Pourquoi la sécurité des données informatiques est-elle une priorité pour les PME ?

Comprendre ce que sont les données sensibles

Le terme « donnée sensible » recouvre une réalité juridique stricte qu’il est crucial de distinguer de la simple « donnée importante ». Au sens de l’article 9 du RGPD, les données sensibles désignent une catégorie spécifique de données personnelles : 

• origine raciale ou ethnique
• opinions politiques
• convictions religieuses ou philosophiques
• appartenance syndicale
• données de santé, données biométriques ou génétiques
• données concernant la vie ou l’orientation sexuelle.

Leur traitement est en principe interdit, sauf cas dérogatoires expressément prévus (consentement explicite, intérêt vital, obligation légale, etc.).

À cette définition juridique s’ajoute, dans la pratique de l’entreprise, un périmètre plus large de données sensibles voire stratégiques :

• fichiers clients, factures et contrats
• données financières et bancaires
• propriété intellectuelle, savoir-faire, plans de développement. 

Ces données ne sont pas « sensibles » au sens du RGPD, mais leur compromission expose les entreprises à des préjudices équivalents.

Cette distinction guide tout le reste : selon la nature des données traitées, les obligations diffèrent. 

Une PME du secteur de la santé doit, par exemple, recourir à un hébergeur disposant de la certification HDS pour stocker les données de ses patients. Toute démarche de gestion des données sensibles commence donc par une cartographie : quelles données, quelle catégorie, quelle finalité, quel niveau de criticité.

Les risques cyber pour les PME : chiffres et vecteurs d'attaque

Nous le rappelons dans beaucoup de nos articles, mais si vous n’êtes toujours pas au fait, les attaques informatiques (cyberattaques) sur les PME sont très fréquentes. À tel point que les PME sont devenues une cible de choix pour les attaquants. 

• 47 % des entreprises françaises ont subi au moins une cyberattaque significative en 20242. 
• Le coût moyen d’une cyberattaque réussie pour une PME atteint 466 000 euros selon les données croisées de l’ANSSI et de la Cour des comptes, un montant qui représente plus de 10 % du chiffre d’affaires annuel pour une structure de taille moyenne. 

Les attaques externes restent les plus médiatisées : phishing ciblé, rançongiciels (groupes type LockBit, Black Basta), attaques par déni de service, exploitation de failles non corrigées. 

Le phishing demeure l’attaque dominante : selon le baromètre CESIN, il représente près de 60 % des points d’entrée des attaques réussies. Les ransomwares ciblent désormais en priorité les infrastructures de sauvegarde pour empêcher toute restauration.

Les attaques internes sont massivement sous-estimées : négligence d’un collaborateur, mots de passe faibles, comptes partagés, shadow IT (usage de logiciels ou de services cloud non validés par la DSI), prompts d’IA générative exposant des données confidentielles. 

Près d’une attaque sur deux provient d’une erreur humaine.

Les attaques physiques complètent le tableau : vol de matériel mobile, accès non contrôlé aux locaux. Les impressions non sécurisées est aussi un type d’attaque très souvent oublié lors de discussions de cybersécurité.

Le cadre légal : RGPD, NIS2, AI Act et responsabilité du dirigeant

La conformité RGPD pour PME n’est plus optionnelle. La CNIL a accentué sa pression réglementaire : en 2024, elle a prononcé 87 sanctions pour un montant total dépassant 55 millions d’euros, soit le double de 2023 en nombre. 

Plus significatif encore (toujours selon la CNIL) : 32% des entreprises contrôlées étaient des PME ou TPE3, et les principaux motifs de sanction concernent la sécurisation insuffisante des données (mots de passe faibles, comptes partagés), la non-réponse aux demandes de la CNIL et le non-respect des droits des personnes.

Le RGPD impose à toute PME plusieurs obligations opérationnelles. 

• L’article 30 prévoit la tenue d’un registre des activités de traitement.
• L’article 32 exige des mesures techniques et organisationnelles appropriées (chiffrement, contrôle d’accès, sauvegardes).
• L’article 33 rend obligatoire la notification à la CNIL d’une violation de données dans un délai de 72 heures.
• Le plafond des amendes RGPD reste fixé à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu.

