Le dernier panorama ANSSI confirme que 48 % des victimes de rançongiciels en France sont des PME/TPE/ETI et que 74 % d’entre elles restent sous le niveau « Essentiel ». Analyse factuelle des chiffres, du contexte NIS2 et des cinq mesures opérationnelles immédiates.
Tribune – Le panorama ANSSI 2026 dresse un état précis de la cybersécurité du tissu économique français. PME, TPE et ETI concentrent 48 % des victimes de rançongiciels traitées par l’agence, et 74 % d’entre elles restent sous le seuil « Essentiel ». Lecture chiffrée de ce que ces données disent du paysage français, des secteurs les plus exposés, des obligations issues de NIS2, et des cinq mesures opérationnelles à engager sans délai.
1 366 incidents et une concentration nette sur les PME
L’ANSSI a traité 1 366 incidents de sécurité sur sa dernière période de référence. La catégorie la plus représentée dans les statistiques de rançongiciels reste celle des PME, TPE et ETI, à hauteur de 48 % des victimes identifiées. Le baromètre Cybermalveillance.gouv.fr 2025 confirme cette tendance côté petites structures, avec une demande d’assistance qui continue de croître année après année. Le constat est sans équivoque : la cybercriminalité française se concentre désormais sur le segment qui constitue l’épine dorsale de l’économie nationale, c’est-à-dire les millions d’entreprises de moins de 250 salariés.
74 % sous le seuil « Essentiel », une vulnérabilité structurelle
Le niveau « Essentiel » défini par l’ANSSI correspond à un socle minimal de bonnes pratiques : authentification renforcée, sauvegardes, mises à jour, sensibilisation. Or 74 % des PME françaises se situent en dessous de ce seuil. Cela signifie concrètement qu’une majorité d’entreprises ne dispose pas des protections jugées strictement indispensables par l’autorité nationale. Cet écart n’est pas anecdotique, il fait du tissu français un terrain disproportionnellement vulnérable à des modes opératoires désormais industrialisés (rançongiciel en mode service, phishing automatisé, exploitation rapide des vulnérabilités publiées).
La cartographie sectorielle des cibles
Les secteurs régulièrement identifiés comme les plus exposés dans les panoramas ANSSI dessinent une géographie cohérente. Les collectivités territoriales et les établissements de santé restent en première ligne, en raison du caractère critique de leurs services. Les prestataires de services numériques et les ESN représentent une cible privilégiée car ils ouvrent l’accès à de multiples clients en aval, ce qui en fait des relais d’attaque efficaces. L’industrie manufacturière, le commerce et les services aux entreprises complètent le palmarès. Plus une activité combine continuité opérationnelle critique et numérisation rapide, plus elle attire les attaquants.
NIS2, l’extension du périmètre au cœur du tissu PME
La transposition de la directive NIS2 marque un basculement réglementaire majeur pour les PME et ETI françaises. Là où NIS1 ne ciblait que les grandes infrastructures critiques, NIS2 élargit considérablement le champ des entités concernées : fournisseurs de services numériques, sous-traitants, secteur de la gestion des déchets, alimentaire, services postaux, fabrication de produits chimiques, recherche, parmi d’autres. Le résultat est concret, plusieurs milliers de PME et ETI françaises entrent désormais dans le périmètre des obligations renforcées.
Ces obligations comprennent une analyse de risques formalisée, un plan de continuité d’activité, une notification d’incident dans les 24 heures, et la désignation d’un référent sécurité identifié. Le non-respect expose à des sanctions financières, mais surtout à un risque opérationnel et contractuel, les grands donneurs d’ordre exigeant désormais la conformité comme prérequis commercial.
Le coût économique pour le tissu français
Selon les sources publiques disponibles, le coût moyen d’une cyberattaque pour une PME française s’échelonne entre 59 000 et 466 000 euros, en fonction de la taille de l’entreprise, du type d’attaque et de la durée d’interruption. Ces fourchettes ne capturent pas les effets de second tour : perte de marchés, dégradation de l’image, fuite de données personnelles avec exposition au RGPD, et risque social en cas de défaillance. À l’échelle du tissu économique, l’addition des incidents constitue un frein non négligeable à la compétitivité et à l’attractivité du pays.
Cinq mesures opérationnelles immédiates pour passer le seuil
Les mesures suivantes ont été retenues pour leur effet immédiat et leur accessibilité financière à l’échelle d’une PME.
- Cartographier ses actifs et ses accès. Sans inventaire consolidé des postes, serveurs, comptes à privilèges, services SaaS et accès tiers, aucune politique de protection ne peut être priorisée correctement.
- Activer l’authentification multifacteur sur tous les accès sensibles. Messagerie, accès distants, outils cloud, comptes administrateurs, le MFA reste la mesure offrant le meilleur rapport coût-protection.
- Mettre en place une stratégie de sauvegarde 3-2-1 testée. Trois copies, sur deux supports différents, dont une hors site et hors ligne. Une restauration trimestrielle chronométrée est le seul indicateur fiable de la capacité de reprise.
- Désigner un référent sécurité identifié. Que ce soit en interne ou via un prestataire externalisé, l’existence d’un point de contact unique conditionne la rapidité de réponse et la conformité NIS2.
- S’inscrire dans un dispositif d’accompagnement. Recourir à un prestataire managé (MSP) ou à un CSIRT régional permet de bénéficier d’une supervision continue, d’une réponse à incident structurée et d’un soutien réglementaire pour un coût compatible avec une PME.
Conclusion
Les chiffres ANSSI 2026 racontent une histoire claire, le tissu économique français est devenu la cible principale des opérations cybercriminelles, et il ne dispose pas encore, à l’échelle du segment PME, des défenses correspondant à ce niveau de menace. L’écart se mesure, il se documente, et il se réduit. Les outils existent, les obligations sont posées, les retours d’expérience sont publics. Reste à transformer le constat en programme d’action, entreprise par entreprise.
À propos de l’auteur
Lilian Dulau est le fondateur de Nexxo France, filiale française d’un groupe basé à Montréal accompagnant plusieurs centaines de PME depuis 25 ans. Nexxo s’implante officiellement en France en 2026, plus d’informations sur www.nexxo.tech.
