En 2026, la cybersécurité n'est plus un sujet réservé aux DSI des grands groupes. Les PME et collectivités locales sont devenues les cibles privilégiées des cybercriminels : moins bien protégées, souvent dépourvues de ressources dédiées, mais détentrices de données sensibles et de trésoreries exploitables.
Le Ransomware-as-a-Service : la menace industrialisée
Le modèle RaaS (Ransomware-as-a-Service) a profondément transformé le paysage de la menace. Des groupes criminels proposent désormais des kits d'attaque clé en main à des affiliés, qui les déploient moyennant une commission sur la rançon. Résultat : le niveau technique requis pour lancer une attaque a considérablement baissé, tandis que leur fréquence et leur sophistication augmentent.
En France, une PME sur cinq a subi au moins une tentative d'intrusion réussie en 2025. La rançon médiane demandée dépasse désormais 50 000 € — sans garantie de récupérer les données.
Le phishing augmenté par l'IA
Les outils d'intelligence artificielle générative ont radicalement amélioré la qualité des tentatives de phishing. Les e-mails frauduleux, autrefois truffés de fautes d'orthographe, sont aujourd'hui rédigés dans un français parfait, personnalisés à partir de données OSINT (LinkedIn, site web, réseaux sociaux) et capables de simuler la voix ou l'écriture d'un dirigeant connu.
La directive NIS2 : une obligation, pas une option
Transposée en droit français en 2024, la directive NIS2 étend les obligations de cybersécurité à des milliers d'entités supplémentaires : collectivités de plus de 30 000 habitants, prestataires de santé, entreprises de secteurs critiques et leurs sous-traitants. Les sanctions en cas de non-conformité peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Les mesures concrètes à mettre en place
- MFA obligatoire sur tous les accès distants, VPN, webmail et outils cloud — une seule mesure qui bloque 99 % des attaques sur les comptes.
- EDR (Endpoint Detection & Response) sur l'ensemble des postes de travail : une protection active qui détecte les comportements anormaux en temps réel, contrairement à un antivirus classique.
- Règle 3-2-1 pour les sauvegardes : 3 copies des données, sur 2 supports différents, dont 1 hors site ou déconnecté du réseau. Tester la restauration régulièrement.
- Segmentation réseau : isoler les postes critiques, les serveurs et les équipements IoT sur des VLANs séparés pour limiter la propagation d'une intrusion.
- Sensibilisation des équipes : la majorité des incidents démarre par une action humaine. Des exercices de phishing simulé sont efficaces et peu coûteux.