La cybersécurité des PME, sans catastrophisme ni jargon.

Une PME n’a pas besoin d’un SOC de multinationale. Elle a besoin de mesures proportionnées à son exposition réelle, d’équipes averties — et d’un partenaire capable d’agir vraiment quand l’incident survient.

Demander un audit de posture Par quoi commencer

Le contexte

Ce que la Belgique a réellement vécu en 2025.

Trois chiffres publics, publiés par le Centre pour la Cybersécurité Belgique. Ils ne sont pas là pour vous inquiéter : ils disent simplement que la menace la plus fréquente n’est pas la plus spectaculaire.

Notifications au CCB

Le signalement est devenu la norme

Le Centre pour la Cybersécurité Belgique a reçu 635 notifications d’incidents en 2025, dont 556 de nature cyber — près de 70 % de plus qu’en 2024. Toute entreprise peut signaler un incident au CCB, même sans y être obligée.

Comptes compromis

La menace n°1 ne fait aucun bruit

Les compromissions de compte ont doublé en un an, à 144 cas : c’est désormais la première menace recensée en Belgique, devant le rançongiciel (105 cas). Un mot de passe volé n’affiche pas de message de rançon — il se connecte, lit, attend, et facture à votre place.

Messages suspects signalés

0^M

Vos équipes sont en première ligne

Près de dix millions de messages suspects ont été transmis à suspicious@safeonweb.be en 2025 par des citoyens et des employés belges. Le meilleur capteur du pays est humain — c’est pour cela que la sensibilisation compte autant que les outils.

Centre pour la Cybersécurité Belgique — chiffres clés 2025.

La démarche

Avant, pendant, après.

Trois temps, une même exigence : des mesures proportionnées à votre exposition réelle, jamais un catalogue vendu à la peur.

Avant l’incident

Réduire l’exposition, méthodiquement.

La majorité des incidents que nous avons traités exploitaient des faiblesses connues et corrigeables. Le travail de prévention est le meilleur investissement sécurité d’une PME.

Audit de posture : état des lieux factuel de votre exposition
Durcissement Microsoft 365 : MFA généralisé, accès conditionnel, protection de la messagerie
Sauvegardes testées régulièrement — une sauvegarde jamais restaurée n’est pas une sauvegarde
Sensibilisation des équipes : phishing, fraude au président, bonnes pratiques

Pendant l’incident

Une réponse structurée, pas de la panique.

Nous avons géré des compromissions de messagerie (BEC) et accompagné une reconstruction complète post-ransomware. Quand l’incident survient, chaque heure compte et chaque action doit être dans le bon ordre.

Confinement immédiat : isoler ce qui doit l’être, préserver ce qui peut l’être
Analyse des journaux de connexion pour reconstituer le déroulé
Éviction de l’attaquant : révocation des accès, réinitialisations, fermeture des portes d’entrée
Communication maîtrisée vers vos équipes, clients et partenaires

Après l’incident

En sortir plus fort qu’avant.

Un incident bien traité devient un point de bascule : l’occasion de reconstruire sur des bases saines et de mettre l’organisation à niveau durablement.

Plan de résilience complet, priorisé par impact
Architecture revue et corrigée sur les points exploités
Supervision renforcée sur les signaux qui ont manqué
Suivi dans la durée : la posture se maintient, elle ne se décrète pas

Le socle

Six mesures couvrent l’essentiel. Commencez par elles.

Une PME n’a pas besoin de tout faire. Six mesures couvrent la très grande majorité de ce que nous rencontrons sur le terrain. Elles se mettent en place en quelques semaines, sans changer vos outils — et souvent en activant ce que vos licences comprennent déjà.

01
Le double facteur, partout, sans exception
Sur la messagerie, l’accès distant et les comptes administrateurs. C’est la mesure qui arrête le plus d’incidents pour le moins d’effort. Les exceptions consenties « juste pour cette personne » sont exactement les portes que nous retrouvons ouvertes après coup.
02
Une sauvegarde hors d’atteinte, et restaurée pour de vrai
Une copie que le réseau ne peut ni modifier ni effacer, et au moins une restauration réelle effectuée devant vous, chronomètre en main. Cela vaut aussi pour Microsoft 365 : Microsoft assure la disponibilité de son service et conserve vos éléments supprimés un temps limité, mais retrouver vos données après un chiffrement ou une erreur humaine reste votre responsabilité. Une sauvegarde jamais restaurée n’est pas une sauvegarde : c’est une intention.
03
Les comptes administrateurs, comptés
Qui peut tout faire, sur quoi, depuis où, et depuis quand. Dans la plupart des PME, la réponse surprend le dirigeant : d’anciens prestataires, des comptes de service oubliés, des accès permanents qui devraient être ponctuels.
04
Les mises à jour tenues, pas supposées
Postes, serveurs, pare-feu, équipements réseau : planifiées, appliquées, vérifiées. La majorité des intrusions que nous avons analysées passait par une faille connue et corrigée depuis des mois.
05
Une messagerie durcie
Filtrage, authentification de votre domaine (SPF, DKIM, DMARC) pour qu’on ne puisse plus écrire à vos clients en votre nom, et blocage des redirections automatiques créées à votre insu. Votre messagerie est votre première surface d’attaque : c’est par elle que tout commence.
06
Des équipes prévenues, jamais culpabilisées
Une heure pour apprendre à reconnaître une fausse page de connexion et une demande de virement anormale. Et une consigne claire : en cas de doute, on appelle. Jamais de reproche pour une alerte de trop — une équipe qui craint de se tromper est une équipe qui se tait.

