Fuites de données en France et en Europe : bilan 2025-2026 et leçons pour les PME

En 2025, les fuites de données ont continué à progresser en France et en Europe. Selon Surfshark, 40,3 millions de comptes français ont été compromis sur l’année, ce qui place la France au 2e rang mondial en volume et en tête en densité rapportée à la population. En parallèle, le Baromètre 2026 du Forum InCyber fait état de 8 613 violations de données personnelles notifiées en France entre septembre 2024 et septembre 2025, soit une hausse de 45 % en un an.

Pour les PME concernées par NIS2, ces chiffres ne sont pas de simples statistiques. Ils montrent une réalité très concrète : les compromissions se multiplient, les chaînes de sous-traitance deviennent des points d’entrée majeurs, et les exigences de sécurité se renforcent. Voici le bilan 2025-2026 et les principales leçons à en tirer.

1. Les chiffres clés des fuites de données en France

Plusieurs études et publications parues entre janvier et avril 2026 convergent vers le même constat : la France reste particulièrement exposée.

• 40,3 millions de comptes français compromis en 2025 selon Surfshark.
• La France se classe au 2e rang mondial en volume de comptes compromis sur l’année 2025.
• Rapporté à la population, la France présente une densité de compromission 12 fois supérieure à la moyenne mondiale selon Surfshark.
• 8 613 violations de données personnelles notifiées en France entre septembre 2024 et septembre 2025, soit +45 % en un an.
• Cela représente près de 24 violations signalées par jour sur la période.
• 12,2 millions de personnes potentiellement exposées sur cette période, contre 8 millions un an plus tôt.
• 5 841 fuites d’origine malveillante recensées sur la même période, soit une hausse de 60 %.
• Le coût moyen d’une violation de données en France est estimé à 3,59 millions d’euros selon IBM.

2. Pourquoi ces chiffres inquiètent autant

Les fuites de données ne relèvent plus d’événements isolés. Elles s’inscrivent dans une logique industrialisée : campagnes de vol d’identifiants, compromission de prestataires, exploitation de plateformes mutualisées, revente accélérée des données sur des forums spécialisés, puis utilisation secondaire pour la fraude, l’usurpation ou le rebond vers d’autres systèmes.

Autrement dit : une seule faille peut désormais exposer des centaines de milliers, voire des millions de personnes. C’est précisément ce changement d’échelle qui doit alerter les PME, y compris celles qui ne se considèrent pas comme des cibles prioritaires.

3. Les secteurs et victimes les plus touchés

Les données publiques et les grands incidents connus en 2025-2026 montrent que les cybercriminels ciblent en priorité les organisations à fort effet de levier : opérateurs traitant de gros volumes, services publics, télécoms, plateformes de gestion ou prestataires détenant les données de tiers.

• Administrations et services publics : la sanction CNIL de 5 M€ contre France Travail en janvier 2026 a rappelé l’ampleur du risque sur les bases de données massives.
• Télécoms : Bouygues Telecom a annoncé en août 2025 l’accès non autorisé à des données concernant 6,4 millions de comptes clients.
• Prestataires et écosystèmes mutualisés : les incidents touchant un acteur central peuvent exposer un très grand nombre d’organisations ou d’usagers.
• Santé, finance, assurance et services numériques : ce sont des secteurs particulièrement sensibles du fait de la valeur des données traitées et des effets domino possibles.

La leçon est simple : plus une organisation concentre de données, de clients, d’usagers ou de flux interconnectés, plus elle devient attractive pour un attaquant. Mais les PME restent pleinement concernées, car elles sont souvent atteintes indirectement par leurs fournisseurs, outils SaaS, sous-traitants ou prestataires IT.

4. Panorama européen : un durcissement général

Le phénomène n’est pas propre à la France. Partout en Europe, les régulateurs durcissent leurs attentes et les entreprises évoluent dans un environnement de plus en plus contraignant sur le plan cyber et data.

• Le RGPD continue de produire des effets très concrets en matière de sécurité des données et de sanctions.
• La CNIL a prononcé 486,8 millions d’euros d’amendes en 2025, contre 55,2 millions en 2024.
• DORA est applicable depuis le 17 janvier 2025 pour les entités financières concernées.
• Le Cyber Resilience Act est entré en vigueur le 10 décembre 2024, avec des obligations qui s’appliquent progressivement à partir de 2026 puis 2027.
• Du côté de NIS2, la transposition française est encore en cours, mais l’ANSSI invite déjà les futures entités concernées à s’engager dans une démarche cohérente avec le cadre européen.

