Le Centre pour la Cybersécurité Belgique a enregistré 556 signalements d’incidents en 2025, contre 352 l’année précédente. Une hausse de près de 60 % en douze mois. Et parmi les entreprises belges victimes d’un rançongiciel, six sur dix comptent moins de 250 personnes.
Ces chiffres circulent beaucoup, et ils servent surtout à vendre de la peur. La peur est un mauvais point de départ pour prendre des décisions informatiques : elle pousse à acheter du matériel qu’on n’utilisera pas, et elle fait oublier les mesures ennuyeuses qui protègent réellement.
La vraie question est ailleurs. Vous dirigez une entreprise de dix, vingt ou cinquante personnes quelque part en province de Liège. Vous n’avez pas de service informatique et vous n’avez pas l’intention d’en créer un. Par où commencer ?
Non, NIS2 ne vous concerne probablement pas
Autant écarter tout de suite un malentendu qui fait vendre beaucoup de prestations inutiles.
Depuis l’entrée en vigueur de la loi du 26 avril 2024, la directive NIS2 est devenue l’argument commercial préféré du secteur. On l’agite devant à peu près n’importe quelle entreprise. Or les critères sont précis : il faut cumuler deux conditions, appartenir à un secteur listé — énergie, transport, santé, eau, banque, infrastructures numériques, administration publique — et dépasser un seuil de taille.
Un bureau comptable de douze personnes à Waremme n’est pas concerné. Un garage à Oreye non plus. Une PME industrielle de trente salariés, dans la grande majorité des cas, pas davantage.
Il existe pourtant un chemin par lequel la réglementation vous rattrape, et celui-là est réel. Les entreprises effectivement soumises à NIS2 ont l’obligation de sécuriser leur chaîne d’approvisionnement. Si vous fournissez un hôpital, une intercommunale, un opérateur d’énergie ou un gros industriel, vous allez recevoir des questionnaires de sécurité. Vos clients vont exiger des garanties écrites. Certains marchés se perdront sur ce critère.
C’est par là que la pression arrive sur les PME. Pas par une obligation légale directe, mais par vos donneurs d’ordre.
Tout commence par un inventaire, et c’est là que ça coince
Quand nous reprenons l’informatique d’une entreprise, la première question n’est jamais « quel antivirus utilisez-vous ». C’est « combien avez-vous de machines ». La réponse est presque toujours approximative.
On oublie le vieux portable resté chez un commercial parti l’an dernier. Le PC de l’atelier qui tourne encore sous Windows 10 parce qu’un logiciel métier n’a jamais été mis à jour. Le NAS installé par le beau-frère d’un associé en 2019, dont plus personne n’a le mot de passe administrateur. Le compte mail d’une stagiaire, toujours actif trois ans après son départ.
Chacun de ces éléments est une porte. Un parc qu’on ne connaît pas ne peut pas être protégé — on ne sécurise pas ce qu’on ignore posséder.
L’inventaire n’a rien de technique et il ne coûte rien d’autre qu’une demi-journée. Il liste les postes, les serveurs, les comptes utilisateurs, les logiciels avec leur version, et les accès distants. C’est le socle de tout le reste, et c’est le point de départ de toute gestion de parc informatique sérieuse.
Les cinq mesures qui font l’essentiel du travail
1. L’authentification à deux facteurs sur la messagerie
Si vous ne deviez faire qu’une seule chose en sortant de cette page, ce serait celle-là. La très grande majorité des intrusions dans une PME commencent par un compte mail compromis — pas par une attaque sophistiquée, mais par un mot de passe deviné, réutilisé ailleurs, ou récupéré dans une fuite de données publique.
Avec un deuxième facteur, un mot de passe volé ne suffit plus. L’activation prend quelques minutes par utilisateur sur Microsoft 365 et ne coûte rien de plus que ce que vous payez déjà.
2. Des sauvegardes qu’on restaure pour de vrai
Presque toutes les entreprises que nous rencontrons ont une sauvegarde. Beaucoup moins l’ont déjà restaurée.
C’est une différence considérable. Une sauvegarde qui n’a jamais été testée est une hypothèse, pas une sécurité. Nous avons vu des sauvegardes qui tournaient depuis des mois sur un disque plein, d’autres qui copiaient consciencieusement un dossier vide après un changement d’arborescence.
