L'essentiel en une phrase
En 2025, les TPE, PME et ETI sont devenues la première cible des rançongiciels en France : elles représentent 48 % des victimes recensées par l'ANSSI, contre 37 % un an plus tôt. Pourtant, la majorité d'entre elles restent sous le premier niveau de maturité cyber. Cette page rassemble les chiffres clés 2026 sur le sujet — chacun attribué à sa source publique — pour objectiver un risque encore largement sous-estimé.
Chaque donnée ci-dessous est sourcée et datée. Nous avons volontairement écarté certains chiffres très relayés mais à la source incertaine (comme le taux de fermeture d'entreprise « à 18 mois »), afin de ne présenter que des données réellement attribuables. Les fourchettes assumées reflètent la diversité des méthodologies des baromètres cités.
48 %
des victimes de rançongiciels en France sont des TPE/PME/ETI (2025)
Source : ANSSI, Panorama de la cybermenace 2025
+37→48
la part des PME parmi les victimes de rançongiciels a bondi en un an
Source : ANSSI, Panoramas 2024 et 2025
59k–466k €
coût estimé d'une cyberattaque pour une PME, selon sa taille et la durée d'arrêt
Source : baromètres assureurs (Hiscox) & CESIN
~50 %
du coût total vient de la perte d'exploitation, pas de la rançon
Source : analyses concordantes des baromètres cyber
Fréquence : la PME est devenue la cible n°1
Le renversement est net. Longtemps, les dirigeants de PME se pensaient « trop petits pour intéresser les hackers ». Les chiffres 2025 disent l'inverse : selon le Panorama de la cybermenace 2025 de l'ANSSI, les TPE, PME et ETI concentrent désormais 48 % des victimes de rançongiciels en France, loin devant les collectivités territoriales (environ 11 %) et les établissements de santé (environ 8 %). En 2024, cette part n'était que de 37 %.
La raison est économique, pas technique : les PME offrent le meilleur rapport « effort/rançon » pour un attaquant. Moins protégées que les grands groupes, mais disposant de trésorerie et de données exploitables, elles constituent une cible rentable. Le rançongiciel reste le mode opératoire dominant, parce qu'il monétise directement l'arrêt de l'activité.
Coût : ce n'est pas la rançon qui pèse le plus
Le coût d'une cyberattaque réussie pour une PME française est estimé, selon les baromètres assureurs (Hiscox) et les travaux du CESIN, dans une fourchette large de 59 000 à 466 000 euros — soit, selon les analyses, de l'ordre de 5 à 10 % du chiffre d'affaires annuel. L'ampleur de la fourchette n'est pas un défaut : elle reflète le fait que le coût dépend surtout de la durée d'interruption et de la taille de l'entreprise, deux paramètres très variables.
Le point le plus contre-intuitif — et le plus important — concerne la composition de ce coût. La rançon elle-même, quand elle est payée, n'est pas le poste principal. Les analyses concordent : la perte d'exploitation représente souvent autour de la moitié du coût total. Une entreprise à l'arrêt ne facture plus, mais continue de payer ses salaires, ses loyers et ses charges. S'y ajoutent la remise en état du système d'information, les surcoûts opérationnels et l'impact commercial.
C'est précisément la logique de notre calculateur du coût d'une cyberattaque : il part de votre chiffre d'affaires, de votre effectif et de la durée d'arrêt estimée pour chiffrer votre exposition réelle, hypothèses affichées en clair.
Maturité : l'écart entre le risque et la préparation
Le paradoxe français tient en un contraste : la menace monte, mais la préparation reste faible. Le baromètre de la maturité cyber des TPE-PME 2025, publié par cybermalveillance.gouv.fr, confirme que la majorité des petites structures se situent à un niveau de maturité limité, et qu'une part importante sous-estime encore son exposition. L'ANSSI relève de son côté qu'une large majorité des victimes n'avait pas atteint le premier palier de mesures « d'hygiène » élémentaires.
Or les mesures qui réduisent réellement le risque ne sont pas hors de portée d'une PME : sauvegardes isolées et testées, authentification forte (MFA), segmentation du réseau, mises à jour, et un plan de reprise écrit et répété. L'écart entre le risque et la préparation ne se comble pas par un gros budget, mais par de la méthode.
Citez ces chiffres
Vous écrivez un article, un rapport ou une présentation ? Vous pouvez reprendre librement ces données. Une mention de la source avec un lien suffit — copiez la ligne ci-dessous.
Sources & méthode
Les données de cette page proviennent de sources publiques françaises de référence :
- →ANSSI — Panorama de la cybermenace 2025 (part des PME parmi les victimes de rançongiciels, niveaux de maturité) : cert.ssi.gouv.fr
- →cybermalveillance.gouv.fr — Baromètre de la maturité cyber des TPE-PME 2025 : cybermalveillance.gouv.fr
- →CESIN — Baromètre annuel de la cybersécurité des entreprises : cesin.fr
- →Baromètres assureurs cyber (Hiscox et autres) pour les fourchettes de coût.
Méthode. Les chiffres sont présentés en fourchettes lorsque les sources divergent par méthodologie. Nous n'incluons que des données attribuables à une source identifiable, et écartons les statistiques largement relayées mais sans source primaire solide. Dernière mise à jour : juillet 2026.
Questions fréquentes
Quelle part des cyberattaques vise les PME en France ?
Selon le Panorama de la cybermenace 2025 de l'ANSSI, les TPE, PME et ETI représentent 48 % des victimes de rançongiciels en France, contre 37 % en 2024. C'est désormais la première catégorie de victimes, devant les collectivités territoriales et les établissements de santé.
Combien coûte une cyberattaque à une PME française ?
Selon les baromètres assureurs (Hiscox) et le CESIN, le coût d'une cyberattaque réussie pour une PME est estimé entre 59 000 et 466 000 euros, soit de l'ordre de 5 à 10 % du chiffre d'affaires annuel. Le montant dépend surtout de la durée d'interruption d'activité et de la taille de l'entreprise.
Quel est le principal poste de coût d'une cyberattaque ?
Contrairement à une idée reçue, ce n'est pas la rançon. Les analyses concordent : la perte d'exploitation — l'entreprise à l'arrêt qui ne facture plus tout en continuant de payer ses charges — représente souvent autour de la moitié du coût total, devant la remise en état et l'impact commercial.
Pourquoi certains chiffres ne figurent-ils pas sur cette page ?
Nous n'incluons que des données attribuables à une source publique identifiable. Certaines statistiques très relayées, comme un taux de fermeture d'entreprise « dans les 18 mois », circulent sans source primaire solide et sont souvent des chiffres étrangers mal transposés : nous les avons volontairement écartés pour préserver la fiabilité de cette référence.