Combien coûte vraiment une panne de données pour une PME ? Le calcul que personne ne fait
Une perte de données n'est jamais facturée comme une dépense unique. Elle se distribue en perte d'activité, en heures de reconstruction, en assurance, et parfois en clients perdus. Calcul réaliste pour une PME française de 5 à 50 personnes.
Quand on propose une sauvegarde managée à un dirigeant de PME, la première question revient souvent : “ça coûte combien par mois ?”. C’est la bonne question, mais elle est incomplète. Pour décider en connaissance de cause, il faut connaître le prix de l’autre option — c’est-à-dire le coût réel d’une panne de données quand elle survient sans préparation.
Cet article propose une méthode de calcul applicable à une PME française de 5 à 50 personnes, à partir de données publiques (ANSSI, INSEE, études Hiscox, IBM Cost of Data Breach Report) et de ce qu’on observe chez nos clients en sortie d’incident.
La nature distribuée d’une perte de données
Contrairement à une dépense d’investissement (un logiciel, un poste), une perte de données ne se facture jamais en bloc. Elle se distribue en plusieurs postes qui s’additionnent souvent à un montant beaucoup plus élevé que ce qu’on pourrait estimer intuitivement :
- Le temps d’arrêt opérationnel — combien de jours pendant lesquels l’activité tourne au ralenti ou à l’arrêt ;
- Le coût de reconstruction — heures passées à reconstruire ce qui peut l’être ;
- Le coût de prestation externe — consultants, juristes, communicants spécialisés ;
- Les pertes commerciales — contrats annulés, clients perdus, opportunités manquées ;
- Les coûts de notification et de conformité — RGPD, déclaration CNIL, communication aux personnes concernées ;
- L’impact assurantiel à long terme — surprime, franchise plus élevée au renouvellement ;
- L’impact réputationnel — moins quantifiable mais bien réel.
On va prendre ces postes un par un, avec des fourchettes réalistes pour une PME française.
Poste 1 — Le temps d’arrêt opérationnel
L’ANSSI estime, dans son panorama 2024 des incidents cyber, que la durée moyenne d’interruption d’activité après un ransomware ciblant une PME française est de 10 à 30 jours, avec une médiane autour de 21 jours. Pour les incidents non-cyber (panne matérielle non backupée, sinistre des locaux), les durées sont généralement plus courtes — médiane autour de 5-8 jours.
Le coût d’une journée d’arrêt dépend du métier :
- Une PME de services (cabinet conseil, agence, bureau d’études) : typiquement 30-60 % de la marge journalière est perdue (les charges fixes continuent, les revenus s’arrêtent).
- Une PME de production (atelier, prod audiovisuelle, fabrication) : impact plus modulé selon les stocks, mais souvent 40-80 % de la marge journalière.
- Une PME commerciale (négoce, distribution) : impact très variable selon la centralité de l’IT dans le processus de vente.
Exemple chiffré, atelier d’architectes de 10 personnes : CA mensuel typique 70-100 k€, marge brute mensuelle ≈ 40-60 k€. Une journée d’arrêt coûte ≈ 1 000-1 500 € de marge perdue (charges fixes + manque à gagner). 21 jours d’arrêt = 21 000 à 32 000 €.
Poste 2 — Le coût de reconstruction
Si certaines données ne peuvent pas être restaurées depuis une sauvegarde (parce qu’elles n’existaient pas, ou parce que la sauvegarde elle-même est corrompue), il faut les reconstruire. Cela peut signifier :
- Reconstituer des fichiers à partir d’emails, de copies sur des postes individuels, de documents imprimés ;
- Re-saisir des données comptables, RH, commerciales ;
- Refaire un travail créatif dont la dernière version n’est plus disponible.
Coût typique : entre 20 % et 50 % du temps de travail mensuel des personnes concernées, sur une période de 2 à 6 mois après l’incident.
Exemple chiffré, mêmes hypothèses : si la reconstruction mobilise 3 personnes à 30 % de leur temps pendant 3 mois, soit ≈ 200 heures par personne. À 50 € HT/h coût employeur chargé, cela représente 30 000 €.
Poste 3 — Les prestations externes
Au moment d’un incident sérieux, vous aurez besoin de prestataires que vous n’aviez pas envisagés :
- Un consultant en réponse à incident (RTI) — intervient pendant la phase critique pour identifier, isoler, restaurer. Tarif horaire élevé en urgence : 150-300 €/h, intervention typique 3-10 jours = 5 000 à 25 000 €.
- Un avocat spécialisé en droit du numérique pour les aspects juridiques et la notification CNIL : 300-600 €/h, intervention 5-15 heures = 2 500 à 8 000 €.
- Un communicant si l’incident est public (relation presse, clients) : 1 000-5 000 € selon l’ampleur.
- Une expertise informatique judiciaire si l’incident peut donner lieu à un dépôt de plainte : 3 000 à 15 000 €.
Estimation médiane pour une PME : 15 000 à 40 000 € sur l’ensemble du poste.
