78 000 euros. C'est le coût moyen d'une cyberattaque pour une PME française selon Hiscox (2024). Sauf que ce chiffre ne dit pas grand-chose, il masque des écarts énormes selon la taille de l'entreprise, le type d'attaque, et surtout les coûts cachés qui ne sont presque jamais comptés. Voici la décomposition honnête du vrai coût, et pourquoi l'investissement préventif est dérisoire face au risque.
Pourquoi le chiffre "78k€" est trompeur
Selon le Hiscox Cyber Readiness Report 2024, une cyberattaque coûte en moyenne 78 000 € à une PME française. Un chiffre souvent cité. Mais il agrège des réalités très différentes.
D'autres études donnent des fourchettes plus larges :
- → Une PME lambda : entre 20 000 et 50 000 € pour une attaque classique (source : Sekost 2024)
- → Une attaque sévère (ransomware avec exfiltration) : jusqu'à 300 000 €
- → Coût moyen global (toutes tailles confondues) : 466 000 € pour une entreprise française
- → Fuite de données à l'échelle internationale : 4,88 millions de dollars en moyenne (source : IBM Cost of a Data Breach 2024)
La vérité : le coût dépend de quatre variables que les moyennes effacent : la taille de l'entreprise, le type d'attaque, la vitesse de détection, et surtout la préparation en amont. Une même attaque peut coûter 20 000 € à une PME prête et 250 000 € à une PME prise de court.
Les 5 postes de coût d'une cyberattaque
Décomposons ce que recouvre vraiment la facture d'une attaque moyenne sur une PME française (type ransomware sur entreprise de 50 à 150 salariés).
Remédiation technique et informatique
Restauration des systèmes, nettoyage des infrastructures compromises, renforcement de la sécurité, intervention d'une ESN cyber en urgence. Coût typique : 30 000 à 100 000 € selon l'étendue des dégâts.
Perte d'exploitation
Activité à l'arrêt pendant la durée de l'incident (de quelques heures à plusieurs semaines). Pour une PME avec 1 M€ de CA mensuel et 5 jours d'arrêt, c'est 170 000 € de chiffre d'affaires perdu. Le poste le plus sous-estimé.
Rançon (si ransomware)
L'ANSSI et les forces de l'ordre déconseillent formellement le paiement. Quand une entreprise paie malgré tout, le montant en PME varie entre 20 000 et 80 000 €. Et rien ne garantit la restitution complète des données.
Coûts juridiques et réglementaires
Déclaration CNIL (RGPD) sous 72h, notification individuelle des personnes concernées, accompagnement d'un avocat spécialisé, éventuelle amende CNIL. Coût typique : 10 000 à 30 000 € pour une PME.
Communication de crise
Gestion de la communication avec vos clients, fournisseurs, partenaires bancaires, presse éventuelle. Si vous êtes coté ou avez des clients grands comptes, le poste peut monter. Coût typique : 5 000 à 20 000 €.
Les coûts cachés qui explosent la facture
Les 5 postes ci-dessus représentent la "facture visible". Mais trois coûts différés viennent souvent doubler ou tripler le total sur les 18 mois qui suivent l'attaque.
1. Perte de clients et de contrats
C'est le coût le plus pernicieux. Vos gros clients peuvent rompre des contrats si votre conformité ou votre fiabilité est remise en cause. Certaines PME perdent 10 à 30 % de leur CA dans les 12 mois suivant une attaque médiatisée. Pour une PME à 5 M€, c'est 500 k€ à 1,5 M€.
2. Hausse brutale des primes de cyberassurance
Après un sinistre, l'assureur cyber réévalue drastiquement le risque. Hausse de prime typique : +40 à +100 % l'année suivante, et parfois refus pur et simple de renouvellement, ce qui laisse l'entreprise sans filet pour le prochain incident.
3. Litiges et responsabilité civile
Si vos clients ou vos sous-traitants subissent un préjudice lié à votre faille (propagation d'un malware, fuite de leurs données), ils peuvent engager votre responsabilité civile. Les procédures prennent 2 à 5 ans, coûtent entre 30 000 et 150 000 € en frais d'avocats, et peuvent aboutir à des dommages-intérêts significatifs.
Coût par taille d'entreprise et type d'attaque
Pour donner des ordres de grandeur plus précis, voici des fourchettes indicatives selon la taille et le scénario. Ces chiffres agrègent coûts directs et cachés observés dans les études 2023-2024.
À ces fourchettes, ajoutez +30 à +50 % si votre secteur est critique (santé, finance), si vos données sont sensibles (RGPD, secret des affaires), ou si vous êtes fournisseur d'un grand compte qui audite votre sécurité.
Prévention vs remédiation : le ratio qui change tout
Toutes les études cyber convergent sur un ratio stable : 1 € investi en prévention économise 10 à 30 € en remédiation post-attaque. Regardons concrètement ce que ça donne pour une PME type.
- Audit de sécurité initial : 5 à 15 k€
- EDR / antivirus pro : 3 à 8 k€/an
- Sauvegardes externalisées : 2 à 6 k€/an
- MFA et gestion d'accès : 2 à 5 k€/an
- Sensibilisation équipes : 2 à 5 k€/an
- RSSI externalisé partiel : 15 à 30 k€/an
- Intervention cyber urgence : 30 à 100 k€
- Perte d'exploitation : 50 à 200 k€
- Remise en conformité RGPD : 10 à 30 k€
- Communication de crise : 5 à 20 k€
- Perte clients / contrats : 50 à 500 k€
- Hausse assurance : +40 à 100 %
La prévention coûte 3 à 10 fois moins que le coût médian d'une attaque. Et elle réduit drastiquement la probabilité d'occurrence. Mathématiquement, c'est l'investissement avec le meilleur ROI dont dispose un dirigeant de PME.
Par où commencer concrètement
Si vous êtes dirigeant d'une PME non ou partiellement protégée, voici les trois actions à prioriser dès cette semaine :
- Lancer un audit de sécurité initial auprès d'une ESN spécialisée (5 à 15 k€, durée 2 à 4 semaines) pour identifier vos failles prioritaires
- Mettre en place les 4 fondamentaux non négociables : authentification multi-facteurs (MFA), sauvegardes externalisées testées, antivirus pro type EDR, sensibilisation équipes au phishing
- Souscrire une cyberassurance adaptée à votre taille et secteur (3 à 10 k€/an pour une PME, couvre typiquement les frais de remédiation et d'assistance juridique)
L'erreur classique est de tout faire en même temps. La bonne approche : commencer par l'audit pour avoir un plan priorisé, puis déployer par vagues sur 6 à 12 mois.
Besoin d'une ESN spécialisée cyber pour un audit ?
On qualifie votre besoin sous 48h et on vous oriente vers 1 à 3 ESN adaptées à votre PME. Gratuit, sans démarchage.
Décrire mon besoin cybersécuritéPour approfondir la réglementation cyber et anticiper NIS2, DORA et l'AI Act, consultez notre page dédiée conformité réglementaire ou notre guide NIS2 pour PME en 10 minutes.
