RSSI PME France 2026 : comment structurer la cybersécurité sans budget SOC

Sarah Maubert

RSSI freelance, Paris

• 38 ans, RSSI indépendante depuis 6 ans
• Spécialisation : PME de 20 à 200 salariés
• Certifications : CISSP, ISO 27001 Lead Implementer
• Membre active du CLUSIF
• Ancienne responsable sécurité chez un éditeur SaaS français

Sarah Maubert reçoit une quinzaine de demandes par mois. La plupart se ressemblent : une PME qui vient d'essuyer un incident, ou un dirigeant qui réalise soudain que NIS2 le concerne et qu'il n'a rien préparé. "Il y a rarement de l'indifférence totale face à la cybersécurité en 2026, dit-elle. Ce que je rencontre, c'est surtout de l'incompréhension et de la panique." Depuis son bureau parisien, elle pilote en ce moment onze mandats RSSI simultanément dans des secteurs aussi variés que la logistique, la santé au travail et la distribution alimentaire. Une journée ordinaire pour elle, une plongée exceptionnelle pour nous dans la réalité cyber des PME françaises.

Avant de découvrir ses méthodes, il est utile de rappeler le contexte : en 2026, les PME françaises sont devenues des cibles privilégiées des cyberattaquants. Leurs défenses sont plus faibles que celles des grands groupes, mais elles détiennent souvent des données clients sensibles et constituent des points d'entrée vers leurs donneurs d'ordres. Pour comprendre l'ampleur de ces menaces, notre dossier sur les cyberattaques par IA qui ciblent les PME françaises détaille les techniques les plus utilisées en 2026.

Évaluer la maturité cyber d'une PME en moins de 2 heures

Quand vous arrivez pour la première fois chez un nouveau client, comment évaluez-vous rapidement son niveau de maturité en cybersécurité ?

Sarah Maubert : J'ai développé ce que j'appelle le "test des 10 questions critiques". Je pose ces dix questions à l'équipe dirigeante et au responsable informatique, et les réponses me donnent une cartographie précise en moins de 90 minutes. Les voici : Avez-vous une liste de tous vos équipements et logiciels ? Savez-vous qui a accès à quoi dans votre système d'information ? Avez-vous testé votre sauvegarde dans les 30 derniers jours ? Utilisez-vous l'authentification à deux facteurs sur vos outils cloud ? Avez-vous une procédure documentée en cas de cyberattaque ? Votre contrat d'infogérance inclut-il des clauses de sécurité ? Avez-vous formé vos employés au phishing dans l'année ? Savez-vous combien de temps vous mettriez à redémarrer si votre système s'effondrait ? Avez-vous un inventaire de vos données sensibles ? Et enfin : votre direction considère-t-elle la cybersécurité comme un sujet stratégique ?

Si une PME répond "oui" à 7 de ces 10 questions, je suis rassurée. Si elle en répond moins de 5, on a du travail urgent. La majorité de mes nouveaux clients passent entre 3 et 5. C'est révélateur du chemin à parcourir.

Les 3 mesures immédiates imposées à chaque nouveau client

Quelles sont les trois premières mesures que vous imposez systématiquement, avant même de lancer un programme complet ?

Sarah Maubert : Sans exception, et dans cet ordre. Un : le MFA (authentification multifacteur) sur tous les accès cloud et les messageries. C'est la mesure qui a le meilleur rapport coût-efficacité dans l'histoire de la cybersécurité. La très grande majorité des compromissions de comptes sont évitées par le MFA. Et pourtant, en 2026, j'arrive encore chez des PME où les boîtes mail Microsoft 365 et Google Workspace ne sont pas protégées par MFA. C'est incompréhensible.

Deux : une sauvegarde externalisée testée. Pas juste "on sauvegarde sur un NAS". Une sauvegarde qui respecte la règle 3-2-1 : trois copies, deux supports différents, une copie hors site. Et surtout, une restauration testée dans les 30 derniers jours. J'ai eu des clients qui croyaient sauvegarder depuis deux ans et qui ont découvert lors d'un test que leur sauvegarde était corrompue depuis le début. Ça fait froid dans le dos.