5. Ce que NIS2 change concrètement pour les PME

Même si la transposition française n’est pas encore finalisée, la trajectoire est connue. NIS2 fixe un cadre européen plus exigeant, et l’ANSSI met déjà à disposition le ReCyF pour préparer les futures entités essentielles et importantes.

Pour les PME concernées, plusieurs objectifs de sécurité répondent directement aux causes les plus fréquentes des fuites observées en 2025-2026 :

1. 1

   Gestion des identités et des accès (OBJ-10)

   Le vol d’identifiants reste l’un des vecteurs les plus fréquents de compromission. Le MFA, la revue des habilitations, la séparation des comptes et le moindre privilège doivent devenir des fondamentaux.

2. 2

   Maîtrise de l’écosystème (OBJ-03)

   Une part croissante des incidents passe par des prestataires, sous-traitants ou outils tiers. Les PME doivent mieux encadrer leurs fournisseurs, contractualiser les exigences minimales et suivre les dépendances critiques.

3. 3

   Détection et réaction aux incidents (OBJ-12)

   Quand une compromission met des semaines ou des mois à être détectée, l’impact explose. La capacité de remonter une alerte, qualifier un incident, décider vite et notifier dans les délais devient structurante.

4. 4

   Protection contre les codes malveillants et le phishing (OBJ-09)

   Les campagnes d’ingénierie sociale, les stealers et les malwares continuent d’alimenter les fuites. La protection technique ne suffit pas : la sensibilisation, les procédures et les contrôles d’usage restent essentiels.

5. 5

   Continuité et reprise d’activité (OBJ-13)

   Une fuite de données n’est jamais seulement un problème juridique. Elle peut devenir une crise opérationnelle, financière et réputationnelle. PCA, PRA et organisation de crise permettent de limiter les dégâts.

6. Les sanctions montent en puissance

Le signal envoyé par les régulateurs est de plus en plus fort. Côté données personnelles, le niveau des sanctions a fortement augmenté en 2025. Côté NIS2, le texte européen prévoit un régime plus exigeant pour les entités concernées, avec un rôle explicite des organes de direction dans l’approbation, la supervision et le suivi des mesures de cybersécurité.

Pour les dirigeants, le sujet change donc de nature : il ne s’agit plus uniquement d’acheter des outils de sécurité, mais de démontrer une gouvernance, des choix documentés, des mesures mises en œuvre et des preuves conservées dans le temps.

7. Ce que votre PME doit faire maintenant

Les données 2025-2026 montrent que les fuites sont devenues structurelles. Pour une PME, la bonne question n’est plus de savoir si le risque existe, mais si l’entreprise est capable d’absorber un incident et de prouver qu’elle a pris les bonnes mesures.

• Vérifiez si votre organisation entre dans le champ NIS2Commencez par un cadrage simple de votre secteur, de votre taille et de vos dépendances critiques.
• Cartographiez vos accès et vos comptes sensiblesLe MFA et la revue des privilèges sont souvent les gains de risque les plus rapides.
• Identifiez vos fournisseurs critiquesLes incidents tiers deviennent un vecteur majeur d’exposition pour les PME.
• Formalisez une procédure d’alerte et de réponseSans chaîne de décision claire, aucune notification rapide ni gestion de crise efficace n’est possible.
• Documentez vos mesures et conservez vos preuvesEn matière de conformité, ce qui n’est pas tracé est difficile à démontrer.
• Évaluez votre maturité sur les objectifs de sécuritéUne progression structurée vaut mieux qu’un empilement d’outils sans pilotage.

Conclusion : la conformité comme levier de réduction du risque

Le bilan 2025-2026 des fuites de données est sans ambiguïté : la menace s’industrialise, les effets d’échelle augmentent, et la pression réglementaire se renforce. Pour les PME, la conformité n’est pas un exercice purement administratif. C’est un moyen de structurer la gouvernance cyber, de réduire l’exposition et de mieux résister lorsqu’un incident survient.

NIS2 ne supprimera pas le risque. En revanche, le cadre permet d’éviter l’improvisation : clarifier les responsabilités, prioriser les mesures utiles, mieux encadrer les tiers et produire des preuves. C’est souvent ce qui fait la différence entre un incident absorbé et une crise durable.