Un matin, un client de longue date pose à Sophie B., associée d'une fiduciaire romande, une question toute simple : « Concrètement, comment protégez-vous mes données comptables ? » Sophie sait que tout est « à peu près en ordre » — mais elle n'a rien à lui montrer. Ce jour-là, la maturité cyber cesse d'être un sujet pour informaticiens : elle devient un argument commercial.
La maturité cyber, un langage que vos clients comprennent
Commençons par le mot. La maturité cyber, c'est le degré de structuration de votre sécurité : non pas la quantité d'outils que vous possédez, mais votre capacité à savoir ce que vous protégez, comment, et à le prouver. Une PME peut avoir un bon antivirus et une maturité faible ; une autre peut avoir des moyens modestes mais une maturité solide parce qu'elle sait exactement où elle en est.
Pour une fiduciaire comme celle de Sophie B., ce n'est pas un détail. Ce qu'elle vend, au fond, c'est la confiance : ses clients lui confient leur comptabilité, leurs salaires, leurs données fiscales. Le jour où un client se demande si ces informations sont bien gardées, la réponse « je pense que oui » ne suffit plus. Une réponse structurée, elle, rassure — et différencie.
On se représente souvent la sécurité comme un interrupteur : on est protégé ou on ne l'est pas. La réalité ressemble davantage à une échelle. On peut la décrire en cinq marches :
- Réactif : on éteint les incendies quand ils surviennent, sans méthode. « On verra si ça arrive. »
- Structuré : quelques procédures existent, mais surtout dans la tête des gens, rarement écrites.
- Documenté : les pratiques sont notées et appliquées de la même façon par tout le monde.
- Mesuré : on suit quelques indicateurs simples et on sait où sont les points faibles.
- Proactif : on anticipe, on teste, on s'améliore avant que le problème n'arrive.
La plupart des PME suisses se situent entre les deux premières marches — et c'est normal. L'intérêt n'est pas de viser tout de suite le sommet, mais de savoir sur quelle marche on se trouve et de gravir la suivante. C'est précisément ce mouvement, visible et racontable, qui devient un avantage concurrentiel.
Camille, notre conseillère cyber, le résume ainsi : « En clair, un client ne vous demande pas d'être parfait. Il vous demande de savoir de quoi vous parlez. Une PME qui reconnaît honnêtement ses deux points faibles et montre son plan pour les corriger inspire plus confiance qu'une PME qui jure que tout va bien. » La maturité, ce n'est pas l'absence de failles : c'est la conscience de ses failles et la méthode pour les traiter.
Ce renversement change la place de la cybersécurité dans votre discours commercial. Tant qu'elle reste un coût invisible, elle passe après la machine à café dans l'ordre des priorités. Le jour où elle devient une réponse claire à un client qui hésite entre vous et un concurrent, elle change de nature : elle rapporte au lieu de coûter. Dans des secteurs où la confidentialité est le cœur du métier — la fiduciaire, le conseil, la santé —, cette capacité à rassurer se transforme en contrats gagnés et en clients qui restent.
Cette lecture par niveaux n'a rien d'ésotérique : elle recoupe la manière dont les cadres reconnus organisent la sécurité. Le NIST CSF 2.0 — un référentiel international qui découpe la cybersécurité en grandes fonctions (gouverner, identifier, protéger, détecter, répondre, rétablir) — sert justement de carte pour se situer. Et la norme ISO/IEC 27001:2022, le langage des donneurs d'ordre et des audits fournisseurs, décrit les bonnes pratiques qu'un client exigeant s'attend à retrouver. On ne parle pas ici de décrocher un certificat, mais de parler la même langue que ceux qui vous évaluent.
Ce qu'il faut retenir
La maturité cyber se démontre, elle ne se déclare pas. Dire « nous prenons la sécurité au sérieux » ne pèse rien face à un client inquiet. Pouvoir montrer où vous en êtes, ce que vous faites déjà et ce que vous prévoyez d'améliorer change tout. La preuve remplace la promesse.