Trois : une session de sensibilisation au phishing pour tous les employés. Une heure minimum, avec des exemples réels. Les simulations de phishing envoyées par surprise viennent après — il faut d'abord que les gens comprennent pourquoi on leur demande d'être vigilants. L'humain reste la première ligne de défense, et aussi le premier vecteur d'attaque.

Convaincre la direction sans budget dédié

Comment convaincre un dirigeant de PME d'investir dans la cybersécurité quand il n'a pas de budget dédié et que la cybersécurité lui semble abstraite ?

Sarah Maubert : J'ai abandonné le discours technique depuis longtemps. Je parle argent et survie d'entreprise. Je demande au dirigeant combien coûterait une semaine d'arrêt total de son activité. La réponse, en général, est entre 50 000 et 500 000 euros selon le secteur. Puis je lui montre que le coût moyen d'un incident ransomware pour une PME en France est de 150 000 euros en 2025, et que 60 % des PME victimes d'un ransomware majeur déposent le bilan dans les 18 mois si elles ne sont pas assurées et préparées.

Ensuite j'aborde NIS2 et la responsabilité personnelle des dirigeants — c'est souvent le déclencheur. Quand j'explique qu'en cas de manquement grave, le PDG peut être personnellement mis en cause, les budgets se débloquent. La réglementation a fait ce que la sensibilisation au risque n'arrivait pas à faire seule.

Enfin, je propose toujours une approche progressive : pas besoin de tout faire en un an. Un plan sur 3 ans, avec des jalons clairs et des investissements lissés dans le temps. Ça rend le sujet moins écrasant et donne une vision de long terme au dirigeant.

NIS2 en pratique : accompagner les PME vers la conformité

NIS2 concerne potentiellement des milliers de PME françaises. Comment guidez-vous concrètement vos clients à travers ce processus de mise en conformité ?

Sarah Maubert : Ma méthode NIS2 se déroule en cinq étapes. D'abord, vérifier si l'entreprise est dans le périmètre — secteur, taille, chaîne d'approvisionnement. Beaucoup de mes clients pensaient ne pas être concernés et l'étaient via leur statut de fournisseur critique d'une entité essentielle. Deuxième étape : réaliser un audit de l'existant avec la méthode EBIOS Risk Manager, recommandée par l'ANSSI. Troisième étape : établir un plan de traitement priorisé — les mesures à impact immédiat sur le risque en premier, les projets de fond ensuite. Quatrième étape : documenter, documenter, documenter. NIS2 est autant une obligation documentaire qu'une obligation technique. Si ce n'est pas écrit, ça n'existe pas pour l'auditeur. Cinquième étape : préparer les plans de notification d'incident et tester les procédures via des exercices de simulation.

La conformité complète prend entre 18 et 36 mois pour la plupart des PME que j'accompagne. L'ANSSI a un calendrier progressif — c'est intentionnel. Le plus important est de montrer une démarche sérieuse et documentée. Pour approfondir les exigences techniques spécifiques, notre guide complet sur la conformité NIS2 pour les PME françaises détaille les 10 mesures obligatoires.

L'incident qui l'a le plus marquée

Quel incident cyber récent vous a le plus marquée, et qu'est-ce qu'il faut en retenir ?

Sarah Maubert : Sans pouvoir citer l'entreprise pour des raisons de confidentialité, je pense à une PME de distribution alimentaire de 80 salariés. Un ransomware a chiffré l'ensemble de leur système de gestion des commandes un lundi matin à 7h. En 45 minutes, leur capacité opérationnelle était à zéro. Le problème : leur prestataire IT avait bien une sauvegarde, mais elle incluait aussi les machines infectées. La restauration a pris 11 jours. Pendant ces 11 jours, ils ont perdu trois clients majeurs qui avaient besoin d'un fournisseur opérationnel, et leur réputation dans leur filière a été sérieusement entachée.

Ce qui m'a frappée, c'est que toutes les conditions de cet incident avaient été signalées lors d'un audit 14 mois avant : sauvegarde non segmentée, pas de plan de continuité, accès distants non protégés par MFA. La direction avait dit "on verra ça quand on aura du temps". On n'a jamais du temps jusqu'au jour où on n'a plus que ça.

