Une PME suisse peut faire un premier test de cybersécurité, gratuit et rapide, avec le Cybersecurity-Check, un outil issu de la stratégie nationale et révisé en novembre 2025. Cette autoévaluation montre en quelques minutes où l'entreprise est exposée et par où commencer. Elle ne remplace pas un audit de cybersécurité, mais elle aide à le préparer et à fixer des priorités.
Le besoin est réel : selon l'étude « PME Cybersécurité 2026 » de la Mobilière, publiée en octobre 2026, beaucoup de PME manquent de concepts de sécurité, de plans d'urgence et d'audits. Cette page traite seulement de l'évaluation. Les gestes de protection eux-mêmes sont détaillés dans notre guide sur les bases de la cybersécurité PME.
Chiffres clés
- Le Cybersecurity-Check existe depuis 2020 ; sa version 4.0 date de novembre 2025.
- Il est proposé en quatre langues : allemand, anglais, français et italien.
- 6 % des PME interrogées ont subi une cyberattaque aux conséquences graves en trois ans, contre 4 % dans les éditions 2024 et 2025 de l'étude.
- Chez les PME d'au moins dix collaborateurs, cette part atteint jusqu'à 16 %.
- 45 % des PME jugent la cybersécurité importante ou très importante, contre 33 % en 2025.
- 36 % seulement estiment que les mesures de protection se mettent en œuvre facilement.
Qu'est-ce que le Cybersecurity-Check pour PME ?
Le Cybersecurity-Check est un outil d'autoévaluation destiné aux petites et moyennes entreprises. Sa promesse tient en une phrase : découvrir gratuitement, en quelques minutes, à quel point l'entreprise est protégée contre les cyberrisques, et où elle doit agir.
L'outil a une origine publique. Sa première version a été développée en 2020 dans le cadre de la Stratégie nationale de protection de la Suisse contre les cyberrisques. Il a été entièrement remanié en novembre 2025, avec plusieurs partenaires.
Le check se télécharge depuis le site cybersecurity-check.ch. La version 4.0 est disponible en allemand, en anglais, en français et en italien, ce qui le rend utilisable dans toutes les régions linguistiques.
Que mesure un test de cybersécurité pour PME ?
Un check de cybersécurité d'entreprise passe en revue les points faibles les plus courants. Le site du Cybersecurity-Check cite quatre causes fréquentes d'attaques réussies contre les PME :
- des systèmes et des processus insuffisamment protégés ;
- des logiciels et une infrastructure informatique obsolètes ;
- la tromperie par ingénierie sociale, c'est-à-dire la manipulation des personnes ;
- une préparation insuffisante aux incidents de sécurité.
Ces quatre axes recoupent les attaques réellement vécues. Dans l'étude de la Mobilière, les PME touchées citent surtout le hameçonnage, le piratage de mots de passe, les logiciels malveillants et les attaques contre les réseaux et les serveurs. Chacune de ces voies joue un rôle dans environ un tiers des incidents rapportés.
Notre analyse : un bon test ne se limite donc pas à la technique. Deux des quatre axes touchent les personnes et l'organisation, là où l'étude situe justement les retards des PME.
Test, check ou audit de cybersécurité PME : quelle différence ?
Les outils disponibles ne répondent pas à la même question. Le tableau résume ce que disent nos sources de chacun.
| Outil | À quoi il sert | Sa limite |
|---|---|---|
| Cybersecurity-Check | Autoévaluer gratuitement le niveau de protection et repérer les besoins d'action | Il repose sur les réponses de l'entreprise elle-même |
| Assistant d'intelligence artificielle de l'étude « PME Cybersécurité 2026 » | Répondre, à partir des seuls documents de l'étude, aux questions sur ses résultats et ses recommandations | Il ne donne aucun conseil de sécurité individuel |
| Site de l'Office fédéral de la cybersécurité (OFCS) | Suivre les alertes, signaler un incident ou une vulnérabilité | Pour une PME, le signalement reste volontaire ; l'obligation vise les infrastructures critiques depuis le 1er avril 2025 |
| Audit de cybersécurité | Examen que l'étude cite parmi les éléments qui manquent souvent aux PME | Nos sources n'en précisent ni le contenu ni le coût |
Notre analyse : le check sert de point de départ. Il donne une première image, que l'entreprise peut ensuite confronter au regard d'un spécialiste lors d'un audit.
