Le 5 mars 2024, une PME de 45 salariés spécialisée dans la logistique froide est victime d’une attaque ransomware un vendredi soir. Le lundi matin, l’ensemble des systèmes informatiques est chiffré : ERP, logiciel de gestion des commandes, système de traçabilité des produits, fichiers clients, factures. L’entreprise n’avait pas de Plan de Continuité d’Activité. Dix mois plus tard, elle a perdu 65% de ses clients, subi 1,8 million d’euros de perte d’exploitation et 35% de ses effectifs. Elle a finalement déposé le bilan en janvier 2025.
Ce cas n’est pas une exception. C’est une illustration documentée d’une réalité statistique alarmante.
1. Les chiffres que personne ne veut voir
Selon les données compilées par Cybermalveillance.gouv.fr, l’ANSSI et la CPME pour 2024 :
- 66% des PME victimes d’une cyberattaque sérieuse cessent leur activité dans les 6 mois faute de plan de continuité formalisé
- Le coût moyen d’un incident cyber pour une PME de 10 à 50 salariés est de 35 000 à 120 000 € (rançon, reconstitution des données, perte d’exploitation, frais juridiques)
- Les PME représentent 69% des victimes de cyberattaques recensées en France (ANSSI 2024) — non par négligence, mais parce qu’elles sont moins protégées que les grandes entreprises à attaquer
- La durée moyenne d’arrêt complet d’activité après un ransomware sans PCA est de 21 jours
- La durée avec un PCA opérationnel tombe à 3 à 5 jours
2. Les 5 scénarios de crise que votre PME n’a pas anticipés
Scénario 1 : Ransomware (cryptovirus)
Vos fichiers sont chiffrés, une rançon est demandée (moyenne : 8 000 à 50 000 € pour les PME). Même si vous payez, la restauration prend en moyenne 15 jours. Sans sauvegarde externalisée récente et sans procédure de bascule, vous êtes paralysé.
Scénario 2 : Incendie ou sinistre du site principal
L’incendie d’un entrepôt ou d’un atelier de production peut survenir malgré toutes les précautions. Sans PCA identifiant un site de repli, les contrats de sous-traitance d’urgence et les priorités de production, la reprise est chaotique.
Scénario 3 : Défaillance d’un fournisseur critique
Votre fournisseur exclusif d’un composant clé fait faillite ou cesse brutalement son activité. Sans identification des fournisseurs alternatifs et des délais d’homologation dans un PCA, votre propre production s’arrête.
Scénario 4 : Absence prolongée d’une personne clé
Le dirigeant est hospitalisé. Le directeur de production est en accident grave. Si les processus critiques ne sont documentés que dans la tête de quelques personnes, l’entreprise s’arrête avec elles.
Scénario 5 : Coupure des réseaux ou défaillance de l’ERP
Une panne prolongée de votre ERP (hébergeur défaillant, bug critique) bloque la facturation, les commandes et la logistique simultanément. Sans procédure de fonctionnement dégradé documentée, vos équipes improviseront — avec toutes les erreurs et pertes que cela implique.
3. Ce que contient un PCA efficace
Un Plan de Continuité d’Activité n’est pas un document théorique de 200 pages. C’est un outil opérationnel qui doit répondre à trois questions fondamentales :
- Quelles sont vos activités critiques ? (celles dont l’arrêt menace la survie de l’entreprise dans les 72 heures)
- Quel est votre RTO et RPO ? — Recovery Time Objective (délai maximum tolérable d’interruption) et Recovery Point Objective (perte de données maximum acceptable)
- Qui fait quoi, dans quel ordre, avec quelles ressources ? — Fiches de rôles, contacts d’urgence, procédures pas à pas, ressources de repli
4. PCA et obligations légales : NIS2 est arrivée
La directive européenne NIS2 (Network and Information Security 2), transposée en droit français par l’ordonnance du 15 janvier 2025, impose des obligations de continuité d’activité à un périmètre élargi d’entreprises :
- Secteurs essentiels : énergie, transport, santé, eau, infrastructure numérique, finances
- Secteurs importants : services postaux, gestion des déchets, chimie, alimentation, industrie manufacturière
- Tout fournisseur de ces secteurs peut être inclus dans le périmètre NIS2 par leur donneur d’ordre
Les sanctions prévues par NIS2 vont jusqu’à 10 millions d’euros ou 2% du CA mondial pour les manquements dans les secteurs essentiels, et 7 millions ou 1,4% pour les secteurs importants.
5. Le retour sur investissement d’un PCA
Un PCA réalisé avec ADEMOVA et un consultant certifié coûte entre 3 000 et 15 000 € selon la complexité de l’entreprise. L’assureur cyber moyen offre une réduction de prime de 15 à 30% pour les entreprises dotées d’un PCA formalisé. Sur une prime annuelle cyber de 5 000 €, l’économie amortit le coût du PCA en moins de 3 ans — sans même compter l’évitement potentiel d’un sinistre majeur.
🚨 Test de vulnérabilité en 5 questions
Répondez honnêtement :
- Si votre ERP était indisponible demain matin, combien de temps avant de pouvoir facturer ?
- Qui peut prendre les décisions critiques si le dirigeant est absent 3 semaines ?
- Avez-vous une sauvegarde externalisée testée dans les 30 derniers jours ?
- Avez-vous une liste à jour de vos fournisseurs alternatifs pour vos composants critiques ?
- Vos salariés savent-ils quoi faire et qui appeler en cas de crise cyber ?
Si vous ne pouvez pas répondre à 2 de ces questions ou plus, votre entreprise est en situation de vulnérabilité majeure.