Étude « PME Cybersécurité 2026 » : protection technique solide, préparation organisationnelle faible

Le 22 octobre 2026 a été publiée l'étude « PME Cybersécurité 2026 », réalisée par la Mobilière en collaboration avec l'Office fédéral de la cybersécurité (OFCS), digitalswitzerland, la HES-SO Valais-Wallis, la HWZ Hochschule für Wirtschaft Zürich et la SATW. Le message central, résumé par l'OFCS : de nombreuses petites entreprises suisses sont bien protégées sur le plan technique, mais des lacunes subsistent dans la préparation organisationnelle. Autrement dit, les sauvegardes existent, mais souvent personne n'a jamais essayé de les restaurer.

Voici les principaux chiffres de l'étude et une liste de contrôle pratique pour les PME qui veulent savoir où elles en sont.

L'étude en bref

Sur mandat de la Mobilière, YouGov Schweiz a interrogé entre le 24 juin et le 10 juillet 2026 507 dirigeants de PME suisses comptant de 1 à 49 collaborateurs. Selon les auteurs, les résultats sont représentatifs d'environ 614 400 PME. L'étude paraît chaque année depuis 2020 ; le rapport complet en français et une version web sont disponibles sur cyberstudie.ch.

• 88 % des PME considèrent la cybercriminalité comme un problème sérieux.
• 46 % jugent la cybersécurité importante ou très importante, contre 33 % en 2025.
• 6 % ont subi au cours des trois dernières années une cyberattaque aux conséquences graves : extrapolé, plus de 35 000 PME en Suisse. Dans les entreprises d'au moins dix collaborateurs, la part atteint jusqu'à 16 %.
• Environ 7 % ont déjà été victimes d'une extorsion par des cybercriminels, soit environ 45 000 PME.
• La cybercriminalité est citée par 23 % parmi les principaux risques stratégiques, au même niveau que l'inflation et la hausse des coûts et que la pénurie de main-d'œuvre qualifiée.

Ce que les PME font déjà bien

Les mesures techniques de base sont répandues. Selon l'étude, 83 % des PME mettent régulièrement à jour leurs logiciels, beaucoup utilisent et actualisent un pare-feu et 55 % ont introduit l'authentification à deux ou plusieurs facteurs. Neuf entreprises sur dix effectuent des sauvegardes régulières ; seules 4 % n'en font aucune. Environ trois quarts des entreprises qui sauvegardent conservent leurs données en Suisse.

Les mesures plus avancées restent rares : seules 35 % utilisent un VPN pour les accès externes et 15 % segmentent leur réseau. La surveillance du trafic et les protections basées sur l'IA sont également peu répandues.

Où subsistent les lacunes

Les faiblesses concernent surtout l'organisation :

• seules 27 % des PME qui sauvegardent testent régulièrement la restauration des données ;
• seules 31 % forment régulièrement leur personnel aux cyberrisques ;
• environ un tiers tient un inventaire systématique des systèmes informatiques, appareils, logiciels et services cloud ;
• 28 % disposent d'un plan d'urgence ou de continuité des activités, 28 % d'un concept de sécurité documenté et 28 % évaluent la sécurité informatique de leurs fournisseurs ;
• seules 15 % réalisent des audits de sécurité.

L'étude relève aussi une contradiction : 52 % des PME estiment plutôt faible le risque d'une attaque entraînant une interruption d'activité d'au moins un jour dans les deux à trois prochaines années. Les réponses des entreprises touchées montrent par ailleurs que le dommage le plus fréquent n'est pas financier, mais l'important travail nécessaire pour remettre les systèmes en marche, suivi de la charge émotionnelle. Environ deux entreprises sur cinq prévoient de renforcer leurs mesures de sécurité au cours des trois prochaines années.

L'intelligence artificielle dans le paysage des menaces

81 % des PME s'attendent à ce que la cybermenace continue d'augmenter avec l'IA. Dans le même temps, près de la moitié des entreprises interrogées n'ont encore lancé aucun projet d'IA. Pendant le mois de la cybersécurité d'octobre 2026, l'OFCS et le Préposé fédéral à la protection des données et à la transparence (PFPDT) ont publié des recommandations sur l'IA dans le quotidien professionnel : ne pas saisir de données personnelles, de données clients ou de secrets d'affaires dans des services d'IA sans les anonymiser, privilégier les versions business ou entreprise aux comptes privés et vérifier si les saisies servent à l'entraînement.

Liste de contrôle pour une PME

La liste suivante reprend les domaines de la checklist de l'étude, réduits aux étapes qu'une petite entreprise peut réaliser en quelques semaines :

1. Responsabilités : désigner qui s'occupe de la sécurité informatique et qui décide en cas d'incident, même s'il s'agit d'une tâche partielle ou confiée à un partenaire externe.
2. Inventaire : lister ordinateurs, téléphones, site web, domaines, boîtes e-mail, services cloud et logiciels, avec le nom de la personne qui les gère.
3. Test de restauration : au moins une fois par trimestre, restaurer un fichier, une boîte e-mail ou le site à partir d'une sauvegarde et noter le temps nécessaire.
4. Accès : activer l'authentification multifacteur ou les passkeys pour l'e-mail, le cloud et l'administration du site ; les niveaux de sécurité des accès sont décrits dans notre article sur les cinq niveaux de l'OFCS.
5. Mises à jour : inclure aussi le site web et le serveur ; un exemple récent sont les failles PHP d'octobre 2026.
6. Formation : une courte session par an sur l'hameçonnage, les fausses factures et l'usage des services d'IA.
7. Plan d'urgence : une page avec les contacts (prestataire informatique, hébergeur, assureur, banque), les premières mesures et les critères pour signaler l'incident à l'OFCS.
8. Fournisseurs : demander à ceux qui gèrent le site, l'hébergement et les logiciels comment ils effectuent sauvegardes et mises à jour et où se trouvent les données.

Comment travaille ElaraTeq Sagl

ElaraTeq Sagl gère des sites et des applications pour des PME et des collectivités au Tessin avec un hébergement en Suisse, des sauvegardes et des mises à jour régulières. Sur demande, nous vérifions que la restauration de votre site fonctionne réellement et documentons les étapes à suivre en cas de panne. Pour une vérification, contactez-nous.

Sources

• OFCS, « PME Cybersécurité 2026 : La cybercriminalité devient un risque commercial pour les PME suisses », 22 octobre 2026 : bacs.admin.ch
• La Mobilière et partenaires, « PME Cybersécurité 2026 », rapport PDF : cyberstudie.ch ; résultats web et checklist : cyberstudie.ch
• Die Mobiliar, « Cyberstudie 2026 » (en allemand) : mobiliar.ch
• inside-it.ch, « Schweizer KMU technisch geschützt vor Cyberangriffen », 22 octobre 2026 : inside-it.ch
• OFCS et PFPDT, « L'IA dans le quotidien professionnel : exploiter les possibilités, protéger les données », 16 octobre 2026 : bacs.admin.ch