La cyber-résilience est-elle réservée aux grands groupes?
Publié sur LinkedIn le 21 aout 2026
Quand on parle de cyber-résilience, on imagine souvent des SOC 24/7, des datacenters redondés, des équipes spécialisées, des audits permanents et des budgets importants.
Une PME peut avoir une stratégie de résilience réaliste, progressive et adaptée à ses risques.
Le problème n’est pas de ne pas tout faire.
Le problème est de ne pas savoir ce qui doit être fait en premier.
ENISA a publié en juillet 2026 un modèle d’évaluation de maturité.
Son objectif : leur permettre d’évaluer et de renforcer leur cyber-résilience.
L’approche est intéressante parce qu’elle remet le pragmatisme au centre.
Une PME n’a pas besoin de copier les dispositifs.
Elle doit d’abord identifier :
ses activités vitales ;
ses données critiques ;
ses dépendances numériques ;
ses fournisseurs essentiels ;
ses principales menaces ;
le temps pendant lequel elle peut fonctionner sans IT ;
les personnes capables de reprendre l’activité.
Puis construire des capacités simples mais solides.
Des sauvegardes isolées et restaurées.
Une authentification multifacteur.
Des correctifs prioritaires.
Des comptes d’administration séparés.
Des contacts de crise disponibles hors du SI.
Un inventaire des équipements et logiciels.
Un mode dégradé connu des métiers.
Un test de restauration réellement exécuté.
La maturité ne se mesure pas au nombre d’outils achetés.
Elle se mesure à la capacité de répondre à quelques questions :
Que faisons-nous si notre prestataire informatique est indisponible ?
Combien de temps pouvons-nous rester arrêtés ?
Quelles données pouvons-nous perdre ?
Qui prend les décisions ?
Comment prévenons-nous nos clients ?
Comment redémarrons-nous sans réintroduire la menace ?
Une petite entreprise peut être mieux préparée qu’un grand groupe si elle connaît ses priorités, maîtrise ses dépendances et teste ses procédures.
À l’inverse, empiler les logiciels, les politiques et les tableaux de bord ne garantit aucune reprise.
La cyber-résilience doit donc être proportionnée.
Commencer par les risques les plus critiques.
Mettre en place des mesures tenables.
Documenter simplement.
Tester régulièrement.
Corriger après chaque exercice ou incident.
Le but n’est pas d’atteindre la perfection.
Le but est d’éviter qu’un incident numérique devienne une crise existentielle.
La question n’est donc pas :
« Avons-nous les moyens d’un grand groupe ? »
Mais :
« Avec nos moyens actuels, quelles capacités devons-nous absolument garantir ? »
La résilience n’est pas réservée aux grandes entreprises.
Elle commence par des choix lucides et des fondamentaux réellement appliqués.
PS : Si vous découvrez mon contenu (veille CERT, Post), je vous invite à me suivre ici sur LinkedIn
#PME #CyberRésilience #RésilienceIT #Cybersécurité #CRA #ContinuitéDActivité #PRA #Dirigeants #RSSI
