Combien de PME québécoises subissent une cyberattaque ? Selon un sondage KPMG publié en octobre 2023, 63 % des 154 PME québécoises interrogées avaient été attaquées par des cybercriminels dans l'année. À l'échelle canadienne, Statistique Canada estime qu'environ 1 entreprise sur 6 (16 %) a été touchée par un incident de cybersécurité en 2023.
Échantillons et définitions diffèrent d'une source à l'autre : lisez la méthodologie avant de comparer.
En bref
- 63 % des PME québécoises sondées par KPMG en 2023 avaient été attaquées dans l'année.
- La CAI a reçu 518 avis d'incidents de confidentialité du 1er janvier au 10 décembre 2025 ; au 9 janvier 2026, elle n'avait imposé aucune sanction administrative pécuniaire.
- Le Centre antifraude du Canada a recensé plus de 704 M$ de pertes déclarées en 2025 (CAFC, 2026), alors que 5 à 10 % seulement des victimes signalent la fraude, selon son estimation (CAFC, 2025).
- Selon CDW (2025), les petites organisations canadiennes mettent en moyenne 6,8 jours à détecter un incident et 25,7 jours à s'en remettre.
- Selon Statistique Canada, les dépenses de rétablissement des entreprises ont doublé, à 1,2 G$ en 2023.
Attaques contre les PME
Selon Statistique Canada, 16 % des entreprises canadiennes de 10 employés ou plus ont été touchées par un incident de cybersécurité en 2023. Les sondages privés, aux méthodes différentes, donnent des taux plus élevés.
| Statistique | Valeur | Source |
|---|---|---|
| Entreprises canadiennes (10 employés ou plus) touchées par un incident de cybersécurité | 16 % en 2023 (18 % en 2021, 21 % en 2019) | Statistique Canada, 2024 |
| Entreprises touchées victimes d'un rançongiciel | 13 % en 2023 (11 % en 2021) | Statistique Canada, 2024 |
| PME québécoises attaquées par des cybercriminels dans la dernière année | 63 % (154 PME sondées) | KPMG, 2023 |
| PME québécoises sans personnel qualifié pour mettre en œuvre une solution de cybersécurité ou surveiller les attaques | 65 % | KPMG, 2023 |
| PME québécoises sans plan face à un rançongiciel | 58 % | KPMG, 2023 |
| Petites entreprises canadiennes attaquées au cours des cinq dernières années | 86 % | Coalition, 2025 |
| Petites entreprises canadiennes qui se croient trop petites pour être ciblées | 77 % | Coalition, 2025 |
| Propriétaires de petites entreprises canadiennes ayant déjà subi une attaque | 53 % | Zensurance, 2025 |
| Hausse annuelle moyenne des incidents de rançongiciel connus du Centre, depuis 2021 | 26 % (2024 en projection) | Centre canadien pour la cybersécurité, 2024 |
Attention : le sondage KPMG de 2023 excluait les entreprises de moins de 10 M$ de revenus annuels, donc les plus petites PME.
Coûts
Selon Statistique Canada, les entreprises canadiennes ont dépensé environ 1,2 milliard de dollars en 2023 pour se remettre d'incidents de cybersécurité, le double de 2021.
| Statistique | Valeur | Source |
|---|---|---|
| Dépenses de rétablissement (10 employés ou plus) | environ 1,2 G$ en 2023 (environ 600 M$ en 2021) | Statistique Canada, 2024 |
| Dépenses de rétablissement des petites entreprises (10 à 49 employés) | environ 300 M$ en 2023 | Statistique Canada, 2024 |
| Dépenses de prévention et de détection | 11,0 G$ en 2023, dont 2,6 G$ pour les petites entreprises | Statistique Canada, 2024 |
| Pertes moyennes par type d'incident | hameçonnage : 89 000 $ ; fraude au virement : 118 000 $ ; fuite de données : 220 000 $ ; rançongiciel : 330 000 $ | Insurance Business Canada (article sur Zensurance), 2025 |
| Mises à jour de sécurité étendues (ESU) de Windows 10, organisations | 61 $ US par poste pour l'an 1, prix doublé chaque année (trois ans au maximum) | Microsoft, 2025 |
Les pertes moyennes par type d'incident sont des « données de l'industrie » sans source primaire précisée (Insurance Business Canada, octobre 2025) : de simples ordres de grandeur pour bâtir le budget de cybersécurité d'une PME.
