# Budget de cybersécurité d'une PME : quoi financer en premier

Source : https://cybercaribou.com/blogue/budget-cybersecurite-pme · Cyber Caribou

> Combien investir en cybersécurité dans une PME ? Une méthode par paliers pour bâtir un budget réaliste, prioriser les dépenses et convaincre la direction.

Novembre, saison des budgets. La directrice générale d'une firme de génie-conseil de Trois-Rivières, 25 employés, a trois documents sur son bureau. La liste de produits proposée par son fournisseur TI. Le questionnaire de renouvellement de l'assureur, qui exige l'authentification multifacteur. Et un courriel d'un donneur d'ordre qui veut connaître ses « mesures de cybersécurité ».

Sa question est simple : « Combien est-ce raisonnable de mettre là-dedans ? »

Vous trouverez en ligne des règles en pourcentage du budget TI. Elles reposent sur des méthodes et des profils d'entreprises très variables, et ne disent rien de vos risques à vous. Nous vous proposons plutôt une méthode : partir de vos risques, puis financer par paliers.

- Un bon budget de cybersécurité part de vos risques, pas d'un pourcentage générique.
- Commencez par activer ce que vous payez déjà (palier 0), puis financez les essentiels récurrents (palier 1).
- Vérifiez ensuite que vos mesures tiennent (palier 2) et structurez la gouvernance (palier 3).
- Pour convaincre la direction, comparez le budget au coût d'un incident réaliste pour votre entreprise.

## Partir des risques plutôt que d'un pourcentage

Le risque est bien réel pour les PME d'ici. Selon un sondage KPMG publié en octobre 2023, plus de six PME québécoises sur dix ont été victimes d'une cyberattaque dans l'année, et 65 % n'avaient pas le personnel qualifié pour gérer ce risque. Pourtant, 77 % des petites entreprises canadiennes se croient trop petites pour être ciblées (Coalition, 2025).

Ce que coûte un incident donne un premier ordre de grandeur. Voici les coûts moyens pour les PME canadiennes, selon des données de l'industrie citées par Insurance Business Canada (octobre 2025) :

| Type d'incident | Coût moyen cité |
|---|---|
| Hameçonnage | 89 000 $ |
| Fraude au virement | 118 000 $ |
| Fuite de données | 220 000 $ |
| Rançongiciel | 330 000 $ |

Avant de choisir un seul produit, répondez à trois questions avec votre équipe de direction :

1. Quel arrêt de système mettrait l'entreprise à genoux en moins d'une semaine ?
2. Quelles données feraient le plus de dommages si elles fuyaient : renseignements de clients, dossiers d'employés, plans de projets ?
3. Qu'exigent déjà vos assureurs, vos clients et la loi ?

Les réponses déterminent vos priorités. Une clinique protégera d'abord ses dossiers de patients ; un manufacturier, sa production.

## Palier 0 : activer ce que vous payez déjà

Le premier palier coûte surtout du temps. Beaucoup de PME paient des licences Microsoft 365 ou Google Workspace dont les fonctions de sécurité dorment.

- Activer l'authentification multifacteur pour tous les comptes, en commençant par les administrateurs.
- Configurer SPF, DKIM et DMARC pour réduire l'usurpation de votre domaine.
- Activer les mises à jour automatiques des postes, des navigateurs et des logiciels.
- Retirer les droits d'administrateur des comptes du quotidien.
- Désactiver les comptes des anciens employés et les accès inutilisés.

Le Centre canadien pour la cybersécurité publie gratuitement ses contrôles de base pour les petites et moyennes organisations. Il les conçoit selon la règle du 80/20 : obtenir 80 % des bienfaits avec 20 % de l'effort. C'est une excellente liste de départ pour ce palier.

## Palier 1 : les essentiels récurrents

Ce palier devient une ligne fixe du budget, souvent facturée par utilisateur et par mois.

- **Gestionnaire de mots de passe** d'entreprise, pour éliminer les mots de passe réutilisés.
- **Protection des postes (EDR)**, qui détecte les comportements suspects et pas seulement les virus connus.
- **Sauvegardes** selon la règle [3-2-1-1-0](https://cybercaribou.com/blogue/sauvegardes-3-2-1-1-0-rancongiciel), y compris pour Microsoft 365 ou Google Workspace, avec une copie hors ligne ou immuable.
- **Filtrage du courriel** contre l'hameçonnage et les pièces jointes malveillantes.
- **Formation des employés**, courte et répétée, plutôt qu'une présentation annuelle.

Demandez à votre fournisseur TI ce qui est déjà inclus dans vos licences avant d'acheter un outil séparé. Il arrive qu'une mise à niveau de licence coûte moins cher que deux produits distincts.

## Palier 2 : vérifier que ça tient

Acheter des outils ne prouve pas qu'ils sont bien configurés. Ce palier est fait de dépenses ponctuelles, planifiées dans l'année.

- **Un [audit de cybersécurité](https://cybercaribou.com/blogue/audit-cybersecurite-pme-quebec)** annuel ou aux deux ans, pour mesurer l'écart entre ce qui est prévu et ce qui est en place.
- **Un test d'intrusion** quand vous exposez des services sur Internet ou qu'un client l'exige. Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026) ; un petit test externe se situe dans le bas de l'échelle. Notre article sur le [prix d'un test d'intrusion](https://cybercaribou.com/blogue/test-intrusion-prix-quebec) explique ce qui fait varier la facture. Tout test exige une autorisation écrite de l'entreprise (Code criminel, art. 342.1).
- **Une simulation d'hameçonnage**, pour mesurer l'effet de la formation.

## Palier 3 : gouverner et se préparer

Le dernier palier sert à garder le cap et à réagir vite le jour où tout le reste a échoué.

