Phishing, incidents, budgets : ce que révèlent vraiment les chiffres 2026 de la cybersécurité en TPE-PME

Ce que révèle le baromètre France Num 2026 sur les incidents cyber en TPE-PME

Selon le baromètre France Num 2026, 39 % des TPE-PME déclarent avoir subi au moins un incident de cybersécurité au cours des 12 derniers mois, contre 36 % en 2025. Cette enquête, menée par le Crédoc pour la Direction générale des entreprises (DGE), a interrogé 9 655 entreprises — 6 786 TPE et 2 869 PME — entre le 23 mars et le 18 avril 2026, avec une marge d'erreur inférieure à 1 %, comme le détaille le rapport complet de l'enquête. Un échantillon de cette taille donne un poids réel aux chiffres, à condition de bien comprendre ce qu'ils mesurent.

Le phishing (ou hameçonnage) arrive largement en tête des incidents déclarés, avec 18 %, devant les virus et logiciels malveillants, cités par 8 % des répondants, d'après le baromètre France Num 2026. Ce résultat confirme une tendance déjà connue des professionnels de la sécurité : l'e-mail frauduleux reste la porte d'entrée la plus utilisée, car elle ne nécessite pas de faille technique, seulement une erreur humaine.

Il faut toutefois lire ce chiffre de 39 % avec nuance, comme le précise le baromètre France Num 2026 : il additionne des incidents de nature et de gravité très différentes. Un e-mail suspect repéré et supprimé compte autant, dans l'enquête, qu'une tentative de fraude ayant causé une perte financière. Ce taux d'incidents ne doit donc pas être confondu avec un taux de « cyberattaque majeure » ayant paralysé l'activité de l'entreprise.

Comment les TPE-PME réagissent une fois l'incident survenu (65 % résolus en interne)

Autre enseignement du baromètre France Num 2026 : 65 % des incidents déclarés sont résolus en interne, sans recours à un prestataire extérieur. Cela montre que la majorité des cas restent gérables avec les compétences disponibles dans l'entreprise, mais cela pose aussi une question : une entreprise qui gère seule un incident sait-elle toujours en mesurer la portée réelle, notamment lorsqu'une donnée sensible a pu être exposée avant d'être détectée ?

Les mesures de protection réellement en place en 2026 (et leurs limites)

Face à ces incidents, 84 % des TPE-PME déclarent avoir déployé au moins une mesure de cybersécurité, un chiffre stable par rapport à 2025, selon le rapport complet de l'enquête. Dans le détail, les mesures les plus répandues restent les plus basiques : l'antivirus, cité par 80 % des entreprises, et la sauvegarde externe des données, par 67 % d'entre elles.

La progression la plus marquante concerne l'authentification multifacteur, qui passe à 39 %, soit sept points de plus que l'année précédente, d'après le baromètre France Num 2026. C'est une progression réelle, mais elle signifie aussi qu'en 2026, plus de six TPE-PME sur dix n'ont toujours pas activé cette protection pourtant simple à mettre en place sur la plupart des services en ligne.

Deux autres chiffres méritent attention : seules 26 % des TPE-PME disposent d'un référent interne en cybersécurité, et 23 % ont souscrit une assurance cyber, toujours selon le baromètre France Num 2026. Autrement dit, la grande majorité des entreprises gère la cybersécurité sans personne clairement identifiée pour cela, ni filet financier en cas de sinistre.

Pourquoi les mesures de base ne suffisent pas toujours face aux menaces les plus graves

Un antivirus à jour et une sauvegarde régulière restent indispensables, mais ils ne protègent pas contre tout. Un antivirus ne bloque pas un e-mail de phishing bien conçu qui pousse un salarié à transmettre un mot de passe de son plein gré. Une sauvegarde ne sert à rien si elle reste connectée en permanence au même réseau qu'un rançongiciel pourrait chiffrer en même temps que les fichiers originaux. C'est pourquoi l'authentification multifacteur, encore minoritaire selon le baromètre France Num 2026, et la sauvegarde externalisée sont deux leviers complémentaires, pas interchangeables.

Le risque le plus lourd reste sous-estimé : ce que dit l'ANSSI sur les rançongiciels

Le baromètre France Num mesure la fréquence des incidents déclarés par les entreprises elles-mêmes. Le Panorama 2025 de la cybermenace de l'ANSSI apporte un éclairage complémentaire, côté gravité : les TPE, PME et ETI représentent désormais 48 % des victimes de rançongiciels recensées par l'agence en 2025, contre 37 % en 2024. Cette hausse confirme que les structures de petite et moyenne taille sont devenues la première catégorie de victimes de ce type d'attaque, probablement perçues comme moins protégées que les grands groupes.

Le même panorama fait état de 128 compromissions par rançongiciel traitées par l'ANSSI en 2025, un chiffre en léger recul sur l'ensemble des victimes mais concentré sur des structures plus petites, selon le Panorama 2025 de l'ANSSI. Ce nombre absolu reste faible comparé aux 39 % d'incidents déclarés dans le baromètre France Num : un rançongiciel est un événement rare, mais ses conséquences — blocage total de l'activité, demande de rançon, perte de données — sont sans commune mesure avec un e-mail de phishing isolé.

