Le Baromètre France Num 2026, publié le 28 septembre 2026 par la Direction générale des Entreprises (DGE), dresse l'état des lieux annuel du numérique dans les TPE/PME françaises. Un chiffre a particulièrement circulé : 39 % des TPE/PME déclarent avoir été confrontées à un incident de cybersécurité au cours des 12 derniers mois. Mais ce chiffre mérite d'être lu avec précision, car un second 39 % apparaît dans la même étude, sur un sujet totalement différent. Voici ce que disent vraiment les chiffres, sans raccourci ni confusion.
Le baromètre en bref : méthodologie et source
Le Baromètre France Num 2026 repose sur une enquête menée auprès de 9 655 TPE/PME françaises, réalisée du 23 mars au 18 avril 2026. Il est publié chaque année par la DGE dans le cadre du programme France Num, et constitue l'une des sources les plus citées sur la maturité numérique des petites entreprises françaises. Les documents sources sont disponibles directement sur le site officiel : l'infographie de synthèse, le rapport final complet, et le communiqué officiel du ministère de l'Économie du 28 septembre 2026.
39 % d'incidents cyber : un chiffre à lire avec sa méthodologie, pas comme une évolution linéaire
C'est le chiffre qui a le plus retenu l'attention : 39 % des TPE/PME interrogées déclarent avoir été confrontées à au moins un incident de cybersécurité au cours des 12 derniers mois. En 2025, la même enquête affichait 36 %. Beaucoup de reprises médiatiques ont présenté l'écart comme une hausse de 3 points, preuve d'une dégradation de la sécurité des petites entreprises.
Ce raccourci n'est pas honnête. La question posée en 2026 sur les incidents cyber a été reformulée par rapport aux éditions précédentes : il s'agit d'une nouvelle mesure, avec un périmètre de question différent de celui de 2025 (et des années antérieures). Autrement dit, le saut de 36 % à 39 % reflète en bonne partie un changement de méthode de mesure, pas nécessairement une dégradation réelle et continue de +3 points de la sécurité des TPE sur un an. Comparer directement les deux chiffres comme s'ils mesuraient exactement la même chose induit en erreur : on ne compare rigoureusement que des mesures obtenues avec la même question.
Ce que l'on peut dire avec certitude, en revanche : un peu plus d'une TPE/PME sur trois a été confrontée à un incident de cybersécurité en 2026, ce qui reste un niveau élevé, quelle que soit la comparaison avec l'année précédente. Parmi les incidents subis, les plus fréquents sont le hameçonnage (phishing), cité par 18 % des répondants, et les virus ou logiciels malveillants, cités par 8 %.
84 % ont au moins une mesure de sécurité, mais les usages de base reculent légèrement
Le niveau d'équipement en protections de base reste élevé mais stagne, voire recule sur plusieurs postes :
- 84 % des TPE/PME déclarent avoir mis en place au moins une mesure de cybersécurité (stable par rapport à 2025).
- 80 % utilisent un antivirus (-1 point).
- 67 % réalisent une sauvegarde externe de leurs données (-1 point).
- 44 % ont mis en place une protection physique de leurs équipements (-4 points, le recul le plus marqué du baromètre).
Ces reculs, même modestes, interrogent : à mesure que les incidents déclarés augmentent (nouvelle mesure comprise), les usages de protection de base ne progressent pas en proportion. C'est un signal à prendre au sérieux pour toute TPE qui n'a pas revu ses pratiques depuis plusieurs années.
39 % de MFA (+7 points) : un second 39 %, à ne pas confondre avec le taux d'incidents
Autre chiffre marquant du baromètre, qui affiche la même valeur que le taux d'incidents cyber, par pure coïncidence : 39 % des TPE/PME déclarent utiliser l'authentification multifacteur (MFA), soit une progression de +7 points par rapport à l'année précédente — la plus forte progression du baromètre sur les mesures de sécurité.
Il est important de bien distinguer les deux chiffres, qui n'ont rigoureusement rien en commun :
- 39 % « incidents cyber » = la proportion de TPE/PME ayant subi un incident de sécurité en 12 mois (nouvelle mesure 2026, non comparable terme à terme à 2025).
- 39 % « MFA » = la proportion de TPE/PME ayant mis en place la double authentification sur leurs comptes (mesure comparable d'une année sur l'autre, en progression de +7 points).
Ces deux chiffres identiques mais indépendants sont une coïncidence statistique de l'édition 2026. Le second est une bonne nouvelle : la MFA est l'une des protections les plus efficaces contre les usurpations de compte, et sa progression de +7 points est le signal le plus positif du baromètre. Elle reste cependant minoritaire : 6 TPE/PME sur 10 n'ont toujours pas activé la double authentification.
