Combien coûte vraiment une cyberattaque pour une PME suisse

On parle souvent des coûts en millions. Voici la réalité pour une PME.🔗

Quand on lit la presse spécialisée, les cyberattaques coûtent « 4,5 millions de dollars en moyenne ». Ces chiffres viennent de grandes entreprises et ne reflètent pas la réalité d'une PME suisse de 10 à 50 personnes.

Ce guide vous donne les vrais chiffres, poste par poste, pour une cyberattaque typique de PME suisse romande. Pas de statistiques gonflées, pas de ventes d'assurance. Juste ce que vous devez anticiper.

Les 7 postes de coûts🔗

1. Perte d'exploitation (le plus gros poste)🔗

C'est le coût numéro un, souvent sous-estimé. Une PME paralysée pendant 5 jours ouvrés :

• CA perdu : si vous facturez 20'000 CHF/jour, c'est 100'000 CHF
• Employés payés à ne rien faire : 5 jours × 10 personnes × 400 CHF = 20'000 CHF
• Clients qui partent chez le concurrent : variable, souvent 5 à 15% de perte sur 6 mois
• Délais manqués : pénalités contractuelles, relations clients dégradées

Total moyen PME 10 personnes : 60'000 à 180'000 CHF

2. Frais de restauration technique🔗

Faire appel à un expert en réponse aux incidents (obligatoire en pratique) :

• Forfait urgence (24h) : 5'000 à 15'000 CHF
• Analyse forensique : 3'000 à 10'000 CHF
• Reconstruction des systèmes : 5'000 à 20'000 CHF

Total moyen : 13'000 à 45'000 CHF

3. Rançon (si vous payez)🔗

Je le déconseille vivement, pour trois raisons :

1. Payer ne garantit pas la restauration
2. Payer finance le crime organisé
3. Payer peut constituer une infraction au sens de la loi sur le blanchiment en Suisse

Si vous payez quand même :

• Rançon demandée : 20'000 à 200'000 CHF (souvent en cryptomonnaie)
• Frais de transaction cryptomonnaie : 2 à 5% du montant
• Négociation via intermédiaire : 3'000 à 10'000 CHF

Total moyen si vous payez : 25'000 à 200'000 CHF

4. Notification et conformité légale (nLPD)🔗

Depuis la nLPD, une violation de données personnelles avec risque élevé doit être notifiée au PFPDT dans les 72 heures. Cela implique :

• Audit juridique : 3'000 à 10'000 CHF
• Notification aux personnes concernées (mailing, courriers) : 2'000 à 8'000 CHF
• Communication de crise (agence RP) : 5'000 à 15'000 CHF

Total moyen : 10'000 à 33'000 CHF

5. Perte de données non récupérables🔗

Si vous n'avez pas de sauvegarde, ou qu'elles sont aussi chiffrées :

• Données clients : valeur inestimable
• Contrats, propriété intellectuelle : perte sèche
• Photos, contenus : à reconstruire

Estimation : variable, souvent 10'000 à 50'000 CHF de reconstruction

6. Réputation et perte de clients🔗

Étude 2025 : 43% des PME suisses ayant subi une cyberattaque déclarent avoir perdu des clients dans les 6 mois.

• Perte de chiffre d'affaires à 6 mois : -10 à -30% pour les activités B2C, -5 à -15% pour le B2B
• Déficit d'acquisition : les prospects évitent les entreprises « hackées »

Estimation moyenne PME : 20'000 à 100'000 CHF

7. Sanctions légales🔗

La nLPD prévoit jusqu'à 250'000 CHF d'amende pour les dirigeants personnellement en cas de négligence grave. Rarement appliqué, mais le risque existe.

Récapitulatif pour une PME type🔗

Prenons une PME romande de 12 personnes, chiffre d'affaires 2 millions CHF, victime d'un ransomware récent :

162'000 CHF, c'est 3 mois de masse salariale pour cette PME. Le genre de coup dur dont on ne se remet pas toujours.

Ce que personne ne dit🔗

1. Le temps de restauration est plus long qu'annoncé🔗

Les assureurs parlent de « 3 à 5 jours ». La réalité observée : 7 à 15 jours avant un retour à la normale. Non seulement parce que les sauvegardes doivent être testées, mais parce que la confiance doit être reconstruite avec les clients, les fournisseurs, les banques.

