L’impact financier d’une cyberattaque ne se limite pas à l’argent volé, à la rançon ou aux systèmes endommagés. L’enquête sur les cyberincidents et la reconstruction des environnements informatiques peuvent prendre des semaines. Selon l’assureur cyber Stoïk, lors des incidents de ransomware survenus en 2025, l’enquête informatique a duré en moyenne 10,3 jours, tandis que la reconstruction des systèmes a nécessité en moyenne 18 jours.
Ces chiffres sont tirés du Cyber Claims Report 2025 de Stoïk, basé sur les sinistres survenus dans plus de 10 000 entreprises réparties dans sept pays européens, dont la Belgique. Stef Vermeulen, Country Manager de Stoïk Belgique, avertit que les entreprises sous-estiment encore trop souvent le coût réel d’un cyberincident, car elles se concentrent principalement sur les pertes financières directes.
Les chiffres du Centre pour la cybersécurité de Belgique (CCB) montrent que les cyberincidents occupent une place de plus en plus importante dans l’agenda des organisations belges. En 2025, le CCB a enregistré 635 signalements d’incidents, soit près de 70 % de plus que l’année précédente.
Il ne s’agit pas uniquement de ransomware. Les boîtes mail piratées, les systèmes informatiques indisponibles et les informations sensibles envoyées par erreur peuvent également entraîner des coûts considérables pour les entreprises.
La remise en état demande de plus en plus de travail
Selon M. Stoïk, ce sont surtout le temps et l’expertise nécessaires après la détection d’un incident qui sont souvent sous-estimés.
Dans le cadre des incidents liés aux rançongiciels traités par l’assureur cyber en 2025, la charge de travail liée à la reconstruction des systèmes d’information a augmenté de 23,4 %. Parallèlement, les spécialistes de la sécurité ont consacré 49,5 % de temps en plus aux enquêtes.
En effet, avant de pouvoir remettre les systèmes en ligne, il faut déterminer comment les attaquants ont pénétré dans le système, quels systèmes et quelles données ont été touchés, et si l’environnement peut être redémarré en toute sécurité.
Pendant ce temps, les frais d’exploitation courants continuent de s’accumuler et les employés peuvent se retrouver dans l’impossibilité de travailler, les livraisons peuvent prendre du retard ou les processus de production peuvent s’arrêter.
Stoïk estime le préjudice moyen pour les entreprises dont le chiffre d’affaires annuel s’élève à 25 millions d’euros entre 58 000 et 92 000 euros, selon le secteur. Fait marquant : ces montants s’appliquent même lorsque la réponse à l’incident est lancée dans l’heure qui suit.
« Une intervention rapide peut limiter l’impact d’un cyberincident, mais n’en supprime pas pour autant les conséquences financières », souligne M. Vermeulen. Selon lui, plus les processus critiques pour l’entreprise restent perturbés longtemps, plus l’impact final sur l’entreprise est lourd.
Plus qu’un simple problème informatique
Même après le rétablissement de l’environnement technique, la facture peut continuer à grimper.
Dans le cas des ransomwares, les données sont de plus en plus souvent volées avant même que les systèmes ne soient chiffrés. Les attaquants peuvent alors menacer de rendre ces informations publiques ou contacter directement les clients, les fournisseurs et les collaborateurs.
Ainsi, un incident de sécurité d’ordre technique se transforme rapidement en atteinte à la réputation, en problème de communication et en besoin d’assistance juridique.
Lorsque des données à caractère personnel sont concernées, il convient en outre de vérifier quelles obligations découlent du RGPD. Pour les organisations relevant de la directive NIS2, des obligations supplémentaires en matière de gestion des incidents et de reporting peuvent s’y ajouter.
Un nouveau rôle pour les MSP et les partenaires de sécurité
Les chiffres illustrent également l’évolution du rôle des MSP, des MSSP et des autres partenaires de sécurité. La cybersécurité ne se limite plus, de moins en moins, à l’installation de solutions de sécurité et à la détection des attaques.
Les clients doivent également se préparer à ce qui se passe lorsque la prévention échoue malgré tout. La réponse aux incidents, les enquêtes numériques, la sauvegarde et la restauration, la continuité des activités et l’accompagnement en matière de réglementation font donc de plus en plus partie intégrante d’une même stratégie de cyber-résilience.
Pour les partenaires de distribution, cela crée des opportunités de combiner des services de prévention avec des services de restauration et de réponse aux incidents. Des sauvegardes régulièrement testées et des plans d’urgence jouent à cet égard un rôle important.
M. Vermeulen souligne lui aussi l’importance de la préparation. Selon lui, les entreprises doivent au préalable recenser leurs processus critiques, définir les responsabilités et déterminer quelles expertises sont disponibles en interne et en externe. Ainsi, lorsqu’une attaque se produit, il est possible de passer plus rapidement à la neutralisation de l’attaque et à la restauration des processus les plus importants.
Pour les entreprises, cette préparation peut finalement faire la différence entre un incident de sécurité maîtrisé relativement rapidement et une attaque dont les conséquences opérationnelles et financières perdurent pendant des semaines.
