Une PME de 10 personnes a-t-elle besoin d'une entreprise de cybersécurité ?
Oui pour un socle de base fait sérieusement et suivi dans le temps : comptes d'administrateur séparés, double authentification, mises à jour, sauvegarde testée et accès à distance fermé. Pas forcément pour un centre de surveillance ou des outils pensés pour les grandes entreprises. Ce qui compte, c'est que quelqu'un soit clairement responsable de la sécurité, par écrit.
Le socle de sécurité d'une PME de 10 personnes
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) et la Direction générale des entreprises publient un guide pensé pour les petites structures : « La cybersécurité pour les TPE/PME en 13 questions ». Il rappelle que l'application de quelques bonnes pratiques permet déjà de réduire très significativement le risque. Nous en retenons sept mesures, avec ce qu'elles protègent et qui doit s'en occuper dans une PME de 10 personnes.
| Mesure | Pourquoi | Qui s'en occupe |
|---|---|---|
| Comptes d'administrateur séparés | Un compte administrateur ouvre tout : s'il sert aussi à lire ses mails et à naviguer, un seul clic piégé suffit | Le prestataire, avec la liste des comptes remise au dirigeant |
| Double authentification partout | Un mot de passe volé ne suffit plus pour entrer, surtout dans la messagerie et l'accès à distance | Le prestataire l'active, chaque salarié l'installe sur son téléphone |
| Mises à jour de sécurité | Les attaques courantes visent des failles déjà corrigées par l'éditeur | Le prestataire, de façon automatique et surveillée |
| Antivirus sur tous les appareils | Une deuxième barrière quand un fichier piégé passe malgré tout | Le prestataire, qui suit les alertes |
| Sauvegarde, dont une copie hors ligne, testée | Une copie que l'attaquant ne peut ni chiffrer ni effacer, et la preuve qu'on sait la remettre en place | Le prestataire fait le test, le dirigeant en reçoit le résultat |
| Accès à distance protégé | Une porte ouverte sur internet est essayée en permanence par des robots | Le prestataire |
| Savoir qui appeler en cas d'incident | Pendant une attaque, on perd du temps à chercher un numéro | Le dirigeant, avec une fiche imprimée |
La sensibilisation à l'hameçonnage (les faux mails qui imitent une banque, un fournisseur ou Microsoft) complète ce socle : quelques exemples réels montrés à l'équipe, et une règle simple, « un doute sur un mail qui demande un paiement ou un mot de passe : on appelle l'expéditeur ». Cybermalveillance.gouv.fr en fait l'une de ses dix mesures essentielles : se méfier des messages inattendus.
Ces mesures ne sont pas théoriques. Selon Microsoft, plus de 99,9 % des attaques courantes sur les comptes (essais de mots de passe, rejeu de mots de passe volés, hameçonnage) sont arrêtées par la double authentification et le blocage des anciens protocoles de connexion.
Le scénario : la première semaine chez une PME de 10 postes
Exemple, inventé pour illustrer. Une PME fictive de 10 personnes travaille sur Microsoft 365. Ses fichiers sont sur un NAS (un petit serveur de fichiers) au bureau. L'expert-comptable s'y connecte à distance une fois par mois. L'imprimante envoie les numérisations par mail. Rien n'est en panne, mais personne ne peut dire qui est responsable de la sécurité.
Ce qu'on vérifie
- Les comptes Microsoft 365 : qui est administrateur, si la double authentification est active pour chaque boîte, s'il reste des comptes d'anciens salariés.
- La sauvegarde : ce qui est sauvegardé, où, s'il existe une copie hors du bureau et hors ligne, et quand une restauration a été testée pour la dernière fois.
- Les postes : version de Windows, mises à jour en retard, antivirus actif, droits d'administrateur des utilisateurs.
- Ce qui est visible depuis internet : les accès laissés ouverts sur la box ou le routeur, l'accès à distance de l'expert-comptable, la page de réglage du NAS.
- Les appareils qui envoient des mails : l'imprimante, un logiciel de facturation, avec quel compte et par quel chemin.
Ce qu'on trouve, dans cet exemple
- Un compte administrateur partagé : le dirigeant et l'ancien informaticien utilisent le même identifiant, et l'ancien informaticien l'a toujours.
- Une boîte sans double authentification : celle de l'accueil, exclue « temporairement » parce que l'imprimante l'utilise pour envoyer les numérisations.
