Checklist complète de cybersécurité PME (édition 2026)

Une cyberattaque touche une PME belge toutes les 11 minutes. Pourtant, 6 entreprises sur 10 n'ont pas de politique de sécurité documentée. Cette checklist de 52 points — répartie en 7 chapitres — permet à toute PME de passer de la vulnérabilité à une posture de défense solide en moins de 90 jours, même sans expert IT interne.

En résumé : cette checklist cybersécurité PME couvre l'identité, le réseau, les postes de travail, la protection des données, le cloud, la conformité légale et la réaction à incident. Chaque point est actionnable et priorisé.

1. Identité et accès (9 points)

L'identité est le premier verrou. 80 % des compromissions démarrent par un compte détourné.

1.1 Politique de mots de passe

Longueur minimale de 12 caractères pour tous les comptes
Interdiction des mots de passe déjà leakés (via HaveIBeenPwned ou équivalent interne)
Rotation obligatoire en cas de suspicion de fuite, pas de rotation périodique obligatoire (NIST 2024)
Stockage en hash (bcrypt, Argon2, PBKDF2) — jamais en clair

1.2 Authentification multifacteur (MFA)

MFA activé sur tous les comptes privilégiés (administrateurs, IT, comptabilité)
MFA activé sur tous les comptes cloud (Microsoft 365, Google Workspace, Salesforce, etc.)
Privilégier les applications d'authentification (TOTP) ou les clés de sécurité FIDO2 plutôt que le SMS

1.3 Gestion des comptes

Inventaire complet des comptes actifs (humains, machines, services)
Désactivation sous 24 heures en cas de départ d'un collaborateur
Principe du moindre privilège : chaque utilisateur n'a accès qu'à ce dont il a besoin
Comptes partagés interdits ou, à défaut, enregistrés dans un coffre-fort de mots de passe d'entreprise

2. Réseau et périmètre (8 points)

Le réseau est la frontière entre ton entreprise et Internet.

2.1 Pare-feu et segmentation

Pare-feu configuré avec règles de sortie (egress filtering), pas seulement d'entrée
Réseau invité isolé du réseau interne (VLAN distinct)
Segmentation : les serveurs critiques ne sont pas sur le même segment que les postes de travail
Désactivation des ports inutiles et des protocoles non chiffrés (Telnet, FTP, SNMP v1/v2)

2.2 VPN et accès distant

Accès distant via VPN uniquement, jamais par exposition directe (RDP ou SSH ouvert sur Internet)
VPN avec authentification forte (MFA obligatoire)
Vérification que les collaborateurs n'utilisent pas de solutions de bureau à distance grand public (TeamViewer gratuit, AnyDesk sans contrôle)

2.3 Wi-Fi

Wi-Fi interne en WPA3-Enterprise ou WPA2-Enterprise au minimum
Mot de passe Wi-Fi changé à chaque départ d'un employé ayant eu accès au réseau

3. Postes de travail et serveurs (10 points)

3.1 Patch management

Tous les systèmes d'exploitation à jour dans les 30 jours de la publication d'un correctif critique
Mise à jour automatique activée sur les postes Windows, macOS et Linux
Inventaire des logiciels avec un outil de gestion de correctifs (WSUS, Intune, PatchMyPC ou équivalent)

3.2 Antivirus et EDR

Antivirus d'entreprise déployé sur 100 % des postes et serveurs
EDR (Endpoint Detection and Response) en place pour les PME de plus de 20 personnes ou manipulant des données sensibles
Vérification mensuelle que les agents sont bien actifs et à jour

3.3 Chiffrement

Chiffrement des disques durs (BitLocker sur Windows, FileVault sur macOS) sur tous les portables
Chiffrement des supports USB et disques externes utilisés pour le transport de données
Verrouillage automatique de session après 15 minutes d'inactivité

