4 bonnes pratiques cybersécurité pour les PME

adista, opérateur de services IT managés du groupe inherent, accompagne les PME françaises dans la protection de leur système d’information à travers 4 bonnes pratiques de cybersécurité. Certifié ISO 27001 et HDS, adista opère 16 datacenters souverains en France et un SOC actif 24/7 opéré par devensys cybersecurity.

En 2025, 16 % des TPE-PME françaises déclarent avoir subi au moins une cyberattaque au cours des douze derniers mois, selon le baromètre OpinionWay pour cybermalveillance.gouv.fr. L’hameçonnage (phishing) reste la première porte d’entrée, cité dans 43 % des cas, devant les failles de sécurité non corrigées (18 %).

La plateforme cybermalveillance.gouv.fr a franchi un cap en 2025 avec plus de 504 000 demandes d’assistance, en hausse de 20 % sur un an. Les sollicitations émanant d’entreprises, principalement des TPE et PME, ont progressé de 73 %.

Les PME sont plus exposées aux attaques car elles disposent de moins de ressources dédiées à la sécurité. Près de 80 % des dirigeants de TPE-PME estiment ne pas être suffisamment préparés à une cyberattaque, et 6 sur 10 déclarent ne pas savoir en évaluer les conséquences. Des moyens accessibles existent pourtant pour se protéger contre les cyberattaques, à condition de structurer sa démarche.

Le contexte réglementaire renforce l’urgence. La directive européenne NIS2, transposée en France par la loi Résilience dont l’examen à l’Assemblée nationale est attendu en 2026, concernera environ 15 000 entités contre près de 300 sous NIS1. Même une PME non directement assujettie peut être concernée par effet de cascade : l’article 21 impose aux grandes entités de sécuriser leur chaîne de sous-traitance et d’exiger des garanties de leurs fournisseurs. L’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF), utilisable dès aujourd’hui comme grille d’auto-évaluation.

Le bilan des Jeux Olympiques et Paralympiques de Paris 2024 illustre la maturité atteignable. L’ANSSI a recensé 548 événements de cybersécurité entre le 8 mai et le 8 septembre 2024, sans impact majeur sur le déroulement des Jeux, grâce à une préparation collective de près de 500 entités.

La sécurité by design consiste à intégrer la protection dès la conception d’un projet IT, et non à la traiter après le déploiement. Cette approche identifie les risques en amont et implémente les mesures de sécurité appropriées avant la mise en production.

La cybersécurité est encore souvent perçue comme une contrainte qui ralentit les projets. Les organisations doivent trouver le juste équilibre entre agilité et sécurité, en intégrant la protection dès la phase de conception plutôt qu’en fin de cycle.

Chaque composante du système d’information est un point d’entrée potentiel :

Une faille sur une seule brique peut compromettre l’intégrité de l’ensemble du système, d’où l’importance d’une approche globale de la cybersécurité. La sécurité by design rejoint directement l’article 21 de NIS2, qui impose dix mesures minimales de gestion des risques, dont la sécurité du développement des systèmes, la continuité d’activité et la gestion des incidents.

L’intelligence artificielle aide à détecter et prévenir les attaques, à simuler des scénarios d’intrusion et à automatiser la réponse aux incidents. Elle constitue un levier de défense à condition d’être encadrée par une gouvernance des données claire.

L’IA sert aussi les attaquants : génération de courriels d’hameçonnage crédibles, perfectionnement de l’ingénierie sociale, création de deepfakes et découverte accélérée de vulnérabilités. La même technologie renforce donc l’attaque et la défense, ce qui impose de garder l’avantage par la maîtrise.

Le shadow AI est devenu un risque majeur pour les PME. Un collaborateur qui alimente une IA publique gratuite avec des données d’entreprise confidentielles crée une fuite de données, car ces informations peuvent alimenter l’entraînement de modèles publics. Pour tirer parti de l’IA en sécurité, trois conditions sont nécessaires :

Une infrastructure cloud souveraine et maîtrisée est le socle de ces IA génératives privées.

La cybersécurité n’est pas qu’un enjeu technologique, c’est aussi un enjeu humain. Les cyberattaquants ciblent en priorité les collaborateurs en exploitant leur manque de sensibilisation, ce qui explique la prédominance de l’hameçonnage dans les incidents.

Le niveau de sensibilisation des entreprises reste insuffisante. En 2025, 64 % des dirigeants de TPE-PME déclarent ne pas connaître la directive NIS2, et 4 entreprises sur 10 n’ont bénéficié d’aucune action de sensibilisation récente.

Des formations régulières de sensibilisation transforment chaque collaborateur en maillon de défense. Elles apprennent à reconnaître une tentative d’attaque, à adopter des réflexes sûrs et à signaler un incident, ce qui réduit la surface d’exposition liée à l’erreur humaine.

La gouvernance doit dépasser le périmètre technique. La sécurité concerne la direction générale, les finances, les RH et les métiers, d’autant que l’arrivée rapide de l’IA dans le quotidien des équipes multiplie les usages à encadrer.

Un partenaire externe permet à une PME d’accéder à une expertise de pointe sans internaliser des compétences rares et coûteuses. En 2025, 25 % des TPE-PME ne font encore appel à aucun acteur spécialisé, ce qui les laisse exposées faute de moyens internes.

adista, opérateur télécoms, hébergeur et infogéreur, propose un accompagnement de bout en bout couvrant l’audit, le conseil, la conformité et la sécurité du cloud, du réseau et des utilisateurs. Cette convergence permet à une PME de se concentrer sur son cœur de métier tout en bénéficiant d’une protection adaptée à ses ressources.

La souveraineté des données est une garantie concrète. adista opère 16 datacenters souverains en France et est certifié ISO 27001 et Hébergeur de Données de Santé (HDS), certifications renouvelées en novembre 2025 et contrôlées chaque année.

La surveillance en temps réel est assurée par un SOC (Security Operations Center) opéré par devensys cybersecurity, pôle cybersécurité du groupe inherent. Ce SOC souverain, actif 24/7 depuis la France, détecte, analyse et contient les menaces avec une intervention en moins de 30 minutes, et s’appuie sur un CERT (Computer Emergency Response Team) membre du FIRST.

La cybersécurité des PME repose sur une combinaison de technologie, de méthode et d’humain : intégrer la sécurité dès la conception, encadrer l’usage de l’IA, sensibiliser les collaborateurs et s’appuyer sur un partenaire souverain. Ces quatre pratiques répondent à une menace désormais installée dans le quotidien des entreprises françaises et anticipent les obligations de NIS2.

adista accompagne les PME, ETI et collectivités dans cette démarche, en combinant ses savoir-faire d’opérateur télécoms, d’hébergeur souverain et de spécialiste en cybersécurité.