Guide ANSSI TPE/PME 2026 : 13 mesures + checklist

L’essentiel. L’ANSSI met à disposition des TPE/PME un socle de 13 mesures essentielles de cybersécurité, gratuites et applicables sans compétence technique avancée : inventaire, sauvegardes, mises à jour, antivirus, mots de passe et MFA, pare-feu, sécurité de la messagerie, séparation des usages, Wi-Fi, terminaux mobiles, déplacements, gestion des incidents et sensibilisation. La bonne méthode n’est pas de tout faire d’un coup, mais de prioriser : sauvegardes, mises à jour, MFA et antivirus d’abord (mois 1-3), le reste ensuite. Ces mesures recoupent largement vos obligations légales (RGPD art. 32, NIS2). Ci-dessous : chaque mesure expliquée, une checklist priorisée et une fourchette de budget.

Les TPE et PME sont devenues des cibles privilégiées des cyberattaquants. Leur vulnérabilité tient à une combinaison de facteurs : ressources limitées en sécurité informatique, absence fréquente de personnel dédié et sous-estimation du risque. Or une attaque par rançongiciel peut menacer la survie même de l’entreprise : selon plusieurs études, une part significative des PME victimes d’une attaque grave ne s’en relèvent pas dans les mois qui suivent. Face à ce constat, l’ANSSI a publié un guide pratique destiné aux TPE/PME, articulé autour de 13 mesures essentielles de cybersécurité. Cet article analyse chacune de ces mesures, leur mise en œuvre concrète et les obligations légales qui les sous-tendent.

I. Contexte et enjeux pour les TPE/PME

A. Un paysage de menaces en mutation

Les cyberattaques ne visent plus uniquement les grandes entreprises. Les TPE/PME sont devenues des cibles de choix pour plusieurs raisons. D’abord, elles disposent rarement de dispositifs de sécurité sophistiqués, ce qui en fait des proies faciles. Ensuite, elles constituent des portes d’entrée vers les grandes entreprises dont elles sont fournisseurs ou sous-traitantes : les attaques par la chaîne d’approvisionnement exploitent précisément cette faiblesse. Enfin, les rançongiciels fonctionnent selon un modèle de volume : les attaquants ciblent un grand nombre de victimes, y compris de petite taille, pour maximiser les rançons.

Les attaques les plus fréquentes contre les TPE/PME sont l’hameçonnage (phishing, point d’entrée de la majorité des attaques), les rançongiciels, la fraude au président et la compromission de messagerie professionnelle (BEC). Le point commun de ces attaques est qu’elles exploitent d’abord le facteur humain — un clic sur un lien piégé, une pièce jointe ouverte, un virement autorisé sous pression — avant tout dispositif technique. C’est pourquoi la sensibilisation (mesure 13) est aussi déterminante que les outils : un antivirus n’arrête pas un salarié qui saisit ses identifiants sur une fausse page de connexion.

B. Le cadre réglementaire applicable

Les TPE/PME ne sont pas exemptées des obligations de sécurité. Le RGPD impose à toute organisation traitant des données personnelles de mettre en œuvre des mesures de sécurité appropriées (article 32). Les mesures de sécurité attendues par la CNIL s’appliquent aux TPE/PME de manière proportionnée mais réelle, et la CNIL a déjà sanctionné des PME pour des manquements élémentaires.

Pour certaines TPE/PME, la directive NIS2 est également applicable. Les seuils de taille qu’elle retient (50 salariés ou 10 millions d’euros de chiffre d’affaires) incluent une part significative des PME, en particulier dans les secteurs couverts. Les sanctions NIS2 peuvent atteindre 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial pour les entités importantes — un risque existentiel pour une PME.

II. Les 13 mesures essentielles

Mesure 1 : Connaître son système d’information

On ne sécurise pas ce que l’on ne connaît pas. L’ANSSI recommande de dresser un inventaire complet des équipements (serveurs, postes, équipements réseau, périphériques), des logiciels, des données traitées et des interconnexions avec l’extérieur.

Mise en œuvre. Créer et maintenir un tableau de bord listant l’ensemble des actifs informatiques, avec leur localisation, leur propriétaire, les données qu’ils hébergent et leur criticité. Cet inventaire est aussi une exigence de la norme ISO 27001 (annexe A — inventaire des actifs) et le point de départ de tout audit de sécurité.