3.4 Bureau à distance et outils IT

RDP désactivé ou restreint à un VLAN admin avec whitelist IP
Outils d'accès à distance utilisés par les prestataires répertoriés, avec révocation immédiate à la fin du contrat

4. Protection des données et sauvegarde (10 points)

4.1 Sauvegarde 3-2-1

3 copies des données importantes
Sur 2 supports différents (local + cloud, par exemple)
Dont 1 copie hors site (cloud ou site distant), déconnectée (immutable backup)
Test de restauration réel réalisé au moins tous les 3 mois

4.2 Classification des données

Inventaire des données sensibles (données clients, données personnelles, données financières, données médicales)
Marquage ou classification des documents sensibles (watermark, métadonnées, ou DLP)
Durée de conservation définie et respectée pour chaque catégorie

4.3 Prévention des fuites

DLP (Data Loss Prevention) configuré sur les canaux de sortie principaux (email, cloud, USB)
Interdiction d'utiliser des services de stockage cloud grand public non approuvés (Dropbox personnel, Google Drive perso) pour des données professionnelles
Journalisation des accès aux données sensibles (qui, quand, quoi)

5. Cloud et SaaS (7 points)

5.1 Configuration des services cloud

Revue de la configuration de sécurité de base (CIS Benchmark) appliquée à Microsoft 365 / Google Workspace
Désactivation des fonctionnalités inutiles (partage externe par défaut, accès anonyme aux documents)
Alertes d'activité anormale activées (connexions depuis pays inhabituels, téléchargements massifs)

5.2 Gouvernance des SaaS

Inventaire de tous les abonnements SaaS utilisés dans l'entreprise (y compris les « shadow IT »)
Clause de confidentialité et de localisation des données en UE vérifiée pour chaque fournisseur
Révocation des accès SaaS en même temps que le compte principal à chaque départ
Revue trimestrielle des droits d'accès partagés (liens publics, partages permanents)

6. Conformité légale belge (6 points)

6.1 RGPD

Registre des activités de traitement (RAT) à jour et accessible
Mention d'information sur le site web et dans les formulaires de contact
Processus documenté pour les demandes d'accès, de rectification et d'effacement
DPO désigné si obligatoire (plus de 250 employés ou traitement à grande échelle)

6.2 NIS2 et obligations sectorielles

Identification si l'entreprise relève d'un secteur essentiel ou important (énergie, transport, santé, finance, eau, numérique, etc.)
Plan de gestion des risques documenté si soumis à NIS2
Notification à l'autorité compétente en cas d'incident majeur sous 24 heures

7. Réaction à incident et résilience (8 points)

7.1 Plan de réponse à incident

Document écrit identifiant les rôles, les contacts (internes, prestataires, autorités) et les étapes
Numéro de contact de la police fédérale (CCB) enregistré : +32 (0)2 642 67 00
Numéro de contact de l'APD enregistré pour notification de violation de données
Assurance cyber en place et numéro de hotline connu de l'équipe dirigeante

7.2 Tests et exercices

Simulation de phishing réalisée au moins 2 fois par an
Test de restauration des sauvegardes documenté avec résultat
Revue du plan de réponse après chaque incident réel ou simulé

7.3 Formation et sensibilisation

Session de sensibilisation à la sécurité pour tous les nouveaux collaborateurs dès l'intégration
Refresher annuel pour l'ensemble du personnel
Campagne interne sur le phishing avec des exemples réels du secteur

Où en es-tu ? Évalue ta posture en 8 minutes

Chaque point non coché est une vulnérabilité réelle. Si tu n'as coché que 30 points ou moins, tu es dans la zone à risque élevé. Entre 30 et 42, c'est moyen. Au-delà de 42, ta posture est solide mais demande un entretien constant.

Besoin d'un diagnostic rapide et objectif ? Notre audit IT gratuit en ligne te donne un score sur 100 et un plan priorisé en moins de 10 minutes.

FAQ — Cybersécurité PME Belgique

Quels sont les 3 premiers gestes de cybersécurité pour une PME ?