- Une sauvegarde jamais testée : le NAS se copie chaque nuit sur un disque branché à côté de lui. Personne n'a jamais essayé de restaurer un dossier.
- Trois postes en retard de mises à jour : on clique sur « plus tard » depuis des semaines.
- L'accès à distance ouvert sur internet : pour l'expert-comptable, un réglage du routeur rend un poste du bureau accessible à distance par n'importe qui, protégé par un simple mot de passe.
Ce qu'on corrige d'abord
On commence par ce qui ouvre la porte à un inconnu, pas par ce qui est le plus visible :
- Fermer l'accès à distance ouvert et le remplacer par un accès protégé par double authentification. Pour accéder à distance au système de l'entreprise, le guide de l'ANSSI recommande un logiciel de connexion de type VPN chiffré.
- Reprendre les comptes administrateurs : un compte nominatif par administrateur, séparé de son compte de tous les jours, et l'ancien accès partagé désactivé. L'ANSSI le dit simplement : quand quelqu'un quitte l'entreprise, on inventorie ses accès et on les révoque tous.
- Activer la double authentification sur toutes les boîtes, après avoir trouvé une autre façon pour l'imprimante d'envoyer ses numérisations (voir notre article sur la double authentification dans Microsoft 365).
- Faire une copie hors ligne de la sauvegarde, puis tester une restauration : un dossier remis en place et ouvert, avec la date du test notée. L'ANSSI propose la règle « 3-2-1 » : trois copies, sur deux supports différents, dont une hors ligne.
- Rattraper les mises à jour et les rendre automatiques, avec un contrôle qui signale un poste resté en retard.
Le schéma de l'exemple n'est pas exceptionnel : ce sont des oublis ordinaires, accumulés parce que personne n'avait la sécurité dans ses tâches.
Ce dont une PME de 10 personnes n'a généralement pas besoin
Sauf demande d'un client, d'un assureur ou de la loi, une PME de 10 personnes n'a généralement pas besoin d'outils pensés pour les grandes entreprises. Le risque n'est pas de dépenser trop, c'est de payer pour un tableau de bord pendant que le socle reste troué.
| Ce qu'on vous propose parfois | Pourquoi ce n'est souvent pas la priorité |
|---|---|
| Un centre de surveillance (SOC) dédié | Utile quand on a une équipe pour réagir aux alertes. Sans socle, il surveille surtout des portes ouvertes |
| Un test d'intrusion complet chaque année | Il révèle surtout ce qu'un inventaire simple aurait trouvé : accès à distance ouvert, comptes partagés |
| Une certification de type ISO 27001 | Un vrai chantier d'organisation. Pertinent si un client l'exige, rarement comme point de départ |
| Plusieurs outils de sécurité qui se recoupent | Chaque outil doit être réglé et suivi. Un outil bien suivi vaut mieux que trois installés et oubliés |
Pourquoi vous le vend-on quand même ? Parce qu'un outil se montre plus facilement qu'un compte administrateur repris ou qu'une restauration testée. Demandez toujours : « quelle mesure du socle cela remplace-t-il, ou complète-t-il ? ».
Les questions à poser avant de signer avec une entreprise de cybersécurité
Un bon contrat dit qui fait quoi, dans quel délai, et comment vous récupérez tout si vous partez. Six questions suffisent à faire la différence entre un prestataire sérieux et une liste de services :
- Qui fait quoi, précisément ? Les mises à jour, la sauvegarde, les comptes, l'antivirus : pour chaque mesure du socle, qui s'en charge et comment vous le voyez.
- Quel délai d'intervention, par écrit ? Pas « au plus vite » : un délai écrit dans le contrat, et ce qu'il couvre (heures de bureau, week-end).
- Qui a les accès, et à quel nom ? Les comptes administrateurs de Microsoft 365, du routeur, du NAS et du nom de domaine doivent être à votre nom, avec une liste remise au dirigeant.
- Quand avez-vous testé une restauration pour la dernière fois ? Une sauvegarde qu'on n'a jamais remise en place n'est qu'une promesse. Demandez la date et le résultat du dernier test.
- Que se passe-t-il en cas d'incident ? Qui vous appelle, qui décide de couper quoi, qui prévient votre assureur, qui vous aide à notifier la CNIL si des données personnelles sont touchées, et ce qui est compris dans le contrat ou facturé en plus.
