Un salarié ouvre une pièce jointe, clique sur un lien familier, saisit son mot de passe sur une page qui ressemble à celle de son entreprise. Quelques heures plus tard, des fichiers sont chiffrés et une demande de rançon s’affiche.
Ce scénario, banal en apparence, a touché des milliers d’organisations françaises ces derniers mois. La cybersécurité des entreprises en 2024 ne se résume plus à installer un antivirus : elle engage la responsabilité des dirigeants, la continuité d’activité et la conformité réglementaire.
Directive NIS2 et Cyber Resilience Act : la pression réglementaire sur les entreprises
Avant de parler d’outils ou de techniques de protection, il faut comprendre ce qui a changé côté réglementation. C’est le facteur que beaucoup de PME découvrent tardivement, parfois après un incident.
La directive NIS2 a profondément modifié la logique de cybersécurité en Europe. Son périmètre ne se limite plus aux opérateurs d’infrastructures critiques (énergie, transport, santé). NIS2 vise désormais de nombreux secteurs et sous-traitants, ce qui transforme la protection numérique en enjeu de chaîne de valeur. Un prestataire informatique qui travaille pour un hôpital ou une collectivité entre potentiellement dans le périmètre.
Le changement le plus concret pour les dirigeants : la cybersécurité relève désormais de la gouvernance, pas seulement de l’IT. Les mesures de sécurité doivent être approuvées et supervisées au niveau de la direction. Un DSI ne peut plus porter seul la responsabilité d’un incident.
En parallèle, le Cyber Resilience Act est entré en vigueur le 10 décembre 2024. Ce règlement européen cible les produits numériques (logiciels, objets connectés) et impose des exigences de sécurité dès leur conception. Pour une entreprise qui développe ou distribue des solutions numériques, cela signifie des obligations supplémentaires de mise à jour et de correction des vulnérabilités.
Gestion des correctifs : un durcissement concret
Le règlement d’exécution (UE) 2024/2690, applicable depuis le 7 novembre 2024, précise les délais attendus pour la diffusion de correctifs de sécurité par certains fournisseurs numériques. Ce n’est plus une recommandation : c’est une obligation mesurable, avec des délais opposables.
Vous gérez un logiciel utilisé par des clients professionnels ? La question n’est plus « faut-il corriger rapidement ? » mais « dans quel délai êtes-vous légalement tenu de le faire ? ».
Rançongiciel et compromission de messagerie : les attaques qui ciblent les PME
Pourquoi les petites structures sont-elles autant touchées ? Deux raisons principales :
- Leurs systèmes d’information sont souvent moins segmentés : un seul compte compromis peut donner accès à l’ensemble du réseau, des fichiers comptables aux données clients.
- Le budget consacré à la sécurité informatique reste faible, et la sensibilisation des équipes passe après d’autres priorités opérationnelles.
- Les attaquants le savent et ciblent délibérément ces organisations, parce que la probabilité de paiement d’une rançon y est plus élevée que dans un grand groupe doté d’une équipe de réponse à incident.
Le piratage de compte et le hameçonnage (phishing) restent les vecteurs d’attaque les plus fréquents signalés sur la plateforme Cybermalveillance.gouv.fr. Un courriel bien imité, un faux formulaire de connexion, et les identifiants d’un collaborateur finissent entre de mauvaises mains.
Intelligence artificielle et cybersécurité : un rapport à double tranchant
L’IA accélère les deux côtés du problème. Côté défensif, elle permet d’analyser des volumes de logs et d’alertes qu’aucune équipe humaine ne pourrait traiter manuellement. Un outil de détection basé sur l’apprentissage automatique repère des comportements anormaux sur un réseau (connexions inhabituelles, transferts de fichiers massifs la nuit) avant qu’un analyste ne les voie.
Côté offensif, les attaquants utilisent l’IA pour rendre le phishing plus crédible. Les courriels frauduleux générés par des modèles de langage contiennent moins de fautes, imitent mieux le ton d’un interlocuteur connu, et peuvent être personnalisés à grande échelle. La barrière du « mail mal écrit » qui alertait autrefois les destinataires disparaît progressivement.
Ce que cela change concrètement
La formation des salariés ne peut plus reposer sur le repérage de fautes d’orthographe dans les courriels suspects. Il faut entraîner les équipes à vérifier l’identité de l’expéditeur par un autre canal (téléphone, messagerie interne) avant de cliquer ou de transmettre des informations sensibles. La vérification par un second canal devient le réflexe prioritaire.
Protection des données et continuité d’activité : construire une défense réaliste
Beaucoup d’entreprises investissent dans des outils de protection périmétrique (pare-feu, antivirus) sans avoir testé leur capacité à fonctionner après une attaque réussie. La question la plus utile n’est pas « comment empêcher toute intrusion ? » – c’est « combien de temps faut-il pour reprendre l’activité si nos systèmes sont chiffrés demain matin ? ».
La cyber-résilience complète la cybersécurité en préparant la reprise après incident. Cela passe par des mesures concrètes :
- Des sauvegardes régulières, stockées hors ligne ou sur un réseau isolé, testées au moins une fois par trimestre pour vérifier qu’elles sont exploitables.
- Un plan de continuité d’activité écrit, connu des responsables métier (pas seulement de l’équipe informatique), avec des procédures dégradées pour chaque fonction critique.
- Une segmentation du réseau qui limite la propagation d’un rançongiciel : si le poste d’un commercial est compromis, les serveurs de production ne doivent pas être accessibles directement.
Ces mesures ne demandent pas un budget démesuré. Elles demandent du temps de planification et une implication de la direction, ce que NIS2 rend désormais obligatoire.
Un plan de reprise non testé est un plan qui échouera le jour de l’incident. Les organisations qui réalisent des exercices de crise, même simples (simulation sur table d’un scénario de rançongiciel), réagissent plus vite et limitent mieux les dégâts quand l’attaque survient réellement. La gestion des risques cyber en 2024 repose autant sur cette préparation que sur les outils techniques déployés en amont.
