Guide ANSSI PMELes 13 règles fondamentales de cybersécurité pour les petites entreprises
Le guide gratuit de l’ANSSI et de la CPME : 13 règles d’hygiène numérique applicables sans ressources dédiées, point d’entrée recommandé pour sécuriser une TPE ou une PME.
Pourquoi les TPE et PME sont-elles des cibles prioritaires ?
En 2025, les TPE, PME et ETI représentent 48 % des victimes de rançongiciels en France, contre 37 % en 2024. Elles sont désormais la première catégorie de victimes de cyberattaques, devant les collectivités territoriales et les établissements de santé. Et pourtant, selon l’étude de maturité cyber publiée par Cybermalveillance.gouv.fr en 2025, 80 % des TPE-PME reconnaissent ne pas être préparées à une cyberattaque, et 63 % citent le manque de connaissances et d’expertise comme principal obstacle.
Face à ce constat, l’ANSSI et la CPME ont publié un guide de cybersécurité spécifiquement conçu pour les TPE et PME : simple, gratuit, accessible, et téléchargeable sur cyber.gouv.fr. Il présente 13 règles fondamentales d’hygiène numérique, applicables sans ressources dédiées à la cybersécurité. C’est le point d’entrée recommandé par l’ANSSI pour toute organisation qui souhaite structurer sa démarche de sécurité sans se perdre dans la complexité des référentiels techniques.
Cette page vous présente les 13 règles du guide, les ressources gratuites disponibles pour vous accompagner, et les étapes concrètes pour engager votre démarche.
La transformation numérique a exposé les petites et moyennes entreprises à des menaces qui étaient jusqu’alors réservées aux grandes organisations. Les cybercriminels ont adapté leurs méthodes : les attaques sont désormais automatisées, industrialisées, et ciblent indifféremment les grandes entreprises et les plus petites structures.
Plusieurs facteurs expliquent la vulnérabilité spécifique des TPE-PME :
- Des ressources limitées : peu ou pas de personnel dédié à la cybersécurité, budgets contraints, absence de politique de sécurité formalisée
- Des systèmes moins protégés : mises à jour irrégulières, mots de passe faibles, sauvegardes inexistantes ou non testées
- Une exposition croissante : dépendance aux outils numériques, télétravail, recours aux services cloud
- Un manque de sensibilisation : 62 % des TPE-PME pensent être faiblement exposées aux cyberattaques, selon une étude Cybermalveillance.gouv.fr
Le coût moyen d’une cyberattaque pour une PME en France est estimé à 466 000 euros, selon le Hiscox Cyber Readiness Report. Pour une TPE, la médiane se situe entre 50 000 et 150 000 euros selon Cybermalveillance.gouv.fr. Ces montants incluent les coûts directs (rançon, restauration des systèmes, frais juridiques) et indirects (perte de chiffre d’affaires, hausse des primes d’assurance, atteinte à la réputation). Entre 40 et 60 % des TPE-PME touchées subissent une dégradation durable de leur activité.
La bonne nouvelle : selon l’ANSSI et Cybermalveillance.gouv.fr, les mesures gratuites (MFA, mises à jour, sauvegardes 3-2-1 testées, sensibilisation) couvrent déjà 60 à 70 % de la surface d’attaque. Le guide ANSSI/CPME est le point de départ idéal pour mettre en œuvre ces mesures de façon structurée.
Les 13 règles du guide ANSSI/CPME
-
Choisir des mots de passe solides et utiliser un gestionnaire
Les mots de passe sont la première ligne de défense contre les intrusions. En 2024, le nombre de cyberattaques ciblant les mots de passe a augmenté, passant de 4 000 à 7 000 tentatives par seconde. L’ANSSI recommande des mots de passe d’au moins 12 à 16 caractères pour les services courants, et de 15 caractères minimum pour les services critiques, combinant lettres majuscules et minuscules, chiffres et caractères spéciaux.