Mettre ces deux sources en perspective permet de distinguer deux niveaux de risque qui appellent des réponses différentes : un incident fréquent et généralement limité (le phishing) qui demande surtout de la vigilance au quotidien, et un risque rare mais potentiellement lourd (le rançongiciel) qui demande une protection technique plus structurée, en amont.

Peur, perception et priorités : où en sont vraiment les dirigeants en 2026

Sur le plan de la perception, 53 % des dirigeants de TPE-PME déclarent craindre de perdre leurs données ou de se faire pirater, soit 16 points de plus qu'il y a sept ans, d'après le baromètre France Num 2026. Cette inquiétude progresse plus vite que les mesures de protection effectivement mises en place, ce qui suggère un écart entre la conscience du risque et les actions concrètes pour le réduire.

Ce décalage n'est pas une surprise : savoir qu'un risque existe ne suffit pas à déterminer comment le traiter en priorité, surtout pour une entreprise qui n'a ni référent interne ni budget dédié. L'enjeu, pour un dirigeant, n'est donc pas de s'alarmer davantage, mais de transformer cette inquiétude en quelques décisions concrètes, proportionnées à la taille de l'entreprise et à la nature réelle des menaces mesurées par le baromètre France Num 2026 et le Panorama 2025 de l'ANSSI.

3 priorités concrètes pour une TPE-PME en 2026

Au vu de ces chiffres, trois priorités se dégagent, par ordre de fréquence et de facilité de mise en œuvre.

• Réduire le risque de phishing. Puisqu'il s'agit de l'incident le plus fréquent, cité par 18 % des TPE-PME selon le baromètre France Num 2026, la première action consiste à sensibiliser les équipes : rappeler les signes d'un e-mail frauduleux, vérifier l'expéditeur avant de cliquer sur un lien ou d'ouvrir une pièce jointe, et instaurer un réflexe de vérification par un autre canal avant tout virement ou transmission d'identifiants.
• Sécuriser l'accès aux comptes et aux données. L'authentification multifacteur, encore utilisée par seulement 39 % des TPE-PME selon le baromètre France Num 2026, et la sauvegarde régulière et externalisée des données constituent les deux réflexes les plus efficaces contre les conséquences les plus lourdes, celles que mesure le Panorama 2025 de l'ANSSI sur les rançongiciels. Activer l'authentification multifacteur sur les boîtes e-mail et les outils de gestion, et s'assurer que les sauvegardes ne restent pas connectées en permanence au même réseau que les fichiers originaux, sont deux chantiers rapides à engager.
• Savoir qui solliciter en cas d'incident, plutôt que de tout gérer seul. Avec seulement 26 % de TPE-PME disposant d'un référent interne en cybersécurité d'après le baromètre France Num 2026, identifier à l'avance un contact — interne ou externe — capable d'évaluer la gravité réelle d'un incident évite de sous-estimer une fuite de données ou de perdre du temps précieux au moment où il survient.

Sur ce dernier point, un socle technique plus robuste ne dispense pas de vigilance au quotidien, mais il réduit certains risques en amont. Un site web sécurisé hébergé en France et surveillé en continu, ou une suite collaborative comme la Suite EduPrivacy, hébergée à Strasbourg avec une sauvegarde chaque nuit, sont des options pour les équipes qui souhaitent confier cette partie technique sans pour autant renoncer au contrôle de leurs données. Les agents IA de Netora World complètent ce socle en assurant certaines tâches de surveillance au quotidien, sous le contrôle d'une équipe de professionnels. Pour évaluer ce qui correspond à la taille et aux besoins réels de votre entreprise, vous pouvez contacter l'équipe Netora World.

Questions fréquentes

Le chiffre de 39 % d'incidents en TPE-PME signifie-t-il que 4 entreprises sur 10 ont été piratées ?

Non. Ce chiffre du baromètre France Num 2026 additionne des incidents de gravité très variable, du simple e-mail de phishing repéré et supprimé jusqu'à des cas plus sérieux. Il ne mesure pas un taux de piratage réussi ni de perte de données avérée.

Faut-il souscrire une assurance cyber quand on est une TPE ?

Le baromètre France Num indique que 23 % des TPE-PME ont déjà souscrit une assurance cyber en 2026, d'après le baromètre France Num 2026. C'est une option à évaluer selon l'activité et l'exposition de l'entreprise, mais elle ne remplace pas des mesures de protection de base comme la sauvegarde ou l'authentification multifacteur.

Pourquoi l'ANSSI parle-t-elle surtout de rançongiciels et pas de phishing ?

Le Panorama 2025 de l'ANSSI se concentre sur les incidents les plus graves qui lui sont signalés et qu'elle traite directement, comme les compromissions par rançongiciel. Le phishing, beaucoup plus fréquent mais souvent moins lourd de conséquences, est davantage mesuré par des enquêtes déclaratives comme le baromètre France Num.

L'authentification multifacteur est-elle vraiment utile pour une petite entreprise ?

Oui : elle ajoute une étape de vérification en plus du mot de passe, ce qui réduit le risque qu'un identifiant volé par phishing suffise à accéder à un compte. Le baromètre France Num 2026 montre que son adoption progresse, mais reste minoritaire, ce qui en fait une marge de progression accessible pour la plupart des TPE-PME.