QuestionRelu par Hugo Berton
Cybersécurité d'une TPE : la méthode en 10 points pour le dirigeant
Cybersécurité pour dirigeant de TPE : état des lieux, plan d'action, sensibilisation, plan de crise, contrôle. La méthode officielle en 10 points, 5 consignes à afficher.
Par Hugo Berton · · 2 min de lecture · relu le 14 septembre 2026
En bref
Pour piloter la cybersécurité d'une TPE, Cybermalveillance.gouv.fr propose aux dirigeants une méthode en 10 points, mise à jour le 10 juillet 2026 : inventorier ses actifs numériques, évaluer leur criticité et le niveau de protection, bâtir un plan d'action priorisé, se faire accompagner, sensibiliser les équipes, préparer un plan de crise, s'impliquer, contrôler, puis recommencer tous les deux à trois ans. Selon la fiche, 80 % des cyberattaques pourraient être évitées par des mesures simples et peu coûteuses.
- 80 %des cyberattaques pourraient être évitées par des mesures simples et à faible coût, selon la fiche dirigeants de Cybermalveillance.gouv.fr (10 juillet 2026)
- 5consignes d'urgence à afficher près des postes de travail, selon la fiche destinée aux collaborateurs
Cybersécurité : pourquoi c'est l'affaire du dirigeant
La fiche « Comment piloter sa cybersécurité ? (Dirigeants) », publiée le 17 mai 2023 et mise à jour le 10 juillet 2026, la présente comme un « enjeu stratégique qui doit être pris en compte au plus haut niveau des organisations ». Toute structure, quelle que soit sa taille, peut être visée, avec des conséquences techniques, financières, réputationnelles ou juridiques qui peuvent menacer « jusqu'à la survie des plus petites structures ».
Elle s'adresse explicitement à ceux qui ne sont pas spécialistes, avec dix points à piloter à leur niveau, et rappelle qu'« il n'est jamais trop tard pour agir afin d'éviter le pire ».
La méthode en 10 points
Les dix points sont ordonnés : on ne priorise un plan d'action qu'après avoir inventorié et évalué.
| Point | Ce que le dirigeant fait |
|---|---|
| 1. État des lieux | inventorier réseaux, sites, messageries, réseaux sociaux, services externalisés et leurs responsables |
| 2. Prise de conscience | évaluer la criticité de chaque système s'il était piraté, détruit ou ses données volées |
| 3. Niveau de protection | interroger le support sur les politiques de mots de passe, sauvegardes, mises à jour et accès |
| 4. Plan d'action | prioriser selon le rapport criticité, coût et efficacité |
| 5. Accompagnement | désigner une personne en interne, faire appel à un prestataire pour l'évaluation technique |
| 6. Sensibilisation | les collaborateurs appliquent les bonnes pratiques et détectent les attaques |
| 7. Préparation au pire | annuaire de crise, fonctionnement dégradé, communication, exercices |
| 8. Implication | points d'avancement réguliers, exemplarité, aucune dérogation aux mesures |
| 9. Contrôle | vérifier la mise en place, audit technique et organisationnel pour les systèmes critiques |
| 10. Itération | réappliquer la méthode tous les deux à trois ans, intégrer chaque nouveau service avant sa mise en œuvre |
Le plan d'action : commencer par le simple
« 80 % des cyberattaques pourraient être évitées par l'application de mesures simples et à faible coût », écrit la fiche, en citant la gestion des mots de passe, les sauvegardes, les mises à jour de sécurité et les droits d'accès. Pour une TPE, ce sont donc les premiers chantiers : mots de passe, sauvegardes et mises à jour. L'ensemble des mesures de base est repris dans les 10 mesures essentielles de sécurité informatique.
Cinq consignes à afficher près des postes
Une seconde fiche, « Que faire en cas de cyberattaque ? (Consignes pour les collaborateurs) », mise à jour le 10 juillet 2026, part du constat que les salariés sont souvent « les premiers témoins » d'une attaque : fichiers chiffrés, logiciels inaccessibles. Elle propose d'afficher ces consignes dans les locaux et près de chaque poste.
| Consigne | Pourquoi, selon la fiche |
|---|---|
| 1. Débrancher la machine d'Internet ou du réseau | câble retiré, wifi et données mobiles coupés |
| 2. Ne pas éteindre l'appareil | des preuves contenues dans la mémoire seraient effacées |
| 3. Alerter au plus vite le support informatique | pour contenir, voire réduire, les conséquences |
| 4. Ne plus utiliser l'équipement | pour ne pas supprimer des traces utiles aux investigations |
| 5. Prévenir ses collègues | une mauvaise manipulation d'un autre salarié pourrait aggraver la situation |
Préparer la crise avant qu'elle n'arrive
« Il n'y a pas de cybersécurité absolue », rappelle la fiche dirigeants. Le septième point demande donc des plans de secours : un annuaire de crise, un mode de fonctionnement dégradé, une communication prévue, et des exercices pour vérifier qu'ils fonctionnent. Le déroulé d'une crise côté dirigeant est sur notre page cyberattaque.
Ce que cette page ne dit pas
La méthode ne chiffre pas de budget ; la fiche renvoie l'évaluation technique à des prestataires spécialisés. Fiches lues le 14 septembre 2026.
Questions fréquentes
Par où commencer la cybersécurité d'une petite entreprise ?
Par un état des lieux de tous ses actifs numériques et de leurs responsables, puis une évaluation de leur criticité, selon la méthode dirigeants de Cybermalveillance.gouv.fr.
Quelles mesures évitent la plupart des cyberattaques ?
La fiche estime que 80 % des attaques pourraient être évitées par des mesures simples : gestion des mots de passe, sauvegardes, mises à jour de sécurité et droits d'accès.
Que doit faire un salarié face à une cyberattaque ?
Débrancher la machine du réseau sans l'éteindre, alerter le support informatique, ne plus utiliser l'appareil et prévenir ses collègues.
À quelle fréquence revoir sa cybersécurité ?
La fiche recommande de réappliquer la méthode tous les deux à trois ans, et d'intégrer chaque nouveau service numérique avant sa mise en œuvre.
Sources consultées
- Cybermalveillance.gouv.fr — Comment piloter sa cybersécurité ? (Dirigeants) (mise à jour le 10 juillet 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026
- Cybermalveillance.gouv.fr — Que faire en cas de cyberattaque ? Consignes pour les collaborateurs (mise à jour le 10 juillet 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026