Cyber-résilience: les PME suisses face au test de la continuité

Les cyberattaques ne sont plus seulement un sujet de spécialistes informatiques. Pour une PME suisse, la vraie question devient très concrète: combien de temps l’entreprise peut-elle continuer à facturer, produire, livrer, payer les salaires ou répondre à ses clients si ses systèmes tombent? La cyber-résilience mesure précisément cette capacité à absorber un choc numérique, à maintenir les fonctions essentielles et à redémarrer sans perdre le contrôle.

Les signaux récents invitent à regarder ce risque avec davantage de méthode. L’Office fédéral de la cybersécurité a recensé 65’000 cyberincidents en 2025, contre 63’000 en 2024, selon les données reprises par le Salon de l’entreprise. Dans le même temps, seules 42% des PME suisses disent se sentir suffisamment protégées contre les cyberattaques en 2025, soit 13 points de moins qu’en 2024, d’après le portail PME de la Confédération. Cette baisse du sentiment de sécurité est un indicateur important: les entreprises savent que les outils techniques ne suffisent plus, mais beaucoup n’ont pas encore transformé cette prise de conscience en dispositif de continuité.

La résilience ne se limite pas à bloquer l’attaque

Dans beaucoup d’entreprises, la cybersécurité est encore associée à des mesures visibles: antivirus, pare-feu, mots de passe renforcés, mises à jour, sauvegardes. Ces éléments restent indispensables. Mais la cyber-résilience va plus loin. Elle part d’une hypothèse moins confortable: malgré les protections, un incident peut survenir. Il faut donc se demander quelles activités doivent impérativement continuer, quels systèmes les soutiennent, quelles données sont nécessaires et qui décide quoi dans les premières heures.

C’est l’intérêt de l’évaluation de la cyber-résilience développée par le BACS, présentée par news.save.ch. Selon cette source, l’outil repose sur la méthode de cybersécurité et de résilience CSRM et permet aux organisations de réaliser une auto-évaluation autour de six objectifs de résilience. Sa particularité est de ne pas se concentrer uniquement sur l’informatique au sens strict, mais sur les processus critiques de l’organisation et leurs dépendances envers les systèmes informatiques et opérationnels.

Pour une PME, ce changement de perspective est décisif. Un serveur inaccessible n’a pas le même impact selon qu’il bloque la production, la caisse, la prise de commandes, la paie ou simplement une application secondaire. Une cyberattaque devient un problème de direction dès qu’elle empêche l’entreprise d’honorer ses engagements, de respecter ses délais ou de préserver la confiance de ses clients et partenaires.

Des mesures existent, mais trop souvent en pièces détachées

L’un des constats mis en avant par news.save.ch est que la cyber-résilience repose encore, dans de nombreuses organisations, sur des mesures isolées plutôt que sur un concept global orienté sur les processus. Autrement dit, l’entreprise peut avoir acheté des solutions de sécurité, sans avoir réellement testé sa capacité à fonctionner en mode dégradé.

Cette fragmentation se retrouve dans les chiffres disponibles. Selon l’étude citée par la Mobilière, seules 32% des PME organisent régulièrement des formations en cybersécurité et 30% disposent d’un plan d’urgence. Ces deux éléments sont pourtant au cœur de la résilience. Une technologie bien configurée réduit le risque; un personnel formé réduit les erreurs évitables; un plan d’urgence réduit l’improvisation lorsque le temps presse.

La formation ne devrait pas être pensée comme une séance théorique ponctuelle. Dans la réalité d’une PME, le risque passe souvent par des gestes ordinaires: ouvrir une pièce jointe, valider un changement de coordonnées bancaires, transmettre un accès, cliquer sur un lien, utiliser un appareil privé, répondre trop vite à une demande qui semble venir d’un supérieur ou d’un fournisseur. La sensibilisation doit donc coller aux tâches concrètes des équipes: administration, comptabilité, ventes, ressources humaines, logistique, direction.

Le plan d’urgence, lui, doit clarifier les responsabilités. Qui contacte le prestataire informatique? Qui décide d’isoler un système? Qui informe les collaborateurs? Qui parle aux clients si une livraison est retardée? Qui vérifie si des données personnelles sont concernées? Sans réponses préparées, une PME risque de perdre des heures précieuses, voire de prendre des décisions contradictoires sous pression.

Le coût d’un arrêt dépasse la facture informatique

Le coût d’une cyberattaque ne se résume pas au nettoyage des systèmes ou au remplacement de matériel. D’après les chiffres repris par le Salon de l’entreprise, un jour d’arrêt complet coûte entre 5’000 et 50’000 francs à une PME de trente collaborateurs. Cette fourchette illustre un point souvent sous-estimé: l’impact dépend du modèle d’affaires, du niveau de dépendance au numérique, des marges, des délais contractuels et de la saisonnalité de l’activité.

