Les cyberrisques dans les PME : les comprendre, les évaluer et s'assurer contre eux

Un vendredi matin comme les autres, 7 h 42 : dans une usine de production comptant 160 employés et fournissant des clients internationaux des secteurs de l'aéronautique, de l'automobile et des technologies médicales, les machines CNC démarrent, tandis qu'une IA inspecte les premières pièces en titane. Personne ne se doute encore qu’un pirate connaît déjà les valeurs de tolérance exactes des commandes aéronautiques. Il ne les a pas volées : c’est l’assistant IA de l’entreprise qui les lui a fournies à sa demande.

L'entreprise s'appelle AlpPrecision AG et est fictive. Le scénario décrit est en revanche tout à fait réel. À travers cet exemple concret, l’étude « Risques cybernétiques pour les PME », publiée conjointement en octobre 2026 par la Haute école de Lucerne (HSLU) et le VZ VermögensZentrum, illustre comment se déroulent aujourd’hui les cyberattaques et ce qu’elles peuvent signifier pour les petites et moyennes entreprises. Le message clé : les cyberrisques ne peuvent pas être totalement évités, mais ils peuvent être maîtrisés.

La prise de conscience n'est pas (encore) à la hauteur de la gravité de la menace

Selon le Baromètre des risques Allianz 2026, les cyberincidents occupent pour la cinquième fois consécutive la première place des risques d'entreprise à l'échelle mondiale. En Suisse également, ils sont considérés comme le principal risque commercial. Ainsi, les statistiques policières sur la criminalité ont recensé en 2025 près de 58 000 infractions commises par voie numérique. Seules 17,6 % d’entre elles ont été élucidées, et le nombre de cas non signalés devrait être élevé.

L'Office fédéral de la cybersécurité (BACS) a quant à lui reçu près de 65 000 signalements spontanés en 2025. La fraude est le phénomène le plus fréquent, avec environ 39 %. Parallèlement, selon le BACS, les attaques sont de plus en plus ciblées et techniquement sophistiquées.

Tout cela devrait suffire à les alerter. Pourtant, de nombreuses PME sous-estiment les risques auxquels elles sont exposées. Selon une étude de Deloitte, 49 % des entreprises interrogées ont été victimes d’un incident cybernétique grave au cours des trois derniers mois. Or, seules 22 % d’entre elles estiment que leur niveau de risque est élevé. Seuls deux tiers des entreprises ont recours à l’authentification multifactorielle, et moins de la moitié effectuent régulièrement des tests de phishing.

Les cyberrisques ne concernent plus depuis longtemps uniquement les grandes entreprises. Les petites entreprises sont elles aussi dans le collimateur des cybercriminels : selon une étude de Deloitte, le phishing touche les micro-entreprises, les petites et moyennes entreprises à peu près aussi fréquemment. Pourtant, seules 11,5 % des entreprises suisses disposent d’une cyberassurance, comme le souligne l’étude de la HSLU, bien que le volume des primes ait plus que doublé depuis 2021 pour atteindre 153 millions de francs. Près de neuf entreprises sur dix assument donc elles-mêmes les conséquences financières d’une attaque.

Une simple saisie dans un chat entraîne un préjudice de plusieurs millions

Dans l'exemple présenté, l'attaque ne commence ni par un e-mail suspect, ni par un piratage classique. L'attaquant se connecte à l'assistant IA interne à l'aide d'un mot de passe volé. En l'absence d'authentification à deux facteurs, cela s'avère très facile. L'attaquant ordonne ensuite à l'assistant IA d'ignorer toutes les règles de sécurité en vigueur et de divulguer les paramètres de fabrication des commandes aéronautiques. L'assistant obéit sans broncher.

Cette méthode, appelée « Prompt Injection », figure en tête de la liste des principaux risques liés aux applications de modèles linguistiques, établie par l'Open Web Application Security Project (OWASP). Les assistants IA traitent les instructions et les contenus via le même canal : des entrées habilement formulées se transforment ainsi en nouvelles commandes. Selon les auteurs de l’étude, l’injection de prompt pourrait bientôt jouer un rôle similaire à celui du phishing pour les PME.

Et que fait alors le pirate ? À l'aide des données qu'il a dérobées, il modifie les tolérances CNC de quelques micromètres. Le contrôle qualité basé sur l’IA continue d’afficher « conforme », mais les pièces ne respectent pas les spécifications aéronautiques. Seul un contrôle manuel aléatoire permet de détecter l’erreur. S’ensuit alors le chantage : payez, ou le client le plus important sera informé de la non-conformité des pièces.

