Coût d'une cyberattaque pour une PME en 2026 : les chiffres sourcés

« Combien coûte une cyberattaque à une PME ? » La réponse circule partout, rarement avec sa source. Cette page fait l'inverse : chaque chiffre est accompagné de l'étude qui l'a produit, avec le lien vers le document original. Vous pouvez tout vérifier — c'est précisément ce qui rend ces données utilisables devant un comité de direction.

Les chiffres de référence, avec leurs sources

Le tableau ci-dessous rassemble les données publiques les plus solides disponibles en 2026 sur le coût et la fréquence des cyberattaques touchant les PME françaises. Chaque ligne renvoie à la source primaire.

Pourquoi les chiffres varient autant d'une étude à l'autre

On lit tout et son contraire sur le coût d'une cyberattaque. L'écart entre 59 000 € (Asterès) et 466 000 € (ANSSI-CLUSIF) n'est pas une contradiction : ce ne sont ni les mêmes périmètres, ni les mêmes méthodes.

• Le périmètre des victimes : Asterès raisonne toutes organisations confondues, administrations comprises ; l'enquête ANSSI-CLUSIF se concentre sur les TPE/PME victimes d'attaques réussies, cas lourds inclus.
• Le périmètre des coûts : certaines études incluent les rançons et les pertes d'exploitation, d'autres se limitent aux coûts directs de remédiation.
• La moyenne contre le médian : quelques sinistres très coûteux tirent les moyennes vers le haut. Le cas médian est nettement moins lourd — mais il arrive beaucoup plus souvent.

La lecture honnête : une cyberattaque « ordinaire » coûte quelques dizaines de milliers d'euros à une PME ; une attaque réussie avec interruption d'activité se mesure en centaines de milliers d'euros. Dans les deux cas, l'essentiel de la facture n'est pas la rançon mais l'arrêt de l'activité.

Ce qui compose vraiment la facture

La décomposition publiée par l'enquête ANSSI-CLUSIF est la plus utile pour un dirigeant, parce qu'elle montre où l'argent part réellement :

• Pertes d'exploitation (environ 50 %) : activité à l'arrêt, chômage technique, commandes non livrées, clients en attente. C'est le poste le plus lourd financièrement, et celui que la préparation réduit le plus directement.
• Prestations externes (environ 20 %) : investigation, confinement, restauration, conseil juridique, communication de crise. Sans contrat d'astreinte préalable, ces interventions se paient en urgence, au prix fort.
• Remise en état (environ 20 %) : reconstruction du système d'information, durcissement post-incident, investissements reportés devenus urgents.
• Atteinte à la réputation (environ 10 %) : perte de confiance, clients partis, surveillance accrue des donneurs d'ordre.

Pour les montants côté prévention — ce que coûte un audit, un pentest ou un SOC — consultez notre article coût de la cybersécurité pour une PME en 2026 et notre page prix d'un audit cybersécurité.

Comment réduire concrètement son exposition

Trois leviers attaquent directement les postes de coût ci-dessus :

• Réduire la durée d'arrêt avec des sauvegardes isolées et testées, un plan de reprise et une réponse à incident contractualisée — c'est le poste n°1 de la facture.
• Réduire la probabilité avec MFA généralisé, gestion des correctifs et sensibilisation anti-hameçonnage — les vecteurs les plus documentés par les rapports publics.
• Transférer une partie du risque avec une cyber assurance — en préparant le dossier en amont, car seules 13,5 % des PME sont couvertes et les assureurs exigent désormais des preuves. Notre accompagnement cyberassurance sert précisément cela.

Questions fréquentes

Quel est le coût moyen d'une cyberattaque pour une PME en 2026 ?

Le chiffre de référence en France est 466 000 € en moyenne pour une TPE/PME victime d'une attaque réussie, selon l'enquête ANSSI-CLUSIF publiée dans le rapport du Sénat de mars 2025. Toutes tailles d'organisations confondues, le cabinet Asterès estime le coût moyen à 59 000 €. L'écart tient aux périmètres et méthodes, pas à une erreur de l'une ou l'autre étude.

D'où vient le chiffre de 466 000 € ?

De l'enquête ANSSI-CLUSIF sur les coûts des cyberattaques (juin 2024), rendue publique le 4 mars 2025 dans un rapport d'information du Sénat consacré à la cybersécurité des entreprises. Le montant couvre les pertes d'exploitation, les prestations externes, la remise en état et l'atteinte à la réputation.

Quel est le poste de coût le plus lourd après une cyberattaque ?

Les pertes d'exploitation, soit environ la moitié du coût total selon la même enquête : l'arrêt de l'activité coûte plus cher que la rançon elle-même. C'est pourquoi la préparation (sauvegardes testées, plan de reprise, astreinte) réduit davantage la facture que n'importe quel outil isolé.

Est-il vrai que 60 % des PME ferment après une cyberattaque ?

Ce chiffre circule sans source vérifiable et nous recommandons de ne pas l'utiliser. La donnée documentée la plus proche : le risque de défaillance augmente d'environ 50 % dans les 6 mois suivant l'annonce d'un incident, d'après une analyse de 48 incidents touchant des entreprises françaises non cotées entre 2017 et 2021.

Comment réduire le coût d'une cyberattaque pour sa PME ?

En agissant sur les trois postes de la facture : réduire la durée d'arrêt (sauvegardes testées, plan de reprise, astreinte de réponse à incident), réduire la probabilité (MFA, correctifs, sensibilisation), et transférer une partie du risque (cyber assurance préparée avec des preuves). Un pré-diagnostic permet de prioriser ces chantiers selon votre contexte.

Sources et méthode

Cette page ne reprend que des chiffres dont la source primaire est publique et consultable : enquête ANSSI-CLUSIF publiée par le Sénat (2025), étude Asterès pour le CRiP (2023), rapport d'activité 2024 de Cybermalveillance.gouv.fr, Panorama de la cybermenace 2024 de l'ANSSI, baromètre CESIN 2025, analyse Bessé / G.P. Goldstein (2022) et étude LUCY 2025 de l'Amrae. Chaque ligne du tableau renvoie au document original. Quand deux études donnent des chiffres différents, nous expliquons pourquoi plutôt que d'en choisir une au hasard. Page mise à jour en juillet 2026 ; les liens sources ont été revérifiés à cette date.