2. Le stress post-attaque coûte cher🔗

Un dirigeant qui vient de subir une attaque perd 3 à 6 mois de productivité. Il pense à la sécurité en permanence, perd son focus commercial, hésite sur ses décisions IT. C'est invisible dans les chiffres, mais très réel.

3. Les assureurs sont devenus exigeants🔗

Depuis 2023, les assureurs cyber suisses exigent systématiquement : 2FA partout, sauvegardes 3-2-1 testées, formation des collaborateurs, EDR sur les postes. Sans ces mesures, ils refusent de couvrir, ou facturent 3× la prime.

4. Les suites judiciaires peuvent durer des années🔗

Si les données clients sont publiées, les recours collectifs peuvent trainer en justice 2 à 5 ans. Coût juridique potentiel : 20'000 à 100'000 CHF même en gagnant.

Investir pour ne pas subir🔗

Voici le budget préventif pour la même PME de 12 personnes :

5'600 CHF/an contre 162'000 CHF d'attaque, le calcul est vite fait.

Les 5 mesures qui divisent le risque par 10🔗

Ces mesures sont ordonnées par rapport efficacité/coût. Appliquez-les dans cet ordre.

1. 2FA sur tous les comptes critiques🔗

Mail, banque, CRM, comptabilité, cloud. Coût : 0 CHF. Efficacité : bloque 90% des compromissions de comptes.

2. Sauvegardes 3-2-1🔗

Trois copies, deux supports différents, une hors site. Testez la restauration tous les 3 mois. Coût : 600 à 1'200 CHF/an.

3. Formation et simulations de phishing🔗

Un email simulé par trimestre, une session annuelle de sensibilisation. Coût : 1'000 à 2'000 CHF/an. Réduit de 70% le risque de clic.

4. Mises à jour automatiques🔗

OS, navigateur, logiciels métiers. Coût : 0 CHF. Élimine 60% des attaques exploitant des failles connues.

5. Plan de réponse documenté🔗

Qui appelle qui en cas d'attaque ? Quel prestataire ? Quelle assurance ? Coût : 2'000 à 5'000 CHF une fois. Réduit de moitié le temps de réaction.

FAQ🔗

Faut-il vraiment craindre une attaque si je suis une petite structure ?🔗

Oui. En 2025, 67% des attaques au niveau mondial visaient des entreprises de moins de 50 personnes. Les PME sont ciblées parce qu'elles sont moins protégées.

Une assurance cyber vaut-elle le coup ?🔗

Oui, si vous cochez les mesures de base (2FA, sauvegardes, formation). Comptez 800 à 3'000 CHF/an selon votre taille et votre secteur. Sans ces mesures, l'assurance refusera de couvrir.

Que faire immédiatement si je suis victime ?🔗

1. Isoler la machine compromise (débrancher le câble réseau, ne pas éteindre)
2. Contacter votre prestataire IT
3. Ne pas payer de rançon
4. Notifier le NCSC (obligatoire)
5. Documenter les faits avec horodatage
6. Prévenir votre assurance cyber

Faut-il une équipe IT dédiée ?🔗

Pas besoin d'un employé à plein temps, mais un prestataire sous contrat avec SLA court (4h) est indispensable. Coût : 500 à 1'500 CHF/mois.

Combien de temps avant de se remettre d'une attaque ?🔗

Techniquement : 7 à 15 jours. Psychologiquement et commercialement : 3 à 6 mois. Anticipez cette phase, ne la sous-estimez pas.

Les attaques coûtent-elles vraiment 162'000 CHF en moyenne ?🔗

Pour une PME suisse de 10-15 personnes, oui, c'est un ordre de grandeur réaliste. Les PME plus petites subissent moins, les plus grosses subissent plus.

Conclusion🔗

Une cyberattaque, c'est un accident industriel. Ça peut arriver à n'importe qui, mais la probabilité dépend de vos mesures de prévention.

Pour une PME suisse, l'investissement de 5'000 à 15'000 CHF par an dans la sécurité n'est pas une dépense, c'est une assurance sur votre capacité à continuer d'exister. En comparaison, le coût moyen d'une attaque réussie est 10 à 30 fois supérieur.

Vous voulez évaluer votre exposition ? Parlons-en. Un audit d'une heure suffit pour identifier vos 3 risques les plus critiques.