Poste 4 — Les pertes commerciales
C’est le poste le plus difficile à chiffrer, mais probablement le plus important sur le long terme :
- Contrats manqués pendant la période d’arrêt (offres non remises, devis non envoyés, RDV annulés).
- Clients perdus suite à l’incident — soit parce qu’ils ont été affectés directement (livraison ratée, devis perdu), soit par perte de confiance (“on m’a envoyé un email à mon collègue mais j’ai eu le malware”).
- Diminution du carnet de commandes sur les 6-12 mois suivants.
Selon l’étude Hiscox Cyber Readiness Report 2024, environ 30 % des PME victimes d’un incident cyber sérieux constatent une perte de chiffre d’affaires durable au-delà de la phase de récupération. La perte médiane se situe entre 5 et 15 % du CA annuel.
Exemple chiffré : pour une PME à 1 M€ de CA annuel, 50 000 à 150 000 € sur l’année suivante.
Poste 5 — Notification et conformité RGPD
Si l’incident touche des données personnelles (ce qui est presque toujours le cas), il faut notifier la CNIL dans les 72 heures et potentiellement informer les personnes concernées. Coûts associés :
- Élaboration du dossier de notification et coordination avec la CNIL : 1 000 à 5 000 € en honoraires juridiques ou de consultant.
- Notification des personnes concernées (si requise) : courriers, emails, hotline si gros volume — 1 000 à 20 000 € selon le nombre de personnes.
- Sanctions CNIL potentielles : la jurisprudence récente montre des sanctions de 50 000 à 500 000 € pour les PME en cas de manquement caractérisé. Pour les manquements simples, les sanctions sont rares et plutôt symboliques.
Estimation prudente : 3 000 à 25 000 €, sauf manquement grave.
Poste 6 — Impact assurantiel
Après un sinistre cyber déclaré à votre assureur, votre prime peut augmenter de 20 à 50 % au renouvellement, ou votre franchise être revue à la hausse. Sur 5 ans, ça représente facilement 5 000 à 20 000 € de coût additionnel.
Si vous n’avez pas d’assurance cyber et que vous voulez en souscrire après l’incident, vous risquez de découvrir que les assureurs sont réticents à couvrir une PME qui vient juste d’avoir un sinistre, ou qu’ils le font à des tarifs très élevés.
Récapitulatif : la fourchette réaliste
Pour une PME française de 10 personnes en 2026, le coût total d’une panne de données mal gérée se situe typiquement dans cette fourchette :
| Poste | Fourchette |
|---|---|
| Temps d’arrêt opérationnel | 15 000 – 35 000 € |
| Reconstruction | 20 000 – 50 000 € |
| Prestations externes | 15 000 – 40 000 € |
| Pertes commerciales (1 an) | 30 000 – 150 000 € |
| Notification RGPD | 3 000 – 25 000 € |
| Impact assurantiel (5 ans) | 5 000 – 20 000 € |
| Total | 90 000 – 320 000 € |
La médiane se situe entre 100 000 et 150 000 € pour une PME qui n’avait pas préparé sa résilience. Pour les plus petites structures (1-5 personnes), divisez par 3 ou 4. Pour les plus grandes (30-50 personnes), multipliez par 2 ou 3.
Le coût de l’autre option
À comparer au coût d’une vraie protection. Pour une PME de 10 personnes en 2026 :
- Sauvegarde managée (NAS + cloud miroir + supervision) : 200-400 € HT/mois, soit 2 400-4 800 € par an.
- Plan de reprise documenté et testé : 800-2 000 € ponctuels.
- Mesures complémentaires (EDR, gestionnaire de mots de passe, 2FA) — voir notre article sur le ransomware : 150-400 € HT/mois.
Soit un budget annuel de 5 000 à 10 000 € pour réduire d’un facteur 15 à 30 le risque d’une perte catastrophique. Le calcul de retour sur investissement n’a même pas besoin d’être sophistiqué.
La vraie question n’est pas “combien ça coûte”
Si vous lisez cet article et que vous êtes responsable d’une PME, l’enseignement central est probablement le suivant : la sauvegarde n’est pas une dépense que vous comparez à votre budget IT. C’est une assurance que vous comparez à votre risque opérationnel.
Le calcul intuitif “200 € par mois pour ne rien voir se passer, c’est cher” tombe quand on le compare à “100 000 € en cas de pépin, un jour de l’année”. C’est le même raisonnement que pour la responsabilité civile pro — vous ne la souscrivez pas parce qu’elle est “rentable”, vous la souscrivez parce que sans elle, votre activité tient sur un fil.
Et concrètement chez vous ?
Haven propose des forfaits adaptés à chaque taille de structure : Solo pour les indépendants, Atelier pour 1-10 postes, Maison pour 10-30 postes, Domaine pour 30-100 postes. Tout est inclus, pas d’add-on caché — sauf le backup Microsoft 365 à 4 € HT/utilisateur/mois.