À ce socle viennent s’ajouter deux textes qui transforment le paysage de gestion des données : 

• La directive NIS2, applicable depuis octobre 2024 et en cours de transposition en France via le projet de loi Résilience, fait passer le périmètre régulé d’environ 500 entités sous NIS1 à 10 000 à 15 000 entités en France. Les PME des 18 secteurs critiques (énergie, santé, transports, fabrication, services numériques, agroalimentaire, etc.) employant 50 personnes ou plus, ou réalisant au moins 10 M€ de chiffre d’affaires, deviennent des « entités importantes » avec des obligations de cybersécurité, de gestion d’incidents et de signalement. Les sanctions peuvent atteindre 7 M€ ou 1,4 % du chiffre d’affaires mondial pour les entités importantes.

• Le règlement européen sur l’IA (AI Act), entré en vigueur le 1ᵉʳ août 2024, déploie ses obligations par paliers jusqu’en 2027. 

  Les usages d’IA non encadrés en entreprise (shadow AI) constituent une nouvelle catégorie de risque : des prompts envoyés à des IA grand public peuvent entraîner des fuites de données et exposer la PME à un manquement RGPD. Les sanctions peuvent atteindre 35 M€ ou 7 % du chiffre d’affaires mondial.

Enfin, ces obligations engagent directement la responsabilité du dirigeant. NIS2 prévoit explicitement que les organes de direction doivent approuver les mesures de cybersécurité et suivre une formation dédiée, la cybersécurité n’est plus attribuée uniquement à l’équipe IT. 

Pour structurer cette démarche, la PME peut s’appuyer sur les démarches de conformité informatique (IT compliance).

Comment sécuriser les données sensibles à chaque maillon de l'écosystème IT

Une protection efficace des données sensibles en entreprise ne peut pas reposer sur un seul outil. Elle se construit en couvrant chacun des maillons de la chaîne IT/de l’infrastructure informatique – dès lors que transitent des données, dont plusieurs sont régulièrement négligés.

L’intelligence artificielle (IA) et ces utilisations en interne

L‘intelligence artificielle générative crée une exposition nouvelle. L’usage non encadré de ChatGPT, Copilot ou d’autres LLM publics conduit fréquemment à l’envoi de données clients, de contrats ou de code source vers des serveurs tiers. La gouvernance des prompts, la mise en place d’une politique d’usage et le recours à des solutions d’IA souveraine ou de RAG sécurisé deviennent des prérequis. C’est un enjeu désormais couvert par l’AI Act.

Logiciels et outils internes

Une PME centralise rarement ses données dans un outil unique : elles circulent dans un écosystème fragmenté qui inclut 

• CRM : données privées client/autres entreprises, historiques d’échanges,
• ERP : commandes, contrats, données financières
• Gestion électronique de documents (GED) : contrats, pièces sensibles, archives, 
• Logiciel de paie (données personnelles des collaborateurs, coordonnées bancaires)
• La plateforme d’accès client (site web, application mobile).

Chaque outil ajoute une nouvelle surface d’attaque et une nouvelle obligation de conformité : gestion des habilitations selon le principe du moindre privilège, authentification multifacteur (MFA), journalisation des accès, revue régulière des comptes inactifs ou orphelins, et chiffrement des bases de données. 

➡️​La gestion proactive des vulnérabilités doit également couvrir les flux entre outils (intégrations API, exports, synchronisations), souvent à l’origine de fuites silencieuses.

Le cloud, bien choisir son prestataire

Le cloud sécurisé mérite une attention particulière au choix du prestataire. Pour les données les plus sensibles, la qualification SecNumCloud délivrée par l’ANSSI constitue aujourd’hui le plus haut niveau d’exigence en matière de sécurité et de souveraineté, avec plus de 360 critères de conformité. 

Pour les données de santé, la certification HDS est obligatoire. Pour les autres usages, la norme ISO/IEC 27001 reste le référentiel international le plus largement reconnu. 

