« Trop petit pour intéresser » : le pari perdant des PME belges face aux rançongiciels
C'est la phrase qui rassure, et qui condamne : « Nous sommes trop petits, personne ne s'intéresse à nous. » Elle est fausse, et dangereuse. Les attaques modernes ne visent plus, elles ratissent : un script scanne des milliers d'entreprises à la fois et frappe les plus vulnérables, sans savoir ni se soucier de leur taille. En Belgique, 42 % des PME ont déjà été touchées, et le coût moyen d'une attaque a bondi à 42 000 euros. Le sentiment de petitesse est devenu le premier facteur de risque.
Un vendredi soir, dans une PME industrielle. Les équipes sont parties, les serveurs tournent. Quelque part, un programme automatisé teste des milliers d'adresses, repère un accès mal protégé, entre. Le lundi matin, les fichiers sont chiffrés, la production est à l'arrêt, et un message réclame une rançon en cryptomonnaie. Personne, chez les attaquants, n'a jamais entendu parler de cette entreprise. Elle n'a pas été choisie : elle a été trouvée. C'est toute la différence entre la menace d'hier, ciblée, et celle d'aujourd'hui, industrielle et aveugle.
La fin du « ça n'arrive qu'aux grands »
Les chiffres belges démontent le mythe méthodiquement. Selon les données citées par la presse spécialisée à partir des travaux du Centre pour la Cybersécurité Belgique, le pays subit en moyenne l'équivalent de plus de vingt attaques de rançongiciel par jour, et 42 % des PME belges ont déjà été touchées par une attaque. Pire : 30 % des entreprises ne disposent encore d'aucune stratégie de cybersécurité. Les secteurs les plus frappés ne sont pas seulement la haute technologie : le commerce et l'industrie figurent en tête, et la porte d'entrée la plus fréquente reste d'une banalité désarmante, la prise de contrôle d'un compte et l'exploitation d'une faille non corrigée. L'attaque ne commence presque jamais par un génie du clavier : elle commence par un mot de passe faible ou une mise à jour oubliée.
Le phishing, cette porte qu'on ouvre soi-même
Le fait le plus contre-intuitif de toute la cybersécurité tient en une statistique : la grande majorité des incidents ne commencent pas par une prouesse technique, mais par un simple email. Un message qui imite une facture, une banque, un fournisseur, un collègue, et qui pousse un employé pressé à cliquer, à saisir un mot de passe, à ouvrir une pièce jointe. Ce n'est pas un problème d'informatique, c'est un problème d'organisation et de vigilance humaine. Ce qui a une conséquence décisive pour les PME : l'essentiel de la protection ne s'achète pas, il s'installe dans les habitudes. Des mots de passe robustes et uniques, une double authentification, des mises à jour appliquées, des sauvegardes testées, et des équipes qui savent reconnaître un email piégé. Aucune de ces mesures ne demande un budget de grande entreprise.
« La cybersécurité d'une PME n'est pas d'abord une affaire de logiciels. C'est une affaire de règles simples, tenues par tout le monde, tout le temps. »
NIS2 : le sujet vient de changer de nature
Un élément nouveau rebat les cartes en 2026 : la directive européenne NIS2, transposée en droit belge par la loi du 15 mai 2025. Elle étend les obligations de cybersécurité à un nombre bien plus large d'organisations, y compris des PME de secteurs jugés essentiels ou importants, et impose de se déclarer auprès du Centre pour la Cybersécurité Belgique. Deux effets concrets. D'abord, pour les entreprises directement concernées, la conformité n'est plus optionnelle. Ensuite, et cela touche presque tout le monde, les grands donneurs d'ordres soumis à NIS2 commencent à exiger de leurs fournisseurs PME des garanties de sécurité : la cybersécurité devient une condition d'accès aux marchés, indépendamment de sa propre taille. Le sujet est passé du risque théorique à l'exigence commerciale.
La sécurité n'est plus une option, c'est une condition de survie
Une cyberattaque n'est pas un incident technique dont on se relève en quelques heures. Elle frappe en même temps l'opérationnel, les finances et la réputation, et pour une part des PME touchées, elle est fatale. Le paradoxe est que la protection de base coûte infiniment moins cher que le sinistre : quelques règles bien tenues arrêtent l'écrasante majorité des attaques automatisées, celles-là mêmes qui frappent au hasard. Se croire trop petit pour être visé, en 2026, ce n'est pas de la modestie. C'est le pari le plus risqué qu'un dirigeant puisse faire.
Sources
Centre pour la Cybersécurité Belgique (CCB), « La réalité cyber de la Belgique en 2025 » et chiffres clés 2025 (635 notifications, +70 %, incidents rançongiciel) · Données CCB relayées par la presse spécialisée (ITdaily) : 42 % des PME touchées, 30 % sans stratégie · SPF Économie, Baromètre Cybersécurité PME 2025 (coût moyen d'attaque de 28 000 à 42 000 €) · Loi du 15 mai 2025 transposant la directive NIS2 en droit belge · Recommandations Safeonweb et cert.be · Observations de terrain LUCID.
La première conversation de 30 minutes est offerte. C'est là que ça se cadre, sans engagement.