Un matin, Sophie B. ouvre un e-mail de l'un de ses plus gros clients. Ce n'est pas une question comptable : c'est une demande de garanties sur la manière dont son cabinet protège les données qu'il lui confie, avant de renouveler le mandat. Pour la première fois, la sécurité informatique cesse d'être un sujet technique lointain — elle devient une condition pour conserver un chiffre d'affaires.
Sophie dirige une fiduciaire. Son métier, au fond, tient en un mot : la confiance. Ses clients lui remettent ce qu'ils ont de plus sensible — salaires, comptes, données fiscales et bancaires. Le jour où cette confiance se fissure, ce ne sont pas des serveurs qu'elle perd, ce sont des mandats.
Pourquoi la cybersécurité touche directement votre chiffre d'affaires
On présente souvent la cybersécurité comme une dépense : un coût technique, une case à cocher, une contrainte de plus. Cette lecture passe à côté de l'essentiel. Pour une PME de services, la sécurité des données n'est pas à côté du chiffre d'affaires — elle est dedans.
Le mécanisme est simple. Vos clients vous confient des informations parce qu'ils vous font confiance. Un incident — une fausse facture payée, une boîte e-mail piratée, un fichier de paie qui fuite — ne coûte pas seulement du temps et de l'argent à réparer. Il abîme cette confiance. Et un client qui doute de la sécurité de ses données ne le dit pas toujours : il part au renouvellement suivant, sans bruit.
L'autre moitié du mécanisme est plus récente, et plus intéressante. De plus en plus, ce sont les clients eux-mêmes qui posent la question avant de signer. Un donneur d'ordre un peu structuré envoie ce qu'on appelle un questionnaire sécurité fournisseur : une liste de questions sur vos pratiques — qui a accès à quoi, comment vous sauvegardez, comment vous réagissez en cas d'incident. Il ne cherche pas à vous piéger ; il cherche à couvrir son propre risque. Car s'il vous confie ses données et que vous les perdez, c'est lui qui devra s'expliquer devant ses propres clients.
En Suisse, ce réflexe est renforcé par la loi. La nLPD (nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023) attend de toute entreprise qui traite des données personnelles qu'elle prenne des mesures de sécurité « appropriées », et qu'elle annonce les violations graves à l'autorité fédérale (le PFPDT). Une PME incapable de dire comment elle protège les données de ses clients n'est donc pas seulement fragile techniquement : elle devient un maillon faible que ses partenaires commencent à éviter.
Un piège guette ici les PME comme celle de Sophie B. : croire que « c'est géré ». Beaucoup de fiduciaires n'ont pas d'informaticien interne et s'appuient sur un prestataire externe, appelé quand quelque chose casse. Ce prestataire est réactif, mais rarement force de proposition sur la sécurité : il répare, il n'anticipe pas. Résultat, le dirigeant pense que le sujet est couvert, alors que personne ne l'a réellement pris en main. Le jour où un client pose ses questions, cette illusion se dissipe d'un coup — et c'est le pire moment pour le découvrir. Savoir ce que fait (et ne fait pas) votre prestataire fait partie de la réponse commerciale.
La réputation joue dans le même sens, en plus discret. Un incident mal vécu ne se solde pas toujours par un titre dans la presse ; il circule d'abord de bouche à oreille, entre chefs d'entreprise d'une même région qui se recommandent leurs prestataires. Dans un tissu de PME suisses où beaucoup de mandats viennent du réseau, cette réputation vaut de l'or — et une faille qui s'ébruite peut tarir une source de clients bien plus sûrement qu'une amende. À l'inverse, une réputation de sérieux sur les données devient un motif de recommandation.
Retournez la logique, et l'argument devient positif. Une entreprise qui sait montrer, calmement, où elle en est de sa sécurité rassure. Elle transforme une contrainte en différence commerciale. Face à deux prestataires équivalents, un client choisit celui qui répond « voici comment nous protégeons vos données » plutôt que celui qui bafouille. La cybersécurité, bien expliquée, n'est plus une dépense défensive : c'est un argument de vente.
Ce qu'il faut retenir
La sécurité protège votre revenu, elle ne le grignote pas. Chaque mandat repose sur la confiance ; chaque incident l'entame. Raisonner « coût de l'attaque » masque le vrai enjeu : le coût des clients qui ne reviennent pas.
Vos clients vous auditent déjà, ou le feront bientôt. Le questionnaire sécurité fournisseur descend des grands groupes vers leurs sous-traitants et prestataires. Être capable d'y répondre devient une condition d'accès aux beaux contrats, pas un luxe.
Vous n'avez pas besoin d'être parfait — vous avez besoin de savoir où vous en êtes. Un client sérieux ne demande pas la perfection ; il demande de la lucidité et une trajectoire. Une PME qui connaît ses points faibles et son plan inspire plus confiance qu'une PME qui affirme n'avoir aucun problème.
Les gestes à installer cette semaine
1. Écrivez en une page comment vous protégez les données clients
Pas un document technique : une page en français, lisible par un client. Où sont stockées les données, qui y a accès, comment vous sauvegardez, qui appeler en cas de problème. L'exercice a deux vertus : il vous prépare à répondre à un client, et il vous fait découvrir vos propres trous. Sophie B. a mis une heure à rédiger la sienne — et a réalisé en l'écrivant que trois anciens collaborateurs avaient encore des accès actifs.
2. Verrouillez l'accès à vos données les plus sensibles
Activez la double authentification (MFA) — en plus du mot de passe, une deuxième preuve, par exemple un code sur votre téléphone — sur votre messagerie et votre logiciel métier. C'est le geste qui offre le meilleur rapport effort/protection, et c'est précisément le genre de mesure qu'un client aime entendre : concrète, vérifiable, sans jargon.
3. Préparez votre réponse au « comment protégez-vous mes données ? »
Ne la découvrez pas le jour où un gros client la pose. Décidez qui, dans le cabinet, répond à cette question, avec quels éléments. Une réponse posée et honnête — « voici ce que nous faisons, voici ce que nous améliorons » — vaut mieux qu'une promesse creuse. Gardez sous la main votre page de la première étape : elle sert de trame à toutes vos réponses. Et rien n'oblige à improviser : un client bien traité sur ce terrain se sent respecté, pas inspecté. C'est souvent là que se joue, discrètement, la différence entre un mandat qu'on garde et un contrat qui file par simple manque de préparation.
Où en êtes-vous vraiment ?
Ces trois gestes ouvrent la porte, mais ils ne remplacent pas une vision d'ensemble. La vraie question d'un dirigeant n'est pas « suis-je attaqué ? » mais « suis-je capable de montrer, à un client ou à un auditeur, que je prends le sujet au sérieux ? ».
C'est exactement ce que structure une auto-évaluation Cyber Passport : un état des lieux, question par question, de là où votre organisation est solide et de là où elle repose encore sur la confiance et l'habitude. Le résultat est un rapport clair, partageable avec un client ou un auditeur. Cyber Passport ne certifie rien et ne promet aucune conformité — il vous donne la lucidité et le langage pour faire de votre sécurité un atout, pas une zone d'ombre. Et transformer cette zone d'ombre en argument, c'est agir directement sur votre chiffre d'affaires.
