Combien coûte vraiment une cyberattaque pour une PME française ?

La question revient à chaque appel de découverte : « combien coûte vraiment une cyberattaque pour une PME ? ». Les rapports officiels donnent des moyennes nationales, qui cachent une distribution très large : un freelance compromis par phishing perd 5 000 € ; une PME de 30 personnes touchée par un ransomware en perd 250 000 € en moyenne, parfois plus.

Voici les chiffres décomposés, basés sur les retours d'expérience observés en cabinet et sur les études du Clusif, de l'ANSSI, et des assureurs cyber français.

Les coûts directs (les chiffres qu'on voit)

Honoraires de remédiation

Entre 15 000 € et 80 000 € pour une PME victime d'un incident sérieux. Ce poste couvre l'investigation forensique, la reconstruction des systèmes, la sécurisation post-incident. Les forfaits incident-response chez les cabinets sérieux démarrent rarement sous les 12 000 €.

Rançon (si payée)

Entre 5 000 € et 500 000 €, médiane autour de 30 000 € pour une PME française. La position officielle de l'ANSSI et du gouvernement est de ne pas payer, mais en pratique, beaucoup de victimes payent quand la sauvegarde est défaillante. La cyber-assurance couvre parfois la rançon, sous conditions.

Notification CNIL et avocats

Entre 3 000 € et 25 000 € si des données personnelles sont concernées. La notification est obligatoire dans les 72 heures. Si vos clients sont touchés, il faut les informer aussi, et ça implique souvent un avocat.

Les coûts indirects (les vrais tueurs)

Perte d'exploitation

2 à 4 semaines d'arrêt complet est la moyenne pour une PME victime de ransomware. Pour une activité qui fait 1 M€ de CA annuel, c'est entre 40 000 € et 80 000 € de chiffre d'affaires non réalisé. Pour un e-commerce en pleine saison, ça peut être beaucoup plus.

Surcharge des équipes

Vos équipes vont passer 2 à 6 semaines à reconstruire au lieu de produire. Cette charge n'est pas remboursée par l'assurance, elle vient en plus.

Perte de clients

10 à 30 % des clients d'une PME ayant subi une fuite de données ne renouvellent pas dans l'année qui suit. Pour une activité B2B où chaque client vaut entre 5 000 € et 50 000 € de revenu annuel, le manque à gagner est substantiel et long à compenser.

Augmentation des primes d'assurance

Après un incident, la prime cyber double souvent à la première échéance, et certains assureurs refusent de renouveler. Ce coût s'étale sur plusieurs années.

Le total typique

Pour une PME française de 20 à 80 personnes victime d'un incident sérieux, le coût total tourne autour de 50 000 € à 250 000 € sur 12 mois. Pour les cas extrêmes (ransomware sur infrastructure critique, fuite massive de données, activité saisonnière touchée au mauvais moment), au-delà.

Ce que la RC pro et la cyber-assurance couvrent (et ne couvrent pas)

La responsabilité civile professionnelle classique ne couvre pas les cyber-incidents. Vous avez besoin d'une police cyber dédiée, qui couvre :

✅ Honoraires de remédiation
✅ Perte d'exploitation
✅ Frais juridiques et notification
✅ Indemnités tiers
⚠️ Rançon (selon contrat, souvent plafonnée)
❌ La perte de clients ultérieure
❌ Le temps interne mobilisé
❌ La hausse de prime future

Les assureurs cyber durcissent leurs exigences depuis 2022. Sans 2FA généralisée, sauvegarde 3-2-1 testée, et plan d'incident écrit, soit la prime est multipliée, soit la police est refusée.

Le ROI de la prévention

Comparé à 50 000 € à 250 000 € de coût d'incident :

Essentials : 297 € pour la formation et les contrôles de base
Ally : 15 000 € pour une posture défendable et un plan board
Une cyber-assurance bien structurée : 2 000 € à 30 000 € / an

Même en cumulant les trois, on reste largement sous le coût d'un seul incident sérieux. C'est le calcul que les dirigeants font quand ils nous appellent, souvent après l'incident d'un confrère.