Un dirigeant de TPE ferme sa boutique le soir, éteint la lumière, et laisse sur son bureau un ordinateur qui contient ses fichiers clients, ses coordonnées bancaires et ses mots de passe. Le lendemain, tout est encore là. Cette tranquillité apparente trompe pourtant beaucoup de monde. Selon Cybermalveillance.gouv.fr, 78 % des TPE PME se disent insuffisamment préparées. Défendre son entreprise ne demande ni informaticien salarié, ni budget colossal : une poignée de réflexes suffit à écarter la grande majorité des attaques.
Le vrai point faible d’une TPE, ce n’est pas la technique
La plupart des attaques qui touchent les petites structures ne relèvent pas du piratage sophistiqué. Elles passent par un mail qui ressemble à un vrai, un mot de passe réutilisé partout, une clé USB ramassée dans un parking.
Les attaquants ne ciblent pas une entreprise en particulier : ils envoient massivement et attendent qu’une personne clique. Une TPE n’a donc pas besoin de se protéger contre un scénario digne d’un film, elle doit surtout fermer les portes les plus évidentes.
Le problème, c’est que personne ne s’en occupe. Dans 72 % des cas, les dirigeants n’ont aucun salarié en charge de la cybersécurité, ce qui ne veut pas dire qu’ils s’en fichent : la tâche retombe sur la personne qui gère déjà les plannings, la comptabilité et les fournisseurs. C’est là que tout se joue.
La ressource publique existe et elle est gratuite. Le dossier de francenum.gouv.fr sur la sécurité informatique en petite entreprise, publié le 08 octobre 2024 et mis à jour le 27 janvier 2026, a été rédigé par Yves Le Floch, expert référencé Activateur France Num.
Autrement dit, un plan de départ clair, accessible à qui n’y connaît rien, et déjà payé par vos impôts. Les éditeurs ne sont pas en reste : Fortinet publie un guide des meilleures pratiques pour les petites entreprises, ainsi qu’un rapport intitulé « Rapport sur le milieu des menaces 2026 ».
Un plan d’action qui tient sur une page
Rangez les grandes théories. Ce qui protège une TPE tient en quelques décisions, prises une fois puis revues de temps en temps. La difficulté n’est pas de comprendre quoi faire, elle est de le faire dans le bon ordre, parce qu’on ne peut pas tout traiter le même jour. Voici comment je hiérarchiserais les choses si je devais remettre de l’ordre dans une petite structure demain matin.
Les décisions qui rapportent le plus, tout de suite
Commencez par ce qui coûte le moins d’effort pour le plus de résultat. Ces quelques points règlent déjà une bonne partie du risque. Aucun ne demande de compétence particulière, juste un peu de méthode et une heure de calme devant l’écran.
- Activez la double authentification sur les boîtes mail et les accès bancaires : c’est la mesure qui bloque le plus d’intrusions, pour zéro euro.
- Des mots de passe longs, uniques, et un gestionnaire pour les retenir à votre place.
- Combien de vos logiciels ne reçoivent plus de mises à jour depuis des mois ?
- Sauvegardez vos données ailleurs que sur le poste de travail, et vérifiez une fois par trimestre que la restauration fonctionne vraiment.
- Notez sur une feuille les accès de chacun et supprimez ceux des anciens prestataires ou salariés.
Ce dernier point est celui qu’on oublie le plus souvent, et il ne coûte rien du tout. Un stagiaire parti il y a deux ans garde parfois encore l’accès à votre logiciel de facturation. Un coup d’œil dans les paramètres du compte suffit à repérer ces accès fantômes, et à les fermer en quelques clics.
Les aspects administratifs et déclaratifs de la gestion d’une petite structure suivent la même logique : ils paraissent rébarbatifs jusqu’au jour où on s’y met sérieusement. Un site comme digicarrieres.fr traite ce genre de questions concrètes avec des réponses directes, ce qui évite de passer trois soirées à éplucher des textes incompréhensibles.
Ce qui se passe le jour où ça tourne mal
Préparer la réaction est presque aussi important que prévenir. Selon Cybermalveillance.gouv.fr, 7 entreprises sur 10 ne disposent d’aucune procédure de réaction face aux cyberattaques. Au moment critique, tout le monde improvise. Or c’est exactement le moment où il faut savoir quoi faire, dans quel ordre, et qui appeler.
Écrivez la procédure avant d’en avoir besoin, sur une page imprimée et rangée hors des ordinateurs. Elle tient en cinq lignes : déconnecter la machine suspecte du réseau, prévenir le dirigeant, conserver les preuves, changer les mots de passe depuis un autre appareil, contacter un référent ou la plateforme publique d’assistance. Ce dernier point mérite d’être connu : Cybermalveillance.gouv.fr propose une assistance gratuite aux petites entreprises victimes, et beaucoup de dirigeants découvrent ce service le jour du sinistre, trop tard pour en profiter sereinement.
Répétez l’exercice une fois, à froid, sans stress. Le jour où un employé reçoit une demande de virement frauduleuse ou un rançongiciel qui bloque les fichiers, la panique gagne du terrain en quelques secondes. Personne ne va chercher une procédure rangée dans un tiroir s’il ne sait même pas qu’elle existe. Un simple débriefing d’une demi-heure au café du coin vaut mieux qu’un document de vingt pages que personne n’a lu.
Combien d’argent faut-il vraiment mettre
Moins qu’on ne le croit, et c’est probablement le malentendu le plus tenace. Un gestionnaire de mots de passe familial coûte le prix d’un sandwich par mois, et il couvre l’essentiel des besoins d’une équipe de quelques personnes. Un disque externe pour la sauvegarde, une clé de sécurité physique pour les accès les plus sensibles, quelques heures de consultant pour vérifier la configuration : on reste loin des budgets qu’imaginent les dirigeants.
Le vrai coût, c’est le temps, pas l’argent. Réserver deux heures par trimestre pour vérifier les accès, tester une restauration, relire la procédure d’urgence : voilà l’investissement réel. Franchement, beaucoup de TPE mettent bien plus que ça dans la refonte de leur logo chaque année.
La sécurité d’une TPE, c’est une habitude qui s’installe
Rien de tout cela ne demande un expert maison ni un budget de grande entreprise. Une double authentification activée ce soir, un gestionnaire de mots de passe installé cette semaine, une procédure d’urgence imprimée ce mois-ci : la protection se construit par petites touches.
Les ressources publiques sont là, gratuites, à jour, et pensées pour des dirigeants qui n’ont ni le temps ni l’envie de devenir techniciens. Le seul vrai risque, c’est de repousser à demain ce qui prendrait une heure aujourd’hui. Combien de temps une petite entreprise peut-elle vraiment tenir si ses fichiers clients disparaissent du jour au lendemain ?