Une entreprise belge sur cinq a déjà subi un incident de sécurité informatique. Le chiffre, issu d’enquêtes menées auprès de PME de petite taille, place la cybersécurité au rang de préoccupation concrète pour les structures qui se pensaient trop modestes pour intéresser les attaquants. La directive européenne NIS2, transposée dans le droit belge, étend désormais ses obligations bien au-delà des grandes organisations, et touche de plein fouet les sous-traitants et fournisseurs de toutes tailles.
Shadow AI et usages non encadrés : le risque que les PME belges ne voient pas venir
Les petites entreprises belges investissent dans des pare-feu, des antivirus et des sauvegardes. Mais un angle mort progresse rapidement : le shadow AI, c’est-à-dire l’utilisation d’outils d’intelligence artificielle par les employés sans validation ni politique interne.
A lire en complément : La réorganisation des datacenters impacte la consommation d'énergie
Concrètement, un collaborateur qui colle des données clients dans un chatbot grand public ou qui utilise un outil de transcription en ligne crée une fuite de données potentielle. Aucun pare-feu ne bloque ce type de comportement, parce qu’il ne s’agit pas d’une attaque extérieure.
Le septième rapport cybersécurité de Proximus NXT, réalisé par Ipsos auprès de 403 entreprises belges, relève que la plupart des organisations ne disposent pas de politique relative à l’IA, alors même que son utilisation est généralisée. Pour une PME de dix ou quinze personnes, rédiger une charte d’usage de l’IA peut sembler disproportionné. En revanche, l’absence totale de cadre expose à des fuites de données personnelles qui tombent directement sous le RGPD.
A lire également : Les imprimantes 3D révolutionnent la maintenance industrielle
Notification d’incident sous NIS2 : des délais qui changent la gestion interne des petites structures
NIS2 ne concerne pas uniquement les opérateurs de services essentiels. Toute PME intégrée dans la chaîne de sous-traitance d’une entité régulée peut se retrouver soumise aux mêmes exigences de notification. Le cadre belge impose une alerte précoce sous 24 heures après la détection d’un incident, suivie d’un rapport détaillé sous 72 heures.
Pour une entreprise de vingt salariés sans responsable informatique dédié, ces délais posent un problème pratique immédiat. Détecter un incident suppose une surveillance continue. Rédiger un rapport technique dans les 72 heures suppose de savoir exactement quels systèmes ont été compromis, quelles données sont concernées et quelles mesures correctives sont en cours.
Le Centre pour la Cybersécurité Belgique (CCB) a déjà reçu des notifications liées à NIS2 en 2025, signe que la conformité n’est plus théorique. Les retours terrain divergent sur la capacité réelle des petites structures à tenir ces délais sans accompagnement externe, mais l’obligation, elle, ne fait aucune distinction de taille.
Ce que NIS2 exige concrètement d’une PME sous-traitante
- Un dispositif de détection d’incidents opérationnel, même minimal (journaux d’accès, alertes automatisées sur les tentatives de connexion inhabituelles)
- Une procédure interne documentée précisant qui alerte le CCB, avec quelles informations et dans quel format
- La capacité de produire un rapport technique détaillé dans les 72 heures, incluant le périmètre de compromission et les premières mesures de remédiation
- Une traçabilité des actions correctives pour démontrer la conformité en cas de contrôle ultérieur
Ransomware contre PME belges : pourquoi les sauvegardes classiques ne suffisent plus
Les attaques par rançongiciel qui ciblent les petites entreprises belges ont changé de méthode. Les retours d’expérience récents décrivent des attaques en plusieurs étapes : vol d’identifiants, désactivation des protections, compromission des sauvegardes, puis chiffrement final des données. L’attaquant ne se contente plus de chiffrer les fichiers du serveur principal. Il cherche d’abord les copies de sauvegarde pour les rendre inutilisables.
Une PME qui sauvegarde ses données sur un disque réseau connecté en permanence offre une cible facile. La sauvegarde est chiffrée en même temps que le reste. Les sauvegardes isolées (déconnectées du réseau, stockées hors site ou dans un cloud avec authentification distincte) redeviennent la recommandation prioritaire.
Le coût d’une telle architecture reste modeste comparé au montant d’une rançon ou à l’arrêt d’activité de plusieurs jours. Mais les données disponibles ne permettent pas de conclure sur le taux d’adoption réel de ces pratiques parmi les TPE et PME belges. Seul un tiers des très petites entreprises belges déclarent avoir mis en place des mesures de sécurité informatique structurées.
Budget cybersécurité des PME belges : où placer l’investissement en priorité
Les trois quarts des entreprises belges interrogées par Proximus NXT déclarent disposer d’une stratégie de cybersécurité. Mais stratégie ne signifie pas budget alloué. Pour une petite structure, la question n’est pas de tout couvrir, mais de choisir les postes qui réduisent le plus le risque réel.
L’ingénierie sociale et le phishing restent les vecteurs d’attaque dominants : près de la moitié des entreprises belges y ont été confrontées. Investir dans la sensibilisation des équipes produit un effet mesurable sur ce type de menace, pour un coût bien inférieur à celui d’une solution technique avancée.
Les chèques cybersécurité proposés par la Région wallonne permettent aux PME de se faire accompagner par un expert pour auditer leurs vulnérabilités et prioriser les investissements. Ce type de dispositif public reste sous-utilisé, alors qu’il couvre une partie significative des frais d’audit et de mise en conformité.
- La formation du personnel au phishing réduit le principal vecteur d’attaque sans investissement matériel lourd
- Un audit externe ponctuel identifie les failles critiques et évite de disperser le budget sur des solutions inutiles
- Les sauvegardes isolées et l’authentification multifacteur couvrent les deux scénarios d’attaque les plus fréquents contre les PME
La conformité NIS2 pousse les petites entreprises belges à structurer ce qui relevait jusqu’ici de l’improvisation. Le risque cyber ne disparaît pas avec un antivirus à jour, et les obligations légales de notification rendent désormais visible ce que beaucoup de structures préféraient ignorer. La question n’est plus de savoir si une PME sera ciblée, mais si elle saura réagir dans les délais imposés.