Dématérialisation des processus métiers

Par exemple, la dématérialisation des factures introduit une nouvelle catégorie de flux à sécuriser. Avec l’obligation de réception des factures électroniques au 1ᵉʳ septembre 2026 pour toutes les entreprises, et l’obligation d’émission au 1ᵉʳ septembre 2027 pour les PME, via une plateforme agréée (PA) et au format structuré (Factur-X, UBL, CII), la sécurité des flux comptables devient un sujet en soi.

-> Voir le calendrier 2026 de la facturation éléctronique

Sauvegardes de données

Les sauvegardes sont devenues une cible directe des attaquants. La règle classique du 3-2-1 a évolué vers la règle 3-2-1-1-0  : trois copies des données, sur deux supports différents, dont une copie hors site, une copie isolée ou immuable, et zéro erreur de restauration vérifiée par des tests. Cette dernière exigence est cruciale : une sauvegarde non testée n’est pas une sauvegarde.

Le Plan de Reprise d’Activité (PRA) et le Plan de Continuité d’Activité (PCA) prolongent la stratégie de sauvegarde. Ils définissent les objectifs de temps de reprise (RTO) et de point de reprise (RPO) pour chaque application critique, hiérarchisent les processus à restaurer en priorité et formalisent la procédure de gestion de crise.

Les risques de l’impression

L’impression et les multifonctions constituent un angle mort majeur. 

67% des organisations ont subi au moins une fuite de données liée à l’impression au cours de l’année écoulée, contre 61 % l’année précédente4. 

Le coût moyen d’une telle fuite atteint plus d’un million d’euros pour les structures du midmarket. Les bonnes pratiques incluent le pull printing (impression libérée par authentification badge), le chiffrement des disques durs des imprimantes multifonctions (MFP), la traçabilité des impressions et la sécurisation des flux scan-to-mail. Ce sujet est d’autant plus stratégique que les MFP sont aujourd’hui de véritables serveurs réseau exposés. 

Cybersécurité

La cybersécurité globale vient enfin chapeauter l’ensemble : segmentation réseau, EDR, supervision, et de plus en plus une approche Zero Trust qui ne suppose plus aucun périmètre de confiance par défaut.

Une PME doit-elle nommer un Délégué à la protection des données (DPO) ?

La désignation d’un DPO est obligatoire pour les organismes publics, les entreprises dont l’activité principale implique un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles. 

La plupart des PME ne sont donc pas légalement tenues d’en nommer un, mais peuvent désigner un DPO mutualisé ou externe pour structurer leur démarche. Cette désignation reste fortement recommandée dès que des volumes significatifs de données personnelles sont traités.

Comment Konica Minolta aide les entreprises à protéger leurs données ?

Cette diversité des maillons illustre une réalité : la gestion des données sensibles en PME ne peut pas reposer sur une expertise isolée ni sur une solution unique. Elle exige une approche transversale couvrant l’infrastructure, les périphériques d’impression, le cloud, la sauvegarde, la conformité réglementaire et l’accompagnement des collaborateurs.

Konica Minolta intervient sur l’ensemble de cette chaîne, du parc d’impression sécurisé aux services managés de cybersécurité, en passant par les solutions cloud, la sauvegarde, le Plan de Reprise d’Activité et la mise en conformité RGPD. L’objectif n’est pas d’empiler des outils, mais de construire une architecture de protection cohérente, alignée sur le niveau de criticité de chaque catégorie de données et sur le profil de risque de l’entreprise.

Voir nos services de sécurité informatique

Pour aller plus loin dans le diagnostic de la maturité cyber de votre PME, notre Baromètre Konica Minolta de la sérénité numérique 2026 recense les pratiques et niveaux d’exposition des entreprises françaises, et permet de situer son organisation face aux standards du marché.

Sources :

•  Panorama de la cybermenace 2024 : mobilisation et vigilance face aux attaquants

• 2 : Baromètre CESIN 2025 

• 3 : https://www.cnil.fr/fr/bilan-sanctions-2025

• 4 : Quocirca Print Security Landscape 2024