Étude KPMG 2026 : la cybersécurité, première menace pour les dirigeants. Et pour une PME ?

En bref. Cette année, les dirigeants des grandes entreprises placent la cybersécurité en tête des menaces pour leur croissance : 31 % des 1 400 patrons interrogés par KPMG pour son Global CEO Outlook 2026, publié le 15 octobre 2026, la citent en premier, devant l’incertitude économique mondiale (28 %). La presse française a titré « sauf en France » : chez nous, la cybersécurité arrive deuxième, à 28 % contre 29 %. Sur 75 dirigeants français interrogés, cet écart tient probablement à une seule personne. L’étude ne porte que sur de très grandes entreprises. Elle concerne pourtant les TPE et les PME, pour deux raisons que confirment les chiffres de l’ANSSI et de Cybermalveillance.gouv.fr.

Les chiffres à retenir

Ils sont repris du communiqué de KPMG International du 15 octobre 2026 et de la dépêche AFP publiée par 20 Minutes le 16 octobre, avec le périmètre que leur donne l’étude.

• 31 % des dirigeants dans le monde placent les risques cyber et la sécurité des données au premier rang des menaces pour la croissance de leur entreprise à trois ans. Suivent l’incertitude économique mondiale (28 %), puis l’instabilité géopolitique et les pressions réglementaires (26 % chacune).
• 45 % ont augmenté leurs investissements dans la cybersécurité et la résilience numérique : c’est le poste d’investissement le plus souvent cité.
• En France, la cybersécurité arrive deuxième (28 %), derrière l’incertitude économique mondiale (29 %) et devant les enjeux liés aux chaînes d’approvisionnement (25 %).
• 52 % des dirigeants dans le monde voient la cybersécurité comme un frein à leurs projets d’intelligence artificielle, juste derrière les questions éthiques (57 %).
• Le périmètre : 1 400 dirigeants d’entreprises réalisant plus de 500 millions de dollars de chiffre d’affaires annuel (environ 450 millions d’euros), dans douze pays dont la France (75 répondants), interrogés du 11 août au 21 septembre 2026.

La France fait-elle vraiment exception ?

Les chiffres publiés sont exacts. La conclusion qu’en tire le titre l’est beaucoup moins.

Le calcul. KPMG a interrogé 75 dirigeants en France. 28 % de 75, cela fait 21 personnes ; 29 %, un peu moins de 22. Un point d’écart sur un tel échantillon représente moins d’un répondant (0,75 exactement). Si les résultats ne sont pas pondérés, le plus probable est que 21 dirigeants aient cité la cybersécurité et 22 l’incertitude économique.

La marge d’incertitude. Même en supposant un échantillon tiré au hasard, un résultat calculé sur 75 réponses a une marge d’erreur d’environ dix points, dans un sens ou dans l’autre. Un point d’écart ne permet pas de classer deux réponses : en France, la cybersécurité et l’incertitude économique sont à égalité en tête des craintes des dirigeants. Dans le reste du monde, elles se suivent de près.

L’écart le plus marqué entre la France et le monde porte sur autre chose : la confiance dans l’avenir de sa propre entreprise, déclarée par 72 % des dirigeants français contre 84 % dans le monde.

Pour reprendre ce chiffre dans une présentation ou un message à vos clients sans qu’on puisse vous contredire, une formulation exacte serait : « Selon KPMG, 31 % des dirigeants de grandes entreprises dans le monde placent la cybersécurité en tête des menaces pour leur croissance ; en France, elle est à égalité avec l’incertitude économique, autour de 28 à 29 %. »

Une étude sur les grands groupes : pourquoi elle vous concerne

Les dirigeants interrogés par KPMG dirigent des entreprises de plus de 450 millions d’euros de chiffre d’affaires. Une TPE de huit personnes ou une PME de cinquante salariés n’y figure pas, et l’étude ne dit rien d’elles. Deux sources françaises comblent ce vide.

Les attaquants ne trient pas par taille

• Selon le Panorama de la cybermenace 2025 de l’ANSSI, publié en mars 2026, les TPE, PME et ETI restent la catégorie d’entités la plus touchée par les rançongiciels : 48 % des compromissions portées à la connaissance de l’Agence en 2025, contre 37 % en 2024. Ce décompte ne couvre que les 128 cas connus de l’ANSSI, pas l’ensemble des attaques en France.
• Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, publié le 25 mars 2026, les demandes d’assistance des entreprises et associations ont augmenté de 73 % en un an ; 27 934 d’entre elles ont été accompagnées.
• Les trois premières menaces qu’elles rencontrent : le piratage de compte (21 % des parcours d’assistance, +52 %), l’hameçonnage (16 %, +29 %) et la fraude au virement (13,5 %, +93 %), qui entre pour la première fois parmi les trois principales.

Vos grands clients vont regarder leurs fournisseurs

Quand un grand groupe renforce ses défenses, la porte la moins gardée devient souvent celle d’un de ses fournisseurs. L’ANSSI consacre une partie entière de son panorama à ce qu’elle appelle le ciblage des sous-traitants comme vecteur de compromission.

