Guide étape par étape pour mettre votre entreprise à niveau en cybersécurité quand on n’y connaît pas grand-chose
Vous savez que la cybersécurité est importante, mais vous ne savez ni par où commencer, ni ce que vous pouvez régler vous-même, ni qui appeler pour le reste. C’est normal : ce n’est pas votre métier. Ce guide vous donne l’ordre des opérations, sans jargon, avec les bons interlocuteurs à chaque étape.
Ce que vous n’avez pas besoin d’être : un expert technique. Votre rôle de dirigeant n’est pas de configurer un pare-feu vous-même — c’est de savoir dans quel ordre agir, ce qui reste à votre portée, et à qui confier le reste. C’est exactement l’objet de ce guide.
Étape 1 : faire un état des lieux avant tout autre chose
La première erreur, la plus fréquente, est de commencer par acheter un outil ou d’appeler un prestataire sans savoir ce qui est réellement prioritaire pour votre entreprise. Sans état des lieux, vous risquez de dépenser votre budget sur ce qui vous rassure, pas sur ce qui vous protège vraiment.
Deux options gratuites ou accessibles existent pour démarrer sans expertise préalable :
Diagnostic en ligne — cybermalveillance.gouv.fr
Dispositif national gratuit piloté par le GIP ACYMA
Diagnostic dédié PME — comme celui de CyberDiagnostic
Score de maturité et plan d’action priorisé, propre à votre activité
Il existe également le Diagnostic Cybersécurité de Bpifrance, intégré au plan Cyber PME porté par la Direction Générale des Entreprises avec le soutien de France 2030 : un accompagnement en audit et conseil, potentiellement cofinancé, pour les entreprises éligibles qui souhaitent un format plus complet.
Les 4 phases de votre mise à niveau, dans l’ordre
Une fois le diagnostic fait, voici l’enchaînement à respecter. Chaque phase s’appuie sur la précédente — inutile de sauter une étape pour aller plus vite, cela coûte presque toujours plus cher ensuite.
Diagnostiquer — savoir où vous en êtes réellement
L’étape 1 ci-dessus. Ne passez pas à la suite sans un état des lieux, même sommaire.
Sécuriser les bases vous-même — cette semaine
Les actions gratuites, sans compétence technique, qui réduisent déjà une grande partie du risque immédiat (détail ci-dessous).
Déléguer ce qui dépasse vos compétences — ce mois-ci
Tout ce qui touche à la configuration technique de votre système d’information doit être confié à un professionnel — le bricoler soi-même est souvent pire que de ne rien faire.
Structurer dans la durée — ce trimestre
Formation des équipes, éventuel audit qualifié, et transfert d’une partie du risque résiduel via une cyber-assurance adaptée.
La règle d’or
Vous n’avez pas besoin de tout faire vous-même. Votre rôle est de piloter la démarche, pas de l’exécuter en intégralité.
Gagnez du temps sur l’étape 1
Obtenez votre plan d’action priorisé en 10 minutes
Fini les listes génériques : un diagnostic propre à votre activité.
Conforme ANSSI · Résultat immédiat
Ce que vous pouvez faire vous-même, sans compétence technique
Ces actions ne demandent aucune connaissance en informatique — seulement quelques heures et de la constance. Elles couvrent une part importante du risque le plus courant en PME : l’accès à vos comptes et à vos données par un tiers non autorisé.
✅ À faire vous-même dès cette semaine
- Activer la double authentification (MFA) sur votre messagerie professionnelle et vos outils les plus sensibles (banque en ligne, comptabilité, cloud).
- Changer les mots de passe évidents ou partagés et adopter un gestionnaire de mots de passe pour éviter les post-it et les fichiers Excel.
- Vérifier que les mises à jour automatiques sont activées sur les ordinateurs et téléphones professionnels — c’est souvent déjà le cas, il suffit de le vérifier.
- Lister qui a accès à quoi (comptes bancaires, messagerie, réseaux sociaux de l’entreprise) et retirer les accès des anciens collaborateurs ou prestataires.
- Définir une règle orale simple avec votre équipe : aucun virement ou changement de RIB sans un appel de vérification, quelle que soit l’urgence apparente.
Cette liste seule ne suffit pas à vous mettre en conformité ou à l’abri de tout, mais elle réduit significativement les risques les plus fréquents — et elle ne coûte rien d’autre que votre temps.
Ce qu’il vaut mieux déléguer à un professionnel
À l’inverse, certaines actions demandent un accès technique à votre système d’information ou une expertise qu’il serait risqué d’improviser. Les tenter soi-même sans compétence peut créer de nouvelles failles, voire casser ce qui fonctionnait.
🔧 À déléguer à un professionnel
- Configuration du pare-feu et sécurisation du réseau — une mauvaise configuration peut ouvrir des accès sans que vous vous en rendiez compte.
- Mise en place de sauvegardes automatisées et testées — une sauvegarde qui ne fonctionne pas au moment de la restaurer ne sert à rien ; seul un test réel le confirme.
- Déploiement d’un antivirus/EDR sur l’ensemble du parc et supervision des alertes qu’il génère.
