Enseignement principal
À l’ère de l’intelligence artificielle, la cybersécurité devient un facteur déterminant de compétitivité et de résilience.
Les organisations qui investissent dès maintenant de manière conséquente dans la sensibilisation aux risques, des architectures de sécurité modernes, la résilience organisationnelle et une collaboration étroite avec leurs partenaires créent les conditions nécessaires pour rester durablement performantes, même dans un environnement de menaces toujours plus dynamique.
Les cyberattaques gagnent en rapidité, prennent de l’ampleur et sont plus sophistiquées. L’intelligence artificielle (IA) accélère encore davantage les attaques. Pourtant, alors que le niveau de menace augmente, les PME suisses accusent un retard dans leur capacité de défense dans trois domaines critiques.
Une étude représentative menée par Deloitte dresse un constat préoccupant: 49% des collaborateurs ont été confrontés à un cyber-incident grave au cours des trois derniers mois, mais seuls 22% estiment que le risque est élevé. Cet écart de perception est particulièrement marqué dans les microentreprises: 38% d’entre elles signalent des incidents, mais seulement 15% considèrent le risque comme élevé.
Trois failles de sécurité
Faille 1: les cyber-risques sont systématiquement sous-estimés
Les cyber-menaces sont devenues omniprésentes. Le phishing touche les entreprises de toutes tailles: avec 25%, il s’agit de la menace perçue comme la plus fréquente, indépendamment de la taille de l’entreprise. Les attaques évolutives via les e-mails, les identifiants d’accès compromis et la manipulation des processus de paiement rendent même les petites entreprises vulnérables, une vulnérabilité que beaucoup continuent encore de sous-estimer.
Faille 2: les mesures de protection fondamentales ne sont pas mises en œuvre de manière généralisée
L’indice Deloitte de cybersécurité des PME mesure le degré d’adoption de six mesures de sécurité fondamentales et affiche une moyenne de 58 points sur 100. Autrement dit: en moyenne, les mesures de sécurité ne sont mises en œuvre qu’à 58%.
Les principales lacunes concernent les méthodes d’authentification modernes:
- Authentification sans mot de passe (p. ex., biométrique): seulement 45% des entreprises
- Authentification unique (SSO): seulement 45% des entreprises
- Authentification multifactorielle (MFA): 66% – une adoption encore loin d’être généralisée
Les microentreprises sont particulièrement en retard: elles n’obtiennent que 44 points dans l’indice. Les formations sur le sujet n’y sont proposées que dans 32% des cas, contre 82% dans les entreprises de taille moyenne. Seuls 24% des microentreprises réalisent des tests de phishing, contre 63% des entreprises de taille moyenne.
Mais lorsque ces mesures sont mises en place, elles sont efficaces: 88% des personnes interrogées dont l’entreprise utilise des alertes par e-mail les jugent utiles.
Faille 3: la couverture d’assurance fait défaut, surtout dans les petites entreprises
Les cyber-assurances se développent, mais pas assez rapidement. Selon l'Association suisse d'assurances (ASA), avec 72'000 polices, seules 11,5% des entreprises domiciliées en Suisse sont assurées. La couverture d’assurance est particulièrement lacunaire chez les microentreprises et les petites entreprises.
Cette situation est paradoxale: ce sont précisément les petites entreprises qui, proportionnellement à leur chiffre d’affaires, peuvent être les plus durement touchées par les dommages liés aux cyberattaques – pourtant, ce sont elles qui sont les moins assurées. Les raisons sont variées:
- Perception du risque: les PME sous-estiment les risques auxquels elles sont exposées et ne considèrent pas qu’une assurance soit nécessaire
- Mesures fondamentales insuffisantes: de nombreuses PME ne respectent pas, ou pas suffisamment, les exigences de sécurité nécessaires pour conclure une police d’assurance ou bénéficier de sa couverture
- Processus complexes: les démarches de souscription sont souvent trop lourdes pour les petites entreprises
- Lacune commerciale: Les commissions sur les cyber-assurances pour les microentreprises sont souvent relativement faibles, ce qui incite peu les conseillers en assurance à proposer ces produits
La situation en matière de cyber-menaces: Une fenêtre de tir étroite
La situation en matière de cyber-menaces a fondamentalement changé. Les attaques sont plus rapides et plus facilement déployables à grande échelle. Trois facteurs se renforcent mutuellement:
- La cybercriminalité gagne en importance économique et devient de plus en plus interconnectée
Les dommages financiers augmentent fortement: Cybersecurity Ventures prévoit une croissance annuelle de 15% des coûts mondiaux liés à la cybercriminalité1. Dans le même temps, les cyber-risques apparaissent de plus en plus en dehors de l’organisation elle-même, notamment tout au long des chaînes d’approvisionnement et auprès des partenaires technologiques. En 2024, 35,5% des violations de données ont été imputables à des tiers.
- L’intelligence artificielle et l’automatisation accélèrent les attaques
CrowdStrike fait état, pour 2026, d’une hausse de 89% des attaques assistées par l’IA. Le délai moyen nécessaire pour pénétrer dans un système (eCrime Breakout Time) est tombé à 29 minutes, soit 65% plus court qu’en 20242. Pour les entreprises, cela signifie que: la fenêtre de tir disponible pour réagir se réduit de manière spectaculaire.
- Des environnements informatiques complexes et obsolètes compliquent la mise en place d’une défense efficace
Les entreprises exploitent en moyenne plus de 1000 applications. Parallèlement, des processus critiques reposent encore souvent sur des logiciels vieux de plusieurs décennies3. Cette complexité complique la transparence, les mises à jour et la capacité à réagir rapidement face aux nouvelles vulnérabilités.
Les entreprises ne disposent plus que d’une fenêtre de tir très étroite pour garantir leur résilience technologique.
Cliquez ici pour accéder à l'étude complète (en allemand)