Cybersécurité : l’Union européenne mobilise 145,5 M€ pour les PME et les hôpitaux

Lorsqu’une cyberattaque bloque la messagerie d’une petite entreprise, chiffre les fichiers d’un hôpital ou rend un portail administratif inaccessible, les conséquences ne sont pas seulement informatiques. Elles peuvent interrompre une activité, désorganiser la prise en charge de patients ou empêcher des citoyens d’accéder à un service public. C’est dans cette perspective que l’Union européenne annonce une enveloppe de 145,5 millions d’euros destinée à améliorer les défenses de structures particulièrement exposées.

Publié le 13 juin 2025, ce soutien vise trois publics : les petites et moyennes entreprises, les établissements de santé et les administrations publiques. Le principe est simple, même si sa mise en œuvre sera exigeante : aider des organisations qui ne disposent pas toujours d’équipes spécialisées ni de budgets comparables à ceux des grands groupes à mieux anticiper les attaques, les détecter et y répondre.

Une enveloppe européenne pour des services vulnérables

La Commission européenne présente ce financement comme un moyen de renforcer la résilience numérique dans l’Union. La résilience ne consiste pas à promettre qu’aucune attaque ne réussira, une promesse irréaliste. Elle désigne la capacité à réduire le risque, à repérer rapidement une intrusion, à limiter ses effets et à reprendre l’activité dans des conditions maîtrisées.

L’enveloppe de 145,5 millions d’euros concerne des organisations dont les missions, les moyens et les données diffèrent, mais qui ont un point commun : leur dépendance grandissante aux systèmes numériques. La généralisation des logiciels de gestion, de la messagerie, des services en ligne, du partage de documents et des équipements connectés augmente l’efficacité quotidienne. Elle multiplie aussi les portes d’entrée possibles pour des attaquants.

Cette annonce ne signifie pas que chaque structure recevra automatiquement une part identique de l’enveloppe. Les modalités précises, les critères d’éligibilité et le calendrier de chaque action conditionneront l’accès effectif aux fonds. Pour les organisations concernées, le chiffre de 145,5 millions d’euros doit donc être compris comme une capacité européenne de financement, et non comme un montant attribué directement à chaque PME, hôpital ou collectivité.

Pourquoi les PME, les hôpitaux et les administrations sont-ils ciblés ?

Les cybercriminels ne visent pas uniquement les multinationales. Une PME peut représenter une cible rentable si elle possède des fichiers clients, des comptes bancaires, des plans de production ou un accès à la chaîne d’approvisionnement d’un donneur d’ordre. Elle peut également être touchée par une attaque opportuniste : un courriel d’hameçonnage, un mot de passe dérobé ou un logiciel non mis à jour peuvent suffire à ouvrir une brèche.

Dans une entreprise de taille modeste, une même personne peut gérer l’informatique, la comptabilité et les opérations. Cette organisation rend parfois difficile le suivi des alertes, des sauvegardes ou des correctifs de sécurité. L’objectif du financement est précisément de réduire cet écart de moyens et de compétences avec les acteurs les mieux équipés.

Pour les hôpitaux, l’enjeu est encore plus directement lié à la continuité d’un service essentiel. Les systèmes d’information servent à organiser les rendez-vous, consulter des dossiers, planifier les soins, communiquer entre équipes et faire fonctionner des équipements. Une indisponibilité prolongée peut obliger le personnel à recourir à des procédures dégradées, plus lentes et plus fragiles. Les données de santé méritent par ailleurs une protection particulière, car leur divulgation peut avoir des conséquences durables pour les patients.

Les administrations publiques concentrent, elles aussi, des données à caractère personnel et assurent des démarches qui structurent la vie quotidienne. État civil, fiscalité, aides, documents officiels ou services locaux : une interruption informatique peut toucher un grand nombre d’usagers. La confiance dans le numérique public dépend donc autant de la simplicité des interfaces que de la solidité des systèmes qui les font fonctionner.

Quels leviers de sécurité sont envisagés ?

Le dispositif évoque plusieurs familles de mesures : l’acquisition de nouveaux systèmes de détection et de réponse aux menaces, la formation des personnels et l’application de normes de sécurité plus strictes. Ces trois dimensions sont complémentaires. Un logiciel sophistiqué n’est pas pleinement efficace si personne ne sait traiter son alerte, et une équipe bien sensibilisée reste vulnérable si l’organisation ne dispose pas de sauvegardes ou de procédures d’urgence.

Les outils de détection cherchent à identifier des comportements anormaux : connexion depuis un lieu inhabituel, tentative répétée d’accès à un compte, copie massive de documents ou exécution d’un programme suspect. Les capacités de réponse servent ensuite à isoler une machine, révoquer un accès compromis, analyser l’incident et restaurer les services. Dans une attaque, le temps de réaction compte souvent autant que la prévention initiale.

La formation joue un rôle tout aussi concret. Les attaques par hameçonnage reposent fréquemment sur l’urgence, l’imitation d’un interlocuteur connu ou une pièce jointe présentée comme anodine. Former les salariés et les agents à vérifier une demande inhabituelle, à signaler un message suspect et à protéger leurs identifiants permet de réduire une part importante des risques ordinaires.

