Gouvernance de la cybersécurité : organiser la sécurité de votre PME

Pourquoi la gouvernance compte pour une PME

Dans une PME, la cybersécurité échoue rarement faute d'outils. Elle échoue parce que personne n'en est chargé : aucune décision n'est prise, aucun budget n'est arbitré, et les mesures techniques restent le choix d'un prestataire ou d'un salarié de bonne volonté. La gouvernance, c'est simplement la réponse écrite à trois questions : qui décide, sur quelles règles, et comment on vérifie qu'elles sont appliquées.

Ce que disent les chiffres

• Dans 80 % des TPE-PME interrogées en 2025, c'est le chef d'entreprise lui-même qui endosse le rôle de responsable informatique ; la proportion atteint 88 % dans les entreprises sans salarié et tombe à 10 % au-delà de 50 salariés (baromètre Cybermalveillance.gouv.fr et OpinionWay, 588 entreprises de moins de 250 salariés).
• Trois TPE-PME sur quatre investissent moins de 2 000 € par an dans la cybersécurité, et 80 % ne sont pas préparées aux attaques ou l'ignorent (même baromètre).
• 58 % des entreprises interrogées admettent qu'elles ne sauraient pas évaluer les conséquences d'une cyberattaque : sans cette évaluation, aucun budget ne peut être justifié.
• La fraude au virement est entrée en 2025 dans les trois premières menaces visant les entreprises et associations assistées par Cybermalveillance.gouv.fr : 13,5 % des assistances, en hausse de 93 % sur un an. Elle vise des processus financiers (changement de RIB, arnaque au président), c'est-à-dire des règles internes, pas des machines.
• Selon le rapport Verizon DBIR 2025, la part des violations de données impliquant un tiers (fournisseur, prestataire, partenaire) a doublé, de 15 % à 30 %. Les contrats de vos prestataires font partie de votre sécurité.

Pourquoi c'est un sujet de dirigeant

La gouvernance ne se délègue pas entièrement. Un prestataire peut rédiger une politique de sécurité ; il ne peut pas décider à votre place du niveau de risque que l'entreprise accepte, ni imposer une règle à un associé. Le droit européen le dit d'ailleurs explicitement pour les entités concernées par NIS2 : ce sont les organes de direction qui approuvent les mesures de sécurité et peuvent en être tenus responsables (voir plus bas).

Se situer en six questions

Ces six questions reprennent les points que le diagnostic Lyyp évalue dans ce domaine. Répondez par oui ou par non, sans nuance : un « à peu près » vaut non.

1. Une personne est-elle nommément responsable de la cybersécurité ?

Non : c'est le premier chantier, avant tout achat. Sans responsable, les alertes de votre antivirus, les demandes de vos clients sur votre niveau de sécurité et les incidents n'arrivent chez personne. Oui : vérifiez que ce nom est connu des salariés et des prestataires, et que la personne dispose de temps réellement alloué.

2. La direction a-t-elle validé par écrit des objectifs et un budget de sécurité ?

Non : chaque dépense sera arbitrée au cas par cas, donc souvent reportée. Oui : le document doit être revu au moins une fois par an, et après tout incident significatif.

3. Existe-t-il des règles écrites (mots de passe, accès, usage des outils) ?

Non : les salariés appliquent chacun leurs habitudes, et vous ne pouvez rien exiger d'eux ni d'un prestataire. Oui : ces règles sont-elles connues, signées à l'embauche, et annexées au règlement intérieur quand c'est nécessaire ? Une règle que personne n'a lue ne protège pas.

4. Faites-vous auditer votre sécurité à intervalle régulier ?

Non : vous ne connaissez de votre sécurité que ce que vous en croyez. Oui : les recommandations du dernier audit ont-elles été suivies, et quelqu'un en suit-il l'avancement ?

5. Vos fournisseurs critiques sont-ils encadrés sur le plan de la sécurité ?

Non : votre infogéreur, votre éditeur de logiciel comptable ou votre hébergeur disposent peut-être d'accès à votre système sans aucune obligation écrite. Oui : les contrats prévoient-ils la notification des incidents, la réversibilité, et la fin des accès en fin de contrat ?

6. Disposez-vous d'un inventaire de vos équipements, logiciels et données ?

Non : c'est la toute première question du guide ANSSI pour les TPE/PME. On ne protège pas ce qu'on ne connaît pas. Oui : l'inventaire doit être mis à jour au moins une fois par an, recommande l'ANSSI.

Trois « non » ou plus : la gouvernance est votre priorité, car les mesures techniques que vous achèterez n'auront ni pilote ni suivi.