Incidents déclarés et cadre légal (Québec)
Selon son rapport annuel 2024-2025, la CAI a reçu 514 avis d'incidents de confidentialité entre le 1er avril 2024 et le 31 mars 2025, une hausse de 16 % sur un an.
| Statistique | Valeur | Source |
|---|---|---|
| Avis d'incidents reçus par la CAI, exercice 2024-2025 | 514 (+16 % sur un an), dont 80 % du secteur privé | CAI, 2025 |
| Hausse des avis reçus sur trois ans | 559 % | CAI, 2025 |
| Causes les plus citées en 2024-2025 (un avis peut en citer plusieurs) | cyberattaque (160), erreur humaine (110), rançongiciel (106), hameçonnage (48) | CAI, 2025 |
| Secteurs ayant transmis le plus d'avis en 2024-2025 | santé et assistance sociale (94), finance et assurances (89), services professionnels, scientifiques et techniques (61) | CAI, 2025 |
| Avis reçus du 1er janvier au 10 décembre 2025 | 518 | CAI, 2026 |
| Sanctions administratives pécuniaires ou pénalités imposées par la CAI | aucune au 9 janvier 2026 | CAI, 2026 |
| Délai pour aviser la CAI d'un incident à risque de préjudice sérieux | aucun délai chiffré : « avec diligence » (art. 3.5) | Loi 25 (LegisQuébec) |
| Sanction administrative pécuniaire maximale (entreprise) | 10 M$ ou 2 % du chiffre d'affaires mondial, si plus élevé (art. 90.12) | Loi 25 (LegisQuébec) ; Osler, 2024 |
| Amende pénale (entreprise) | 15 000 $ à 25 M$, ou 4 % du chiffre d'affaires mondial si plus élevé (art. 91) | Loi 25 (LegisQuébec) ; Osler, 2024 |
| Dommages-intérêts punitifs (atteinte intentionnelle ou faute lourde) | au moins 1 000 $ (art. 93.1) | Loi 25 (LegisQuébec) |
| C-8, Loi sur la protection des cybersystèmes essentiels (fédéral) : sanction maximale | 15 M$ par violation, par jour (organisation) ; 500 000 $ (personne physique) | BLG, 2025 (mis à jour en 2026) |
La CAI a annoncé le 27 mai 2025 qu'elle cesserait de publier la liste des organisations déclarantes, mais pas ses statistiques (Gowling WLG, 2025). Voyez comment déclarer un incident de confidentialité à la CAI.
Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026 (LEGISinfo) ; sa partie 2, qui vise les exploitants désignés des finances, des télécommunications, de l'énergie et des transports, sera mise en œuvre progressivement (Sécurité publique Canada, 2026). Ces montants sont des maximums : validez votre situation avec votre conseiller juridique ou notre service de conformité à la Loi 25.
Fraude (Canada)
Selon le Centre antifraude du Canada (CAFC), plus de 112 000 signalements de fraude, totalisant plus de 704 M$ de pertes déclarées, ont été reçus en 2025.
| Statistique | Valeur | Source |
|---|---|---|
| Signalements de fraude reçus par le CAFC | plus de 112 000 en 2025 | CAFC, 2026 |
| Pertes déclarées au CAFC | plus de 704 M$ en 2025 | CAFC, 2026 |
| Pertes déclarées liées au harponnage (2e fraude la plus coûteuse) | 67,9 M$ en 2025 (813 signalements, 571 victimes) | CAFC, 2026 |
| Pertes liées au harponnage, janvier à mars 2026 (« hameçonnage » dans le communiqué français) | près de 31 M$ | CAFC, 2026 |
| Victimes qui signalent une fraude au CAFC | 5 à 10 % (estimation) | CAFC, 2025 |
| Entreprises touchées dont les incidents comprenaient des arnaques ou des fraudes | 50 % en 2023 | Statistique Canada, 2024 |
| Entreprises touchées ayant signalé l'incident à la police | 13 % en 2023 (10 % en 2021) | Statistique Canada, 2024 |
Le CAFC range dans le harponnage les fraudes qui usurpent un dirigeant, un fournisseur ou un entrepreneur, comme la fraude au président. Ses chiffres couvrent particuliers et entreprises.