Enfin, le renforcement des règles de sécurité peut recouvrir des pratiques déjà reconnues comme essentielles : authentification à plusieurs facteurs, gestion rigoureuse des droits d’accès, mises à jour, sauvegardes testées, segmentation des réseaux et préparation d’un plan de réponse à incident. Leur efficacité dépend moins de leur seule adoption que de leur déploiement régulier et de leur contrôle dans le temps.

L’intelligence artificielle élargit aussi la surface d’attaque

L’essor des outils d’intelligence artificielle donne de nouvelles capacités aux défenseurs, notamment pour analyser un volume important d’alertes. Mais il crée aussi des risques supplémentaires. Des messages frauduleux peuvent être mieux rédigés et plus facilement adaptés à leur destinataire. Les équipes techniques doivent également surveiller les composants logiciels qu’elles intègrent à leurs projets.

Le cas des faux paquets associés aux modèles de langage illustre ce problème. Dans le développement logiciel, un paquet est une brique de code réutilisable. Un attaquant peut chercher à faire télécharger une fausse version, dont le nom ressemble à celui d’un outil légitime, afin d’introduire un logiciel malveillant. Quand des équipes utilisent rapidement de nouveaux outils d’IA ou des bibliothèques suggérées automatiquement, vérifier l’origine et l’intégrité des dépendances devient indispensable.

Il ne faut pas pour autant réduire la cybersécurité à une question d’intelligence artificielle. Les incidents les plus dommageables exploitent souvent des faiblesses connues : mots de passe insuffisamment protégés, erreurs humaines, droits d’accès trop larges, équipements non corrigés ou sauvegardes inutilisables. L’IA ajoute une couche de complexité à un sujet déjà très opérationnel.

Une coordination indispensable à l’échelle européenne

La sécurité d’une organisation ne s’arrête pas à ses propres murs. Une PME dépend de fournisseurs de logiciels, d’un prestataire d’hébergement, d’une banque, de partenaires logistiques ou de clients. Un hôpital échange des informations avec des laboratoires, des professionnels de santé et des services administratifs. Une administration utilise des plateformes partagées et interagit avec d’autres organismes publics.

Cette interdépendance justifie une coopération entre autorités nationales, organismes spécialisés, entreprises et autres organisations impliquées. Partager les bonnes pratiques, faire circuler les informations sur des attaques en cours et harmoniser certaines exigences de sécurité peuvent éviter que chaque structure ne doive résoudre seule les mêmes problèmes.

La coordination européenne permet aussi de rapprocher les niveaux de protection entre États membres. Sans règles et pratiques communes, une faiblesse dans une partie de la chaîne numérique peut fragiliser de nombreux acteurs au-delà des frontières. L’objectif n’est pas de supprimer les responsabilités locales, mais de fournir un cadre et des moyens capables de répondre à des menaces qui circulent elles-mêmes à l’échelle internationale.

Ce que les bénéficiaires devront concrètement préparer

Pour une PME, un hôpital ou une administration, l’accès à un programme de soutien ne dispense pas d’un travail de fond. La première étape consiste généralement à savoir ce qu’il faut protéger : données, applications, postes de travail, comptes administrateurs, équipements connectés et services fournis par des tiers. Sans cet inventaire, il est difficile de hiérarchiser les investissements.

La deuxième étape est l’évaluation des risques. Une petite structure n’a pas nécessairement besoin de reproduire l’organisation d’un grand groupe, mais elle doit identifier les scénarios les plus graves pour elle : arrêt de production, perte de dossiers, fraude au paiement, indisponibilité d’un portail ou atteinte aux données personnelles. Cette analyse doit déboucher sur des mesures proportionnées et mesurables.

Les organisations devront aussi associer les directions métier, et pas seulement les services informatiques. La direction d’un hôpital doit pouvoir définir quelles fonctions doivent être restaurées en priorité. Une administration doit prévoir comment informer les usagers en cas d’incident. Une PME doit savoir qui peut prendre la décision d’interrompre un système compromis ou d’activer une sauvegarde.

Le financement européen peut accélérer ces démarches, mais il ne remplace ni une gouvernance claire ni l’entretien quotidien des protections. La cybersécurité est une discipline continue : les outils vieillissent, les collaborateurs changent, les logiciels évoluent et les attaquants adaptent leurs méthodes.

Ce qu’il faut surveiller après cette annonce

L’élément déterminant sera la traduction de l’enveloppe de 145,5 millions d’euros en projets réellement accessibles aux publics visés. Il faudra suivre les appels et leurs conditions, le partage éventuel entre les différents objectifs, les organismes chargés de l’accompagnement ainsi que les résultats obtenus sur le terrain.

La qualité des projets comptera autant que le volume financier. Des formations trop générales, des outils non administrés ou des règles appliquées uniquement sur le papier ne suffiront pas à améliorer durablement la protection. À l’inverse, des actions adaptées à la taille des organisations, associant technologie, procédures et formation, peuvent réduire sensiblement le risque et accélérer le retour à la normale après un incident.

À plus long terme, cette initiative rappelle une réalité économique et sociale : la cybersécurité est devenue une condition du fonctionnement des services numériques. Pour les PME, elle protège la continuité de l’activité et la confiance des partenaires. Pour les hôpitaux et les administrations, elle contribue directement à la fiabilité de services dont les citoyens dépendent chaque jour.