Cybersécurité des entreprises : les chiffres clés 2026 (rançongiciels, violations de données, PME)

Les chiffres à retenir

• Selon le Panorama de la cybermenace 2025 de l'ANSSI, 1 366 incidents de sécurité ont été portés à la connaissance de l'agence en 2025, un niveau stable par rapport à 2024 (1 361).
• Selon l'ANSSI, 128 compromissions par rançongiciel lui ont été signalées en 2025, et les PME, TPE et ETI représentent 48 % des victimes, contre 37 % en 2024.
• Selon son rapport annuel 2025, la CNIL a reçu 17 802 notifications de violations de données en 2025, dont 11 635 liées à deux attaques visant des éditeurs de logiciels.
• Hors ces deux attaques, la CNIL comptabilise 6 167 violations de données notifiées en 2025, soit 9,5 % de plus qu'en 2024, et le piratage en cause la moitié.
• Selon le baromètre France Num 2026, 39 % des TPE et PME ont subi au moins un incident de cybersécurité au cours des douze derniers mois, l'hameçonnage en tête (18 %).
• Selon le baromètre 2026 du CESIN, 40 % des entreprises membres interrogées ont subi au moins une cyberattaque significative en 2025, et l'hameçonnage en est le premier point d'entrée (55 %).
• Selon Eurostat, 31,0 % des entreprises françaises de 10 salariés ou plus combinent au moins deux mécanismes d'authentification en 2024, contre 39,8 % dans l'Union européenne.

Combien d'incidents l'ANSSI traite-t-elle chaque année ?

En 2025, l'ANSSI a traité 3 586 événements de sécurité, dont 1 366 incidents avérés, un nombre stable après plusieurs années de hausse, selon son Panorama de la cybermenace publié le 11 mars 2026.

Pour l'ANSSI, un incident est un événement où elle peut confirmer qu'un attaquant a mené des actions avec succès sur le système d'information de la victime. Selon l'agence, la baisse des événements peut s'expliquer par le pic de signalements des Jeux olympiques de 2024. Ses chiffres reflètent les signalements de ses bénéficiaires et ne sont pas nécessairement représentatifs de l'ensemble des incidents en France : une PME victime qui ne signale rien à l'agence n'y figure pas.

Rançongiciels et vols de données : qui est visé ?

Les PME, TPE et ETI sont les premières victimes des rançongiciels traités par l'ANSSI : elles représentent 48 % des 128 compromissions de 2025, une part en nette hausse par rapport à 2024 (37 %).

L'ANSSI et ses partenaires constatent une accentuation de l'extorsion sans chiffrement, encore limitée dans les incidents traités par l'agence : l'attaquant vole les données et menace de les publier, sans bloquer le système. Selon l'agence, ces exfiltrations font parfois suite à la compromission d'un prestataire, et les attaques d'environnements cloud ont aussi augmenté en 2025, avec dans au moins un cas l'exploitation d'une faille d'un équipement de sécurité de bordure. Toutes les revendications ne sont pas fiables : l'ANSSI n'en a confirmé que 80.

Combien de violations de données sont notifiées à la CNIL ?

En 2025, la CNIL a reçu 17 802 notifications de violations de données personnelles, un record, dont 11 635 provoquées par deux attaques visant des éditeurs de logiciels ; hors ces deux cas, elle en retient 6 167, soit 9,5 % de plus qu'en 2024.

Les deux attaques exclues du bilan visaient l'une un éditeur de solutions pour les professionnels du conseil patrimonial, l'autre un éditeur pour les professionnels de santé libéraux. Les entreprises clientes, responsables de traitement, ont chacune notifié le même incident. C'est l'illustration la plus nette du risque fournisseur : une faille chez l'éditeur d'un logiciel métier devient l'incident de tous ses clients.

La CNIL tire trois constats des violations de grande ampleur : des identifiants et mots de passe d'utilisateurs légitimes usurpés, une part significative d'incidents impliquant un sous-traitant à la sécurité défaillante, et des intrusions non détectées avant la revente des données. Les obligations qui en découlent pour un logiciel sont détaillées dans le guide RGPD et logiciel métier.

TPE et PME : 39 % touchées par un incident en un an

Selon le baromètre France Num 2026, qui mesure pour la première fois l'exposition des petites entreprises aux incidents, 39 % des TPE et PME ont subi au moins un incident de cybersécurité au cours des douze derniers mois.

