Cybersécurité des TPE et PME : 39 % déclarent un incident en un an, selon le Baromètre France Num 2026

En bref

• Selon le Baromètre France Num 2026 (DGE, publié le 28 septembre 2026), 39 % des TPE et PME déclarent avoir été confrontées à au moins un incident de cybersécurité au cours des douze derniers mois.
• 84 % disposent d'au moins une mesure de cybersécurité, mais l'authentification multifacteur n'est utilisée que par 39 % d'entre elles.
• Ces chiffres sont déclaratifs : ils mesurent les incidents connus des dirigeants, pas leur gravité.
• Cinq mesures constituent un premier socle à adapter à chaque petite entreprise : authentification multifacteur, sensibilisation, mises à jour suivies, sauvegardes testées, référent et fiche d'urgence.

Ce que mesure le Baromètre France Num 2026

Le Baromètre France Num est l'enquête annuelle de la Direction générale des entreprises (DGE) sur l'usage du numérique par les TPE et PME. L'édition 2026 repose sur les réponses de 9 655 entreprises, dont 2 869 PME et 6 786 TPE, interrogées du 23 mars au 18 avril 2026. Les résultats ont été publiés le 28 septembre 2026.

Pour la première fois, le baromètre mesure directement la part des entreprises confrontées à un incident de cybersécurité : 39 % des TPE et PME déclarent en avoir connu au moins un au cours des douze derniers mois. Le risque est aussi présent dans les esprits : 53 % des dirigeants craignent de perdre leurs données ou de se les faire pirater.

Les mesures déjà en place

Le baromètre montre que la plupart des entreprises ont commencé à se protéger :

• Au moins une mesure de cybersécurité : 84 %
• Antivirus : 80 %
• Sauvegarde externe des données : 67 %
• Authentification multifacteur : 39 % (+7 points en un an)

Source : Baromètre France Num 2026, DGE, 28 septembre 2026.

L'antivirus et la sauvegarde sont largement répandus. L'authentification multifacteur progresse, mais reste minoritaire, alors qu'elle protège contre un scénario simple : un mot de passe volé ou deviné qui suffit à ouvrir une messagerie.

Comment lire ces chiffres

Trois précautions avant d'en tirer des conclusions pour votre entreprise :

• Ce sont des déclarations. Un incident qui n'a pas été détecté n'est pas compté. Le chiffre réel peut être plus élevé.
• Un incident n'est pas une catastrophe. Le baromètre compte la fréquence des incidents, pas leur gravité. Un courriel d'hameçonnage bien repéré et une paralysie de plusieurs jours n'ont pas le même poids.
• Ce n'est pas une probabilité individuelle. 39 % ne signifie pas que votre entreprise a 39 % de risque d'être touchée l'an prochain. Cela montre que l'incident cyber est devenu un événement courant dans la vie d'une petite entreprise, et qu'il vaut mieux s'y préparer.

Pourquoi un antivirus ne suffit pas

80 % des TPE et PME ont un antivirus. C'est utile, mais un antivirus reconnaît surtout des menaces connues. Il ne protège pas un compte dont le mot de passe a été volé, ne corrige pas une faille non mise à jour et ne restaure pas des fichiers chiffrés. Un EDR va plus loin : il analyse les comportements suspects d'un poste et peut bloquer ou isoler ce poste selon sa configuration. Il complète les autres mesures, il ne les remplace pas.

Cinq mesures prioritaires

Ces mesures reprennent les « 10 règles d'or en matière de sécurité numérique » de l'ANSSI, ramenées à ce qu'une petite entreprise peut mettre en place en quelques semaines.

1. Activer l'authentification multifacteur sur les comptes sensibles. Messagerie, outils en ligne, accès à distance, banque. C'est la moins répandue des mesures du tableau ci-dessus, et l'ANSSI la recommande « lorsque c'est possible » (règle n° 3).

2. Former les équipes à reconnaître et signaler l'hameçonnage. Vérifier l'expéditeur, se méfier de l'urgence, rappeler un fournisseur à un numéro connu avant tout changement de coordonnées bancaires, signaler plutôt que supprimer.

3. Maintenir les équipements à jour et traiter les alertes. Mises à jour appliquées et vérifiées sur tous les postes, alertes de sécurité lues et traitées par quelqu'un.

4. Tester les sauvegardes. 67 % des entreprises sauvegardent leurs données à l'extérieur. Reste à savoir si la restauration fonctionne : faites un test, au moins sur un dossier, et notez combien de temps il prend.

5. Désigner un référent et préparer une fiche d'urgence. Une page : qui prévenir, le numéro du prestataire, les premiers gestes (isoler le poste du réseau, ne pas payer, conserver les preuves). Pour l'assistance aux victimes, la référence officielle est cybermalveillance.gouv.fr.

Incident et données personnelles : quand prévenir la CNIL

Si l'incident touche des données personnelles (clients, salariés) et présente un risque pour les personnes concernées, la violation doit être notifiée à la CNIL dans un délai maximal de 72 heures. Dans tous les cas, elle doit être consignée dans un registre des violations interne.

Un plan sur trente jours

• Semaine 1 : authentification multifacteur sur la messagerie et les comptes d'administration.
• Semaine 2 : inventaire des postes et état des mises à jour.
• Semaine 3 : test de restauration d'une sauvegarde.
• Semaine 4 : fiche d'urgence diffusée, rappel des consignes contre l'hameçonnage.

Comment TRINEXTA accompagne les TPE et PME

Notre offre Sérénité couvre la protection des postes (EDR SentinelOne), leur supervision automatisée continue (NinjaOne) et les mises à jour de sécurité. Le détail de notre accompagnement est sur notre page cybersécurité, et le contenu des deux formules sur la page Sérénité. La formule Complète comprend aussi l'authentification multifacteur, la sensibilisation de vos équipes à l'hameçonnage et la réponse à incident cyber.

Questions fréquentes

Quelle mesure mettre en place en premier ?

L'authentification multifacteur sur la messagerie. Elle réduit le risque lié au vol d'un mot de passe. Son efficacité dépend de la méthode choisie ; les sessions compromises et certaines formes d'hameçonnage exigent aussi des contrôles.

Le chiffre de 39 % concerne-t-il toutes les entreprises ?

Il porte sur les TPE et PME interrogées par le Baromètre France Num 2026 (9 655 entreprises). Il reflète ce que les dirigeants déclarent, pas les incidents passés inaperçus.

Faut-il recruter un spécialiste en cybersécurité ?

Rarement pour une petite entreprise. Un référent interne qui suit les consignes, appuyé par un prestataire qui gère les postes et les alertes, couvre en général le besoin.

Faites le point sur la sécurité de votre entreprise. Nous regardons avec vous où vous en êtes sur ces cinq mesures et ce qu'il faut traiter d'abord.

Faire le point

Sources

• DGE, Baromètre France Num 2026, communiqué de presse du 28 septembre 2026 et page dédiée sur francenum.gouv.fr.
• Entreprendre.service-public.gouv.fr, actualité du 2 octobre 2026 sur le Baromètre France Num 2026 (méthodologie : 9 655 entreprises, enquête du 23 mars au 18 avril 2026).
• ANSSI, « 10 règles d'or en matière de sécurité numérique », cyber.gouv.fr (consulté le 23 octobre 2026).
• CNIL, « Violations de données personnelles : les règles à suivre », cnil.fr (consulté le 23 octobre 2026).