· Menaces et tendances · 3 min de lecture
Baromètre 2025 : huit TPE et PME sur dix ne sont pas prêtes
La deuxième édition du baromètre national de la maturité cyber des TPE-PME est sortie. Les équipements progressent, la préparation non. Ce qu’il faut en retenir quand on dirige une entreprise de douze personnes.
Cybermalveillance.gouv.fr publie chaque année un baromètre de la maturité cyber des petites et moyennes entreprises françaises. L’édition 2025 a été menée par OpinionWay auprès de 588 entreprises de moins de 250 salariés, entre le 2 juin et le 7 juillet 2025. Elle mérite dix minutes de lecture, parce qu’elle décrit assez précisément la situation de la plupart des entreprises que nous rencontrons.
Le chiffre qui compte : 80 %
Quatre-vingts pour cent des TPE et PME ne sont pas préparées à une attaque. Le détail est plus intéressant que le total : 49 % le reconnaissent, et 31 % l’ignorent. C’est ce deuxième tiers qui nous occupe le plus, parce qu’une entreprise qui se croit protégée ne demande jamais d’aide.
Dans le même temps, 58 % admettent ne pas savoir évaluer les conséquences d’une cyberattaque sur leur activité. Autrement dit : impossible d’arbitrer un budget quand on ne sait pas ce qu’on risque.
Les équipements progressent, les procédures non
Le trio de tête reste stable : 84 % ont un antivirus, 78 % déclarent des sauvegardes, 69 % un pare-feu. Le nombre moyen de dispositifs installés augmente. C’est la bonne nouvelle.
La moins bonne : 26 % seulement ont activé la double authentification, et 24 % seulement disposent d’une procédure de réaction en cas d’attaque. Or entre les deux colonnes, c’est la seconde qui décide de la durée d’un incident. Avoir des sauvegardes ne sert à rien si personne ne sait qui débranche, qui appelle qui, et combien de temps prend une restauration.
L’hameçonnage a doublé
Seize pour cent des entreprises interrogées ont subi au moins un incident dans les douze derniers mois. Parmi elles, 43 % attribuent l’attaque à l’hameçonnage, contre 24 % un an plus tôt. C’est la progression la plus nette de l’étude, et elle confirme ce que nous voyons sur le terrain : l’entrée se fait par un message, pas par une prouesse technique.
Le budget n’explique pas tout
Trois quarts des entreprises consacrent moins de 2 000 € par an à leur sécurité informatique. C’est peu, et pourtant les trois manques les plus fréquents de l’étude (double authentification, procédure de réaction, revue des comptes) ne coûtent rien d’autre que du temps.
Les obstacles cités le confirment : manque de connaissances et d’expertise pour 63 %, contraintes budgétaires pour 61 %, manque de temps pour 59 %. Le premier arrive avant le deuxième.
Et le rôle du prestataire informatique
Dernier chiffre, et pas le moins parlant : 39 % des TPE et PME se tournent d’abord vers leur prestataire informatique pour s’informer ou se faire aider sur ces sujets. Un quart, en revanche, ne fait appel à aucun acteur spécialisé.
C’est exactement la raison pour laquelle nous avons ouvert cette activité. Quand une entreprise nous confie déjà son site et son hébergement, la question de sa sécurité arrive naturellement, et il vaut mieux qu’elle trouve une réponse chez nous plutôt qu’aucune réponse du tout.