Sous-estimés, non protégés, sous-assurés : les cyberrisques pour les PME en Suisse

Les cyberattaques gagnent en rapidité, prennent de l’ampleur et sont plus sophistiquées. L’intelligence artificielle (IA) accélère encore davantage les attaques. Pourtant, alors que le niveau de menace augmente, les PME suisses accusent un retard dans leur capacité de défense dans trois domaines critiques.

Une étude représentative menée par Deloitte dresse un constat préoccupant : 49% des collaborateurs ont été confrontés à un cyberincident grave au cours des trois derniers mois, mais seuls 22% estiment que le risque est élevé. Cet écart de perception est particulièrement marqué dans les microentreprises : 38% d’entre elles signalent des incidents, mais seulement 15% considèrent le risque comme élevé.

Trois failles de sécurité

Faille 1 : les cyberrisques sont systématiquement sous-estimés

Les cybermenaces sont devenues omniprésentes. Le phishing touche les entreprises de toutes tailles : avec 25%, il s’agit de la menace perçue comme la plus fréquente, indépendamment de la taille de l’entreprise. Les attaques évolutives via les e-mails, les identifiants d’accès compromis et la manipulation des processus de paiement rendent même les petites entreprises vulnérables, une vulnérabilité que beaucoup continuent encore de sous-estimer.

Faille 2 : les mesures de protection fondamentales ne sont pas mises en œuvre de manière généralisée

L’indice Deloitte de cybersécurité des PME mesure le degré d’adoption de six mesures de sécurité fondamentales et affiche une moyenne de 58 points sur 100. Autrement dit : en moyenne, les mesures de sécurité ne sont mises en œuvre qu’à 58%.

Les principales lacunes concernent les méthodes d’authentification modernes :

• Authentification sans mot de passe (p. ex., biométrique) : seulement 45% des entreprises
• Authentification unique (SSO) : seulement 45% des entreprises
• Authentification multifactorielle (MFA) : 66% – une adoption encore loin d’être généralisée

Les microentreprises sont particulièrement en retard : elles n’obtiennent que 44 points dans l’indice. Les formations sur le sujet n’y sont proposées que dans 32% des cas, contre 82% dans les entreprises de taille moyenne. Seuls 24% des microentreprises réalisent des tests de phishing, contre 63% des entreprises de taille moyenne.

Mais lorsque ces mesures sont mises en place, elles sont efficaces : 88% des personnes interrogées dont l’entreprise utilise des alertes par e-mail les jugent utiles.

Faille 3 : la couverture d’assurance fait défaut, surtout dans les petites entreprises

Les cyberassurances se développent, mais pas assez rapidement. Selon l'Association suisse d'assurances (ASA), avec 72 000 polices, seules 11,5 % des entreprises domiciliées en Suisse sont assurées. La couverture d’assurance est particulièrement lacunaire chez les microentreprises et les petites entreprises.

Cette situation est paradoxale : ce sont précisément les petites entreprises qui, proportionnellement à leur chiffre d’affaires, peuvent être les plus durement touchées par les dommages liés aux cyberattaques – pourtant, ce sont elles qui sont les moins assurées. Les raisons sont variées :

• Perception du risque : les PME sous-estiment les risques auxquels elles sont exposées et ne considèrent pas qu’une assurance soit nécessaire
• Mesures fondamentales insuffisantes : de nombreuses PME ne respectent pas, ou pas suffisamment, les exigences de sécurité nécessaires pour conclure une police d’assurance ou bénéficier de sa couverture
• Processus complexes : les démarches de souscription sont souvent trop lourdes pour les petites entreprises
• Lacune commerciale : Les commissions sur les cyberassurances pour les microentreprises sont souvent relativement faibles, ce qui incite peu les conseillers en assurance à proposer ces produits
  

La situation en matière de cybermenaces : Une fenêtre de tir étroite

La situation en matière de cybermenaces a fondamentalement changé. Les attaques sont plus rapides et plus facilement déployables à grande échelle. Trois facteurs se renforcent mutuellement :

1. La cybercriminalité gagne en importance économique et devient de plus en plus interconnectée
   Les dommages financiers augmentent fortement : Cybersecurity Ventures prévoit une croissance annuelle de 15% des coûts mondiaux liés à la cybercriminalité¹. Dans le même temps, les cyberrisques apparaissent de plus en plus en dehors de l’organisation elle-même, notamment tout au long des chaînes d’approvisionnement et auprès des partenaires technologiques. En 2024, 35,5% des violations de données ont été imputables à des tiers.
2. L’intelligence artificielle et l’automatisation accélèrent les attaques
   CrowdStrike fait état, pour 2026, d’une hausse de 89% des attaques assistées par l’IA. Le délai moyen nécessaire pour pénétrer dans un système (eCrime Breakout Time) est tombé à 29 minutes, soit 65% plus court qu’en 2024². Pour les entreprises, cela signifie que : la fenêtre de tir disponible pour réagir se réduit de manière spectaculaire.
3. Des environnements informatiques complexes et obsolètes compliquent la mise en place d’une défense efficace
   Les entreprises exploitent en moyenne plus de 1’000 applications. Parallèlement, des processus critiques reposent encore souvent sur des logiciels vieux de plusieurs décennies³. Cette complexité complique la transparence, les mises à jour et la capacité à réagir rapidement face aux nouvelles vulnérabilités.

Les entreprises ne disposent plus que d’une fenêtre de tir très étroite pour garantir leur résilience technologique.

Quelles mesures sont nécessaires maintenant pour suivre le paysage des menaces croissantes ?

Options d'action pour le gouvernement fédéral,  les entreprises, et les assureurs

À propos de l’étude

L’étude Deloitte « Sous-estimés, non protégés, sous-assurés : les cyberrisques pour les PME en Suisse » s’appuie sur une enquête en ligne représentative menée auprès de 924 employés d’entreprises suisses comptant moins de 250 collaborateurs, qui utilisent un ordinateur dans le cadre de leur activité professionnelle. L’enquête a été réalisée en avril 2026. Par ailleurs, des entretiens ont été menés en juin et juillet 2026 avec des experts en cybersécurité issus du secteur des assurances. Selon la classification de l’Office fédéral de la statistique, les entreprises comptant jusqu’à 249 collaborateurs sont considérées comme des PME.