21 jours d'arrêt en moyenne selon IBM. Multipliez par votre CA journalier moyen. Pour une PME à 2M€/an : environ 115 000 € de manque à gagner sur cette seule ligne.
Chiffres sourcés IBM & ANSSI
225 000 € en moyenne. C'est ce qu'une cyberattaque coûte réellement à une PME française.
Pas la rançon seule. Le coût total - la partie émergée et l'immense partie immergée de l'iceberg que les assureurs et les DSI ne détaillent jamais assez.
Sources : IBM Cost of Data Breach Report 2024, ANSSI/Cybermalveillance, Hiscox Cyber Readiness Report. Tous les chiffres cités sont issus d'études publiées et vérifiables.
Audit cybersécurité gratuit Calculer mon expositionLe coût en un coup d'oeil
Coûts directs (rançon, IT, forensique)
15 000 - 580 000 €
Pertes d'exploitation (21 jours moy.)
Variable selon CA
Frais juridiques et RGPD
5 000 - 100 000 €
Atteinte réputation & perte clients
Non assurable
TOTAL moyen PME française
225 000 €
Les coûts directs
Ce que vous voyez immédiatement - mais souvent sous-estimé dans l'urgence.
Les coûts indirects
Souvent 3 fois supérieurs aux coûts directs. Rarement couverts par l'assurance. Jamais anticipés.
IBM mesure en moyenne 21 jours d'arrêt complet ou partiel après une cyberattaque significative. Pour une PME réalisant 3 M€ de CA, cela représente 175 000 € de chiffre d'affaires non réalisé - sans compter les clients perdus définitivement.
Jours d'arrêt × CA journalier
Perte de clients et résiliation contrats
Les clients apprennent l'incident et certains partent. Les prospects en discussion abandonnent. Les contrats avec clauses de sécurité peuvent être résiliés avec pénalités.
Atteinte à la réputation
La confiance est longue à construire et rapide à perdre. Appels d'offres refusés, partenariats bloqués, couverture médiatique négative - difficile à quantifier, impossible à assurer.
Turnover des collaborateurs
Les salariés quittent une entreprise fragilisée. Recruter et former des remplaçants dans un contexte de crise coûte 1,5 à 2 fois le salaire annuel par départ.
Les coûts légaux et réglementaires
Un volet souvent découvert dans l'urgence - avec des délais légaux très courts.
Coût estimé par taille de PME
Estimations basées sur les données ANSSI, Hiscox et IBM Cost of Data Breach 2024.
| Taille PME | Fourchette basse | Fourchette haute | Budget protection Evoir / mois |
|---|---|---|---|
| 10 salariés | 50 000 € | 150 000 € | dès 500 €/mois |
| 50 salariés | 150 000 € | 500 000 € | 1 500 - 2 500 €/mois |
| 150 salariés | 500 000 € | 2 000 000 € | 3 000 - 6 000 €/mois |
60% des PME victimes font faillite dans les 18 mois suivant une cyberattaque majeure (source : ANSSI / Cybermalveillance.gouv.fr).
Le ROI de la cybersécurité
Protéger votre PME n'est pas un coût - c'est le meilleur investissement possible rapporté au risque qu'il couvre.
6 - 12 ans
de budget sécurité couvert par une seule attaque évitée
Budget protection PME 50 salariés (Evoir)
1 500 - 2 500 €/mois
Coût moyen d'une cyberattaque
225 000 €
Coût annuel budget sécurité
18 000 - 30 000 €
Nombre d'années couvertes par 1 attaque évitée
7 à 12 ans
Ce que l'assurance cyber couvre - et ne couvre pas
L'assurance est complémentaire à la sécurité, pas un substitut. Voici ce que cachent les conditions générales.
Généralement couvert
Rançon (avec franchise)
Frais de réponse à incident et forensique
Pertes d'exploitation (avec délai de carence)
Frais de notification CNIL et communication
Frais de défense juridique
Généralement exclu
Amendes RGPD (non assurables en France)
Atteinte à la réputation
Données perdues définitivement
Incidents si MFA non déployé (clause de sécurité)
Incidents si correctifs non appliqués depuis plus de 90 jours
Point critique : les assureurs exigent désormais un niveau minimum de sécurité avant de couvrir. Un audit préalable - comme celui proposé par Evoir - vous permet de valider votre conformité aux exigences de couverture et d'éviter une mauvaise surprise lors d'un sinistre.
Questions fréquentes
Les PME sont-elles vraiment ciblées par les cybercriminels ?
Oui. 43% des cyberattaques ciblent des PME (Verizon DBIR). Les PME sont perçues comme des cibles faciles avec des ressources sécurité limitées, et servent souvent de point d'entrée vers leurs clients grands comptes.
Une assurance cyber suffit-elle à se protéger ?
Non. L'assurance indemnise après sinistre - elle ne protège pas. Les assureurs exigent désormais un niveau minimum de sécurité : MFA, sauvegardes testées, patch management. Sans ces mesures, vous risquez une exclusion de garantie.
Comment convaincre la direction d'investir en cybersécurité ?
Le ROI est imparable : 225 000 € de coût moyen incident vs 18 000 à 30 000 € de budget annuel sécurité. Sans oublier le risque de liquidation (60% de faillite à 18 mois) et la responsabilité personnelle des dirigeants introduite par NIS2.
Quelle dépense minimale pour une PME de 20 personnes ?
Le triptyque fondamental : MFA sur tous les comptes (~100 €/mois), EDR sur tous les postes (~150 €/mois) et sauvegardes immutables testées (~200 €/mois). Ces 3 mesures éliminent la majorité des vecteurs d'attaque courants pour moins de 500 €/mois.
Connaissez-vous réellement votre exposition aux risques cyber ?
Evoir réalise un audit cybersécurité complet pour les PME parisiennes. En 2 heures, vous savez exactement où vous en êtes - et ce que vous risquez de perdre.