- Audit de sécurité formel ou test d’intrusion — nécessite des outils et une méthodologie que seul un prestataire qualifié possède.
- Réponse technique à un incident en cours (rançongiciel, compromission d’un compte) — chaque action mal exécutée dans l’urgence peut aggraver la situation ou détruire des preuves utiles.
Qui contacter, et pour quel besoin
Une fois que vous savez ce qui doit être délégué, reste à savoir à qui vous adresser. Voici les principaux interlocuteurs, du plus accessible au plus spécialisé.
cybermalveillance.gouv.fr
Dispositif national gratuit d’assistance et de mise en relation
Prestataire informatique / infogéreur
Votre interlocuteur technique au quotidien
Prestataire qualifié PASSI
Audit de sécurité certifié par l’ANSSI
Organisme de formation certifié
Sensibilisation de vos équipes, financable via votre OPCO
Courtier en cyber-assurance
Transfert du risque financier résiduel
Avant de contacter un prestataire
Sachez exactement ce que vous devez lui demander
Notre rapport priorisé vous évite de payer pour ce qui n’est pas prioritaire.
Conforme ANSSI · Résultat immédiat
Votre feuille de route sur 90 jours
Pour visualiser concrètement l’enchaînement, voici à quoi peut ressembler un parcours de mise à niveau réaliste pour une PME qui part de zéro.
Parcours type — PME sans référent cyber interne
De l’état des lieux à un socle de sécurité stable
Diagnostic et quick wins gratuits
Diagnostic en ligne, activation du MFA, changement des mots de passe critiques, vérification des mises à jour.
Sélection et démarrage avec un prestataire IT
Mise en place ou vérification des sauvegardes automatisées, sécurisation du réseau et des postes de travail.
Formalisation des procédures internes
Rédaction de règles simples (validation des virements, gestion des accès) et communication à toute l’équipe.
Sensibilisation des équipes et bilan
Première session de formation ou simulation de phishing, puis nouveau point de situation pour ajuster les priorités du trimestre suivant.
Ce calendrier reste indicatif : il s’ajuste selon la taille de votre entreprise et les priorités révélées par votre diagnostic initial. L’essentiel est de garder l’ordre des phases, pas nécessairement ce rythme exact.
Checklist : votre démarrage est-il bien engagé ?
🔍 Vérifiez dès aujourd’hui
- Avez-vous réalisé un diagnostic, même sommaire, avant de contacter un prestataire ou d’acheter un outil ?
- Le MFA est-il activé sur votre messagerie professionnelle et vos outils sensibles ?
- Savez-vous précisément qui, dans votre équipe, a accès à quoi (comptes bancaires, messagerie, réseaux sociaux) ?
- Avez-vous identifié un prestataire informatique pour les tâches techniques que vous ne pouvez pas réaliser vous-même ?
- Vos sauvegardes ont-elles déjà été testées en restauration, et pas seulement programmées ?
- Une date est-elle prévue pour la première sensibilisation de vos équipes, une fois le socle technique posé ?
Questions fréquentes
Combien de temps faut-il pour mettre sa PME à niveau en cybersécurité ?
Les quick wins gratuits (MFA, mots de passe, mises à jour) peuvent être traités en quelques jours. Un socle organisationnel solide (procédures, sauvegardes fiables, sensibilisation des équipes) demande plutôt 1 à 3 mois. La sécurité n’est ensuite jamais « terminée » : c’est un processus continu, pas un projet avec une date de fin, mais l’essentiel du risque le plus fréquent peut être traité dès le premier trimestre.
Faut-il un budget important pour commencer ?
Non. Le point de départ — un diagnostic en ligne via cybermalveillance.gouv.fr et l’application des bonnes pratiques de base (MFA, mots de passe, mises à jour) — est gratuit. Les dépenses interviennent ensuite, de façon progressive, sur ce qui dépasse réellement vos compétences internes : prestataire IT, audit qualifié si nécessaire, formation des équipes, cette dernière étant en général finançable via votre OPCO.
Par qui commencer : un prestataire informatique, un avocat, un consultant cyber ?
Par un diagnostic, avant tout prestataire. Sans état des lieux, vous risquez de payer pour des solutions qui ne correspondent pas à vos priorités réelles. Une fois le diagnostic fait, le choix du bon interlocuteur — prestataire IT, PASSI, organisme de formation, courtier assurance — découle directement de ce qu’il révèle sur votre entreprise.
Que faire si mon entreprise a déjà été victime d’une cyberattaque ?
Ne traitez pas cela comme une simple étape de ce guide : contactez immédiatement cybermalveillance.gouv.fr, le dispositif national gratuit d’assistance aux victimes, qui pourra vous orienter en urgence vers un prestataire labellisé « ExpertCyber » pour la remédiation technique, en parallèle d’un dépôt de plainte auprès des services compétents.
Passez du guide à votre plan personnalisé
Transformez ces étapes en priorités propres à votre entreprise
Score de maturité · Plan d’action · Rapport PDF immédiat.
Conforme ANSSI · Résultat immédiat · Sans engagement