L'étude « Cybersécurité des PME 2026 », publiée le 22 octobre 2026, montre que 6 % des petites et moyennes entreprises (PME) suisses ont subi une cyberattaque grave au cours des trois dernières années. Conduite par la Mobilière avec digitalswitzerland, des hautes écoles et l'Office fédéral de la cybersécurité (OFCS), elle relève aussi que 7 % des PME ont déjà été victimes d'extorsion. Et 81 % s'attendent à des menaces plus fortes avec l'intelligence artificielle (IA).

Ce que mesure l'étude

L'enquête repose sur les réponses de 507 dirigeants de PME comptant de 1 à 49 collaborateurs. L'institut YouGov Suisse les a interrogés du 24 juin au 10 juillet 2026. Selon les auteurs, les résultats sont représentatifs d'environ 614 400 PME, dans toutes les régions linguistiques.

Il s'agit de la septième édition d'une série annuelle lancée en 2020. La Mobilière la mène avec digitalswitzerland, la Haute école spécialisée de Suisse occidentale (HES-SO) Valais-Wallis, la Haute école spécialisée HWZ de Zurich et l'Académie suisse des sciences techniques (SATW). L'OFCS soutient le projet.

Les chiffres clés de l'édition 2026

  • 6 % des PME ont subi une cyberattaque grave en trois ans, soit plus de 35 000 entreprises selon l'extrapolation des auteurs.
  • Chez les PME d'au moins dix collaborateurs, cette part atteint jusqu'à 16 %.
  • 7 % ont déjà été victimes d'extorsion, soit environ 45 000 PME ; quelques-unes ont même payé une rançon.
  • 88 % jugent la cybercriminalité comme un problème sérieux.
  • 45 % estiment la cybersécurité importante ou très importante, contre 33 % en 2025.
  • Un quart seulement teste régulièrement la restauration de ses sauvegardes.

L'extorsion touche surtout les PME les plus grandes, ainsi que l'industrie et la construction, précise l'étude.

Une hausse à lire avec prudence

La part des PME touchées progresse par rapport aux deux éditions précédentes. Elle était de 4 % en 2024 comme en 2025, et passe à 6 % en 2026.

Indicateur202420252026
PME interrogées526515507
Cyberattaque grave en trois ans4 %4 %6 %
Cybersécurité jugée importante ou très importante–33 %45 %

Le tiret signale un chiffre que nos sources ne donnent pas. La définition d'une attaque grave est large. Elle couvre un dommage financier ou de réputation, un gros travail de remise en état ou une forte charge émotionnelle. Seules les attaques connues des entreprises sont comptées.

Notre analyse : avec environ 500 répondants par édition, un écart de deux points reste modeste. L'étude ne précise pas s'il est statistiquement significatif. La tendance la plus nette concerne plutôt l'importance accordée au sujet, qui remonte après un recul l'année précédente.

L'IA inquiète, mais reste peu utilisée

Quatre PME sur cinq pensent que l'IA va accroître la menace. Les auteurs jugent plausible que les cybercriminels s'en servent pour leurs attaques.

Le paradoxe tient dans un autre chiffre : près de la moitié des PME n'ont encore lancé aucun projet d'IA. L'IA apparaît donc à la fois comme une chance économique et comme un risque supplémentaire.

L'écart entre perception et action se lit aussi dans les réponses. 80 % des dirigeants disent connaître les menaces, et 66 % estiment que les mesures de protection réduisent le danger. Mais 36 % seulement jugent ces mesures simples à mettre en place.

Bien protégées techniquement, moins préparées dans l'organisation

Les PME suisses ont de bonnes bases techniques, selon l'étude. Plus de 80 % installent les mises à jour, neuf sur dix font des sauvegardes, et l'authentification à plusieurs facteurs est courante.

Le retard porte sur l'organisation. Environ un tiers des PME seulement forment régulièrement leur personnel ou tiennent un inventaire de leurs systèmes informatiques. Les plans d'urgence, les audits de sécurité et le contrôle de la sécurité des fournisseurs restent nettement moins répandus.

« Il ne suffit pas de sauvegarder les données. Les PME doivent tester régulièrement si elles peuvent reprendre rapidement leur activité après une cyberattaque », souligne Anu Anthamatten, cheffe de projet chez digitalswitzerland.

Le risque fournisseur n'a rien de théorique. Fin septembre 2026, une attaque contre un fournisseur de logiciel a permis de voler des données de la caisse de pension de Zurich. Deux caisses de pension bernoises ont aussi perdu des données par un prestataire externe.

Ce que coûte une attaque

Une cyberattaque coûte d'abord du temps et de l'énergie, plus que de l'argent. Parmi les 44 PME touchées de l'échantillon, le gros travail de remise en état et la charge émotionnelle arrivent en tête, avec 16 mentions chacun. Viennent ensuite le dommage financier, avec 10 mentions, puis les relations commerciales fragilisées, la réputation et la perte de données clients.

Il n'existe pas d'attaque type. Le hameçonnage, le vol de mots de passe, les logiciels malveillants et les attaques contre les réseaux et serveurs jouent chacun un rôle dans environ un tiers des incidents. Les conséquences sont nettement plus lourdes dans les entreprises d'au moins dix collaborateurs.

« La cybercriminalité est devenue un vrai risque d'entreprise pour les PME suisses », résume Jesús Pampín, responsable du centre de compétences en cyberrisques de la Mobilière. Pour lui, la protection cyber compte autant que la protection contre l'incendie ou les dangers naturels. « Une cyberassurance peut atténuer les risques, mais elle ne remplace pas la responsabilité personnelle. »

Ce qu'une PME peut faire

Les auteurs voient un signe positif : davantage de PME désignent un responsable de la cybersécurité. Le sujet devient une affaire de direction, et plus seulement de service informatique. Environ deux PME sur cinq prévoient de nouvelles mesures de sécurité au cours des trois prochaines années.

« La cybersécurité ne commence pas au pare-feu, mais avec une stratégie numérique claire », estime Marc K. Peter, professeur à la HES-SO Valais-Wallis et chef du projet. Selon l'étude, les PME les plus avancées dans le numérique jugent leur résilience nettement plus élevée.

Les pistes tirées de l'étude se résument en quelques gestes, qui complètent les bases de la cybersécurité PME :

  • nommer une personne responsable au niveau de la direction ;
  • tester la restauration des sauvegardes, pas seulement les faire ;
  • former régulièrement le personnel, notamment au hameçonnage ;
  • préparer un plan d'urgence et tenir l'inventaire des systèmes ;
  • vérifier la sécurité informatique des fournisseurs.

En cas d'incident, l'OFCS reçoit les signalements volontaires et tient une ligne d'astreinte 24h/24. Selon l'étude, 40 % des PME seraient prêtes à lui signaler un incident. Son Cybersecurity Hub, conçu d'abord pour les infrastructures critiques, reste ouvert aux PME, mais seules 7 % environ l'utilisent. D'autres ressources figurent dans notre rubrique protéger son entreprise.

« Information, prévention et coopération sont des piliers d'un paysage cyber résilient », rappelle Romain Geiser, chef de programme à l'OFCS.

Ce qu'on ne sait pas encore

Les extraits consultés ne chiffrent pas précisément la part des PME dotées d'un plan d'urgence, d'un audit ou d'un contrôle des fournisseurs. Ils ne donnent pas non plus le montant des rançons payées ni le nombre d'entreprises qui ont payé. Les résultats complets sont disponibles depuis le 22 octobre 2026 sur le site de l'étude, en quatre langues.

Sources