Dans une entreprise de services, l’arrêt peut empêcher les collaborateurs de saisir leurs heures, d’accéder aux dossiers clients ou d’émettre des factures. Dans une société industrielle ou artisanale, il peut bloquer la planification, les machines connectées, les commandes fournisseurs ou la traçabilité. Dans le commerce, il peut affecter les paiements, la gestion des stocks ou la boutique en ligne. Même lorsque l’activité reprend, il reste souvent un travail de rattrapage: ressaisie, contrôles, relances, explications aux clients, coordination avec les banques, les assureurs ou les autorités compétentes.

La comptabilité et les salaires méritent une attention particulière. Ils concentrent des données sensibles, des échéances et des flux financiers. Une compromission d’accès, une fraude au paiement ou une indisponibilité de l’outil comptable peut rapidement perturber la trésorerie et la relation avec les collaborateurs. Sans transformer le responsable financier en expert cyber, il est prudent de l’intégrer à l’analyse des processus critiques.

Le cadre légal ajoute une contrainte de rapidité

La résilience opérationnelle doit aussi être lue à la lumière des obligations de signalement. Selon le dossier de recherche, la Loi sur la sécurité de l’information est en vigueur depuis le 1er janvier 2024 et impose aux exploitants d’infrastructures critiques de signaler les cyberattaques dans un délai de 24 heures à compter de leur connaissance. Les secteurs mentionnés incluent notamment l’énergie, l’eau, l’alimentation, la santé, les finances, les transports, les télécommunications et l’administration publique.

Toutes les PME ne sont pas directement dans le champ de cette obligation. Mais beaucoup peuvent être fournisseurs, sous-traitants ou partenaires d’acteurs soumis à des exigences renforcées. Dans une chaîne d’approvisionnement, la pression réglementaire descend souvent par les contrats, les questionnaires de sécurité, les audits ou les exigences de continuité. Une petite entreprise peut ainsi se voir demander de démontrer comment elle protège les données, ses accès et ses services essentiels.

La nouvelle Loi sur la protection des données ajoute un autre angle. Le dossier rappelle que son article 24 prévoit le signalement des violations de données personnelles au Préposé fédéral à la protection des données et à la transparence le plus tôt possible après leur découverte. En pratique, cela suppose de pouvoir identifier rapidement si des données personnelles ont été touchées, de comprendre l’ampleur de l’incident et de documenter les décisions prises. Il ne s’agit pas seulement d’un sujet informatique, mais aussi de gouvernance des données.

Les entreprises suisses actives avec l’Union européenne doivent enfin garder un œil sur la directive NIS2. Le dossier souligne que, même si elle relève du droit de l’UE, elle peut concerner des groupes suisses ayant des filiales dans l’UE ou fournissant des services à l’UE, notamment via des chaînes contractuelles. Là encore, l’enjeu n’est pas de tirer des conclusions générales, mais de vérifier la situation propre de l’entreprise avec les spécialistes concernés.

Passer d’un inventaire technique à un scénario de crise

Une évaluation utile commence rarement par une liste d’outils. Elle commence par les activités que l’entreprise ne peut pas se permettre d’arrêter longtemps. Quelles prestations doivent être maintenues en priorité? Quelles données sont indispensables? Quels collaborateurs détiennent les accès critiques? Quels prestataires interviennent en cas de panne? Où se trouvent les sauvegardes et comment sont-elles restaurées? Ces questions simples révèlent souvent des dépendances ignorées.

La démarche peut rester proportionnée. Une petite structure n’a pas besoin d’un dispositif conçu pour une multinationale. Elle a en revanche besoin d’un minimum de clarté: un inventaire des systèmes importants, des droits d’accès maîtrisés, des sauvegardes testées, une procédure de réaction, une liste de contacts à jour, une communication interne prévue et une sensibilisation régulière du personnel. L’assurance cyber peut aussi être examinée, non comme une solution miracle, mais comme un élément possible de transfert financier du risque, avec des conditions et exclusions à lire attentivement.

L’intérêt de l’approche par la résilience est qu’elle rend le sujet plus lisible pour la direction. Au lieu de discuter uniquement de logiciels, elle relie le risque cyber à la continuité d’exploitation, à la trésorerie, à la réputation, aux obligations contractuelles et à la protection des données. Elle permet aussi de prioriser les investissements: une PME aux ressources limitées doit d’abord réduire les vulnérabilités qui menacent directement ses processus essentiels.

La cyber-résilience n’est donc pas un état acquis une fois pour toutes. Elle se construit, se teste et se met à jour à mesure que l’entreprise change de logiciels, de prestataires, de marchés ou d’organisation. Les chiffres disponibles montrent une menace persistante et une confiance en recul; le cadre légal pousse à réagir plus vite. Pour les PME suisses, le bon réflexe consiste désormais à traiter la cyberattaque non comme une panne improbable, mais comme un scénario de gestion d’entreprise à préparer avec autant de sérieux qu’un risque financier ou opérationnel.