Potentiel de dommages après un incident cybernétique lié à l'injection de commandes. (Source : étude VZ « Risques cybernétiques pour les PME »)

Le préjudice se répercute ainsi d'un niveau à l'autre : la faille de sécurité numérique se transforme en problème de production, puis en perte financière et, enfin, en crise stratégique. Dans ce scénario, le principal client du secteur aéronautique suspend ses activités pendant six mois. Pour une véritable PME de cette taille, cela pourrait mettre en péril sa survie.

« C'est le service informatique qui s'en charge » : une idée fausse dangereuse

Un mot de passe a été volé et l'assistant IA a été piraté. Mettre en place les conditions techniques nécessaires pour éviter ce genre de situation relève certes de l'informatique, mais pas uniquement. En revanche, c'est la direction qui décide s'il faut poursuivre la production, livrer les produits, informer les clients, procéder à un rappel ou effectuer les paiements. L'étude qualifie donc l'idée selon laquelle la cybersécurité relèverait uniquement du service informatique comme l'une des idées fausses les plus dangereuses.

Les pare-feu, les mises à jour et les sauvegardes restent indispensables. Mais les questions cruciales sont d'ordre entrepreneurial : combien de temps la production peut-elle rester à l'arrêt ? Quels clients doivent être informés et à quel moment ? Quel niveau de préjudice l’entreprise est-elle en mesure de supporter ? Une gestion efficace des risques commence donc par la traduction des failles techniques en conséquences potentielles sur la production, la trésorerie, la capacité d’action et la réputation. « La contribution de la gestion des risques ne consiste donc pas à mieux classer techniquement les cyberrisques. Il s’agit de traduire les dépendances numériques en conséquences pour l’activité, en fourchettes de dommages et en décisions de direction », indique l’étude à ce sujet.

Les auteurs recommandent donc de privilégier des « scénarios cybernétiques prêts à être exploités » plutôt que de longues listes de vulnérabilités. Un tel document de synthèse destiné à la direction répond à six questions :

1. Comment l'attaque commence-t-elle ?
2. Quels sont les éléments concernés ?
3. Comment évolue le sinistre ?
4. Quel ordre de grandeur est plausible ?
5. À quoi l'entreprise reconnaît-elle un durcissement ?
6. Quelles décisions en découlent ?

Chez AlpPrecision, les indicateurs précoces auraient pu être, par exemple, des requêtes inhabituelles dans l'assistant IA, des connexions depuis des emplacements inconnus ou des demandes répétées concernant les valeurs de tolérance. Selon l'étude, ce n'est pas la sophistication technique d'une attaque qui la rend dangereuse, mais le fait qu'elle exploite des angles morts.

Dix mesures pour renforcer la cybersécurité

Selon cette étude, ce ne sont pas des programmes de sécurité complexes qui sont déterminants pour les PME, mais des normes minimales solides, des responsabilités clairement définies et des décisions mûrement réfléchies. Les dix mesures suivantes découlent directement de l'étude de cas.

1. Mettre en évidence les dépendances critiques. Quels sont les systèmes, les données et les prestataires de services qui sont réellement indispensables à la production, à la vente, aux finances et aux clients ? Ce n'est qu'en le sachant que l'on peut établir des priorités.
2. Mettre systématiquement en œuvre l'authentification multifactorielle. Les e-mails, les VPN, les accès à distance, les systèmes ERP, les comptes administrateurs et les outils d'IA ne doivent jamais être protégés uniquement par un mot de passe. Dans l'exemple cité, l'authentification multifactorielle (MFA) aurait sans doute empêché l'intrusion.
3. Accès attribués selon le principe du « besoin d'en connaître ». Les personnes et les systèmes ne voient que ce dont ils ont réellement besoin. Moins un système donné peut révéler d'informations, moins les dommages potentiels sont importants.
4. Considérer les systèmes d'IA comme des systèmes critiques. Tout outil d'IA nécessite une personne responsable, une autorisation officielle, des limites claires en matière de données et des tests réguliers visant à détecter les entrées manipulées.
5. Séparer l'informatique de bureau et la production. Les systèmes de commande des machines et le contrôle qualité ne doivent pas être connectés sans surveillance au même réseau que les systèmes bureautiques et les services cloud.
6. Conserver les sauvegardes dans un endroit distinct et les tester. Ce qui importe, ce n'est pas de savoir s'il existe des sauvegardes, mais quels processus doivent être remis en marche, dans quel ordre et dans quel délai.
7. S'entraîner à faire face à une situation d'urgence. Au moins une fois par an, simuler le déroulement des opérations : qui prend les décisions, qui informe qui, quels systèmes sont isolés et qui vérifie le respect des obligations de déclaration.
8. Impliquer les fournisseurs et les prestataires informatiques. Il faut clairement définir qui dispose d'un accès à distance, quelles sont les normes de sécurité applicables et comment les partenaires doivent réagir en cas de sinistre.
9. Former les collaborateurs à des situations concrètes. S'exercer à repérer les ordres de paiement falsifiés ou les demandes d'informations inhabituelles – et instaurer une culture où il va de soi de demander des précisions.
10. Intégrer les cyberrisques dans les scénarios présentés à la direction. Mettre à jour en permanence les scénarios et les indicateurs avancés, et non pas attendre le prochain rapport annuel.

