La sensibilisation des employés à la cybersécurité reste le point faible des PME suisses : environ un tiers seulement forment régulièrement leur personnel, selon l'étude « Cybersécurité des PME 2026 ». Or le hameçonnage, ou phishing, joue un rôle dans environ un tiers des incidents. L'Office fédéral de la cybersécurité (OFCS) et plusieurs outils suisses aident à organiser cette sensibilisation au phishing.
Les sources suisses convergent sur quelques leviers. Il s'agit de former régulièrement le personnel, de s'appuyer sur des arnaques réelles et récentes, et de fixer des règles simples sur les accès et les données. Cette page traite seulement de la formation des équipes. Les autres gestes de base figurent dans notre guide de la cybersécurité des PME.
Cette page distingue les faits publiés par les sources, les déclarations des experts et notre propre analyse.
Chiffres clés
- Environ un tiers des PME suisses forment régulièrement leur personnel, selon l'étude « Cybersécurité des PME 2026 ».
- 6 % des PME ont subi une cyberattaque grave en trois ans, et jusqu'à 16 % chez celles d'au moins dix collaborateurs.
- Le hameçonnage, le vol de mots de passe, les logiciels malveillants et les attaques contre les réseaux jouent chacun un rôle dans environ un tiers des incidents.
- 81 % des PME s'attendent à une hausse des cybermenaces liées à l'intelligence artificielle (IA), mais 29 % seulement prévoient des mesures supplémentaires.
- 36 % seulement des dirigeants jugent les mesures de protection simples à mettre en place.
Pourquoi former les employés plutôt qu'ajouter un outil ?
Les PME suisses sont plutôt bien équipées sur le plan technique. Selon l'étude de Cybersécurité des PME 2026, plus de 80 % installent les mises à jour. Neuf sur dix font des sauvegardes, et l'authentification à plusieurs facteurs est courante.
Le retard porte sur l'organisation. Environ un tiers seulement des PME forment régulièrement leur personnel ou tiennent un inventaire de leurs systèmes. L'enquête repose sur 507 dirigeants de PME de 1 à 49 collaborateurs.
Les personnes sont aussi une porte d'entrée connue. Le site du Cybersecurity-Check cite quatre causes fréquentes d'attaques réussies contre les PME. Parmi elles figure la tromperie par ingénierie sociale, c'est-à-dire la manipulation des personnes.
L'OFCS va dans le même sens. Il cite la sensibilisation du personnel parmi les mesures organisationnelles qui doivent compléter la technique. L'office en fait une mission de la direction, pas une simple tâche du service informatique.
Notre analyse : une protection technique solide perd de sa valeur si une personne livre elle-même un accès. La formation vise précisément ce maillon.
À quoi ressemble le hameçonnage visant une PME ?
Le hameçonnage consiste à piéger une personne par un faux message pour obtenir ses données ou ses accès. Les escrocs adaptent sans cesse leurs scénarios. L'OFCS publie chaque semaine des cas concrets, qui montrent cette évolution.
Exemple daté : le 20 octobre 2026, l'OFCS décrivait une variante liée aux réservations d'hôtels. Ces campagnes visaient surtout les cartes de crédit. Dans les nouvelles variantes, les escrocs tentent aussi de prendre le contrôle de comptes TWINT et d'e-banking.
Exemple daté : le 13 octobre 2026, l'office mettait en garde contre une autre tromperie : de fausses boutiques suisses. Elles affichent un domaine .ch, le nom d'une ville suisse et une histoire touchante. Les mentions légales ou les conditions générales révèlent pourtant une entreprise établie à l'étranger, avec un entrepôt en Asie.
L'intelligence artificielle ajoute un risque. Le site du Cybersecurity-Check, citant le portail PME du Secrétariat d'État à l'économie (SECO), signale des attaques appuyées sur l'IA. Des hypertrucages, ou deepfakes, servent par exemple à des tentatives de fraude au CEO.
Notre analyse : ces revues hebdomadaires de l'OFCS fournissent une matière gratuite et actuelle pour une courte séance d'équipe. Un cas réel parle davantage qu'une règle abstraite.
Quelles règles simples donner à son équipe ?
Les publications récentes de l'OFCS permettent de dégager quelques règles faciles à retenir. Leur formulation en consignes d'équipe relève de notre analyse.
- Partager avec discernement. Le Cyber Security Month 2026 de l'OFCS portait sur l'« oversharing ». Une photo, un lieu et un nom, combinés, dressent un portrait précis qu'un criminel peut exploiter.
