santé, finance, conseil). Une étude Hiscox 2024 estime à 8% le taux de churn moyen post-incident significatif.
Tous les sinistres ne se ressemblent pas. Voici les quatre formats les plus fréquents sur PME française, leur coût médian total et leur particularité.
| Type d'attaque | Coût médian total | Caractéristique |
|---|---|---|
| Ransomware | 150 - 400 k€ | Le plus coûteux. Cumule arrêt d'activité, frais techniques lourds, et risque de paiement de rançon. Pour une PME 50-250 salariés, le coût moyen total approche 280 k€. |
| Fraude au président | 25 - 200 k€ | Détournement direct de fonds vers un compte criminel. Médiane 2024 sur PME française : 40 k€ de pertes par incident. Récupération bancaire rare au-delà des premières 24 heures. |
| Vol de données + sanction CNIL | 50 - 250 k€ | Coût technique réduit (l'attaquant ne bloque pas, il vole), mais addition de la sanction CNIL (5 - 200 k€), des frais juridiques RGPD, et de l'impact réputationnel. |
| Atteinte à l'image (DDoS, défacement) | 15 - 80 k€ | Le moins fréquent. Coût technique limité mais effet long sur la confiance des clients. Souvent revendiqué par activistes plutôt que par groupes criminels organisés. |
Plus l'entreprise est grande, plus les coûts absolus montent — mais le ratio rapporté au CA s'inverse : ce sont les TPE qui paient le plus cher proportionnellement.
Coût moyen total d'un sinistre significatif. Soit 2 à 6% du CA annuel. Peu d'équipe IT interne, recours intégral à des prestataires extérieurs, capacité d'absorption financière réduite. Risque vital pour la continuité de l'entreprise.
Soit 1 à 3% du CA annuel. Présence d'un DSI ou d'un prestataire IT structuré, capacités de remédiation plus rapides, mais exposition plus visible (clients institutionnels, contrats publics, audits fournisseurs).
Soit 1 à 2% du CA annuel. Équipe cyber structurée, plans de continuité formalisés, cyber-assurance avec plafonds élevés. Le risque se déplace vers les sanctions RGPD, la perte de marchés, et la responsabilité chaîne d'approvisionnement.
Une cyber-assurance solide couvre la quasi-totalité des postes de coût. Mais certains pièges contractuels reviennent systématiquement.
Pas besoin d'un audit à 30 000 €. Cinq questions suffisent à dresser un ordre de grandeur exploitable.
Ces deux chiffres fixent le poids de la perte d'exploitation. Une PME à 5 M€ de CA avec 40% de marge brute perd ~5 500 € de marge par jour d'activité.
Exemple : 5 M€ × 40% / 365 = 5 480 €/jourCartographiez les sauvegardes : à quelle date remontent les dernières copies hors ligne ? À quelle vitesse vos prestataires peuvent-ils intervenir ? Multipliez par la marge journalière pour obtenir une fourchette de perte d'exploitation maximale.
Au-delà de 50 000 personnes concernées, la sanction CNIL potentielle monte significativement, et les frais de notification dépassent 30 k€. Le calibrage du plafond cyber doit en tenir compte.
Marchés publics, grands comptes industriels, secteur financier : leur perte en cas d'incident peut représenter 20 à 50% du carnet de commandes. C'est ce coût-là qui dimensionne réellement votre exposition.
MFA généralisé, sauvegardes hors ligne testées, mises à jour automatisées, plan de continuité écrit : leur absence n'augmente pas seulement le risque, elle peut aussi déclencher une déchéance de garantie en cas de sinistre.
Toutes les fourchettes citées sur cette page croisent les publications suivantes, à jour des éditions 2024-2025.
Le coût médian se situe entre 50 000 et 250 000 € selon les baromètres CESIN et Hiscox 2025. Les ransomware sur PME de taille moyenne (50 à 250 salariés) avoisinent un coût total moyen de 280 000 € en incluant perte d'exploitation, frais techniques et juridiques.
L'ANSSI déconseille systématiquement le paiement. Payer ne garantit pas la restitution des données, alimente l'écosystème criminel, et expose la PME à des poursuites pénales si la rançon transite par des entités sous sanctions internationales. Les cyber-assureurs négocient et indemnisent quand c'est possible, mais le défaut de mesures de sécurité élémentaires peut entraîner une déchéance de garantie.
Oui, la plupart des contrats cyber 2026 incluent le paiement de rançon comme garantie optionnelle, sous condition d'autorisation préalable de l'assureur et de vérification de conformité aux sanctions internationales. Les sous-limites de garantie sur le poste rançon sont fréquentes (souvent plafonnées à 20-50% du plafond global).
Les sanctions CNIL pour PME en 2024-2025 vont de 5 000 € à plus de 200 000 € selon la gravité du manquement, le nombre de personnes concernées, et la diligence de la PME en réponse à l'incident. Le RGPD prévoit un plafond théorique à 4% du chiffre d'affaires mondial, rarement appliqué sur PME.
Pour une PME de 10 à 50 salariés avec un CA entre 2 et 10 M€, la prime annuelle se situe entre 1 800 et 6 000 € pour 1 à 3 M€ de plafond. Le tarif dépend du secteur, du niveau de maturité cybersécurité, et de l'historique de sinistralité.
Aucune obligation légale générale, mais l'obligation devient contractuelle dans de nombreux marchés publics et dans la chaîne d'approvisionnement des grands groupes industriels et financiers. Elle est de fait incontournable dès qu'une PME travaille avec des comptes structurés.
Une session de 45 minutes suffit à dresser une cartographie cyber lisible : volumes de données, contraintes contractuelles, calibrage de plafond optimal. Sans engagement.