- Comment je récupère tout si je change de prestataire ? Les accès, la documentation et la sauvegarde doivent pouvoir passer à un autre sans blocage (voir changer de prestataire informatique).
Une réponse floue à l'une de ces questions en dit plus long qu'une plaquette : c'est là que l'incident coûtera cher.
Et le label ExpertCyber ?
Le label ExpertCyber est délivré par Cybermalveillance.gouv.fr à des prestataires informatiques, après un audit réalisé par AFNOR Certification, pour deux ans. Il aide une entreprise à identifier rapidement un professionnel de confiance, et le guide de l'ANSSI y renvoie. C'est un bon repère, mais il ne remplace pas les six questions : il atteste d'un niveau de compétences, pas de ce que le prestataire fera chez vous.
Qui appeler en cas de cyberattaque ?
Votre prestataire d'abord, si vous en avez un. Ensuite, 17Cyber, le service d'assistance en ligne proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr : un diagnostic en quelques questions, des conseils, et l'orientation vers le dépôt de plainte. En cas d'urgence, le 17 ou le 112.
Si des données personnelles (clients, salariés) ont pu être touchées, le RGPD impose de prévenir la CNIL dans les meilleurs délais, avec une notification initiale dans les 72 heures si possible. Mettez ces numéros et ces adresses sur une fiche imprimée : pendant une attaque, l'ordinateur qui les contient peut être bloqué.
NIS2 : ma PME de 10 personnes est-elle concernée ?
En principe, non. Selon l'ANSSI, NIS2 vise des entités de 18 secteurs d'activité, surtout des moyennes et grandes entreprises : une entité « importante » emploie au moins 50 personnes, ou dépasse 10 millions d'euros de chiffre d'affaires et de total de bilan annuels.
Surtout, au 12 octobre 2026, la loi française qui transpose NIS2 n'est pas encore votée. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025, mais son examen à l'Assemblée nationale a de nouveau été reporté début octobre 2026. L'ANSSI l'écrit elle-même : « la transposition de la directive NIS 2 en France est en cours ». Les obligations ne s'appliqueront qu'après la loi et ses décrets.
Il existe des exceptions qui ne dépendent pas de la taille, et une petite entreprise peut être concernée indirectement, quand un grand client soumis à NIS2 exige des mesures de ses fournisseurs. Pour en avoir le cœur net, l'ANSSI propose un simulateur en ligne sur MonEspaceNIS2. Nous ne tranchons pas votre cas à votre place : ce sont les textes et l'ANSSI qui font foi. Voir aussi notre article NIS2 pour les cabinets médicaux et les PME.
Combien de temps faut-il pour mettre ce socle en place ?
Cela dépend moins du nombre de personnes que de l'état de départ. Il n'y a pas de durée standard honnête à annoncer avant d'avoir regardé. Ce qui fait varier :
- Ce qu'on sait déjà : une liste à jour des comptes, des appareils et des accès accélère tout. Un ancien prestataire injoignable ralentit tout.
- Les appareils anciens : une imprimante ou un logiciel qui ne supporte pas la double authentification demande une solution de remplacement avant de couper quoi que ce soit.
- La sauvegarde existante : la tester prend peu de temps si elle fonctionne, beaucoup plus s'il faut la refaire.
- La disponibilité de l'équipe : chaque personne doit installer la double authentification sur son téléphone, idéalement le même jour.
Le bon ordre compte plus que la vitesse : fermer d'abord ce qui est ouvert sur internet, puis les comptes, puis la sauvegarde.
Ce que DeepIT fait
DeepIT gère l'informatique de PME et de cabinets médicaux à Marseille et dans les Bouches-du-Rhône, à distance d'abord, sur place quand il le faut. Pour la sécurité, nous mettons en place le socle décrit plus haut : double authentification, mises à jour, antivirus et détection Microsoft Defender sur les postes, sauvegarde avec une copie hors du bureau, réglages de messagerie contre l'usurpation de votre nom de domaine (DKIM, DMARC), et une réponse quand un incident survient.
Nous commençons par regarder votre situation réelle, puis nous vous disons ce qui manque et dans quel ordre le corriger. Voir aussi notre gestion externalisée et, si votre serveur vous lâche un jour, comment récupérer vos données depuis la sauvegarde.