Le rapport Hiscox sur la gestion des risques cyber 2026, publié le 7 octobre, décrit une évolution de la prévention vers la résilience : se préparer à une attaque, y répondre et poursuivre l’activité malgré une perturbation. Dans l’enquête, 29 % des organisations interrogées déclarent avoir subi au moins une cyberattaque réussie au cours des douze derniers mois.
Ces données viennent d’une enquête menée en juin auprès de 6 800 décideurs cyber travaillant dans des organisations de moins de 250 salariés, dans huit pays européens ainsi qu’au Royaume-Uni et aux États-Unis. Elles ne constituent pas une mesure propre aux TPE-PME françaises. Hiscox précise également que les résultats de 2017 et 2026 ne sont pas directement comparables, car le périmètre et la méthode ont changé. Un baromètre français de Cybermalveillance.gouv.fr, réalisé en 2025 auprès de 588 entreprises de moins de 250 salariés et représentatif de cette population, éclaire plus directement le besoin : 80 % des entreprises interrogées se disent non préparées aux attaques ou ignorent si elles le sont, et 58 % ne sauraient pas en évaluer les conséquences. Pour une petite entreprise, la question pratique est donc de vérifier comment l’activité continuerait si un service essentiel cessait de fonctionner.
De la prévention à la capacité de continuer
Un pare-feu, l’authentification multifacteur et des logiciels à jour réduisent certains risques, mais ils ne répondent pas à toutes les questions du jour d’un incident. Qui prévient les clients si la messagerie est inaccessible ? Qui peut joindre l’hébergeur ou le prestataire informatique ? Quelle activité doit repartir en premier ? Où trouver les coordonnées et les accès nécessaires si le poste habituel ne démarre plus ?
Le rapport Hiscox présente la résilience comme une responsabilité qui associe technologie, gouvernance, formation et processus. C’est cohérent avec les ressources destinées aux petites entreprises : l’ANSSI recommande de préparer la réponse à incident et la reprise, tandis que Cybermalveillance.gouv.fr propose désormais une MalletteCyber Pro pour accompagner les TPE-PME. La résilience ne se résume donc ni à un outil ni à une promesse d’absence d’incident.
Ce que disent les chiffres, et leurs limites
Outre les 29 % d’organisations ayant déclaré une attaque réussie, le rapport estime à 32,8 heures la durée moyenne de perturbation opérationnelle et à 52 602 dollars le coût annuel moyen des incidents dans l’échantillon. Ce sont des moyennes internationales rapportées par Hiscox, pas une prévision du coût ou de l’interruption pour une entreprise française en particulier.
Le baromètre national français de 2025 mesure une lacune plus directement exploitable : 80 % des TPE-PME interrogées ne se jugent pas préparées à une attaque ou ne savent pas si elles le sont, et 58 % déclarent ne pas pouvoir en évaluer les conséquences. L’enquête a été menée auprès de 588 entreprises de moins de 250 salariés et était représentative de cette population. Ces déclarations ne signifient pas que toutes ces entreprises ont subi un incident ; elles montrent surtout l’intérêt de clarifier les conséquences possibles et les décisions à prendre avant qu’un incident survienne.
Le rapport indique aussi que 64 % des organisations interrogées déclarent disposer d’une assurance cyber et que 32 % lient les performances ou la rémunération des dirigeants aux résultats de cybersécurité. Ces indicateurs illustrent l’intégration du sujet dans la gestion d’entreprise ; ils ne prouvent pas à eux seuls qu’une organisation est préparée à reprendre ses activités. Pour évaluer cette préparation, il faut tester les rôles, les dépendances et les procédures.
Un exercice de 30 minutes pour trouver les angles morts
Choisissez un scénario plausible et limité, par exemple : « La messagerie professionnelle ne fonctionne plus ce matin et l’administrateur habituel est injoignable. » Réunissez la personne qui décide, la personne qui gère l’informatique et un responsable opérationnel. Sans modifier les systèmes, répondez ensemble à ces questions :
- Quelle activité doit continuer aujourd’hui, et laquelle peut attendre ?
- Comment prévenir les collègues, les clients ou les fournisseurs sans utiliser la messagerie touchée ?
- Qui contacte le prestataire, l’assureur ou un spécialiste de réponse à incident, et où trouve-t-on leurs coordonnées ?
- Quels comptes permettent de rétablir le service, qui est autorisé à les utiliser et comment révoquer un accès compromis ?
- Quelles données ou sauvegardes sont nécessaires, et qui a déjà vérifié qu’elles peuvent être restaurées ?
Notez chaque réponse manquante avec un responsable et une échéance. Ne testez pas une restauration ou une révocation en production sans procédure adaptée : l’exercice sert d’abord à mettre au jour les décisions et les dépendances qui n’ont pas encore de réponse. Le guide ANSSI pour les TPE-PME détaille les mesures de préparation et les ressources d’assistance disponibles.
Préparer les accès qui comptent
Une reprise peut dépendre de quelques comptes clés : messagerie d’administration, hébergement, nom de domaine, comptabilité, sauvegardes ou console d’un prestataire. Pour chacun, identifiez un propriétaire, les personnes autorisées, le moyen d’authentification, la procédure de récupération et le contact à prévenir en cas de blocage. Prévoyez aussi comment remplacer un secret après compromission, sans le transmettre dans un canal devenu suspect.
Un coffre de mots de passe aide à conserver des identifiants distincts et à retrouver ceux dont une équipe a besoin. Il ne remplace pas les comptes nominatifs lorsque le service les permet, l’authentification multifacteur, les sauvegardes ni la procédure de réponse. Pour structurer ce volet, consultez le guide Soclyde sur la politique de mots de passe pour PME et le guide de partage des mots de passe en équipe.
Le lien avec Soclyde
Soclyde porte sur la gestion des mots de passe et des accès : son coffre chiffré reste sur les appareils autorisés, et la synchronisation directe entre appareils autorisés est une fonctionnalité Premium. Cela peut aider une équipe à organiser les secrets nécessaires à ses services et à réduire leur dispersion dans des documents ou messages.
Soclyde ne surveille pas les systèmes, ne restaure pas les sauvegardes et n’organise pas la continuité de l’entreprise. Ces responsabilités restent à traiter dans les procédures et auprès des prestataires concernés. L’article présente donc le gestionnaire comme une brique de la préparation, pas comme une solution de reprise à lui seul.
À retenir
Le rapport Hiscox remet en avant une question concrète : comment continuer à travailler lorsqu’un incident perturbe les outils habituels ? Ses chiffres donnent un contexte international, avec des limites de comparaison qu’il faut garder visibles. Pour agir, choisissez un scénario simple, faites participer les personnes qui devront décider et consigner les lacunes, puis attribuez chaque action à un responsable.
Pour commencer par les accès, lisez le guide de politique de mots de passe pour PME. Pour structurer plus largement les responsabilités et les mesures de cybersécurité, consultez aussi le guide Soclyde sur NIS2.
