Un lundi matin, Daniel A. pousse la porte de son atelier et trouve les machines à l'arrêt. Les écrans de supervision affichent un message qu'il ne comprend pas, et Marc K., son référent informatique à mi-temps, est déjà au téléphone, livide. Personne, ce matin-là, ne sait encore ce qu'une cyberattaque va vraiment coûter — et c'est justement ce flou qui fait le plus mal.
Le coût d'une cyberattaque ne se résume pas à la rançon
Quand on parle de cyberattaque, on imagine une rançon à payer : une somme réclamée par des pirates pour rendre l'accès aux fichiers. C'est l'image du ransomware (rançongiciel : un logiciel qui chiffre vos données, les rend illisibles, puis exige un paiement en échange de la clé). Mais dans une PME industrielle comme celle de Daniel A., la rançon n'est presque jamais le poste le plus lourd.
Dans une entreprise d'usinage, une partie du système ne ressemble pas à des ordinateurs de bureau : ce sont les machines elles-mêmes, leurs automates et le poste qui les pilote — ce qu'on appelle l'OT (les technologies « opérationnelles », par opposition à l'informatique de bureau). Souvent, ce poste de supervision tourne sur un vieux système qu'on ne met plus à jour, « parce que le logiciel de la machine ne supporte pas mieux ». Et très souvent, l'atelier et les bureaux partagent le même réseau, à plat. Résultat : un e-mail piégé ouvert à la comptabilité peut, de proche en proche, atteindre la machine qui usine. C'est ce qui transforme un incident informatique ordinaire en arrêt de production.
Une fois l'atelier immobilisé, la facture se construit en silence, sur plusieurs postes qu'on ne voit pas venir. C'est ce qui rend le coût d'une cyberattaque si trompeur : le montant qui fait les gros titres — la rançon — est presque toujours le plus petit morceau de l'addition. Le reste ne s'affiche nulle part le lundi matin ; il se révèle jour après jour, à mesure que l'entreprise essaie de reprendre sa marche normale. Pour Marc K., qui « éteint les incendies » tout seul, c'est aussi une charge invisible : chaque heure passée à reconstruire est une heure qui ne va pas au reste de l'entreprise.
Le premier, c'est l'arrêt de production. Une chaîne d'usinage qui ne tourne pas, ce sont des commandes qui prennent du retard, des délais promis à un donneur d'ordre qui ne seront pas tenus, des collaborateurs payés à attendre. Ce coût-là ne se compte pas en heures, mais souvent en jours : le temps de comprendre, de nettoyer, puis de tout remettre en route. Pour un atelier, c'est presque toujours le poste dominant — bien avant la rançon.
Le deuxième, c'est la restauration technique. Remettre debout les serveurs, réinstaller les postes, reconstituer les données à partir des sauvegardes — quand elles existent et qu'elles fonctionnent vraiment. Beaucoup de PME découvrent à ce moment-là que leurs sauvegardes n'avaient jamais été testées, ou qu'elles étaient branchées sur le même réseau que le reste, et donc chiffrées elles aussi. Pendant tout ce temps, la facture du prestataire externe, elle, continue de tourner.
Le troisième poste est le plus discret et le plus durable : la confiance. Un donneur d'ordre qui apprend que son sous-traitant a été paralysé se demande si ses plans techniques — sa propriété intellectuelle — sont toujours confidentiels. Il peut exiger des garanties, décaler une commande, ou simplement regarder ailleurs. Ce coût-là ne figure sur aucune facture, mais il se paie sur les mois qui suivent.
S'ajoute enfin la dimension réglementaire. Si des données personnelles sont touchées — un carnet de clients, des données RH —, la nLPD (la loi suisse sur la protection des données) attend du responsable qu'il prenne des mesures de sécurité appropriées et, en cas de violation susceptible d'entraîner un risque élevé pour les personnes, qu'il l'annonce au Préposé fédéral (PFPDT). Gérer cela en pleine crise, sans y avoir pensé avant, ajoute du temps et du stress à un moment où l'on en manque déjà.
Aucun de ces postes ne se laisse chiffrer à l'avance avec précision, et c'est précisément pour cela qu'il vaut mieux raisonner en ordres de grandeur qu'en promesses. Ce qu'on peut dire sans se tromper, c'est le classement : dans une PME qui produit, l'arrêt pèse le plus lourd, la restauration vient ensuite, et la confiance perdue est celle qui met le plus de temps à se reconstruire. Connaître ce classement, c'est déjà savoir où concentrer ses efforts avant l'incident, plutôt que de tout découvrir en même temps le jour où il arrive.
En clair (Camille). La bonne question n'est pas « combien coûte la rançon », mais « combien me coûte une journée où plus rien ne tourne, multipliée par le nombre de jours qu'il me faut pour repartir ». Cette phrase-là remet le risque à sa vraie place — et elle ne demande aucune compétence technique pour y répondre.
Ce qu'il faut retenir
- Le vrai coût d'une cyberattaque, c'est l'addition de plusieurs postes invisibles : l'arrêt de production, la remise en état, la confiance des clients, les obligations légales. La rançon, quand il y en a une, n'est souvent que la partie émergée.
- Une PME industrielle est particulièrement exposée parce que son atelier et sa bureautique partagent souvent le même réseau : une infection qui commence sur un e-mail de la compta peut finir sur la machine qui usine.
- Ce coût n'est pas une fatalité. On ne le réduit jamais à zéro, mais on le rend beaucoup plus supportable en préparant, à froid, ce qui se joue à chaud.
Les gestes à installer cette semaine
1. Mettez un chiffre sur une journée d'arrêt
Prenez dix minutes avec votre responsable de production. Combien de commandes une journée sans atelier fait-elle glisser ? Combien de personnes se retrouvent à attendre ? Ce montant, même approximatif, en francs, est votre vraie exposition. Il transforme un risque abstrait en une décision d'affaires — et il ne demande aucun outil informatique.
2. Demandez à voir une restauration, pas une sauvegarde
« On a des sauvegardes » ne veut rien dire tant qu'on n'a pas vérifié qu'on sait vraiment remonter à partir d'elles. En tant que dirigeant, vous n'avez pas à le faire vous-même : demandez simplement à votre référent ou à votre prestataire de vous montrer un fichier réellement restauré, et en combien de temps. La réponse — ou son absence — vous dira où vous en êtes.
3. Écrivez votre annuaire de crise avant la crise
Sur une seule page : qui appeler si tout s'arrête. Votre prestataire informatique, votre assurance (avec le numéro de contrat), l'Office fédéral de la cybersécurité (OFCS/NCSC), qui reçoit les signalements, et le PFPDT si des données personnelles sont concernées. Chercher ces numéros pendant l'incident, c'est perdre les heures qui coûtent le plus cher.
Où en êtes-vous vraiment ?
Ces trois gestes ne suppriment pas le risque — rien ne le supprime — mais ils font passer le coût d'une cyberattaque de l'inconnu au maîtrisable. Reste une question honnête : au-delà de ces premiers pas, où votre organisation est-elle vraiment solide, et où repose-t-elle sur l'espoir que « ça n'arrivera pas ici » ?
C'est exactement ce que l'auto-évaluation Cyber Passport met à plat, question par question, sans jargon. Elle ne certifie rien et ne vous déclare pas « protégé » : elle vous montre noir sur blanc vos points d'appui et vos angles morts, dans un rapport que vous pouvez partager avec un client ou un auditeur. De quoi décider, à froid, ce que vous préparez avant le prochain lundi matin compliqué.
