- 49% des PME ont subi un cyberincident grave en 3 mois, mais 22% seulement perçoivent le risque comme élevé.
- Seuls 11,5% des entreprises suisses disposent d'une cyberassurance ; les micro-entreprises sont particulièrement sous-protégées.
- L'indice de cybersécurité des PME atteint 58/100 : authentification sans mot de passe (45%), authentification multifactorielle (66%).
- Le phishing reste la menace la plus fréquente (25%), touchant aussi les micro-entreprises que les PME.
Les petites et moyennes entreprises suisses vivent une illusion dangereuse : elles minimisent les cyberrisques alors qu’elles en sont massivement victimes. Selon une enquête Deloitte menée en avril 2026 auprès de 924 salariés d’entreprises comptant jusqu’à 249 collaborateurs, 49% des PME ont connu au moins un cyberincident grave au cours des trois derniers mois, mais seules 22% estiment que le risque est réellement élevé. Pour les micro-entreprises (1 à 9 salariés), l’écart est encore plus criant : 38% rapportent des incidents graves, contre 15% qui jugent le risque important. Cette déconnexion entre la réalité et la perception explique pourquoi les mesures de protection restent lacunaires et pourquoi l’assurance fait défaut.
Les faits et les chiffres
L’étude révèle trois lacunes majeures chez les PME romandes et suisses.
Premièrement, la perception des risques. Alors que 49% des collaborateurs signalent un cyberincident grave en trois mois, seuls 22% considèrent le cyberrisque comme élevé. Chez les microentreprises, ce décalage est encore plus marqué : 38% d’incidents graves contre 15% de perception du risque.
Deuxièmement, les mesures de protection élémentaires. L’indice de cybersécurité des PME établi par Deloitte s’établit à 58 points sur 100, révélant une adoption insuffisante des bases. Seuls 45% des entreprises ont mis en place des méthodes d’authentification sans mot de passe (biométrie, clés de sécurité). L’authentification multifactorielle, plus courante, ne concerne que 66% des PME. Les alertes par e-mail, jugées utiles par 88% de ceux qui les utilisent, ne sont pas encore généralisées.
Troisièmement, la couverture d’assurance. Selon l’Association Suisse d’Assurances (ASA), environ 72’000 polices de cyberassurance pour entreprises avaient été souscrites en 2025. Cela représente seulement 11,5% des entreprises domiciliées en Suisse. Les micro-entreprises et petites entreprises sont particulièrement sous-assurées, bien qu’elles soient proportionnellement plus vulnérables aux dommages.
Le phishing domine les menaces. Cette technique de vol de données ou de détournement de paiements par messages frauduleux représente 25% des cyberincidents signalés. Elle touche indifféremment micro-entreprises et PME. Les collaborateurs rapportent aussi des logiciels malveillants (malware), des arnaques au président (CEO fraud), des usurpations d’identité, des fuites de données et des perturbations d’activité.
Pourquoi cette situation s’aggrave maintenant
Deux facteurs expliquent l’urgence actuelle. D’abord, l’intelligence artificielle accélère et automatise les cyberattaques : elles peuvent désormais être déployées à grande échelle et ciblées avec précision, touchant même les très petites structures. Ensuite, les PME romandes et suisses manquent de ressources pour se défendre : contrairement aux grandes entreprises, elles n’ont souvent pas de responsable IT dédié, pas de budget de sécurité structuré, et sous-estiment la menace.
L’étude souligne aussi que l’accès à la cyberassurance reste compliqué pour les petites entreprises. Beaucoup ne disposent pas des mesures de sécurité élémentaires exigées par les assureurs. D’autres se heurtent à des procédures de souscription complexes et peu numériques. Les assureurs, enfin, trouvent peu d’intérêt commercial à couvrir les micro-entreprises, les commissions étant modestes.