Délais de détection et de reprise
Selon l'étude canadienne de CDW (2025), les petites organisations canadiennes mettaient en moyenne 6,8 jours à détecter un incident en 2025, contre 4,0 jours en 2024.
| Statistique | Valeur | Source |
|---|---|---|
| Délai moyen de détection (petites organisations) | 6,8 jours en 2025 (4,0 jours en 2024) | CDW, 2025 |
| Délai moyen de réponse à un incident | 13,3 jours (10,9 jours auparavant) | CDW, 2025 |
| Délai moyen de reprise | 25,7 jours | CDW, 2025 |
Notre anatomie d'une attaque par rançongiciel montre ce qui se passe pendant ces semaines.
Le tissu des PME au Québec
Selon Statistique Canada (données de juin 2022 compilées par la FCEI en 2023), le Québec comptait 274 296 entreprises avec employés, dont 53 % avaient de 1 à 4 employés.
| Statistique | Valeur | Source |
|---|---|---|
| Entreprises avec employés au Québec | 274 296 (juin 2022) | Statistique Canada, via FCEI, 2023 |
| Part ayant de 1 à 4 employés | 53 % | Statistique Canada, via FCEI, 2023 |
| Part ayant moins de 100 employés | plus de 98 % | Statistique Canada, via FCEI, 2023 |
| Emplois dans les PME québécoises | environ 2,35 millions, soit 68 % de la main-d'œuvre du secteur privé | FCEI, 2023 |
Le mot « PME » couvre donc autant un cabinet comptable de Laval de quatre employés qu'une entreprise de 300 M$ de revenus, comme certaines du sondage KPMG de 2023.
Méthodologie
Nous avons privilégié les sources officielles, complétées par des sondages de firmes-conseils, d'assureurs et de fournisseurs TI. Chaque chiffre a été revérifié sur sa source ; les chiffres non confirmés ont été retirés, et aucun n'a été arrondi au-delà de la source.
- Intérêts commerciaux. Coalition et Zensurance vendent de l'assurance cyber, CDW des produits et services TI, KPMG des services-conseils.
- Échantillons. Statistique Canada : 12 462 entreprises de 10 employés ou plus (2023). KPMG : 154 PME québécoises de 10 M$ de revenus ou plus (août-septembre 2023). Coalition : 1 000 petites entreprises dans cinq pays (2025). Zensurance : 1 000 propriétaires de petites entreprises canadiennes (septembre 2025). CDW ne publie ni son échantillon ni sa définition de « petite organisation ».
- Révisions. Les pertes du CAFC évoluent avec les signalements : harponnage 2025 à 67,9 M$ dans le bilan annuel, à « plus de 68 M$ » en mai 2026.
- Devise. Dollars canadiens, sauf mention contraire.
Dernière vérification : octobre 2026.
Comment citer cette page
Citez la source primaire, et cette page comme compilation :
Source : « Statistiques de cybersécurité au Québec et au Canada (2026) », octobre 2026.
Ajoutez le lien et votre date de consultation. Pour situer votre entreprise, demandez une soumission.
Questions fréquentes
Combien de PME québécoises sont victimes de cyberattaques ?+
Selon un sondage KPMG publié en octobre 2023, 63 % des 154 PME québécoises interrogées avaient été attaquées par des cybercriminels au cours de l'année précédente ; ce sondage excluait toutefois les entreprises de moins de 10 M$ de revenus annuels. À l'échelle canadienne, Statistique Canada estime que 16 % des entreprises de 10 employés ou plus ont été touchées par un incident de cybersécurité en 2023. Les deux chiffres reposent sur des définitions et des échantillons différents.