Les trois premiers gestes sont : activer l'authentification à deux facteurs (MFA) sur tous les comptes privilégiés, effectuer des sauvegardes 3-2-1 avec test de restauration, et maintenir les systèmes à jour dans les 30 jours d'un correctif critique. Ces trois mesures bloquent environ 70 % des attaques courantes.

Combien coûte une cybersécurité correcte pour une PME belge ?

Une posture de base cybersécurité pour une PME belge de 10 à 30 personnes représente un investissement annuel entre 3 000 € et 8 000 € HTVA. Cela inclut un antivirus/EDR d'entreprise, un coffre-fort de mots de passe, un outil de sauvegarde cloud, un pare-feu managé et quelques heures de conseil. Des subsides régionaux peuvent couvrir jusqu'à 75 % de ce coût.

Faut-il un expert IT interne pour être sécurisé ?

Non. Une PME peut atteindre un niveau de sécurité satisfaisant avec un prestataire externe (infogérance sécurisée ou MSSP) et en appliquant les bonnes pratiques de cette checklist. L'essentiel est la régularité : vérifications trimestrielles, tests de sauvegarde, sensibilisation continue.

Quelle est la différence entre antivirus et EDR ?

Un antivirus détecte les logiciels malveillants connus par signature. Un EDR (Endpoint Detection and Response) surveille le comportement des processus en temps réel, détecte les anomalies inconnues (zero-day) et permet une investigation post-incident. Une PME de moins de 10 personnes peut se contenter d'un antivirus d'entreprise. Au-delà, l'EDR devient recommandé.

Que faire en cas de ransomware ?

Isoler immédiatement les machines infectées (débrancher le câble réseau ou désactiver le Wi-Fi), ne pas payer la rançon (pas de garantie de récupération, et cela finance le crime), contacter la police fédérale (CCB), restaurer les données depuis les sauvegardes hors ligne validées, et réviser le plan de réponse pour éviter une récidive.

Le RGPD s'applique-t-il à toutes les PME ?

Oui. Toute entreprise — même une TPE ou un indépendant — qui traite des données personnelles (clients, prospects, employés, fournisseurs) est soumise au RGPD. La différence réside dans les obligations de formalisme : un registre des traitements est obligatoire, la désignation d'un DPO ne l'est que dans certains cas.

NIS2 concerne-t-il ma PME ?

NIS2 s'applique aux opérateurs de services essentiels et importants. Si tu opères dans l'énergie, le transport, la santé, la finance, l'eau potable, le numérique ou la gestion des déchets, tu es probablement concerné. Les PME de ces secteurs doivent mettre en place une gestion des risques, notifier les incidents et respecter des exigences de sécurité spécifiques.

À quelle fréquence faut-il tester ses sauvegardes ?

Un test de restauration complet (fichier, boîte mail, serveur) doit être réalisé au minimum tous les 3 mois. En pratique, les meilleures PME testent mensuellement un échantillon et annuellement un scénario de reprise d'activité complet (PRA).

Ressources complémentaires

Lectures complémentaires

Guide complet de l'audit informatique PME en Belgique : méthodologie, coûts et livrables d'un audit IT réussi.
Guide AI Act pour entreprises belges : la couche conformité IA à ajouter à votre stratégie cyber.
Sécuriser Microsoft 365 dans une PME belge : durcissement complet de votre tenant M365.
Évaluer votre conformité AI Act en 5 minutes : Quick Check gratuit pour positionner votre PME.
Lancer un audit cybersécurité gratuit : score sur 100 et plan d'action priorisé.
Infogérance & cybersécurité PME en Belgique : forfait managé Bruxelles / Wallonie / Flandre.
Parler à un expert cybersécurité pour un devis sous 24h.
Infogérance PME Belgique : guide complet — modèles de contrat, coûts réels et critères de choix

Checklist complète de cybersécurité PME 2026