Les entreprises suisses ne sont pas préparées aux cyberattaques liées à l’IA

74% des entreprises suisses n’ont pas de stratégie explicite contre les cyberattaques utilisant l’intelligence artificielle. C’est ce que révèle le dernier monitoring de SwissVR, qui met en évidence une faiblesse manifeste des défenses des entreprises du pays, alors que les groupes criminels recourent de plus en plus à l’intelligence artificielle dans leurs activités.

L’étude, publiée le 16 septembre 2026, met en lumière un décalage entre la rapidité de l’évolution technologique et la manière dont les entreprises gèrent les risques. L’intelligence artificielle peut amplifier et accélérer les activités criminelles, alors que de nombreuses entreprises ne disposent toujours pas d’une réponse documentée spécifiquement destinée aux attaques assistées par l’IA.

Cette exposition concerne l’ensemble de l’économie suisse. Les entreprises dépendent de systèmes numériques pour les paiements, la logistique, la production, les données clients et les communications. Une interruption de l’un de ces systèmes peut rapidement avoir des répercussions sur les fournisseurs, le personnel et la clientèle, même si la brèche initiale résulte du piratage d’un seul compte.

Le monitoring de SwissVR relève également des faiblesses qui vont au-delà de la prévention. 55% des entreprises n’ont pas de plan d’urgence, ou disposent d’un plan qui n’a pas été testé, pour rétablir les processus informatiques essentiels. Un document de réponse qui n’a jamais fait l’objet d’un exercice peut laisser le personnel dans l’incertitude quant aux personnes chargées de prendre les décisions, aux systèmes à rétablir en priorité et au moment où il faut faire appel à une aide extérieure.

Seules 18% des petites entreprises se disent préparées, contre 40% des grandes entreprises. Cet écart met en évidence la charge particulière qui pèse sur les PME suisses, qui ont souvent des équipes informatiques plus réduites, des budgets de sécurité limités et moins de moyens pour organiser des exercices répétés.

La taille d’une entreprise ne détermine pas si elle sera ciblée. Une PME peut détenir des informations précieuses sur sa clientèle, être reliée à un grand fournisseur ou proposer un service difficile à remplacer pour une autre entreprise. Ses systèmes peuvent aussi offrir aux criminels un accès à un réseau commercial plus vaste.

Les résultats de SwissVR ne désignent pas une faiblesse technique unique que partageraient toutes les petites entreprises. Ils montrent toutefois que le niveau de préparation reste inégal. Pour une PME, la première mesure concrète consiste à déterminer ses processus les plus importants et les systèmes dont ils dépendent. Les dirigeants ont besoin d’une liste à jour des comptes, fournisseurs, espaces de stockage des données et contacts de rétablissement critiques.

Les entreprises devraient aussi limiter les accès inutiles, exiger une authentification forte, maintenir les logiciels à jour et séparer les sauvegardes des systèmes qu’elles protègent. Ces mesures n’éliminent pas les risques. Elles offrent davantage de possibilités à une entreprise lorsqu’un pirate compromet un compte, perturbe les activités ou exige une décision rapide.

Seul un membre de conseil d’administration sur deux est régulièrement informé des incidents de cybersécurité. Ce chiffre place la gouvernance au cœur du problème de préparation. Les décisions en matière de cybersécurité sont en concurrence avec les priorités d’investissement, de personnel et de croissance, mais un conseil d’administration ne peut évaluer les risques opérationnels sans recevoir régulièrement des informations claires.

Les membres d’un conseil d’administration n’ont pas besoin de gérer des pare-feu ni d’enquêter sur chaque alerte. Ils doivent en revanche savoir quels services de l’entreprise sont les plus exposés, à quelle vitesse l’entreprise peut les rétablir, qui est habilité à intervenir pendant un incident et si les exercices précédents ont révélé des problèmes non résolus.

La direction devrait présenter régulièrement au conseil d’administration une synthèse concise des risques. Elle devrait inclure les incidents importants et les quasi-accidents, la situation des fournisseurs critiques, les vulnérabilités non résolues, les performances des sauvegardes et les résultats des tests de rétablissement. Les rapports devraient distinguer les politiques qui existent sur le papier des mesures qui ont fait leurs preuves sous pression.

Le conseil d’administration doit aussi confirmer qui dirige la réponse. Les responsables juridiques, de la communication, de l’informatique, des ressources humaines et des opérations peuvent tous avoir un rôle à jouer. Des règles d’escalade claires peuvent éviter des retards en cas de défaillance des systèmes ou d’exposition possible de données sensibles. Les résultats de SwissVR montrent pourquoi cette surveillance ne peut pas rester un point occasionnel à l’ordre du jour.

55% des entreprises ne disposent pas d’une procédure testée pour rétablir leurs activités informatiques essentielles. Cette faiblesse peut transformer un incident de sécurité en une interruption prolongée des activités. La planification du rétablissement doit aller au-delà des sauvegardes de données. Elle devrait expliquer comment le personnel travaillera, communiquera avec la clientèle, vérifiera les transactions et rétablira les services prioritaires si les systèmes habituels deviennent indisponibles.

Un plan crédible commence par un inventaire des processus essentiels et de leurs dépendances. Les entreprises devraient définir les priorités de rétablissement, la durée d’interruption acceptable et les compétences décisionnelles. Elles devraient tester les sauvegardes, vérifier que les procédures de restauration fonctionnent et faire participer le personnel et les fournisseurs nécessaires en cas de panne.

Les exercices devraient inclure des complications réalistes, comme un compte d’administrateur compromis, des communications internes peu fiables ou des doutes sur les données auxquelles on peut se fier. Après chaque test, la direction devrait consigner les défaillances, désigner les personnes responsables et fixer des délais pour les mesures correctives.

Les entreprises suisses ont également besoin d’une procédure claire de signalement des incidents. Le monitoring de SwissVR a relevé que les informations transmises aux conseils d’administration sont inégales, et que la confusion interne peut ralentir les décisions techniques et juridiques. Avant une attaque, les entreprises devraient établir des contacts de confiance pour l’assistance informatique, les assurances, les conseils juridiques et les autorités compétentes. La préparation n’empêchera pas toutes les intrusions, mais elle peut réduire le délai entre la détection, le confinement et le rétablissement.