Un gestionnaire de mots de passe permet de générer et stocker des mots de passe complexes et uniques pour chaque service, sans avoir à les mémoriser. L’ANSSI recommande d’activer l’authentification multifacteurs (MFA) en complément, notamment pour les messageries, les accès cloud et les comptes bancaires.
-
Mettre à jour régulièrement vos logiciels
Les mises à jour de sécurité corrigent les vulnérabilités connues exploitées par les attaquants. Entre 30 et 40 % des compromissions initiales exploitent des vulnérabilités pour lesquelles un correctif existait au moment de l’attaque. L’ANSSI recommande d’activer les mises à jour automatiques sur l’ensemble des équipements et logiciels, et de ne jamais ignorer les alertes de mise à jour.
-
Bien connaître ses utilisateurs et droits d’accès
Chaque collaborateur doit disposer d’un compte nominatif avec des droits limités au strict nécessaire pour l’exercice de ses fonctions. Les comptes administrateurs doivent être distincts des comptes utilisateurs courants. Les droits d’accès doivent être révisés régulièrement et révoqués immédiatement lors du départ d’un collaborateur ou de la fin de mission d’un prestataire.
-
Effectuer des sauvegardes régulières et vérifier leur restauration
L’ANSSI recommande la règle 3-2-1 : trois copies des données sur deux supports différents, dont une copie hors site et déconnectée du réseau. Cette copie hors ligne est indispensable pour résister aux rançongiciels qui ciblent systématiquement les sauvegardes connectées. Selon Cybermalveillance.gouv.fr, 70 % des PME négligent le test de restauration de leurs sauvegardes. Or une sauvegarde non testée est une sauvegarde invalide.
-
Utiliser un antivirus et un pare-feu à jour
Un antivirus à jour protège contre les logiciels malveillants connus. Un pare-feu contrôle les connexions entrantes et sortantes et bloque les flux non autorisés. L’ANSSI recommande d’activer le pare-feu local sur l’ensemble des postes de travail, et de déployer une solution antivirus sur tous les équipements connectés à internet, en veillant à maintenir ses définitions à jour.
-
Sécuriser son réseau WiFi et ses connexions distantes (VPN)
Le réseau WiFi de l’entreprise doit être protégé par un mot de passe fort et un chiffrement WPA2 ou WPA3. L’accès à distance aux ressources de l’entreprise doit se faire exclusivement via un VPN chiffré. L’ANSSI recommande de ne jamais utiliser un réseau WiFi public sans VPN pour accéder aux ressources professionnelles.
-
Être vigilant lors de l’utilisation des réseaux WiFi publics
Les réseaux WiFi publics (hôtels, gares, cafés…) sont des environnements non maîtrisés, potentiellement surveillés ou compromis. L’ANSSI recommande de ne jamais accéder à des données sensibles ou à des applications professionnelles depuis un réseau WiFi public sans VPN, et de désactiver le WiFi et le Bluetooth lorsqu’ils ne sont pas utilisés.
-
Maîtriser les risques liés à l’usage des supports amovibles
Les clés USB et autres supports amovibles peuvent introduire des logiciels malveillants dans le système d’information, même involontairement. L’ANSSI recommande de restreindre leur usage aux seuls besoins identifiés, de ne jamais brancher un support amovible d’origine inconnue, et de chiffrer les supports contenant des données sensibles.
-
Être prudent avec la messagerie : phishing et pièces jointes
Le phishing est responsable de 43 % des incidents de cybersécurité dans les TPE-PME selon Cybermalveillance.gouv.fr, en hausse de 29 % en 2025. L’ANSSI recommande de ne jamais cliquer sur un lien ou ouvrir une pièce jointe sans avoir vérifié l’identité de l’expéditeur, de ne jamais communiquer d’informations sensibles par messagerie, et de signaler tout email suspect à son responsable informatique.
