Cybersécurité : les PME suisses sont protégées mais mal préparées à une attaque

Les petites et moyennes entreprises suisses investissent dans la sécurité informatique, mais savent souvent mal quoi faire lorsqu'une attaque réussit malgré tout. C'est ce que montre l'étude «KMU Cybersicherheit 2026», publiée le 22 octobre par Mobiliar avec digitalswitzerland, la SATW (Académie suisse des sciences techniques) ainsi que les hautes écoles HES-SO Valais-Wallis et HWZ de Zurich, avec le soutien de l'Office fédéral de la cybersécurité.

L'enquête a interrogé 507 dirigeants de PME suisses comptant entre 1 et 49 employés, entre le 24 juin et le 10 juillet 2026. Les résultats sont considérés comme représentatifs d'environ 614'400 PME dans toutes les régions linguistiques du pays, y compris la Suisse italienne.

6% des entreprises interrogées ont subi un incident informatique grave au cours des trois dernières années, et 7% ont déjà été victimes d'une tentative d'extorsion numérique. Rapportée à l'ensemble des PME suisses, cette proportion correspond à environ 35'000 entreprises touchées. Les entreprises comptant au moins dix employés sont nettement plus souvent touchées que les plus petites structures.

L'intelligence artificielle inquiète particulièrement : 81% des PME s'attendent à une aggravation des menaces liées à cette technologie, même si près de la moitié des entreprises interrogées ne l'utilisent pas encore dans leurs propres projets.

Protection technique oui, organisation non

L'étude distingue les mesures techniques, désormais répandues, des mesures organisationnelles, encore insuffisantes. Plus de 80% des PME mettent régulièrement à jour leurs logiciels, neuf entreprises sur dix effectuent des sauvegardes, et l'authentification à plusieurs facteurs est désormais courante. Un tiers seulement des entreprises, en revanche, forme régulièrement son personnel ou tient un inventaire systématique de ses systèmes informatiques. Les plans d'urgence, les audits de sécurité et les contrôles des fournisseurs restent encore plus rares : seul un quart des entreprises vérifie régulièrement si ses propres sauvegardes peuvent réellement être restaurées en cas de besoin.

Pour Marc Peter, enseignant à la haute école HES-SO Valais-Wallis et responsable du projet, la cybersécurité ne commence pas par le pare-feu, mais par une stratégie numérique claire : les entreprises ayant une plus grande maturité numérique se considèrent aussi comme plus résilientes face aux cyberattaques.

Jesús Pampín, responsable du centre de compétences Cyber Risk de Mobiliar, souligne que la sécurité informatique ne peut pas rester une affaire réservée au seul service informatique : elle doit s'inscrire dans la stratégie et relever de la responsabilité de la direction de l'entreprise. Une assurance contre les cyber-risques, ajoute-t-il, réduit les conséquences financières d'une attaque mais ne remplace pas cette responsabilité.

Près d'une PME sur deux considère aujourd'hui la cybersécurité comme un sujet important ou très important, et environ deux entreprises sur cinq prévoient de renforcer encore leurs mesures de sécurité au cours des trois prochaines années. Pour Anu Anthamatten, responsable de projet chez digitalswitzerland, il ne suffit pas de sauvegarder les données : les entreprises doivent aussi vérifier régulièrement qu'elles sont capables de redevenir opérationnelles rapidement après un incident.