Ce que ça change pour vous
Pour les propriétaires et dirigeants de PME romandes : vous êtes exposés à des risques financiers et opérationnels majeurs sans le savoir. Un cyberincident peut paralyser votre activité, compromettre les données clients, générer des pertes de chiffre d’affaires et des frais de récupération. L’enquête montre que même une micro-entreprise peut être victime de phishing ou de CEO fraud. Vous devez d’urgence : (1) mettre en place l’authentification multifactorielle sur tous les accès critiques, (2) former régulièrement vos collaborateurs au phishing, (3) effectuer des sauvegardes testées, (4) chercher une cyberassurance adaptée. Marcel Thom, associé Assurance chez Deloitte, rappelle que l’assurance peut combiner prévention, aide d’urgence et protection financière, mais elle doit être claire et simple pour les petites structures.
Pour les salariés en PME : vous êtes en première ligne face au phishing. L’étude montre que cette menace touche 25% des entreprises. Vous devez être vigilant aux e-mails suspects, aux demandes inhabituelles de paiement ou d’accès, et signaler tout incident à votre direction.
Pour les assureurs et courtiers en Suisse romande : la demande de cyberassurance va croître, mais elle doit s’accompagner de produits simples, de critères d’accès clairs et de processus numériques. Les PME genevoises, vaudoises et fribourgeoises ont besoin de solutions pragmatiques.
Ce qu’il faut surveiller
Prochaines étapes réglementaires. L’étude révèle que 87% des collaborateurs interrogés soutiennent un renforcement des prescriptions en matière de cybersécurité. Cependant, seuls 19% acceptent des normes strictes fixées exclusivement par l’État. La Confédération devrait donc fixer des normes minimales claires et faciliter la coopération entre entreprises, associations professionnelles, assureurs et prestataires IT. Surveillez les annonces du Département fédéral de la justice et police (DFJP) et de l’Office fédéral de la cybersécurité (OFCS).
Évolution de la couverture d’assurance. Avec seulement 11,5% des entreprises assurées, le marché de la cyberassurance en Suisse reste immature. Les assureurs suisses et les courtiers régionaux doivent simplifier leurs offres pour atteindre les micro-entreprises.
Mesures de sécurité à mettre en place rapidement. Si vous dirigez une PME romande, commencez par les bases : authentification multifactorielle (66% des PME l’ont, vous pouvez le faire), authentification sans mot de passe (45% seulement), formation des collaborateurs au phishing, sauvegardes testées et plan d’urgence. Ces mesures coûtent peu mais sauvent des entreprises.
Questions fréquentes
Si ma PME genevoise ou vaudoise n'a pas encore subi de cyberattaque, dois-je vraiment investir en cybersécurité ?
Oui. L'étude montre que 49% des PME ont subi un cyberincident grave en trois mois, mais seules 22% le perçoivent. Vous êtes probablement exposé sans le savoir. Le phishing, qui touche 25% des entreprises, peut paralyser votre activité. Les mesures de base (authentification multifactorielle, formation) coûtent peu et protègent efficacement.
Pourquoi ma cyberassurance coûte-t-elle si cher ou pourquoi les assureurs refusent-ils de me couvrir ?
Parce que vous n'avez probablement pas les mesures de sécurité élémentaires exigées (authentification multifactorielle, sauvegardes testées, plan d'urgence). Les assureurs demandent ces prérequis pour réduire le risque. Mettez d'abord ces bases en place, puis cherchez une cyberassurance. Les petites entreprises trouvent aussi peu d'assureurs intéressés car les commissions sont modestes.
Que dois-je faire concrètement cette semaine pour protéger ma PME ?
Trois actions : (1) Activez l'authentification multifactorielle sur tous les accès critiques (e-mail, systèmes de paiement, données clients). (2) Envoyez un e-mail à vos collaborateurs alertant sur le phishing et les demandes suspectes. (3) Vérifiez que vous avez une sauvegarde testée de vos données critiques. Ces mesures prennent quelques heures et réduisent drastiquement votre risque.
Sources : Monde Économique