Mesure 2 : Effectuer des sauvegardes régulières

Les sauvegardes sont la dernière ligne de défense contre les rançongiciels. L’ANSSI recommande la règle du 3-2-1 : 3 copies des données, sur 2 supports différents, dont 1 hors site.

Mise en œuvre. Définir une fréquence adaptée (quotidienne pour les données critiques), utiliser un support déconnecté du réseau (pour résister au chiffrement par rançongiciel), et tester régulièrement la restauration. Une sauvegarde jamais testée est une sauvegarde dont on ignore si elle fonctionne.

Mesure 3 : Appliquer les mises à jour

Les vulnérabilités logicielles non corrigées sont l’un des principaux vecteurs d’attaque. L’ANSSI recommande d’appliquer les correctifs de sécurité dans les meilleurs délais, en priorité sur les systèmes exposés sur internet.

Mise en œuvre. Activer les mises à jour automatiques quand c’est possible, suivre les correctifs des logiciels qui ne les automatisent pas, et supprimer les logiciels en fin de vie. L’usage de composants obsolètes est régulièrement retenu par la CNIL comme un manquement à la sécurité des données de l’article 32.

Mesure 4 : Utiliser un antivirus

L’antivirus reste une mesure de base indispensable, même s’il ne suffit plus à lui seul. L’ANSSI recommande d’en déployer un sur l’ensemble des postes et serveurs, et de le maintenir à jour.

Mise en œuvre. Choisir une solution reconnue (les versions professionnelles offrent une gestion centralisée adaptée aux petites structures), configurer les analyses automatiques, ne jamais le désactiver pour des raisons de performance.

Mesure 5 : Mettre en œuvre une politique de mots de passe

Les mots de passe faibles ou réutilisés sont à l’origine de nombreuses compromissions. L’ANSSI et la CNIL convergent sur les recommandations.

Mise en œuvre. Imposer une longueur minimale de 12 caractères avec complexité, interdire la réutilisation entre services, déployer un gestionnaire de mots de passe, et activer l’authentification multifacteur (MFA) sur tous les services qui le permettent — en priorité la messagerie et les accès distants. Le chiffrement des données et la gestion des identifiants sont étroitement liés.

Mesure 6 : Activer le pare-feu

Le pare-feu filtre les communications réseau et constitue une barrière essentielle contre les intrusions.

Mise en œuvre. Activer les pare-feu intégrés aux systèmes d’exploitation, configurer celui de la box ou du routeur d’entreprise, n’ouvrir que les ports strictement nécessaires, bloquer par défaut tout trafic non explicitement autorisé.

Mesure 7 : Sécuriser la messagerie

La messagerie est le vecteur d’attaque numéro un. L’ANSSI recommande une protection à plusieurs niveaux.

Mise en œuvre. Déployer un filtre anti-spam et anti-hameçonnage, configurer les protocoles d’authentification des courriels (SPF, DKIM, DMARC), sensibiliser les collaborateurs à la détection des messages frauduleux, interdire l’ouverture automatique des pièces jointes. La messagerie est le point d’entrée qui conduit ensuite à des incidents relevant de la procédure en cas de fuite de données.

Mesure 8 : Séparer les usages

L’ANSSI recommande de séparer usages professionnels et personnels et de cloisonner les environnements.

Mise en œuvre. Encadrer strictement l’usage personnel des équipements professionnels, ne pas utiliser le compte administrateur pour les tâches quotidiennes, séparer le Wi-Fi invité du réseau interne, éviter de brancher des périphériques USB non maîtrisés. Le télétravail accentue ces enjeux de cloisonnement et mérite un encadrement dédié.

Mesure 9 : Maîtriser l’accès Wi-Fi

Le Wi-Fi est un point d’accès potentiel au réseau s’il n’est pas correctement sécurisé.

Mise en œuvre. Utiliser le protocole WPA3 (WPA2 au minimum), définir un mot de passe robuste, le changer régulièrement, créer un réseau séparé pour les visiteurs sans accès au réseau interne, désactiver le WPS.