Tous les risques résiduels ne doivent pas nécessairement être éliminés. Selon l'étude, cela ne pose problème que si personne n'a sciemment décidé de les assumer.

Cyberassurance : un filet de sécurité, mais pas un substitut à la prévention

Et si, malgré tout, un préjudice survient à la suite d’un incident de cybersécurité : que peut couvrir une cyberassurance ? La réponse : pas tout, mais une telle assurance peut au moins prendre en charge une partie du risque financier résiduel. En règle générale, elle couvre également les dommages propres à l’entreprise, tels que la restauration des données et des systèmes, l’interruption d’activité et l’expertise numérique, ainsi que les réclamations de tiers. Souvent, elle offre en outre un accès rapide à des experts en informatique légale, à des juristes et à des spécialistes de la communication.

Cependant, pour pouvoir souscrire une cyberassurance, les entreprises doivent respecter certaines normes minimales. Parmi celles-ci figurent notamment des sauvegardes testées, l'application rapide des correctifs, l'authentification multifactorielle (MFA), une répartition claire des responsabilités et un plan d'urgence. Tout manquement à ces obligations contractuelles peut entraîner une réduction des prestations. Sont souvent exclus : la valeur des données perdues, les amendes et pénalités contractuelles, la guerre et les cyberopérations menées par des États, ainsi que, selon le prestataire, le paiement de rançons.

L'étude de la VZ compare différentes polices proposées par huit assureurs. Les différences sont parfois considérables. C'est notamment sur le critère «interruption d'activité» – qui a été pondéré à hauteur de 25 points possibles lors de l'évaluation – que l'écart est le plus important. Ainsi, Zurich obtient 21 points dans ce domaine, tandis que les assureurs AIG et Mobiliar ne recueillent que cinq points chacun. Il convient également de noter qu’aucune des polices examinées n’exclut les attaques basées sur l’IA – mais aucune ne les mentionne non plus expressément comme étant couvertes. L’étude recommande donc de clarifier ce point par écrit lors de la conclusion du contrat.

Le VZ a également comparé les conditions générales d'assurance (CGA) des huit prestataires. Seules les prestations incluses de manière standard ont été évaluées, avec un maximum de 100 points par domaine.

Source : étude VZ « Risques cyber pour les PME », conditions générales d'assurance en vigueur au 1er juin 2026

En matière de responsabilité civile, les offres des prestataires sont très proches les unes des autres. Les différences sont importantes en ce qui concerne les dommages propres – notamment, comme mentionné plus haut, en cas d’interruption d’activité – ainsi que les conditions contractuelles. Aucun vainqueur global n’est désigné, car il n’existe pas « d’assurance cyber unique » pour les PME, écrivent les auteurs de l’étude. « Selon le secteur d’activité, le volume de données, la dépendance au numérique, la chaîne d’approvisionnement, la maturité informatique et la viabilité financière, un prestataire différent peut proposer la solution la plus adaptée », concluent-ils.

Évaluer une assurance cyber

Pour évaluer les cyberassurances, les entreprises devraient pondérer leurs critères d'évaluation en fonction de leur propre pertinence. Pour une entreprise de production, le critère « interruption d'activité » est plus important que pour une entreprise de services. Cette dernière accordera en revanche davantage d'importance aux critères « responsabilité civile » et « protection juridique ».