• En 2025, l’Agence a observé de nombreuses intrusions où l’attaquant, entré chez un prestataire, a rebondi vers les systèmes de ses clients en se servant des connexions existantes et d’identifiants volés.
• Entre janvier et juin 2025, plusieurs entreprises industrielles de la chaîne d’approvisionnement de la défense française ont été compromises par des rançongiciels.
• L’ANSSI en tire une recommandation : identifier les sous-traitants essentiels et les aider à améliorer leur sécurité informatique.

L’étude KPMG va dans le même sens. En France, les enjeux liés aux chaînes d’approvisionnement arrivent juste derrière la cybersécurité dans les craintes des dirigeants (25 %). Dans le monde, 36 % des dirigeants disent investir dans le reporting réglementaire et la conformité pour réduire leurs risques.

Pour une PME qui travaille avec un grand compte, la question de sa propre cybersécurité finit donc par se poser : un questionnaire de sécurité au référencement, une clause dans le contrat, une demande de preuve au renouvellement. Ce n’est pas un chiffre de l’étude, c’est la suite logique de ce qu’elle mesure. Mieux vaut avoir les réponses avant la question.

Ce qu’un grand client peut vous demander, et ce que vous pouvez lui montrer

Six points, dans l’ordre des menaces que mesure Cybermalveillance.gouv.fr. Chacun protège votre entreprise et se démontre simplement. Pour la vue d’ensemble, voir aussi les mesures indispensables, dans le bon ordre.

1. La double authentification sur la messagerie. Le piratage de compte est la première menace pour les entreprises, et Cybermalveillance.gouv.fr cite les comptes Microsoft 365 parmi les plus visés : ils servent de point d’entrée vers le reste. Activez-la d’abord sur la messagerie, puis sur la banque, la comptabilité et le compte qui gère votre nom de domaine.
2. Une règle écrite pour tout changement de coordonnées bancaires. La fraude au virement a presque doublé en un an. On rappelle l’interlocuteur à un numéro déjà connu, jamais à celui qui figure dans le message. Une règle d’une ligne, connue de tous ceux qui règlent les factures, et que vous pouvez montrer.
3. La liste des accès de vos prestataires. Qui peut se connecter à distance à vos postes ou à vos serveurs : votre prestataire informatique, l’éditeur de votre logiciel de gestion, un ancien stagiaire ? C’est exactement le chemin que décrit l’ANSSI. Chaque accès doit être nominatif, protégé par une double authentification et fermé dès qu’il ne sert plus.
4. Des sauvegardes hors ligne, dont la restauration a été testée. Face à un rançongiciel, une seule question compte le jour venu : peut-on tout restaurer sans payer ? Une copie déconnectée du réseau, dont on a déjà vérifié qu’elle se restaure, est la seule réponse sûre.
5. Une messagerie qu’on ne peut pas usurper. Les enregistrements SPF, DKIM et DMARC empêchent n’importe qui d’envoyer des e-mails en votre nom, par exemple à vos clients pour leur annoncer un nouveau RIB. Les trois enregistrements, expliqués ici.
6. Un plan d’une page en cas d’incident. Qui appeler (votre prestataire, votre assureur, le 17Cyber sur Cybermalveillance.gouv.fr), qui prévenir (vos clients, et la CNIL dans les 72 heures si des données personnelles sont touchées et que la violation présente un risque pour les personnes), où se trouvent les sauvegardes. Un grand client voudra savoir que ce plan existe.

Si vous êtes prestataire informatique

L’ANSSI cite les entreprises de services numériques locales, ou spécialisées dans un secteur, parmi les cibles des attaques par la chaîne d’approvisionnement : un prestataire compromis, ce sont tous ses clients exposés. Vos comptes d’administration ouvrent des dizaines de systèmes ; ils méritent la protection la plus forte.

Vos clients, eux, vont recevoir les questionnaires décrits plus haut. C’est l’occasion de leur apporter des réponses écrites plutôt que de les laisser seuls face au formulaire. Mon Rempart propose un palier pensé pour ce métier, qui surveille l’exposition de tous vos clients depuis une seule vue et envoie chaque mois un rapport PDF par client : voir les tarifs.

Ce que Mon Rempart voit, et ce qu’il ne voit pas

L’analyse de Mon Rempart est externe et non intrusive : elle lit ce que votre domaine expose publiquement — la configuration de votre messagerie (SPF, DKIM, DMARC), vos certificats, les versions annoncées de vos composants, les interfaces laissées ouvertes. Elle couvre le point 5, et la partie d’un questionnaire fournisseur qui porte sur votre exposition à Internet.

Elle ne voit pas si vos comptes ont la double authentification, qui a accès à vos systèmes, ni si vos sauvegardes se restaurent. Les points 1 à 4 et 6 se vérifient de l’intérieur, avec votre prestataire informatique. Aucun outil externe ne peut honnêtement prétendre le contraire.

Analyser mon domaine : gratuit, sans inscription, à partir de données publiques uniquement.

La surveillance continue, qui vous prévient quand l’un de ces points change et produit un rapport PDF à joindre à un questionnaire, est proposée à partir de 19 €/mois (prix nets, TVA non applicable, art. 293 B du CGI). Et si l’incident a déjà eu lieu, Mon Rempart est référencé sur Cybermalveillance.gouv.fr et intervient directement auprès des petites structures : demander une intervention.