MtoM Mag - Le journal de l'MtoM.

La majorité des décideurs impliqués dans la cybersécurité des petites et moyennes entreprises (PME) en Europe ne sont pas suffisamment préparés pour protéger leur entreprise. Les deux tiers (66 %) déclarent suivre une stratégie plus solide en théorie qu’en pratique, ou ne poursuivre qu’un certain nombre d’objectifs fragmentés, à défaut de mettre en œuvre un plan exhaustif. De plus, certains reconnaissent des lacunes dans leur compréhension des aspects fondamentaux de la cybersécurité : 33 % reconnaissent notamment la nécessité de mieux appréhender la gestion et la résolution des incidents cyber. Ce manque de stratégie et de savoir-faire concrets les empêche d’assurer une protection réelle de leur entreprise, ainsi rendues vulnérables aux cyberattaques. Telle s sont les conclusions du dernier rapport de Kaspersky.

Les PME en Europe manquent de connaissances adéquates et d’une stratégie cohérente pour se protéger. Seules 29 % d’entre elles peuvent affirmer avoir mis en place une stratégie de cybersécurité pleinement opérationnelle. Dans l’ensemble, elles sont deux tiers (66 %) à reconnaître que leur approche actuelle est une stratégie largement théorique et partiellement mise en œuvre, voire pas un véritable plan du tout, mais simplement un ensemble d’objectifs fragmentés. Plus précisément, 48 % des entreprises interrogées révèlent que, bien que leur stratégie soit mûrement réfléchie, elle n’est pas encore pleinement mise en place, tandis que 18 % affirment qu’elles travaillent à la réalisation d’un ensemble d’objectifs plutôt qu’à la mise en œuvre d’une stratégie concrète. Ces résultats mettent en évidence un décalage généralisé entre l’idée et la pratique, un écart qui se traduit par des faiblesses structurelles dans les opérations quotidiennes des PME en matière de cybersécurité.

Cyberattaques d’ampleur VS. attitude des décideurs : y a-t-il un pilote dans les PME ?

Cette absence de stratégie concrète est également mise en évidence dans la dernière analyse des attaques en Europe réalisée par Kaspersky. Entre janvier à avril 2025, l’Autriche a enregistré la plus forte proportion (40 %) d’attaques en Europe, parmi lesquelles des logiciels potentiellement indésirables (PUA) et des logiciels malveillants imitant des marques légitimes ont ciblé les PME, suivie par l’Italie (25 %), l’Allemagne (11 %), l’Espagne (10 %) et le Portugal (6 %). La France, elle, a enregistré 4% des attaques répertoriées sur le territoire européen.

Ces statistiques soulignent sans aucun doute qu’il existe un écart entre la stratégie et la mise en œuvre. Ce doute ne devient que plus évident si l’on s’en réfère à la confiance limitée des décideurs dans leurs connaissances et leurs outils en matière de cybersécurité. Par exemple, 33 % d’entre eux souhaitent mieux comprendre comment optimiser leurs capacités de réponse et de résolution lors d’un incident cyber, et ils sont un tiers (31 %) à se montrer curieux de savoir si leur protection des terminaux est suffisamment solide pour faire face à l’éventail actuel des menaces. Les répondants ont également déclaré souhaiter une meilleure connaissance :

 Des outils dont ils ont réellement besoin, parmi ceux disponibles sur le marché (26 %).

 De la marche à suivre pour garantir l’observabilité de leur environnement cloud et conduire des évaluations de vulnérabilité (22 %)

 Des exigences législatives et réglementaires qui s’appliquent à leur entreprise (23 %).

Ces résultats, combinés au fait que 28 % des PME doutent de la véracité des descriptions de risques fournies par les fournisseurs, soulèvent une question cruciale : les entreprises savent-elles réellement comment se protéger efficacement ?

« Les décideurs en charge, de près ou de loin, de la cybersécurité des PME s’appuient trop souvent sur des stratégies qui semblent bonnes sur le papier, mais qui s’avèrent insuffisantes dans la pratique, car elles ne prévoient pas les mesures opérationnelles concrètes nécessaires pour résister aux attaques actuelles. Notre étude montre que les deux tiers d’entre eux n’ont pas encore mis ces mesures en pratique de manière efficace, ce qui fait des PME des cibles de choix pour les cyberattaquants. Pour y remédier, les organisations doivent développer des stratégies de cybersécurité non seulement clairement définies, mais aussi complètement intégrées aux structures, aux responsabilités et aux décisions quotidiennes. Pour mitiger les risques et être moins exposées aux menaces, les organisations doivent passer de la théorie à la pratique, combler les lacunes essentielles en matière de connaissances et élaborer une stratégie de cybersécurité cohérente, intégrée dans les opérations quotidiennes, ne se limitant pas à des documents isolés ou à des mesures non coordonnées », commente Cesare d’Angelo, directeur général de Kaspersky France.

Méthodologie

Pour cette enquête, Kaspersky a chargé Arlington Research de mener une enquête en ligne auprès de décideurs dont le rôle implique la cybersécurité de manière significative, travaillant pour des organisations de moins de 500 employés en Europe et en Afrique, en août et septembre 2025. Arlington a mené au total 820 entretiens auprès de ce public en Europe (600) et en Afrique (280) avec 60 entretiens menés dans chacun des pays suivants : Allemagne, Autriche, Suisse, Royaume-Uni, France, Italie, Espagne, Grèce, Roumanie, Serbie, Maroc, Algérie, Tunisie et Cameroun ; et 20 entretiens chacun au Sénégal et en Côte d’Ivoire.

https://www.kaspersky.fr