Ce que j'en retiens : l'audit sans suivi ne sert à rien. Je refuse désormais les missions d'audit seules. Je fais audit ET accompagnement à la mise en oeuvre, sinon je n'assume pas que mes recommandations seront appliquées.

Pourquoi les PME échouent encore sur les sauvegardes

La sauvegarde des données, c'est un sujet qu'on évoque depuis 30 ans. Pourquoi tant de PME échouent-elles encore sur ce point élémentaire ?

Sarah Maubert : Parce qu'une sauvegarde qui fonctionne est invisible. Elle ne fait rien de spectaculaire. Et une sauvegarde défaillante l'est aussi jusqu'au jour où on en a besoin. La cybersécurité souffre d'un problème de visibilité : quand tout va bien, les investissements semblent inutiles. Quand ça va mal, c'est trop tard.

Sur les sauvegardes spécifiquement, j'observe deux erreurs récurrentes. La première : confondre la synchronisation cloud avec une sauvegarde. Si vos fichiers OneDrive ou Google Drive sont chiffrés par un ransomware, la synchronisation va propager le chiffrement sur le cloud en quelques minutes. Vous perdez les deux. La deuxième : ne jamais tester la restauration. J'ai vu des systèmes de sauvegarde qui tournaient depuis des années avec des erreurs silencieuses. Les logs n'étaient jamais lus. Pour choisir un outil de sauvegarde solide et tester sa restauration efficacement, le comparatif logiciels de sauvegarde automatique 2026 est une référence pratique que je recommande à mes clients.

La règle 3-2-1 reste le minimum absolu. Et depuis 2024, je recommande la règle 3-2-1-1-0 : trois copies, deux supports, une hors site, une hors ligne (air-gapped), zéro erreur vérifiée lors du dernier test de restauration.

Ransomware : les premières heures critiques

Ransomware : si une PME est attaquée ce soir, quelles sont concrètement les premières heures critiques ?

Sarah Maubert : C'est la question que tout dirigeant devrait avoir répétée en exercice avant que ça n'arrive. Parce que sous le stress d'une attaque réelle, les gens font des erreurs catastrophiques — éteindre les machines, payer sans vérifier, effacer des preuves.

Les premières 30 minutes : identifier les machines touchées, les isoler du réseau physiquement (débrancher le câble réseau, désactiver le Wi-Fi) sans les éteindre. L'état en mémoire peut contenir des informations précieuses pour l'analyse forensique. Appeler votre prestataire IT et votre RSSI.

Dans les deux premières heures : si votre entreprise est soumise à NIS2, vous devez préparer la notification à l'ANSSI dans les 24h. Déposez plainte à la gendarmerie ou au commissariat — vous aurez besoin du numéro de plainte pour votre assurance cyber. Ne communiquez pas publiquement sur l'incident avant d'avoir l'avis de votre conseil juridique.

Dans les 24 à 48 heures : activer votre plan de continuité. Identifier les sauvegardes saines antérieures à l'infection. Ne jamais payer sans l'avis d'un expert en réponse à incident — certains rançonneurs prennent l'argent sans fournir les clés, d'autres reviennent vous attaquer 3 mois plus tard.

Le message principal : préparez-vous avant. Un exercice de simulation d'incident une fois par an peut sauver votre entreprise.

IA et cybersécurité : nouveaux outils, nouveaux risques

L'IA transforme tous les secteurs. Comment les outils d'IA changent-ils votre façon de travailler en cybersécurité, et quels nouveaux risques introduisent-ils pour les PME ?

Sarah Maubert : L'IA est une arme à double tranchant en cybersécurité. Du côté défense, elle m'aide énormément : les outils EDR (Endpoint Detection and Response) modernes intègrent des modèles de machine learning qui détectent des comportements anormaux bien avant que les signatures antivirales traditionnelles ne les reconnaissent. Les plateformes SIEM alimentées par l'IA permettent à une petite équipe de superviser un volume d'événements qui aurait nécessité dix analystes humains il y a cinq ans.

