Lorsque les entreprises parlent d'incidents de sécurité, elles pensent d'abord aux amendes. Les sanctions du règlement général sur la protection des données font les gros titres, et elles sont bien réelles. Dans la facture d'un incident touchant une PME, elles ne constituent pourtant souvent pas le poste le plus lourd – souvent même pas le deuxième.
Les postes coûteux se situent ailleurs : dans l'investigation, dans la remise en état, dans l'arrêt de l'activité et chez les clients qui ne reviennent pas. Cet article classe les types de coûts et cite des chiffres là où des sources solides existent. Là où il n'y en a pas, nous le disons explicitement – car des montants en euros estimés au doigt mouillé n'aident personne à prendre une décision d'investissement.
« La plupart des entreprises ne sous-estiment pas l'amende. Elles sous-estiment les semaines pendant lesquelles plus rien ne tourne, et les clients qui, ensuite, ne demandent plus rien. » – Thomas Werner, CCO d'Eucerta AG et Lead Auditor
Ce qui est documenté : les coûts augmentent et les cibles sont devenues plus petites
Le IBM Cost of a Data Breach Report 2026 fait état, pour les fuites de données à l'échelle mondiale, d'un coût moyen de 4,99 millions de dollars US – douze pour cent de plus que l'année précédente et un niveau record. Le rapport attribue cette hausse notamment à des coûts plus élevés de détection, d'escalade et d'interruption d'activité. Il relève par ailleurs une augmentation de 56 pour cent des attaques assistées par l'IA.
Deux réserves s'imposent. Premièrement, cette moyenne est marquée par les grandes organisations et ne se transpose pas à une entreprise de 25 collaborateurs. Deuxièmement, elle décrit des fuites de données, pas toute interruption d'activité. Pour savoir dans quelle direction évolue le risque, elle reste néanmoins la référence disponible la plus solide.
Qui est réellement touché ressort du rapport du BSI sur l'état de la sécurité informatique en Allemagne 2025. Pour la période de référence allant du 1er juillet 2024 au 30 juin 2025, le BSI décrit un glissement des attaques d'envergure et complexes vers de nombreuses attaques de petite taille, simples à mener : environ 80 pour cent des attaques signalées, par exemple par rançongiciel, visaient de petites et moyennes entreprises, qui manquent souvent des moyens et des connaissances nécessaires pour se protéger par elles-mêmes. De plus, 119 nouvelles vulnérabilités par jour en moyenne ont été rendues publiques durant la période de référence, soit environ 24 pour cent de plus que lors de la période précédente.
Le message que délivrent ces deux sources réunies : les attaquants recherchent de préférence des cibles mal protégées, et les coûts par incident augmentent.
Les quatre types de coûts qui surviennent réellement
Plutôt qu'un montant global que personne ne peut sérieusement chiffrer pour une PME donnée, il vaut la peine de regarder la structure. Quatre blocs apparaissent presque toujours.
Investigation et remise en état
Dès qu'un incident est détecté, le travail commence : isoler les systèmes, trouver la cause, déterminer l'ampleur, identifier les données concernées. Dans la plupart des PME, ce travail exige un soutien externe, faute d'expertise en interne. Vient ensuite la remise en état – réinstaller les systèmes, restaurer les données, réattribuer les accès, combler les failles.
Le principal facteur de coût, ici, c'est la préparation. Qui dispose de sauvegardes récentes et testées et sait quels systèmes doivent redémarrer dans quel ordre raccourcit considérablement cette phase. Qui ne clarifie ces deux points qu'au moment de l'incident paie des heures de recherche au lieu d'heures de restauration.
Arrêt de l'activité
Le bloc le plus souvent sous-estimé. Lorsqu'un réseau est chiffré, ce n'est pas l'informatique qui s'arrête, c'est l'activité : plus de commandes, plus de livraisons, plus de facturation. Chaque entreprise peut estimer ce poste elle-même, et plus précisément que n'importe quelle étude : prenez votre chiffre d'affaires journalier moyen et multipliez-le par le nombre de jours pendant lesquels vous resteriez opérationnels sans vos systèmes centraux. Le résultat est votre chiffre de risque personnel – et il est le plus souvent plus convaincant que n'importe quelle moyenne internationale.