Mesure 10 : Protéger les terminaux mobiles

Smartphones et tablettes professionnels sont des cibles en raison de la richesse des données qu’ils contiennent.

Mise en œuvre. Activer le chiffrement des appareils, imposer un code de verrouillage robuste, activer l’effacement à distance, n’installer que des applications de sources fiables, maintenir les systèmes à jour.

Mesure 11 : Être prudent lors des déplacements

Les déplacements exposent à des risques spécifiques : vol ou perte d’équipements, espionnage sur les réseaux publics.

Mise en œuvre. Utiliser un VPN pour toute connexion depuis un réseau non maîtrisé, ne pas laisser les équipements sans surveillance, éviter les bornes de recharge USB publiques, utiliser un filtre de confidentialité sur l’écran.

Mesure 12 : Gérer les incidents de sécurité

Même bien protégée, une organisation peut subir un incident. La capacité à réagir vite est déterminante.

Mise en œuvre. Définir une procédure de signalement claire et connue de tous, identifier les contacts d’urgence (prestataire IT, ANSSI via le CERT-FR, forces de l’ordre), préparer un kit de réponse minimal. La gestion des incidents de sécurité doit être formalisée, même simplement. Lorsque l’incident touche des données personnelles, il faut savoir enchaîner sur la notification de violation à la CNIL sous 72 heures.

Mesure 13 : Sensibiliser les collaborateurs

La mesure la plus transversale : les dispositifs techniques sont inopérants si les collaborateurs ne les comprennent pas.

Mise en œuvre. Organiser des sessions régulières, diffuser des alertes, afficher les règles essentielles, varier les supports (vidéos courtes, quiz, simulations d’hameçonnage). Une charte informatique formalise ces règles et leur donne une portée opposable. Le RSSI, même externalisé, en est le pilote naturel.

III. Checklist priorisée et calendrier de mise en œuvre

Inutile de tout déployer simultanément. Voici l’ordre de priorité recommandé, du plus impactant au plus mature.

Priorité	Mesure	Effort	Impact
1	Sauvegardes 3-2-1 testées	Faible	Très élevé
2	Mises à jour automatiques	Faible	Très élevé
3	MFA + gestionnaire de mots de passe	Faible	Très élevé
4	Antivirus sur tous les postes	Faible	Élevé
5	Inventaire des actifs	Moyen	Élevé
6	Pare-feu configuré	Faible	Élevé
7	Messagerie (SPF/DKIM/DMARC + filtre)	Moyen	Élevé
8	Séparation des usages / comptes non-admin	Moyen	Élevé
9	Sécurisation du Wi-Fi	Faible	Moyen
10	Politique terminaux mobiles	Moyen	Moyen
11	VPN pour les nomades	Faible	Moyen
12	Procédure de gestion des incidents	Moyen	Élevé
13	Programme de sensibilisation continu	Moyen	Très élevé

Phase 1 — les fondamentaux (mois 1-3) : sauvegardes, mises à jour, MFA sur la messagerie, antivirus. Ce sont les quatre mesures qui bloquent la majorité des attaques opportunistes.

Phase 2 — consolidation (mois 3-6) : inventaire, pare-feu, sécurisation de la messagerie, comptes non-administrateurs.

Phase 3 — maturité (mois 6-12) : Wi-Fi, terminaux mobiles, VPN, procédure d’incident, sensibilisation continue.

Cette approche progressive construit un socle solide sans investissement disproportionné. Le guide complet de l’ANSSI est téléchargeable gratuitement et fournit des fiches pratiques pour chaque mesure.

IV. Quel budget prévoir ?

Les 13 mesures ne supposent pas un budget considérable. La plupart reposent sur de la configuration et de la rigueur, pas sur des outils coûteux.

Structure	Budget annuel indicatif	Ce qu’il couvre
TPE (< 10 salariés)	2 000 – 5 000 €	Antivirus, gestionnaire de mots de passe, sauvegarde cloud, accompagnement ponctuel
PME (~ 50 salariés)	10 000 – 30 000 €	Prestataire de services managés (supervision, gestion des incidents), MFA généralisée, formation

Ces montants sont à comparer au coût moyen d’une cyberattaque pour une PME, estimé par différentes études entre plusieurs dizaines et plusieurs centaines de milliers d’euros — sans compter l’atteinte à la réputation et le risque de sanction RGPD en cas de violation de données.