Combien d'incidents de confidentialité sont déclarés à la CAI chaque année ?+
Selon son rapport annuel 2024-2025, la Commission d'accès à l'information a reçu 514 avis d'incidents de confidentialité entre le 1er avril 2024 et le 31 mars 2025, une hausse de 16 % sur un an. Dans une réponse datée du 9 janvier 2026, elle indique avoir reçu 518 avis entre le 1er janvier et le 10 décembre 2025. Seuls les incidents qui présentent un risque de préjudice sérieux doivent lui être déclarés.
Combien coûte une cyberattaque pour une PME au Canada ?+
Des données de l'industrie citées par Insurance Business Canada en octobre 2025 évaluent la perte moyenne à 89 000 $ pour un incident d'hameçonnage, 118 000 $ pour une fraude au virement et 330 000 $ pour un rançongiciel. La source primaire de ces moyennes n'est pas précisée, et les coûts varient beaucoup d'un cas à l'autre. Selon Statistique Canada, les petites entreprises de 10 à 49 employés ont consacré au total environ 300 M$ à se remettre d'incidents en 2023.
La CAI a-t-elle déjà imposé des amendes en vertu de la Loi 25 ?+
Dans une réponse à une demande d'accès datée du 9 janvier 2026, la CAI indiquait qu'aucune sanction administrative pécuniaire ni pénalité n'avait été imposée par la Commission à cette date. La Loi 25 prévoit pourtant des sanctions administratives allant jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, et des amendes pénales allant jusqu'à 25 M$ ou 4 %. Consultez le site de la CAI pour les décisions plus récentes.
Sources
- 1.Statistique Canada — L'incidence du cybercrime sur les entreprises canadiennes, 2023 (Le Quotidien, 21 octobre 2024)
- 2.KPMG (via Newswire) — La cybercriminalité a touché plus de six PME québécoises sur dix (24 octobre 2023)
- 3.Canadian Underwriter — Les petites entreprises canadiennes sous-estiment le risque cyber (Coalition, juillet 2025)
- 4.Zensurance — 7 Cyber Insurance Claims We Saw in 2025 (sondage de septembre 2025, en anglais)
- 5.Insurance Business Canada — AI-powered attacks push cyber risks higher for Canada's SMEs: Zensurance (octobre 2025)
- 6.Centre canadien pour la cybersécurité — Évaluation des cybermenaces nationales 2025-2026
- 7.Commission d'accès à l'information — Rapport annuel d'activités et de gestion 2024-2025 (octobre 2025)
- 8.Commission d'accès à l'information — Décision AI-2526-238 (9 janvier 2026)
- 9.Gowling WLG — La CAI cessera de publier la liste des déclarations d'incidents (mai 2025)
- 10.Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), art. 3.5, 90.12, 91 et 93.1
- 11.Osler — Loi 25 : le nouveau régime d'application de la loi québécoise (janvier 2024)
- 12.LEGISinfo — Projet de loi C-8 (45e législature, 1re session)
- 13.Sécurité publique Canada — Sanction royale du projet de loi C-8 (16 juin 2026)
- 14.BLG — Bill C-8 revives Canadian cyber security reform (2025, mis à jour en 2026, en anglais)
- 15.Centre antifraude du Canada — Mois de la prévention de la fraude 2026
- 16.Centre antifraude du Canada — Le CAFC et ses partenaires aident à récupérer 3,5 M$ subtilisés dans un stratagème de détournement de paiement (13 mai 2026)
- 17.Centre antifraude du Canada — Une collaboration internationale permet d'intercepter et de récupérer un virement frauduleux de 2,3 M$ (24 juillet 2025)
- 18.Centre antifraude du Canada — Fraudes touchant les entreprises
- 19.CDW Canada — IT and Cybersecurity Trends for Small Businesses in Canada (étude canadienne 2025, en anglais)
- 20.Microsoft — Programme ESU (mises à jour de sécurité étendues) pour Windows 10
- 21.FCEI — Québec et Ontario : un couloir économique à exploiter pour l'économie et les PME (juillet 2023)