Les mesures prioritaires, dans l'ordre

L'ordre ci-dessous suit le guide d'hygiène informatique de l'ANSSI (42 mesures) et le guide ANSSI et DGE « La cybersécurité pour les TPE/PME en 13 questions », ramenés à ce qui relève de l'organisation.

1. Désigner un référent et le faire connaître

Mesure 39 du guide d'hygiène : désigner un référent en sécurité des systèmes d'information et le faire connaître auprès du personnel. Dans une petite structure, ce peut être le dirigeant, un associé ou un salarié à temps partiel, appuyé si besoin par un RSSI externalisé. L'essentiel est qu'un nom figure en face du sujet, avec une lettre de mission d'une page.

2. Faire l'inventaire

Le guide des 13 questions détaille ce qu'il faut recenser : les équipements (y compris box, imprimantes et clés 4G), les logiciels et leurs licences, les données et traitements dont la perte arrêterait l'activité, tous les accès (administrateur, utilisateur, invité, ancien employé, ancien prestataire), et les connexions avec l'extérieur. Un tableur suffit pour commencer.

3. Identifier ce qui compte vraiment

Dans cet inventaire, repérez les informations et serveurs les plus sensibles (mesure 4 du guide d'hygiène) : le fichier clients, la comptabilité, les plans ou le savoir-faire, la messagerie de la direction. Chiffrez ensuite, même grossièrement, ce que coûterait leur indisponibilité pendant une semaine. Ce chiffre justifie le budget.

4. Écrire des règles courtes, puis les faire appliquer

Une politique de sécurité (PSSI) de PME tient en quelques pages : mots de passe et double authentification, attribution et retrait des accès, usage des outils personnels, sauvegardes, signalement d'un incident. Ajoutez une règle financière simple, puisque la fraude au virement progresse : tout changement de coordonnées bancaires se vérifie par un appel à un numéro déjà connu. Les règles destinées aux salariés prennent la forme d'une charte informatique, que l'ANSSI propose en modèle.

5. Encadrer les prestataires

Mesure 3 du guide d'hygiène : maîtriser les risques de l'infogérance. Le guide des 13 questions ajoute que, si un sous-traitant gère vos mises à jour, il faut s'assurer qu'il les effectue et, si nécessaire, l'exiger dans le contrat. Pour chaque fournisseur critique, listez ses accès, ses obligations de sécurité et ce qui se passe en fin de contrat.

6. Prévoir un contrôle régulier

Mesure 38 : procéder à des contrôles et audits de sécurité réguliers. Pour une PME, un état des lieux externe tous les un à deux ans, complété par une revue interne annuelle de l'inventaire et des accès, est un rythme tenable.

7. Quand l'entreprise grandit : analyser les risques

Mesure 41 : mener une analyse de risques formelle, avec la méthode EBIOS Risk Manager recommandée par l'ANSSI. Elle devient pertinente quand vous traitez des données sensibles, que vos clients vous l'exigent, ou que vous visez une certification ISO 27001.

Les erreurs fréquentes

• Confondre gouvernance et documentation. Une PSSI de quarante pages achetée clé en main, que personne n'a lue, ne change rien. Mieux vaut cinq règles appliquées que cinquante règles ignorées.
• Déléguer la décision au prestataire informatique. Il peut conseiller, mais il n'est ni neutre sur ce qu'il vous vend, ni en position de fixer le niveau de risque acceptable pour votre entreprise.
• Nommer un référent sans lui donner de temps. Un titre sans heures allouées revient à ne nommer personne.
• Oublier les départs. L'inventaire des accès sert d'abord à vérifier qu'aucun ancien salarié ou ancien prestataire n'a conservé les siens ; le guide des 13 questions le souligne expressément.
• Traiter les fournisseurs comme hors sujet. Avec 30 % des violations impliquant un tiers selon le DBIR 2025, votre infogéreur ou votre éditeur SaaS font partie de votre périmètre.
• Acheter un outil avant d'avoir un inventaire. Un outil déployé sur un parc mal connu laisse de côté précisément les machines oubliées.
• Attendre d'être « concerné par NIS2 » pour s'organiser. Le RGPD impose déjà des mesures de sécurité adaptées au risque à toute entreprise qui traite des données personnelles.

Ce que ça coûte

Les fourchettes ci-dessous proviennent du catalogue de prestations Lyyp. Elles donnent un ordre de grandeur ; le prix réel dépend du périmètre (nombre de sites, de salariés, d'applications) et figure dans le devis de chaque prestataire.