Fourchettes indicatives fournies à titre documentaire — à adapter à votre contexte. Mise à jour de juillet 2026.

V. Au-delà des 13 mesures

Les 13 mesures de l’ANSSI constituent un socle minimal. Pour les PME soumises à des obligations spécifiques (RGPD, NIS2, réglementations sectorielles), des mesures complémentaires sont nécessaires.

La conformité à la checklist NIS2 requiert un niveau de maturité supérieur en gestion des risques, notification d’incidents et sécurité de la chaîne d’approvisionnement. Le règlement DORA impose des obligations additionnelles aux entreprises du secteur financier. Pour structurer la démarche côté données personnelles, un audit RGPD identifie les écarts entre les mesures en place et les exigences applicables.

La documentation de conformité — registre des traitements, suivi des mesures de sécurité de l’article 32, traçabilité des violations — devient vite lourde à tenir manuellement. Un logiciel RGPD permet d’industrialiser cette documentation et de relier les mesures de sécurité aux traitements qu’elles protègent.

La certification ISO 27001, bien qu’exigeant un investissement significatif, constitue un objectif de maturité à moyen terme pour les organisations qui veulent structurer durablement leur sécurité et s’en différencier sur leurs marchés.

FAQ

Le guide ANSSI a-t-il une valeur contraignante ?

Le guide de l’ANSSI n’a pas de valeur juridique contraignante en tant que tel : c’est un référentiel de bonnes pratiques. Toutefois, les mesures qu’il préconise recoupent largement des obligations légales existantes. L’article 32 du RGPD impose des mesures de sécurité appropriées, et la CNIL considère les recommandations de l’ANSSI comme un standard de référence pour apprécier ce caractère « approprié ». En cas de contrôle, l’absence des mesures élémentaires recommandées sera difficile à justifier.

Quel budget prévoir pour les 13 mesures ?

Pour une TPE de moins de 10 salariés, comptez 2 000 à 5 000 € par an (antivirus, gestionnaire de mots de passe, sauvegarde cloud, accompagnement ponctuel). Pour une PME de 50 salariés, 10 000 à 30 000 € par an, incluant un prestataire de services managés pour la supervision et la gestion des incidents. Ces montants restent faibles au regard du coût d’une cyberattaque réussie.

Une TPE/PME peut-elle être sanctionnée par la CNIL pour défaut de sécurité ?

Oui. La CNIL ne fait pas de distinction de taille en matière d’obligation de sécurité : les mesures sont proportionnées au risque, mais le socle minimal s’applique à toutes les organisations. La CNIL a sanctionné des structures de petite taille pour des manquements élémentaires (absence de chiffrement, mots de passe trop faibles, défaut de sauvegarde). Sa procédure simplifiée de sanction facilite le traitement des dossiers visant de petites structures.

Par où commencer quand on part de zéro ?

Par les quatre mesures de la phase 1 : sauvegardes 3-2-1 testées, mises à jour automatiques, MFA sur la messagerie et antivirus. Elles sont peu coûteuses, rapides à déployer et bloquent la majorité des attaques opportunistes. Le reste peut suivre par paliers sur 6 à 12 mois.

Faut-il nommer un RSSI dans une TPE/PME ?

Ce n’est pas une obligation légale générale, sauf dans certains secteurs réglementés. Mais désigner un référent sécurité — même à temps partiel ou externalisé — est fortement recommandé : il pilote la mise en œuvre des mesures, assure la veille et constitue le point de contact en cas d’incident. Pour les structures qui ne peuvent pas internaliser cette fonction, un prestataire de services de sécurité managés (MSSP) est une solution accessible. Voir le rôle et les missions du RSSI.

Les 13 mesures suffisent-elles pour être conforme au RGPD ?

Elles couvrent l’essentiel du volet sécurité de l’article 32, mais la conformité RGPD ne s’y limite pas : il faut aussi tenir un registre des traitements, documenter les bases légales, informer les personnes, encadrer les sous-traitants et savoir gérer les violations. Les 13 mesures sont un socle technique nécessaire, pas une conformité complète.