-
Télécharger uniquement depuis des sites officiels
Les logiciels téléchargés depuis des sources non officielles peuvent contenir des logiciels malveillants. L’ANSSI recommande de télécharger les logiciels exclusivement depuis les sites officiels des éditeurs, de vérifier l’intégrité des fichiers téléchargés lorsque c’est possible, et de ne jamais installer de logiciels non autorisés sur les équipements professionnels.
-
Sécuriser les achats en ligne
Pour les achats en ligne professionnels, l’ANSSI recommande de vérifier que le site utilise le protocole HTTPS (cadenas dans la barre d’adresse), de privilégier les sites officiels des fournisseurs, et de ne jamais saisir ses coordonnées bancaires sur un site dont l’authenticité n’est pas certaine.
-
Séparer usages professionnels et personnels
L’utilisation d’équipements personnels à des fins professionnelles (BYOD) expose l’entreprise à des risques difficiles à maîtriser. L’ANSSI recommande de créer des comptes utilisateurs dédiés à chaque collaborateur, de ne pas utiliser les équipements professionnels à des fins personnelles, et d’interdire l’usage d’équipements personnels pour accéder aux ressources de l’entreprise.
-
Prendre soin de ses informations personnelles et professionnelles en ligne
Les informations publiées en ligne sur l’entreprise et ses collaborateurs peuvent être utilisées pour préparer des attaques ciblées. L’ANSSI recommande de limiter les informations publiées sur les réseaux sociaux professionnels et personnels, de sensibiliser les collaborateurs aux risques liés à la divulgation d’informations sensibles, et de surveiller régulièrement les informations disponibles publiquement sur l’entreprise.
Les ressources gratuites disponibles pour les TPE-PME
L’ANSSI et ses partenaires mettent à disposition un ensemble de ressources gratuites pour accompagner les TPE-PME dans leur démarche de cybersécurité.
-
Le guide ANSSI/CPME
Téléchargeable gratuitement sur messervices.cyber.gouv.fr, le guide « La cybersécurité pour les TPE/PME en 13 questions » propose 42 recommandations pratiques organisées autour des 13 règles fondamentales.
-
MesServicesCyber
La plateforme MesServicesCyber, disponible sur messervices.cyber.gouv.fr, propose un diagnostic cyber gratuit en 5 minutes permettant d’évaluer sa maturité cyber et d’identifier les priorités d’action. Elle référence également l’ensemble des solutions et services cyber disponibles pour les TPE-PME.
-
Cybermalveillance.gouv.fr
Le dispositif national d’assistance aux victimes de cyberattaques propose des guides pratiques, des kits de sensibilisation, et un service d’assistance en cas d’incident. La MalletteCyber Pro, disponible gratuitement sur le site, fournit des outils clés en main pour sensibiliser les équipes.
-
SensCyber
Le programme SensCyber, disponible sur cybermalveillance.gouv.fr, propose des modules d’e-sensibilisation gratuits de 25 à 45 minutes, accessibles à tous les collaborateurs sans prérequis technique.
Le guide ANSSI TPE/PME face aux exigences transverses
Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.
Calendrier et évolutions du guide
-
Passé
Première édition du guide ANSSI/CPME
Le guide « La cybersécurité pour les TPE/PME en 13 questions » est publié pour la première fois en 2017, en partenariat entre l’ANSSI et la CPME.
-
Passé
Mise à jour du guide
Le guide est mis à jour en 2021 pour intégrer les nouvelles menaces, notamment le développement du télétravail et l’essor des rançongiciels ciblant les PME.
-
Passé
Nouvelle édition attendue
Une nouvelle édition du guide est attendue en 2025 pour intégrer les évolutions récentes : intelligence artificielle générative utilisée dans les campagnes de phishing, nouvelles obligations réglementaires (NIS 2, RGPD), et nouvelles menaces identifiées par le CERT-FR.
