Cybersécurité des PME

Cybermalveillance.gouv.fr — ressources pour les PME

Cybermalveillance.gouv.fr est le dispositif national d'assistance aux victimes de cybermalveillance, opéré par le GIP ACYMA et piloté par l'ANSSI. Pour les PME, la plateforme offre : un outil de diagnostic en ligne pour identifier les risques prioritaires (questionnaire de 10-15 minutes), une mise en relation avec des prestataires PSSN qualifiés pour la réponse aux incidents et les audits de sécurité, des fiches pratiques et tutoriels sur les menaces courantes (ransomware, phishing, fraude au virement), et un annuaire de prestataires locaux certifiés. En cas d'incident, le numéro 17Cyber (17 sur smartphone pour les particuliers, site pour les professionnels) permet d'obtenir une assistance immédiate. Les statistiques de sinistralité et les alertes sur les campagnes actives sont publiées régulièrement. Le kit de sensibilisation cyber pour les PME (affiches, vidéos, supports de formation) est téléchargeable gratuitement pour déployer un programme de sensibilisation minimal sans budget.

MSSP et SOC managé pour les PME

Les MSSP (Managed Security Service Providers) permettent aux PME d'accéder à une surveillance et une réponse aux incidents professionnelle sans les coûts d'un SOC interne. Un SOC managé MSSP surveille les logs et alertes 24h/24 depuis un centre de sécurité mutualisé, avec des analystes qui trient les alertes et escaladent en cas d'incident réel. Les offres MSSP adaptées aux PME incluent : la supervision des endpoints (EDR managé — l'MSSP configure, surveille, et répond aux alertes EDR), la surveillance email (anti-phishing managé), la surveillance des accès (SSO + MFA managé), et la réponse aux incidents (engagement d'un MSSP IR en cas d'incident grave). Les coûts sont variables : de quelques centaines d'euros mensuels pour une surveillance basique jusqu'à plusieurs milliers pour un SOC managé complet. Les critères de sélection d'un MSSP pour PME incluent la qualité de l'escalade (délai de réponse, disponibilité), la clarté des engagements SLA, et la qualification des analystes (ANSSI PSSN pour les prestataires français).

NIS 2 et PME — champ d'application

La directive NIS 2 (Network and Information Systems Security) transposée en France en 2024 étend significativement le champ des entités soumises à des obligations de cybersécurité. Les PME de certains secteurs critiques peuvent être dans le scope NIS 2. Les entités "importantes" (catégorie B de NIS 2) incluent les entreprises de taille moyenne (50-249 employés, 10-50M€ CA) dans les secteurs : énergie, transport, banque, infrastructure financière, santé, eau, infrastructure numérique, administration publique, espace, et services postaux. Les obligations NIS 2 pour les entités importantes : mise en place de mesures de gestion des risques cyber, notification des incidents significatifs (à l'ANSSI dans les 24h puis rapport complet), et désignation d'un responsable de la sécurité SI. Les sanctions pour non-conformité peuvent atteindre 7M€ ou 1,4% du CA mondial. Les PME dans le scope NIS 2 doivent prioriser leur mise en conformité avec l'accompagnement disponible via Cybermalveillance.gouv.fr et les prestataires PSSN.