Pourquoi une PME surestime-t-elle souvent son niveau ?
L'étude de la Mobilière décrit un écart entre la résilience perçue et la résilience réellement organisée. Près de la moitié des PME s'estiment bien informées sur les menaces qui les concernent. Beaucoup disent aussi savoir à qui s'adresser en cas d'urgence.
Pourtant, les concepts de sécurité, les plans d'urgence et les audits font souvent défaut. Selon l'étude, beaucoup de PME jugent leur résilience à partir de leurs connaissances personnelles, plutôt que d'une préparation organisée.
En présentant l'étude le 22 octobre 2026, l'OFCS a résumé le constat ainsi : de nombreuses entreprises sont bien protégées sur le plan technique, mais doivent encore progresser sur le plan organisationnel. Un test structuré rend cet écart visible, question par question.
Les menaces, elles, évoluent. Selon l'étude, 81 % des PME s'attendent à une hausse des cybermenaces liées à l'intelligence artificielle. Seules 29 % prévoient pourtant des mesures supplémentaires.
Que faire des résultats du test ?
Le résultat d'un test sert d'abord à classer les chantiers. Les points faibles organisationnels méritent autant d'attention que les failles techniques, puisque c'est là que l'étude situe les plus grands retards.
Côté organisation, l'étude souligne l'utilité de responsabilités claires, de processus définis et de concepts d'urgence. Marc K. Peter, professeur à la Haute école spécialisée de Suisse occidentale (HES-SO), estime que la cybersécurité commence par une stratégie numérique claire, et non par le pare-feu.
Côté technique, les mises à jour restent prioritaires. Exemple daté : le 21 octobre 2026, l'OFCS a recommandé d'installer immédiatement les correctifs de deux vulnérabilités critiques dans PHP, présent notamment sur des serveurs web.
Les accès forment un autre chantier fréquent. Le 19 octobre 2026, l'OFCS a publié « Cinq étapes pour une authentification sécurisée ». Il propose une classification des moyens d'authentification, comme le mot de passe, la clé d'accès ou la carte à puce, selon la sécurité qu'ils offrent.
Enfin, un résultat de test peut révéler que l'entreprise ne sait pas qui alerter. L'OFCS reçoit les signalements volontaires de cyberincidents des entreprises et les aide dans leurs démarches. Selon l'étude, 40 % des PME seraient prêtes à signaler un incident de ce type.
Le Cybersecurity Hub de l'OFCS est une autre ressource, encore peu utilisée. Il vise d'abord les exploitants d'infrastructures critiques et leurs prestataires, mais les PME peuvent s'y joindre. Selon l'étude, environ 7 % des PME ou de leurs prestataires informatiques l'utilisent.
Ces ressources et d'autres mesures concrètes sont regroupées dans notre rubrique pour protéger son entreprise.
Ce qu'on ne sait pas encore
La page de présentation du Cybersecurity-Check ne précise ni le nombre de questions ni la manière dont le résultat est calculé. Nos sources ne donnent pas non plus de prix ni de cahier des charges type pour un audit de cybersécurité destiné à une PME.
L'étude de la Mobilière repose sur 507 entretiens avec des dirigeants de PME de 1 à 49 collaborateurs, menés par YouGov Suisse du 24 juin au 10 juillet 2026. Les résultats décrivent ce que déclarent les entreprises, pas un contrôle de leurs systèmes.