Sanctions et risques
Un guide non contraignant
Le guide ANSSI/CPME est un référentiel de bonnes pratiques, non contraignant. Son non-respect n’expose à aucune sanction directe. Cependant, le non-respect des bonnes pratiques qu’il préconise peut aggraver la responsabilité de l’entreprise en cas d’incident, notamment au regard des obligations de sécurité imposées par le RGPD (article 32).
Un impact financier et opérationnel réel
Les conséquences d’une cyberattaque sur une TPE-PME sont souvent dévastatrices : interruption d’activité, perte de données, coûts de remédiation, atteinte à la réputation. La mise en œuvre des 13 règles du guide ANSSI est la meilleure protection contre ces risques.
Les étapes pour mettre en œuvre le guide ANSSI
-
Télécharger le guide ANSSI
Le guide « La cybersécurité pour les TPE/PME en 13 questions » est disponible gratuitement sur messervices.cyber.gouv.fr. Il peut être partagé librement avec l’ensemble des collaborateurs.
-
Auto-évaluation
Pour chacune des 13 règles, évaluer honnêtement le niveau de mise en œuvre actuel au sein de l’organisation. Le diagnostic cyber gratuit de MesServicesCyber permet de réaliser cette évaluation en 5 minutes et d’obtenir un score de maturité cyber.
-
Plan d’action simple
Identifier les 3 à 5 règles présentant les plus grands écarts et les prioriser selon leur impact potentiel sur la sécurité de l’organisation. Commencer par les mesures gratuites ou peu coûteuses : activation du MFA, mise en place des sauvegardes 3-2-1, activation des mises à jour automatiques.
-
Sensibilisation des équipes
Partager le guide avec l’ensemble des collaborateurs et organiser une session de sensibilisation. La MalletteCyber Pro de Cybermalveillance.gouv.fr fournit des outils clés en main pour animer cette sensibilisation, incluant un livret pédagogique, une affiche des menaces et bonnes pratiques, et un jeu de cartes.
Guide ANSSI PME en 4 questions
Le guide ANSSI est-il obligatoire pour les TPE et PME ?
Non. Le guide ANSSI/CPME est un référentiel de bonnes pratiques, non contraignant. Son application est volontaire. Cependant, les mesures qu’il préconise correspondent aux exigences minimales de sécurité recommandées par l’ANSSI pour toute organisation, et leur non-respect peut aggraver la responsabilité de l’entreprise en cas d’incident au regard du RGPD.
Par où commencer quand on n’a aucune ressource dédiée à la cybersécurité ?
L’ANSSI recommande de commencer par les mesures gratuites qui couvrent 60 à 70 % de la surface d’attaque : activation du MFA sur tous les comptes sensibles, mise en place des mises à jour automatiques, création de sauvegardes 3-2-1 testées, et sensibilisation des collaborateurs au phishing. Le diagnostic cyber gratuit de MesServicesCyber permet d’identifier les priorités en 5 minutes.
Que faire en cas de cyberattaque ?
En cas de cyberattaque, l’ANSSI recommande de déconnecter immédiatement l’équipement affecté du réseau (sans l’éteindre), de ne pas payer la rançon en cas de rançongiciel, de contacter Cybermalveillance.gouv.fr pour obtenir une assistance, de déposer plainte auprès des autorités compétentes, et de notifier la CNIL si des données personnelles ont été compromises.
Existe-t-il des aides financières pour les PME souhaitant renforcer leur cybersécurité ?
Oui. France Num propose des aides à la numérisation incluant des volets cybersécurité. Certaines régions proposent des dispositifs d’accompagnement spécifiques. L’ANSSI recommande également de vérifier sa couverture d’assurance cyber, qui peut financer une partie des coûts en cas d’incident. Le programme MonAideCyber de l’ANSSI propose un premier diagnostic gratuit réalisé par un aidant certifié.
Votre cybersécurité de TPE / PME avec Fidens
Diagnostic de maturité, plan d’action priorisé, sensibilisation des équipes, RSSI externalisé : nos consultants vous aident à appliquer le guide ANSSI de façon pragmatique, à la mesure de vos ressources.
