Risques informatiques : les PME suisses sous-estiment les dangers

Contexte

En bref

• Les PME sous-estiment encore les risques informatiques
• Allianz les classe au premier rang mondial en 2026
• Près de 58'000 infractions numériques en Suisse en 2025
• Un peu moins de 12% des entreprises sont couvertes

Faits clés

• Étude → VermögensZentrum et HSLU
• Baromètre des risques 2026 → incidents informatiques au premier rang
• Coûts mondiaux 2024 → environ 9,5 billions de dollars américains
• Infractions numériques en Suisse en 2025 → près de 58'000
• Taux de résolution → 17,6%
• Couverture en Suisse → un peu moins de 12%

Le danger ne reste pas dans le service informatique

Près de 58'000 infractions commises par des moyens numériques ont été enregistrées en Suisse en 2025. Les statistiques de la criminalité citées par VZ font état d'un nombre élevé de cas non signalés, tandis que le taux de résolution s'est établi à 17,6%.

C'est le tableau suisse évoqué par l'étude publiée aujourd'hui par VermögensZentrum en collaboration avec la Haute école spécialisée de Lucerne, HSLU. La recherche part d'une conviction encore présente dans de nombreuses petites et moyennes entreprises : croire qu'elles ne sont pas concernées par les dangers informatiques. Pour VZ et HSLU, cette supposition est dangereuse.

La raison avancée est que les conséquences dépassent le cadre informatique. Une attaque peut interrompre l'activité opérationnelle, endommager les données et les systèmes, compromettre les relations avec les clients, déclencher des obligations légales ou mettre à rude épreuve la liquidité d'une entreprise. Dans le pire des cas, c'est l'existence même de la PME qui est en jeu.

VZ rappelle le Baromètre des risques 2026 d'Allianz, qui, pour la cinquième fois consécutive, a classé les incidents informatiques au premier rang des risques pour les entreprises à l'échelle mondiale. Les estimations des coûts causés par la cybercriminalité dans le monde en 2024 atteignent environ 9,5 billions de dollars américains. Si elle était une économie nationale, la cybercriminalité serait la troisième au monde par sa taille, après les États-Unis et la Chine.

De la perception à la gestion

VZ et HSLU ont voulu déterminer comment les PME peuvent appréhender, classer et assurer correctement les risques informatiques dans le cadre d'une gestion efficace. L'étude part d'une limite précise : les dangers informatiques ne peuvent pas être totalement évités. La gestion exige donc une meilleure connaissance des dépendances numériques, des responsabilités clairement définies, des procédures d'urgence et une évaluation éclairée des conséquences financières. Cette approche lie le risque informatique à la gestion globale de l'entreprise, et non à un seul service.

Details pratiques

Le risque doit être considéré comme un problème d'entreprise

L'information la plus utile pour une PME, dans l'analyse proposée par VZ et HSLU, n'est pas seulement l'existence d'un danger informatique. C'est la manière dont une attaque peut faire passer le problème d'un système à l'ensemble de l'activité. La source invite à comprendre et à classer les risques précisément parce que les conséquences peuvent toucher les opérations, les données, les clients, les obligations légales et la liquidité.

Une carte des conséquences

Cette carte aide à éviter deux erreurs opposées. La première consiste à traiter l'incident comme une question confinée à l'informatique, en ignorant l'aspect financier et les relations avec les clients. La seconde consiste à s'en remettre à la seule police d'assurance, même si l'étude considère l'assurance comme une composante fondamentale. La couverture, toutefois, ne remplace ni la prévention ni une gestion efficace des dangers.

Pour quiconque gère une PME, la question n'est pas de savoir si le risque peut être éliminé : l'étude indique que les dangers informatiques ne peuvent pas être entièrement évités. La question devient de savoir quelles dépendances numériques l'entreprise connaît, quelles responsabilités ont été clarifiées et quelles procédures d'urgence ont été préparées. À ce stade, l'évaluation doit aller jusqu'aux conséquences financières.

Le chiffre suisse concernant la couverture reste celui indiqué par l'étude : un peu moins de 12% des entreprises disposent d'une couverture. Ce pourcentage doit être lu avec l'autre indication de VZ et HSLU : l'assurance est une composante fondamentale, mais elle ne remplace ni la prévention ni une gestion efficace. Pour une référence distincte concernant les dépenses personnelles, le costo della vita in Svizzera est disponible.

La comparaison interne peut partir de l'effet et remonter à la dépendance qui le génère. Si l'activité opérationnelle s'interrompt, on examine la conséquence sur le fonctionnement de l'entreprise ; si les données et les systèmes sont endommagés, on précise ce qui est concerné ; si les clients sont touchés, on prend en considération la relation ; si des obligations légales ou une pression sur la liquidité apparaissent, l'évaluation sort du seul langage technique. C'est la distinction entre technologie et gestion que l'étude demande aux PME.

Points cles

Une procédure interne en cinq étapes

L’étude ne propose pas d’éliminer le risque, mais indique comment mieux le gérer. Les indications peuvent devenir une séquence de travail concrète pour une PME.

1. Cartographier les dépendances numériques. Commencer par les systèmes et les données dont dépend l’activité. La connaissance de ces dépendances est le point que l’étude indique pour mieux gérer les risques.

2. Clarifier les responsabilités. Définir qui suit les différentes étapes de la gestion des dangers informatiques, afin que le sujet ait un référent en interne.

3. Préparer des procédures d’urgence. Organiser la réponse à l’interruption de l’activité et aux dommages causés aux données et aux systèmes décrits par la recherche.

4. Évaluer les conséquences financières. Prendre consciemment en compte la liquidité, les relations avec les clients et les éventuelles obligations légales pouvant découler d’une attaque.

5. Examiner l’assurance. La couverture contre les risques informatiques est une composante fondamentale, mais elle doit être complétée par la prévention et une gestion efficace des dangers.

Un choix qui ne remplace pas la prévention

La cinquième étape ne signifie pas transférer toute la responsabilité à la police d’assurance. Selon VZ et HSLU, l’assurance ne remplace ni la prévention ni une gestion efficace. Le chiffre suisse, avec un peu moins de 12% des entreprises disposant d’une couverture, indique que la protection assurantielle doit être considérée dans le cadre de la gestion globale et non isolément.

Le parcours sert également à distinguer la gravité technique de l’impact sur l’entreprise. Un système ou une donnée endommagé peut être évalué en fonction de son effet sur l’activité ; une compromission des relations avec les clients doit être considérée conjointement avec les obligations légales ; la pression sur la liquidité entre dans l’évaluation financière. Ce sont les effets décrits par la source, recomposés dans un ordre opérationnel.

Pour la partie bancaire de la gestion de la liquidité, consulte les conti bancari in Svizzera. Pour compléter l’analyse de l’entreprise par une vérification des finances personnelles, utilise le calcolatore stipendio/imposte.

Comparez le taux CHF/EUR en temps réel : économisez jusqu'à 1,5% sur les frais de virement mensuel.

Source: swissinfo.ch