- **Un plan de réponse aux incidents** écrit, avec les numéros à appeler, testé une fois par année.
- **Une assurance cyber** adaptée à vos activités. Lisez les exclusions et les conditions de déclaration.
- **Un accompagnement en gouvernance**, comme un vCISO à temps partiel, pour suivre le plan, préparer les questionnaires des clients et faire rapport à la direction. Notre [accompagnement continu](https://cybercaribou.com/services/accompagnement-continu) répond à ce besoin. Pour comparer les options, voyez [MSP, MSSP, vCISO ou ressource interne](https://cybercaribou.com/comparatifs/msp-mssp-vciso-ressource-interne).

En résumé :

| Palier | Exemples | Type de dépense | Quand l'activer |
|---|---|---|---|
| 0 — Activer | MFA, DMARC, mises à jour, droits d'administrateur | Temps interne ou du fournisseur TI | Immédiatement |
| 1 — Essentiels | Gestionnaire de mots de passe, EDR, sauvegardes, filtrage, formation | Récurrente, par utilisateur | Dans les trois prochains mois |
| 2 — Vérifier | Audit, test d'intrusion, simulation d'hameçonnage | Ponctuelle, planifiée | Une fois les paliers 0 et 1 en place |
| 3 — Gouverner | Plan de réponse, assurance, vCISO | Récurrente ou forfaitaire | En parallèle, selon vos exigences |

Qu'est-ce qui peut attendre ? Les outils que personne n'a le temps de surveiller. Une plateforme de journalisation qui génère des alertes que personne ne lit, ou une certification visée avant même que l'authentification multifacteur soit activée, consomme du budget sans réduire beaucoup le risque. Même chose pour les produits qui se chevauchent : deux antivirus ou trois services de sauvegarde cachent souvent des trous de configuration plutôt qu'une protection supplémentaire. Financez les paliers du bas d'abord, puis montez.

## Présenter le budget à la direction

Une direction approuve plus facilement un budget relié à un risque d'affaires qu'une liste de produits.

- [ ] Nommer les trois risques principaux, en mots d'affaires : arrêt de la production, fuite de dossiers clients, fraude au virement
- [ ] Associer chaque dépense à un risque et à un palier
- [ ] Comparer le total au coût d'un incident réaliste, en plus des jours d'arrêt
- [ ] Indiquer ce que vos assureurs et vos clients exigent déjà
- [ ] Prévoir un calendrier sur 12 mois avec un suivi trimestriel
- [ ] Définir deux ou trois indicateurs simples : taux de MFA, sauvegardes testées, correctifs à jour

Le temps est aussi un coût. Selon une étude de CDW publiée en 2025, les petites organisations canadiennes mettaient en moyenne 6,8 jours à détecter un incident et 25,7 jours à s'en remettre. Près d'un mois de perturbations, c'est un argument que toute direction comprend.

Si vous voulez une liste de priorités chiffrée pour votre propre entreprise, une soumission détaillée est le point de départ le plus simple.

## FAQ

**Existe-t-il un pourcentage du budget TI à consacrer à la cybersécurité ?**
Il circule plusieurs règles en pourcentage, mais elles reposent sur des méthodes et des profils d'entreprises très variables. Elles ne tiennent pas compte de vos données, de vos obligations ni de votre tolérance au risque. Un budget bâti à partir de vos risques principaux, palier par palier, est plus facile à justifier.

**L'assurance cyber peut-elle remplacer les investissements en sécurité ?**
Non. L'assurance transfère une partie des coûts financiers d'un incident, mais elle n'empêche ni l'arrêt des opérations ni la perte de confiance des clients. De plus, les assureurs exigent de plus en plus des mesures de base, comme l'authentification multifacteur et des sauvegardes testées, avant d'offrir une couverture.

**Vaut-il mieux embaucher une ressource interne ou faire appel à un fournisseur ?**
Pour une PME de moins de 50 employés, un poste à temps plein en cybersécurité est souvent difficile à justifier. Une combinaison de fournisseur TI pour l'exploitation et d'accompagnement ponctuel ou continu pour la gouvernance donne souvent accès à plus d'expertise pour le même budget. Le bon choix dépend de la complexité de vos systèmes et de vos exigences de conformité.

**À quelle fréquence revoir le budget de cybersécurité ?**
Au moins une fois par année, au moment du budget général, et après tout événement marquant : incident, nouveau client exigeant, changement de logiciel principal, renouvellement d'assurance. Un suivi trimestriel des actions prévues évite que le budget dorme dans un tiroir.

## Sources

- [Centre canadien pour la cybersécurité — Contrôles de cybersécurité de base pour les petites et moyennes organisations](https://cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [KPMG (via Newswire) — La cybercriminalité a touché plus de six PME québécoises sur dix (oct. 2023)](https://www.newswire.ca/fr/news-releases/la-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html)
- [Canadian Underwriter — Les petites entreprises canadiennes sous-estiment le risque cyber (Coalition, juillet 2025)](https://canadianunderwriter.ca/2025/07/16/canadian-small-businesses-underestimate-cyber-risk-study-finds/)
- [Insurance Business Canada — AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)](https://www.insurancebusinessmag.com/ca/news/cyber/aipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx)
- [CDW Canada — IT and cybersecurity trends for small businesses in Canada (2025)](https://www.cdw.ca/content/cdwca/en/articles/security/it-and-cybersecurity-trends-for-small-businesses-in-canada.html)
- [Packetlabs — Guide to the average cost of a pentest in Canada (août 2026)](https://www.packetlabs.net/posts/guide-to-the-average-cost-of-a-pentest-in-canada/)