La règle qui tient : trois copies, sur deux supports différents, dont une hors des locaux. Et un test de restauration réel, au moins deux fois par an. C’est le coeur de notre approche de la sauvegarde et de la sécurité informatique.
3. Les mises à jour, y compris celles qu’on repousse
Le fameux « rappelez-moi plus tard » cliqué pendant six mois. Les failles exploitées dans les attaques contre les PME sont rarement récentes : ce sont des vulnérabilités connues, corrigées depuis longtemps, sur des machines jamais mises à jour.
Le point sensible n’est d’ailleurs pas Windows, qui se met à jour tout seul quand on le laisse faire. Ce sont les pare-feu, les routeurs, les NAS et les logiciels métier — des équipements qu’on installe et qu’on oublie pendant cinq ans.
4. Des droits d’accès qui correspondent aux fonctions réelles
Dans beaucoup de petites structures, tout le monde a accès à tout. C’est pratique, et ça se comprend : à huit personnes dans un même bureau, personne n’a envie de gérer des permissions.
Le problème apparaît le jour où un seul poste est infecté. Un rançongiciel chiffre exactement ce que l’utilisateur connecté peut atteindre. Si ce compte voit l’intégralité du serveur, c’est l’intégralité du serveur qui est perdue. S’il ne voit que le dossier commercial, les dégâts s’arrêtent là.
Il ne s’agit pas de se méfier de ses employés. Il s’agit de limiter le rayon d’explosion.
5. Dix minutes d’explication valent mieux qu’un logiciel de plus
Un collaborateur qui sait reconnaître une fausse facture ou un faux mail de son patron protège mieux l’entreprise que la couche de sécurité supplémentaire qu’on vous vendra pour six cents euros par an.
Les tentatives actuelles sont soignées : logo correct, français impeccable, mention d’un dossier en cours. La parade n’est pas technique, elle est organisationnelle — une règle simple, connue de tous, du type « aucun changement de coordonnées bancaires sans un appel téléphonique de vérification ».
Ce qui peut attendre
Autant le dire clairement, quitte à vendre moins.
Tant que les cinq points ci-dessus ne sont pas en place, il est prématuré d’investir dans une solution de détection avancée, un audit de conformité complet ou un pare-feu haut de gamme. Ce sont de bons produits, mais ils protègent un bâtiment dont la porte de derrière reste ouverte.
Nous voyons régulièrement des entreprises équipées d’un antivirus professionnel coûteux, sans authentification à deux facteurs sur les mails. L’argent est parti du mauvais côté.
Concrètement, par où commencer
Un ordre qui fonctionne, étalé sur environ un trimestre :
- Faire l’inventaire complet du parc et des comptes utilisateurs, et fermer les accès des personnes parties.
- Activer l’authentification à deux facteurs sur toutes les boîtes mail.
- Tester une restauration réelle de la sauvegarde, sur un fichier choisi au hasard.
- Mettre à jour les équipements réseau et remplacer ce qui n’est plus supporté.
- Revoir les droits d’accès aux dossiers partagés, service par service.
- Réunir l’équipe trente minutes pour expliquer les tentatives de fraude en cours.
Rien là-dedans ne demande un budget important. L’essentiel du travail est du temps et de la méthode, pas de l’achat de matériel.
Un point de départ simple
Si vous ne savez pas où vous en êtes, commencez par la question de l’inventaire : combien de machines, combien de comptes actifs, quelle sauvegarde et quand a-t-elle été testée pour la dernière fois. Si vous ne pouvez pas répondre aux quatre, vous avez déjà votre point de départ.
Nous accompagnons des indépendants et des PME de la province de Liège sur ces sujets depuis plus de dix ans, avec une préférence assumée pour les mesures simples et vérifiables plutôt que pour les solutions impressionnantes. Si vous souhaitez faire le point sur votre installation, écrivez-nous ou appelez-nous — un premier échange suffit généralement à identifier les deux ou trois priorités réelles.
Sources : Centre pour la Cybersécurité Belgique (CCB), signalements 2024-2025 ; loi du 26 avril 2024 transposant la directive NIS2.