- Protéger les données face à l'IA. Le 16 octobre 2026, l'OFCS rappelait qu'introduire sans précaution des informations confidentielles ou commerciales dans une IA peut conduire à un partage excessif de données.
- Renforcer les accès. Le 19 octobre 2026, l'office a publié « Cinq étapes pour une authentification sécurisée ». Il y propose une classification des moyens, comme le mot de passe, la clé d'accès ou la carte à puce, selon la sécurité qu'ils offrent.
- Vérifier avant d'acheter ou de payer. Les mentions légales et les conditions générales d'un site peuvent révéler une fausse origine suisse.
- Savoir qui alerter. L'OFCS reçoit les signalements volontaires de cyberincidents des entreprises et les aide dans leurs démarches.
Le dernier point compte aussi en cas de crise. Roman Hüssy, coresponsable du Govcert de l'OFCS, cite les données de contact obsolètes parmi les erreurs fréquentes, car elles ralentissent les alertes. Notre analyse : une liste à jour des personnes à joindre a sa place dans la sensibilisation.
Formation, test ou label : quelles ressources pour une PME suisse ?
Une PME n'a pas besoin de partir de zéro. Plusieurs ressources publiques ou associatives couvrent une partie de la sensibilisation des employés, sans répondre à la même question.
| Ressource | Qui la porte | Ce qu'elle apporte | Sa limite |
|---|---|---|---|
| Site de l'OFCS | Confédération | Revues hebdomadaires des arnaques, alertes, profil « Entreprises et autorités » | Sa page d'accueil ne décrit pas de programme de formation |
| Cybersecurity-Check | Outil issu de la stratégie nationale, version 4.0 de novembre 2025 | Autoévaluation gratuite en quelques minutes | Il repose sur les réponses de l'entreprise elle-même |
| Norme minimale TIC | OFCS | Cite la sensibilisation du personnel parmi les mesures organisationnelles | Facultative pour une PME |
| Label Cyber-Safe | Association suisse pour le label de cybersécurité (ASLaC), depuis 2018 | État des lieux, plan d'actions et vérification par un auditeur | Ni prix ni durée publiés sur sa page d'accueil |
Le test cybersécurité PME gratuit donne une première image du niveau de protection. La norme minimale TIC sert de liste de contrôle plus structurée.
Le label Cyber Safe ajoute un regard extérieur. Selon son site, 250 PME et 200 communes suisses l'ont obtenu. Aurélie Tulot, syndique de Roche, estime que la démarche développe « la prise de conscience, la formation des collaborateurs ».
Qui doit porter la sensibilisation dans l'entreprise ?
La sensibilisation devient une affaire de direction. L'étude 2026 relève que davantage de PME désignent un responsable de la cybersécurité. Parmi les pistes tirées de l'étude figure la nomination d'un responsable au niveau de la direction.
« La cybersécurité ne commence pas au pare-feu, mais avec une stratégie numérique claire », estime Marc K. Peter, professeur à la HES-SO Valais-Wallis et chef du projet d'étude.
La régularité compte autant que le lancement. Les arnaques « continuent d'évoluer », note l'OFCS à propos des fausses réservations d'hôtels. Les exigences du label Cyber-Safe évoluent aussi d'une session à l'autre, selon Jean Bourgeois, président de l'AUBEP.
Le renouvellement fait avancer la réflexion. Pour Yves Chardonnens Cook, directeur de la Fondation pour la formation professionnelle et continue (FFPC), il a aidé à intégrer les bonnes pratiques au quotidien. Il a aussi ouvert une réflexion sur les informations sensibles transmises à l'IA.
D'autres pages pratiques figurent dans notre rubrique protéger son entreprise.
Ce qu'on ne sait pas encore
- Nos sources ne décrivent ni la méthode, ni la fréquence, ni le coût d'une simulation d'hameçonnage pour une PME.
- Le site Cyber-Safe affiche plus de 25 000 courriels de phishing envoyés, sans préciser dans quel cadre.
- Aucune source consultée ne mesure l'effet d'une formation sur le nombre d'incidents.
- L'étude 2026 repose sur 507 entretiens menés par YouGov Suisse du 24 juin au 10 juillet 2026. Elle décrit ce que déclarent les entreprises, pas un contrôle de leurs pratiques.
Sources
- Office fédéral de la cybersécurité (OFCS)
- Cyber-Safe, le label suisse de cybersécurité
- Cybersecurity-Check für KMU
- Étude « Cybersécurité des PME 2026 » de la Mobilière et de ses partenaires, d'après 2clics.com
