Un lundi matin, Sophie B. arrive à la fiduciaire et le logiciel comptable refuse de s'ouvrir. Les salaires d'un client doivent partir dans l'après-midi, un autre attend sa déclaration de TVA. En une heure d'attente, elle formule pour la première fois une évidence : toute l'activité du cabinet tient à quelques outils qui fonctionnent — et à la confiance de clients qui lui confient leurs chiffres les plus sensibles.
Ce matin-là, ce n'était qu'une mise à jour ratée. Mais la question qui reste est la bonne : que se passe-t-il, pour une PME, le jour où les outils ne répondent plus ? La cybersécurité n'est pas d'abord une affaire de technique. C'est une affaire de continuité d'activité et de confiance. Et, contrairement à ce qu'on croit souvent, c'est un sujet qui se travaille par petites étapes.
La cybersécurité, d'abord une question de continuité d'activité
Parlons clair. La continuité d'activité, c'est simplement votre capacité à continuer de travailler — ou à repartir vite — quand quelque chose se casse : une panne, un blocage, une erreur humaine, un incident de sécurité. Ce n'est pas un concept d'informaticien. C'est la réponse à une question très concrète : « Si tel outil s'arrête demain matin, est-ce que je peux quand même servir mes clients cet après-midi ? »
Pour une fiduciaire, la réponse est vitale, parce que le cabinet ne vend pas un produit qu'on peut refaire plus tard. Il vend deux choses : la fiabilité et la confidentialité. Un client vous remet ses salaires, ses comptes, ses données fiscales, parce qu'il sait que vous serez au rendez-vous et que ses chiffres ne se retrouveront pas dans la nature. Le jour où un système se bloque, ou pire, où des données fuient, ce n'est pas seulement une gêne technique : c'est la promesse faite au client qui se fissure.
Le point souvent mal compris, c'est que la plupart des interruptions n'ont rien de spectaculaire. Ce n'est pas forcément une attaque de cinéma. C'est un poste chiffré par un logiciel malveillant (ce qu'on appelle un rançongiciel — un programme qui verrouille vos fichiers et réclame une rançon), une boîte mail piratée parce qu'un mot de passe traînait, une sauvegarde qu'on croyait bonne et qui ne se restaure pas. Autrement dit : des situations ordinaires, qui deviennent graves seulement quand quelques gestes simples n'ont pas été installés.
Beaucoup de dirigeants de PME partent du principe que « l'informatique, c'est le prestataire qui gère ». Le prestataire fait souvent du bon travail sur ce qu'on lui demande — mais il intervient à la demande, il n'est pas là pour décider à votre place ce qui compte pour votre activité. La continuité, elle, reste une décision de dirigeant : c'est vous qui savez que la paie du 25 ne peut pas attendre.
Il y a une deuxième dimension, plus discrète, mais tout aussi décisive : la confiance. Un client qui apprend que son cabinet a perdu l'accès à ses dossiers pendant trois jours ne retient pas la cause technique — il retient qu'il n'a pas pu compter sur vous. Et un client qui doute de la sécurité de ses données ne le dit pas toujours : il part au renouvellement, sans bruit. À l'inverse, une PME capable de répondre calmement à la question « que se passe-t-il si un incident survient ? » rassure et se distingue. La cybersécurité, vue sous cet angle, n'est pas un coût défensif : c'est un argument de sérieux.
Ce qu'il faut retenir
Trois idées suffisent à changer de regard sur le sujet.
La cyber n'est pas un sujet IT, c'est un sujet de continuité et de confiance. La vraie question n'est pas « suis-je à la pointe de la technologie ? » mais « mon activité tient-elle debout si un outil tombe, et est-ce que mes clients peuvent continuer à me faire confiance ? ». Formulé ainsi, le sujet redevient le vôtre, pas celui d'un spécialiste.
La plupart des risques se réduisent avec des gestes simples. On imagine des budgets et des projets lourds. Dans les faits, les mesures qui protègent le mieux une PME sont peu coûteuses et tiennent surtout à des habitudes : savoir de quoi dépend votre activité, protéger vos accès, vérifier vos sauvegardes. C'est gérable, et ça ne demande pas d'être informaticien.
En Suisse, la loi attend du proportionné, pas du parfait. La nLPD — la nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — demande à toute organisation qui détient des données personnelles de prendre des mesures de sécurité « appropriées ». Le mot compte : appropriées à votre taille et à vos moyens. Personne n'attend d'un petit cabinet le dispositif d'une banque. On attend des bases solides et des choix conscients.
Les gestes à installer cette semaine
Voici par où commencer, sans budget particulier et sans compétence technique. Trois gestes, faisables en quelques heures réparties sur la semaine.
1. Savoir de quoi dépend votre activité
Prenez une feuille et listez ce sans quoi le cabinet s'arrête : le logiciel comptable, la messagerie, l'accès aux dossiers clients, le système de paie. Pour chacun, notez deux choses : où sont les données (sur un serveur suisse ? chez un éditeur ? sur un poste ?) et qui appeler si ça tombe. Cette liste tient sur une page. Elle vaut de l'or le jour d'un incident, parce qu'elle transforme la panique en une suite d'étapes connues. C'est aussi la base de tout ce qui suit : on ne protège bien que ce qu'on a d'abord rendu visible.
2. Protéger vos accès avec la double authentification
La double authentification (souvent appelée MFA) consiste à exiger, en plus du mot de passe, une deuxième preuve — le plus souvent un code ou une validation sur votre téléphone. Concrètement, même si un mot de passe est deviné ou volé, la porte reste fermée. Activez-la en priorité sur votre messagerie et sur le logiciel métier, là où transitent les données clients. La plupart des services professionnels comme Microsoft 365 la proposent sans surcoût : c'est une question de réglage, pas d'investissement. Demandez-le à votre prestataire cette semaine, et faites-en la règle pour tout le monde, associés compris.
3. Vérifier que vous pourriez vraiment repartir
« On a des sauvegardes » est une phrase rassurante — et insuffisante. Une sauvegarde ne vaut que si elle se restaure. Le geste concret : demandez qu'on teste une restauration réelle, c'est-à-dire qu'on récupère effectivement un dossier récent depuis la sauvegarde, pour vérifier que le fichier revient et qu'il est complet. Notez la date du test. Si personne ne peut vous dire quand la dernière restauration a été essayée, vous venez d'identifier votre point faible le plus important — et le plus simple à corriger.
Où en êtes-vous vraiment ?
Ces trois gestes vous mettent en mouvement, mais ils ne répondent pas à la vraie question de fond : sur l'ensemble de votre activité, où êtes-vous solide, et où reposez-vous encore sur la chance ou sur la confiance interpersonnelle ? C'est précisément ce que fait une auto-évaluation Cyber Passport. Elle ne certifie rien et ne promet aucune conformité : elle vous montre, question par question, l'état réel de votre continuité d'activité et de votre protection des données, puis vous aide à prioriser. Vous obtenez un état des lieux clair, que vous pouvez aussi partager avec un client ou un auditeur qui vous demande « comment vous protégez mes données ».
Commencer ne veut pas dire tout régler d'un coup. Cela veut dire savoir où vous en êtes, et avancer dans le bon ordre. C'est gérable — voici le point de départ.