Les entreprises se protègent avec les outils de base, antivirus et sauvegarde, mais encore peu sur l'accès aux comptes : l'authentification multifacteur progresse, mais six TPE et PME sur dix ne l'utilisent pas encore, alors que la CNIL la place en tête de ses consignes pour sécuriser les grandes bases de données.

Organisations dotées d'un RSSI : le baromètre CESIN 2026

Selon le 11e baromètre du CESIN, réalisé avec OpinionWay auprès de 397 directeurs cybersécurité et responsables de la sécurité des systèmes d'information, 40 % des entreprises interrogées ont subi au moins une cyberattaque significative en 2025.

Le CESIN ne compte que les attaques « significatives », ayant eu un impact réel sur l'activité, les données, la conformité ou l'image, et lit la baisse continue de ce taux comme un progrès de la détection plutôt qu'un recul de la menace. Il pointe deux sujets montants : le risque fournisseur, et l'usage par les salariés de services d'IA non approuvés, que 66 % des répondants jugent à risque élevé ou très élevé. Les critères d'application de la directive NIS2 figurent dans le guide NIS2 : quelles entreprises sont concernées.

Les mesures de sécurité des entreprises françaises face à l'Europe

Selon l'enquête 2024 d'Eurostat, les entreprises françaises de 10 salariés ou plus sont en retrait de la moyenne européenne sur l'authentification forte, le chiffrement et la sensibilisation du personnel, mais au niveau européen sur la sauvegarde.

Prudence sur le premier chiffre : chez Eurostat, les incidents incluent les pannes, qui expliquent l'essentiel des cas français (21,4 %), loin devant les attaques extérieures (2,7 %). Les écarts sur les mesures sont plus parlants : 51,5 % des entreprises françaises ne sensibilisent pas leur personnel, contre 38,1 % dans l'Union.

Ce que ces chiffres signifient pour une PME et pour ses logiciels

Ces chiffres convergent : l'hameçonnage, les comptes usurpés et les prestataires reviennent dans plusieurs sources comme des points d'entrée majeurs.

Pour une PME, trois mesures répondent directement aux constats de la CNIL et de l'ANSSI. Activer l'authentification multifacteur sur la messagerie, les accès à distance et les logiciels en ligne, puisque près de 80 % des violations de grande ampleur constatées par la CNIL en 2024 reposaient sur un compte protégé par un simple mot de passe. Conserver une sauvegarde hors ligne et la tester. Demander à chaque éditeur et prestataire où sont les données, qui y accède et comment l'entreprise sera prévenue en cas d'incident.

Pour un logiciel métier, ces constats deviennent des exigences à écrire dès le cahier des charges : authentification multifacteur, droits d'accès par profil, journalisation des actions sensibles, chiffrement des données, mises à jour suivies et plan de réponse à incident. Le guide sécuriser une application métier détaille ces bases. YMHB Web, qui dispose aussi de compétences internes en cybersécurité, peut poser ces exigences dès le cadrage, première étape de sa méthode, puis les suivre après la mise en service dans le cadre de la maintenance et sécurité.

Le cas des deux éditeurs à l'origine de 11 635 notifications rappelle enfin qu'un logiciel est aussi un risque fournisseur, hébergement compris : le guide hébergement souverain, SecNumCloud et HDS présente les options.

Méthode et limites

• ANSSI : le Panorama de la cybermenace 2025, publié le 11 mars 2026, décrit les événements et incidents portés à la connaissance de l'agence. Ses chiffres reflètent les signalements de ses bénéficiaires et ne couvrent pas tous les incidents en France.
• CNIL : les chiffres comptent des notifications de violations de données personnelles adressées par les responsables de traitement, et non des cyberattaques. Une même attaque peut produire des milliers de notifications, d'où l'exclusion de deux incidents dans le bilan 2025.
• France Num : baromètre 2026 réalisé par le Crédoc auprès de 9 655 entreprises de 0 à 249 salariés, du 23 mars au 18 avril 2026. Les incidents sont déclarés par les dirigeants.
• CESIN : enquête menée avec OpinionWay auprès de 397 membres du club, directeurs cybersécurité et RSSI, publiée le 26 janvier 2026. Seules les attaques ayant eu un impact significatif sont comptées. Ce champ n'est pas représentatif des TPE et PME.
• Eurostat : enquête 2024 sur l'usage des TIC dans les entreprises de 10 salariés ou plus, hors secteur financier ; les incidents incluent les pannes. Valeurs extraites en octobre 2026 et arrondies à une décimale.
• Ces sources ne mesurent ni la même population ni la même notion d'incident : leurs pourcentages ne se comparent pas directement.