Ce socle est le même pour tout le monde. C’est aussi, presque mot pour mot, la liste que votre assureur cyber vous demandera de cocher — et qu’il vérifiera le jour du sinistre. La suite — segmentation du réseau, détection sur les postes, supervision, plan de continuité — dépend de votre exposition réelle. Elle se décide après l’audit, pas avant.

Obligations

Vous n’êtes probablement pas concerné par NIS2. Vos clients, si.

Beaucoup de prestataires agitent la réglementation comme argument de vente. Faisons plus simple : voici ce qui s’applique à vous, et ce qui ne s’applique pas.

Ce qui ne vous concerne pas

NIS2 vise environ 4 000 organisations en Belgique.

La loi belge du 26 avril 2024 transpose la directive européenne NIS2. Elle vise des secteurs désignés — énergie, santé, transport, administrations, finance, industries critiques — à partir d’une certaine taille. Environ 4 000 organisations se sont enregistrées à ce titre auprès du Centre pour la Cybersécurité Belgique. Une PME de 10 à 100 personnes qui n’exerce pas dans l’un de ces secteurs n’entre très probablement pas dans son champ direct. Nous préférons vous le dire clairement plutôt que d’en faire un levier commercial.

Vos donneurs d’ordre, eux, y sont soumis. Et ils se retournent vers vous.

NIS2 rend les entités concernées responsables de la sécurité de leur chaîne d’approvisionnement : leurs fournisseurs, leurs sous-traitants, leurs prestataires. Si vous livrez un hôpital, une commune, un opérateur d’énergie, une banque ou un grand industriel, le questionnaire de sécurité s’invite dans les appels d’offres et au renouvellement des contrats-cadres. Pour une PME sous-traitante, le risque n’est pas l’amende : c’est de perdre un marché sur une réponse floue.

CyberFundamentals : le référentiel belge, gratuit et gradué.

Le CCB publie CyberFundamentals — CyFun —, un référentiel public en quatre niveaux : Small, Basic, Important, Essential. Le niveau Small s’auto-évalue en ligne, sans consultant. Ce n’est pas une norme de plus : c’est le vocabulaire commun dans lequel votre client vous posera ses questions. Et le calendrier est déjà engagé : les exigences des entités concernées descendent dans leur chaîne de fournisseurs maintenant, pas dans deux ans.

Le RGPD, lui, s’applique déjà à tout le monde.

Il ne parle pas de cybersécurité en tant que telle, mais il impose des mesures adaptées au risque et la notification des violations de données. Si un incident touche des données personnelles — clients, patients, employés — et qu’il est susceptible d’engendrer un risque pour les personnes concernées, la violation doit être notifiée à l’Autorité de protection des données dans les 72 heures. Soixante-douze heures calendrier : le week-end compte. C’est la seule obligation qui concerne absolument toutes les entreprises, quelle que soit leur taille — et c’est celle qu’on oublie le plus souvent en parlant de NIS2.

Nous ne délivrons pas de certification : c’est le rôle d’organismes accrédités, et nous ne serions pas juges et parties. Nous vous mettons en état de répondre — l’état des lieux face au référentiel, les écarts hiérarchisés, et le dossier de preuves que votre client vous réclamera.

Budget

Comment ça se chiffre.

La question arrive toujours, et elle est légitime. Voici comment nous chiffrons — avant même de nous rencontrer.

L’audit de posture : un forfait, connu avant de commencer.

Le périmètre est défini ensemble, le prix est fixe et annoncé avant le premier jour de travail. Il se compte en jours, pas en mois. À la fin, vous recevez un rapport écrit qui vous appartient : constats, priorités, chiffrage. Vous pouvez le mettre en œuvre avec nous, avec votre prestataire actuel, ou seul. C’est notre définition de l’indépendance.

Le socle : un chantier ponctuel, chiffré ligne par ligne.

Chaque mesure a son coût et son bénéfice attendu, écrits l’un en face de l’autre. Vous arbitrez ce que vous faites maintenant et ce qui attend le prochain budget. Et nous le disons avant de vendre quoi que ce soit : selon votre plan Microsoft 365, une partie de ce socle est déjà comprise dans les licences que vous payez. L’activer coûte du temps de travail, pas nécessairement des licences supplémentaires.

Le maintien : un montant mensuel, lisible.

Supervision, mises à jour, sauvegardes vérifiées, sensibilisation, revue régulière de la posture. Un montant par utilisateur et par équipement, sans régularisation surprise en fin d’année. La sécurité n’est pas un projet qu’on termine : c’est une posture qui se maintient.

Aucune ligne de devis ne vous est présentée sans que vous sachiez ce qu’elle achète. Si une mesure ne se justifie pas chez vous, elle n’y figure pas. Et l’ordre de grandeur, nous vous le donnons dès le premier échange — pas après trois rendez-vous.

Notre déontologie

« Nous ne vendons pas la peur. Chaque recommandation est justifiée par votre exposition réelle et hiérarchisée par impact. Si une mesure ne se justifie pas pour votre situation, nous vous le disons. »

Vous pensez être protégé ? Vérifions-le.

Demander un audit de posture

Un état des lieux factuel, sans engagement.