En Suisse, le cadre existe déjà et joue en votre faveur. La nLPD — la nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023 — attend d'une PME qui détient des données sensibles qu'elle prenne des mesures de sécurité « appropriées ». Structurer votre maturité, ce n'est donc pas une contrainte de plus : c'est répondre à une attente légale tout en construisant un argument commercial. Si vous travaillez avec des clients dans l'Union européenne, le RGPD (le règlement européen équivalent) ajoute les mêmes réflexes.
La sécurité n'est pas qu'affaire d'informatique. Une bonne partie de la maturité tient à des décisions d'organisation : qui fait quoi, quelles règles pour valider un paiement, qui a accès à quoi. Ce sont des sujets de dirigeant, pas seulement de prestataire technique. C'est aussi ce qui les rend accessibles à une PME sans informaticien interne : beaucoup de marches se gravissent avec de la rigueur, pas avec un chéquier.
La maturité est un chemin, pas une case à cocher. Personne n'attend d'une fiduciaire de quatorze personnes qu'elle atteigne du jour au lendemain le niveau d'une banque. Ce que vos clients — et l'Office fédéral de la cybersécurité (OFCS/NCSC), la référence suisse en la matière — valorisent, c'est une progression régulière et documentée. Une petite amélioration tous les trimestres vaut mieux qu'un grand projet jamais terminé.
Les gestes à installer cette semaine
Pas besoin de budget ni d'un projet informatique pour amorcer le mouvement. Trois gestes suffisent à passer de « je pense que c'est en ordre » à « voici où nous en sommes ».
1. Cartographier ce que vos clients vous confient
Prenez une feuille et listez les données les plus sensibles que vous détenez : comptabilité, salaires, données fiscales, coordonnées bancaires. Pour chacune, notez où elles sont stockées et qui y a accès. Cet inventaire, même sommaire, est le point de départ de toute maturité : on ne protège bien que ce qu'on a nommé. C'est aussi la première question que posera un client ou un auditeur.
2. Écrire ce que vous faites déjà
Vous appliquez sûrement plus de bonnes pratiques que vous ne le pensez : sauvegardes, mots de passe, prudence sur les factures. Le problème, c'est qu'elles vivent dans les habitudes, pas sur le papier. Consacrez une heure à noter, en quelques lignes, comment ces choses se font chez vous. Passer du tacite à l'écrit, c'est déjà franchir une marche de maturité — et se donner quelque chose à montrer.
3. Se situer honnêtement sur l'échelle
Reprenez les cinq marches plus haut et placez-vous, sans complaisance ni panique. Pour deux ou trois sujets clés — l'accès aux données, les sauvegardes, la vérification des paiements — demandez-vous : réactif, structuré, documenté ? L'honnêteté de cet auto-diagnostic vaut mieux qu'une note flatteuse. Elle vous dit où porter votre prochain effort, et vous donne un récit crédible à partager avec un client.
Où en êtes-vous vraiment ?
Ces trois gestes vous mettent en marche, mais ils restent artisanaux. Pour transformer cette intuition en un état des lieux clair, question par question, il faut une méthode. C'est exactement ce que propose l'auto-évaluation Cyber Passport : elle vous fait parcourir votre maturité cyber sur les domaines qui comptent, en s'appuyant sur des cadres reconnus comme la nLPD, l'ISO 27001:2022 et le NIST CSF 2.0, puis produit un rapport structuré — partageable avec un client ou un auditeur.
Soyons clairs : Cyber Passport ne certifie rien et ne prétend pas vous rendre « conforme ». Il vous montre honnêtement où votre organisation est solide et où elle repose encore sur la confiance interpersonnelle. C'est cette lucidité, et la capacité à la présenter, qui font de la maturité cyber un vrai avantage concurrentiel. Le jour où un client posera à Sophie B. sa question, elle aura enfin quelque chose à répondre — et à montrer.