Même après avoir souscrit une assurance, il convient de revoir régulièrement la liste des garanties à la lumière de votre propre évaluation des risques. Les points suivants peuvent vous aider à comparer les différentes offres :

• Calculer son propre scénario. Simulez un sinistre réaliste et vérifiez chaque élément au regard des conditions générales d'assurance. Dans le cas d'AlpPrecision, par exemple, les pénalités contractuelles, l'atteinte à la réputation et le rappel de composants physiques seraient à peine couverts par une cyberassurance.
• Vérifier la période de validité. Les sinistres survenus avant le début du contrat, mais qui ne sont découverts que plus tard, sont-ils couverts ? Et quelle est la durée de la couverture rétroactive après la fin du contrat ?
• Connaître le droit de résiliation en cas de sinistre. Si l'assureur est en droit de résilier le contrat à la suite d'un sinistre, il peut s'avérer difficile d'obtenir une nouvelle police.
• Évaluer ses engagements de manière réaliste. Les obligations peuvent-elles être remplies au quotidien et justifiées sans faille ? Ce sont les consignes vagues ou très strictes qui recèlent le plus grand risque de conflit.
• Consulter les détails de l'interruption d'exploitation. Le délai d'attente, la durée de couverture et les plafonds déterminent l'utilité pratique de la couverture. Les pannes chez les prestataires de services cloud ou informatiques sont-elles également couvertes ?
• Préciser l'étendue de la couverture et les coûts. Les frais liés aux urgences et à la médecine légale sont-ils pris en charge par la garantie principale, ou font-ils l'objet d'une couverture distincte ? Les cas d'ingénierie sociale, comme la fraude au PDG, entraînent souvent des pertes importantes, mais celles-ci ne sont pas couvertes par toutes les polices d'assurance.
• Consigner par écrit les scénarios liés à l'IA. L'injection de prompts, les supercheries de type « deepfake » et les systèmes d'IA manipulés devraient être expressément considérés comme des incidents cyberassurés.
• Tester les dispositifs d'aide en cas d'urgence. Existe-t-il une assistance téléphonique disponible 24 heures sur 24 ? L'assureur se charge-t-il lui-même de faire appel à des spécialistes ? Des prestations préventives, telles que des analyses de vulnérabilité, sont-elles proposées ?
• Comparer les offres portant sur le même périmètre. Les modules optionnels améliorent souvent considérablement la couverture, mais entraînent un surcoût. Ce qui importe, c'est le rapport entre le prix et la prestation effectivement incluse.
• Vérifier régulièrement la police d'assurance. De nouveaux outils d'IA, de nouveaux prestataires de services ou une augmentation du chiffre d'affaires modifient le profil de risque. C'est pourquoi la couverture doit également s'adapter à ces nouvelles réalités.

Les mesures de protection dont la mise en œuvre est avérée sont doublement avantageuses : elles permettent de réduire la prime et de limiter le risque de réduction des prestations.

Conclusion : la question n'est pas de savoir « si », mais « dans quelle mesure »

Selon cette étude, la question qui se pose désormais n'est plus de savoir si une cyberattaque est possible. Ce qui importe, c'est de déterminer dans quelle mesure une entreprise sera touchée, à quelle vitesse elle pourra réagir et si les conséquences financières resteront supportables.

Une bonne stratégie cyber ne commence donc pas par l'assurance, mais par la question de savoir quelles dépendances numériques sont critiques pour son activité. En identifiant ces dernières, en compliquant les attaques, en s'entraînant à faire face à une situation d'urgence et en choisissant la police d'assurance adaptée, on reste capable d'agir même sous pression.

*Note de la rédaction : ce texte a été rédigé à l'aide d'une intelligence artificielle.

Vers l'étude : « Les cyberrisques pour les PME – Comprendre, évaluer et assurer les risques » a été publié en octobre 2026 par VZ VermögensZentrum et la Haute école de Lucerne (HSLU). Les auteurs sont le Prof. Dr Stefan Hunziker (HSLU) ainsi que Simon Tellenbach, Luca Schläpfer, Selma Korac et Gregor von Allmen (VZ). L'étude présente une évaluation des assurances cyber proposées par AIG, Allianz, AXA, Chubb, Helvetia, Liberty, Mobiliar et Zurich.

Plus d'informations : https://www.vermoegenszentrum.ch et www.hslu.ch

Cet article est paru initialement sur m-q.ch - https://www.m-q.ch/de/cyberrisiken-im-kmu-verstehen-einordnen-und-versichern/