Obligations de notification et conséquences juridiques
Le règlement général sur la protection des données impose, en cas de violation de données à caractère personnel, une notification à l'autorité de contrôle dans un délai de 72 heures et, sous certaines conditions, également l'information des personnes concernées. Il exige en parallèle des mesures techniques et organisationnelles appropriées au risque. Il en découle des charges de conseil juridique, de communication et de traitement des questions – indépendamment du fait qu'une amende soit finalement prononcée ou non.
Pour la détermination du montant d'une amende, il est notamment pertinent de savoir quelles mesures techniques et organisationnelles l'entreprise avait mises en place. C'est précisément sur ce point qu'un système de management documenté est doublement payant : il réduit la probabilité de survenance et il atteste, le cas échéant, de la diligence exercée.
Perte de confiance
Le bloc le plus difficile à chiffrer et celui dont les effets durent le plus longtemps. Les clients qui ont eu vent d'un incident posent des questions, renouvellent plus tard ou changent de fournisseur. Chez les clients professionnels s'y ajoute le fait que l'incident se retrouve dans leur évaluation des fournisseurs.
`[À VÉRIFIER : une affirmation sourcée serait ici un point fort. Proposition : soit compléter par une source sur l'attrition des clients après un incident de sécurité, soit – si elle existe – une observation anonymisée issue des audits Eucerta. Sans référence, le paragraphe reste qualitatif, tel qu'il se présente actuellement.]`
Ce que l'ISO 27001 change à ce calcul
L'ISO 27001 agit à deux niveaux, et l'honnêteté commande de les distinguer.
En prévention : un système de management de la sécurité de l'information impose les étapes que l'on laisse de côté au quotidien. Vous déterminez quelles informations et quels systèmes méritent d'être protégés, vous évaluez les risques de manière traçable et vous décidez des mesures avec une justification. Les 93 mesures de l'annexe A sont passées en revue une à une – chacune avec une décision motivée, y compris la décision de renoncer à une mesure. La gestion des accès, les mises à jour, la formation et la relation avec les prestataires n'y sont pas des recommandations, mais des composantes du système. Cela rejoint ce que le BSI désigne comme le levier décisif : une gestion rigoureuse de ses propres surfaces d'attaque.
En limitation des dommages : lorsque l'incident survient, c'est la préparation qui détermine les coûts. Un SMSI exige des processus établis pour les incidents de sécurité, des responsables désignés, une restauration testée et des canaux de communication documentés. Au lieu d'improviser pendant les premières heures, on suit un ordre défini. Cela raccourcit les temps d'arrêt et donc le bloc le plus coûteux du calcul.
Ce que l'ISO 27001 ne fait pas en fait tout autant partie : ce n'est pas une garantie contre les attaques, et un certificat qui n'existe que sur le papier ne protège personne. Ce qui est contrôlé, ce n'est donc pas le classeur, mais l'efficacité – plus de détails sur notre page ISO 27001.
À quoi ressemble le volet investissement
Le calcul inverse est transparent chez Eucerta : 179 euros par mois pour la première norme, 149 euros pour chaque norme supplémentaire, durée de 36 mois, prix fixe pour les entreprises jusqu'à 30 collaborateurs. L'audit et l'enregistrement sont inclus, le certificat est valable trois ans à compter de la date de l'audit, et entre les audits le système reste à jour dans la plateforme. Vous pouvez le vérifier dans le calculateur de coûts.
La combinaison avec l'ISO 9001 est souvent judicieuse, car les deux normes partagent la même structure de base et le contexte, le leadership, les audits internes et la revue de direction ne sont à traiter qu'une seule fois – notre page sur le système de management intégré décrit ce principe. Qui exploite déjà son SMSI et n'a besoin que de la preuve trouvera les conditions sous certification express.
Conclusion
La réponse honnête à la question du titre est la suivante : cela dépend de votre chiffre d'affaires journalier, de vos sauvegardes et de votre préparation – et c'est précisément pour cela que vous pouvez faire ce calcul vous-même, mieux que n'importe quelle étude ne le ferait pour vous.
Ce qui est documenté : les coûts par incident augmentent, et environ 80 pour cent des attaques signalées touchent de petites et moyennes entreprises. Ce qui en découle n'est pas de la panique, mais une priorité. Un système de management de la sécurité de l'information est la réponse structurée à ces deux constats – et son coût est prévisible, ce qui n'est jamais le cas d'un incident.
Votre prochaine étape : calculez votre propre chiffre – chiffre d'affaires journalier multiplié par les jours d'arrêt – et comparez-le, dans le calculateur de coûts, au prix de votre certification.
Pour aller plus loin :