Perception du risque et résolution des incidents
53 % des dirigeants de TPE/PME déclarent craindre la perte ou le piratage de leurs données (+1 point par rapport à 2025) : la perception du risque reste stable et élevée, cohérente avec le niveau d'incidents déclarés.
Quand un incident survient, sa résolution se fait majoritairement en interne :
- 65 % des incidents sont résolus en interne, sans intervention extérieure.
- 31 % font appel à un prestataire externe.
- 4 % seulement passent par un organisme public (type Cybermalveillance.gouv.fr).
Ce dernier point mérite réflexion : une résolution « en interne » dans une entreprise de quelques salariés, sans compétence informatique dédiée, signifie souvent un bricolage sous pression, sans analyse de la cause réelle ni vérification qu'aucune porte dérobée n'a été laissée ouverte. C'est précisément le type de situation où un diagnostic externe, même rapide, change la donne.
Ce que ça change concrètement pour une TPE ou un artisan de l'Yonne
Pour un artisan, un commerçant ou une petite entreprise de l'Yonne sans service informatique dédié, ces chiffres se traduisent en trois priorités simples, dans l'ordre :
- Activer la double authentification partout où c'est possible (messagerie professionnelle, banque en ligne, logiciels de facturation ou de comptabilité) : c'est la mesure qui a le plus progressé en 2026, et la plus rentable en rapport effort/protection.
- Vérifier que la sauvegarde externe des données fonctionne réellement, pas seulement qu'elle existe sur le papier : le recul de 1 point sur ce poste en 2026 est un signal d'alerte, surtout face à un rançongiciel.
- Ne pas attendre l'incident pour faire un point sur sa sécurité : avec 39 % des TPE/PME touchées sur 12 mois (quelle que soit la part due au changement de méthode), la probabilité qu'une entreprise de l'Yonne soit un jour concernée n'est pas négligeable.
C'est aussi pour cette raison qu'il peut être utile de regarder du côté d'une cyberassurance adaptée à une TPE : elle ne remplace pas ces bonnes pratiques, mais peut limiter l'impact financier d'un incident qui survient malgré tout, à condition de respecter les prérequis techniques exigés par le contrat.
C'est exactement ce que propose notre diagnostic cybersécurité gratuit pour les TPE de l'Yonne : un point rapide et sans engagement sur vos pratiques actuelles (antivirus, sauvegarde, MFA, usages des outils cloud), pour savoir où vous en êtes réellement avant qu'un incident ne vous le révèle. Le baromètre souligne aussi que beaucoup d'usages numériques quotidiens (messagerie, partage de fichiers, outils cloud) échappent au contrôle direct de la direction : un phénomène que nous détaillons dans notre article sur le Shadow IT en TPE, souvent lié aux mêmes failles que celles révélées par ce type de baromètre.
Questions fréquentes
Le taux d'incidents cyber des TPE a-t-il vraiment augmenté de 3 points en 2026 ?
Pas de façon strictement comparable. La question posée en 2026 sur les incidents de cybersécurité a été reformulée par rapport à 2025, où le chiffre était de 36 %. Le saut à 39 % reflète en partie ce changement de méthode de mesure, et ne doit pas être interprété comme une dégradation linéaire et continue de +3 points de la sécurité réelle des TPE.
Les deux chiffres de 39 % du baromètre (incidents et MFA) sont-ils liés ?
Non, ils mesurent deux choses totalement différentes qui affichent la même valeur par coïncidence : 39 % des TPE/PME ont subi un incident cyber, et, séparément, 39 % utilisent l'authentification multifacteur. Il ne faut jamais les confondre ni les additionner.
Quelle est la mesure de sécurité la plus efficace à mettre en place rapidement ?
Selon le baromètre, l'authentification multifacteur (MFA) est la mesure qui a le plus progressé en 2026 (+7 points), car elle réduit fortement le risque d'usurpation de compte pour un effort de mise en place limité. Elle doit être complétée par un antivirus à jour et une sauvegarde externe réellement testée.
En résumé : le Baromètre France Num 2026 confirme un niveau d'exposition cyber élevé pour les TPE/PME françaises (39 %, nouvelle mesure), une progression réelle et encourageante de la double authentification (39 %, +7 points), et des reculs ponctuels sur les protections de base (sauvegarde, protection physique) qui méritent d'être corrigés avant qu'ils ne se traduisent en incident. Besoin d'un point sur votre propre situation ? Faites le diagnostic cybersécurité gratuit.