En bref
- Une étude du SwissVR Monitor, publiée le 16 septembre 2026, révèle que 74% des entreprises suisses n'ont pas de stratégie explicite contre les cyberattaques basées sur l'IA, malgré une hausse inquiétante de ces menaces, surtout pour les PME. Les conseils d'administration peinent à gérer ce risque croissant.
- 41% des entreprises suisses ont déjà été victimes de cyberattaques, un chiffre en hausse de 13 points par rapport à 2023. Les interruptions d'activité (42%) et les fuites de données (22%) sont les conséquences les plus fréquentes.
- Seules 18% des petites entreprises suisses disposent d'une préparation stratégique contre les cyberattaques, contre 40% des grandes entreprises. Par ailleurs, 55% des entreprises n’ont pas de plan d’urgence testé pour restaurer leurs systèmes informatiques en cas de crise.
Les conseils d'administration sont à la traîne dans la lutte contre les cyberattaques basées sur l'intelligence artificielle (IA), selon une étude. Pourtant, la hausse de ces dernières aggrave les risques, notamment pour les petites et moyennes entreprises (PME) en Suisse.
Les cybercriminels ont de plus en plus recours à l'IA, ce qui facilite la mise en oeuvre des attaques et augmente les dommages potentiels. Or, près de trois quarts des entreprises ne disposent d'aucune stratégie explicite pour lutter contre les attaques basées sur l'IA. C'est ce qui ressort du dernier SwissVR Monitor, publié mercredi.
Menée par l’association des conseils d’administration SwissVR, le cabinet d’audit et de conseil Deloitte et la Haute école de Lucerne, l'étude s'est basée sur les avis de membres de conseils d'administration d'entreprises cotées en Bourse et de PME provenant des principaux secteurs de l'économie. De plus en plus d'entreprises suisses sont prises pour cible: selon les estimations des membres des conseils d'administration, 41% d'entre elles ont déjà été victimes d'une cyberattaque. Cela représente 13 points de pourcentage de plus qu'il y a trois ans. Cette hausse est presque entièrement imputable aux PME.
Le nombre d'entreprises réellement victimes d'attaques est certainement plus élevé, car la moitié des membres des conseils d'administration ont indiqué ne pas recevoir de rapport régulier sur les incidents liés à la cybersécurité. Aujourd'hui, l'informatique et de la gestion de la sécurité, y compris la cyberrésilience, figurent parmi les dix thèmes prioritaires des conseils d'administration pour les douze prochains mois. Il faut toutefois davantage se pencher sur les conséquences des cyberattaques, selon l'enquête. Les interruptions d'activité sont de loin la conséquence la plus fréquente (42%), devant les fuites de données (22%).
Les grandes entreprises mieux préparées
Pas moins de 74% des entreprises ne disposent d'aucune stratégie explicite pour lutter contre les attaques basées sur l'IA. Seules 18% des petites entreprises sont préparées sur le plan stratégique, contre 40% des grandes entreprises. Pourtant, «l'utilisation croissante de l'IA à des fins criminelles entraîne une aggravation de la cybermenace», explique Cédric Nabé, associé cybersécurité chez Deloitte Suisse, cité dans le communiqué. «Les risques liés à la cybersécurité augmentent fortement et multiplient le potentiel de dommages.»
La préparation aux situations d'urgence présente elle aussi des lacunes: 55% des entreprises n'ont pas de plan d'urgence – ou seulement des plans n'ayant pas été testés – pour rétablir au plus vite les processus informatiques essentiels. Les grandes entreprises (60%) disposent presque deux fois plus souvent de plans testés que les petites (32%). Les prestataires de services financiers sont particulièrement bien préparés. Ce secteur faisant partie des infrastructures critiques de la Suisse, les normes de sécurité y sont mieux établies et la règlementation plus stricte.
Un reporting à améliorer
L'enquête met également en avant un manque de compétences en matière de sécurité. Certes, 86% des instances suivent les évolutions actuelles dans le domaine de la cybersécurité et 84% ont adopté une politique de gestion des risques pour faire face aux cyberattaques. Mais seule la moitié d'entre elles ont mis en place des exercices de gestion de crise en cas d'urgence. Cela représente toutefois une progression par rapport aux 34% enregistrés il y a trois ans.
Enfin, le reporting présente lui aussi une marge d'amélioration: seul un conseil d'administration sur deux est régulièrement informé des incidents en matière de cybersécurité. «Une stratégie cyber claire relève des missions essentielles de la direction, et le reporting constitue une mission de surveillance centrale», relève la présidente de SwissVR Isabelle Amschwand.