Mais du côté attaque, c'est une accélération terrifiante. Les campagnes de phishing générées par IA sont maintenant parfaitement rédigées en français, contextualisées, personnalisées. Fini les fautes d'orthographe et les tournures maladroites qui permettaient de les identifier. Les deepfakes audio et vidéo permettent des attaques de type "vishing" (phishing vocal) extrêmement convaincantes. J'ai un client dont un collaborateur a viré 35 000 euros après avoir reçu un appel audio d'un "directeur financier" — c'était un deepfake. Pour comprendre ces nouvelles formes d'IA appliquées, la page guide IA de i-Actu donne une bonne vue d'ensemble des technologies en jeu. Et pour comprendre les risques liés aux LLM déployés localement, les enjeux de sécurité des LLM open source en local méritent attention.

Ma recommandation pour 2026 : sensibilisez vos équipes aux deepfakes. Établissez des protocoles de double vérification pour toute demande de virement ou de communication d'informations sensibles — quel que soit le canal utilisé.

Conseil pour la PME qui part de zéro

Un conseil unique que vous donneriez à une PME qui n'a vraiment rien mis en place en cybersécurité et qui veut commencer aujourd'hui ?

Sarah Maubert : Ne pas chercher la perfection. Commencez par les trois mesures immédiates que j'évoquais : MFA sur tous les comptes cloud, sauvegarde externalisée testée, sensibilisation des employés. Ces trois actions seules réduisent votre surface d'attaque de 70 %. La grande majorité des cyberattaques qui frappent les PME exploitent des failles élémentaires — comptes sans MFA, sauvegardes défaillantes, employés non formés au phishing. Ce n'est pas sophistiqué, mais c'est ce qui marche.

Ensuite, inscrivez-vous sur cybermalveillance.gouv.fr, téléchargez le diagnostic gratuit, et commencez à construire votre politique de sécurité. L'ANSSI propose des ressources adaptées aux TPE-PME qui permettent d'avancer sans consultant externe dans un premier temps.

Et surtout, parlez-en à votre direction si vous êtes responsable IT. La cybersécurité ne peut pas être portée uniquement par le service informatique — c'est une décision stratégique qui appartient à la direction générale.

Questions rapides : idées reçues sur la cybersécurité des PME

"Notre PME est trop petite pour intéresser les hackers." — FAUX. Les PME sont des cibles privilégiées justement parce que leurs défenses sont plus faibles. Les attaques automatisées ne font pas de distinction selon la taille : elles cherchent les vulnérabilités, pas les CA.

"On a un antivirus, on est protégés." — FAUX. L'antivirus ne détecte que les menaces connues. Les attaques modernes (zero-day, malwares fileless, ransomware sophistiqués) contournent les antivirus traditionnels. Un EDR avec détection comportementale est le minimum en 2026.

"Le cloud, c'est plus sécurisé que nos serveurs." — PARTIEL. Le cloud peut être plus sécurisé au niveau de l'infrastructure, mais la configuration reste votre responsabilité. Un bucket S3 mal configuré, un compte sans MFA — ce sont des failles fréquentes dans les environnements cloud d'entreprise.

"On a été attaqués et tout s'est bien passé — on est protégés maintenant." — FAUX. Les attaquants reviennent. Les groupes ransomware vendent les données des victimes à d'autres groupes qui les utilisent pour des attaques ultérieures. Un incident ne vous immunise pas : il signale que vous êtes une cible connue.

"La cybersécurité coûte trop cher pour nous." — RELATIF. Selon la maturité actuelle, les bases coûtent moins cher qu'un mois de loyer. Ce qui coûte vraiment cher, c'est l'incident — arrêt de production, reconstruction IT, atteinte à la réputation, potentiellement la faillite.

Conclusion : les 3 choses à retenir de cette interview

1. Commencer par les bases, maintenant. MFA, sauvegarde testée, sensibilisation employés. Ces trois actions réduisent 70 % des risques PME. Pas de prétexte.

2. NIS2 est une opportunité autant qu'une contrainte. Les PME qui s'y conforment sérieusement construisent une résilience opérationnelle réelle. C'est un investissement dans la survie à long terme de l'entreprise.

3. La direction doit être impliquée. La cybersécurité ne peut pas être uniquement une affaire IT. Les dirigeants sont personnellement responsables sous NIS2. C'est une question de gouvernance, pas de technique.