Pour démarrer

• Accompagnement RSSI : de 1 500 à 3 000 €, sur une durée de référence de 90 jours. Adapté pour structurer un premier plan d'action avec un référent interne.
• RSSI externalisé à temps partiel : de 2 000 à 5 000 €, prestation inscrite sur une durée de référence d'un an. Vérifiez sur le devis la périodicité exacte et le nombre de jours de présence inclus.
• Politique de sécurité (PSSI) : de 3 000 à 8 000 €, environ 15 jours.
• Cartographie des risques cyber : de 3 000 à 8 000 €, environ 15 jours.

Pour structurer

• Organisation de la fonction SSI : de 4 000 à 10 000 €, environ 20 jours.
• Analyse de risques ISO 27005 : de 4 000 à 12 000 €, environ 20 jours.
• Analyse de risques EBIOS RM : de 5 000 à 15 000 €, environ 25 jours.
• Schéma directeur SSI : de 8 000 à 20 000 €, environ 30 jours.

Si une obligation s'applique

• Audit de conformité RGPD : de 3 000 à 8 000 €, environ 10 jours ; mise en conformité RGPD : de 5 000 à 15 000 €, environ 60 jours.
• DPO externalisé : de 1 500 à 4 000 €, sur une durée de référence d'un an.
• Mise en conformité NIS2 : de 5 000 à 20 000 €, environ 90 jours.
• Accompagnement ISO 27001 : de 10 000 à 40 000 €, environ 180 jours.

Si vous ne savez pas par quel chantier commencer, la page Par où commencer vous oriente.

Ce que la loi exige

RGPD : une obligation de moyens adaptés au risque

L'article 32 du RGPD impose au responsable du traitement et au sous-traitant de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Il cite notamment une procédure visant à tester, analyser et évaluer régulièrement l'efficacité de ces mesures : c'est exactement ce que recouvrent l'audit et la revue annuelle décrits plus haut. L'article 83 prévoit que les mesures prises au titre de l'article 32 entrent en compte dans le montant d'une éventuelle amende. Pour approfondir, lisez notre article sur les liens entre RGPD et cybersécurité.

NIS2 : une responsabilité de la direction

La directive (UE) 2022/2555, dite NIS2, prévoit à son article 20 que les organes de direction des entités essentielles et importantes approuvent les mesures de gestion des risques, supervisent leur mise en œuvre et « puissent être tenus responsables » de leur violation. Ils sont aussi tenus de suivre une formation. L'article 21 liste les mesures minimales, parmi lesquelles les politiques d'analyse des risques et de sécurité des systèmes d'information, la sécurité de la chaîne d'approvisionnement, et l'évaluation de l'efficacité des mesures.

État de la transposition au 13 septembre 2026. NIS2 n'est pas encore applicable en France. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025. Le Gouvernement avait annoncé son examen en séance publique pour juillet 2026 ; les dossiers législatifs de l'Assemblée nationale et du Sénat ne font à ce jour état d'aucune adoption définitive. Selon l'ANSSI, NIS2 entrera en vigueur quand l'ensemble des textes (loi, décrets, arrêtés) aura été publié, et cette date ne correspondra pas à celle de l'application de toutes les exigences. Pour savoir si votre entreprise sera concernée, consultez notre article NIS2 : votre PME est-elle concernée ?

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

Mesurer d'abord

Le diagnostic Lyyp peut porter sur ce seul domaine : 6 questions sur la gouvernance et l'organisation de la sécurité, gratuites et sans inscription préalable. Vous obtenez un score et les recommandations associées à chaque réponse.

Évaluer ma gouvernance de la sécurité (6 questions)

Se faire accompagner ensuite

Si le diagnostic confirme qu'il manque un pilote ou des règles écrites, des prestataires vérifiés proposent un RSSI externalisé, la rédaction d'une PSSI ou une analyse de risques. Demandez-leur un périmètre chiffré et la liste des livrables.

Trouver un prestataire en gouvernance de la sécurité

Sources

• Cybermalveillance.gouv.fr et OpinionWay, 2e baromètre national de la maturité cyber des TPE-PME, octobre 2025, et rapport complet.
• Cybermalveillance.gouv.fr, Rapport d'activité 2025, mars 2026.
• Verizon, 2025 Data Breach Investigations Report, Small- and Medium-Sized Business Snapshot.
• ANSSI, Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures.
• ANSSI et DGE, La cybersécurité pour les TPE/PME en treize questions.
• Règlement (UE) 2016/679 (RGPD), articles 32 et 83, EUR-Lex.
• Directive (UE) 2022/2555 (NIS2), articles 20 et 21, EUR-Lex.
• Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, et question n° 623 et réponse du Gouvernement.
• Sénat, dossier législatif pjl24-033.
• ANSSI, Avancement de la transposition de la directive NIS 2.
• Fourchettes tarifaires : catalogue de prestations Lyyp, septembre 2026.