60% des PME victimes d’une cyberattaque sérieuse ferment dans les 18 mois qui suivent. C’est une statistique largement reprise par les acteurs français de la cybersécurité (ANSSI, cybermalveillance.gouv.fr, assureurs comme Hiscox), même si son origine exacte reste difficile à tracer d’une publication à l’autre. Pour une startup en pleine croissance, un rançongiciel ou un vol de données peut effacer en quelques heures des mois de développement produit. Pourtant, 75% des dirigeants investissent moins de 2 000 € par an en cybersécurité et 80% admettent ne pas être préparés à une attaque. C’est ce paradoxe (vitesse d’exécution contre robustesse) que le guide publié en février 2026 par l’ANSSI et la Mission French Tech tente de résoudre, en structurant 13 enjeux de sécurité autour des phases concrètes du cycle de vie d’une startup. Le guide cible spécifiquement les startups qui développent un produit logiciel, et non celles centrées sur la prestation de services intellectuels.
Pourquoi les startups sont des cibles de choix ?
Les PME et TPE représentent 75% des cibles des cyberattaques en France selon le baromètre 2025 de cybermalveillance.gouv.fr. Pour une startup, la surface d’attaque est structurellement large : équipes réduites, accès partagés, infrastructure cloud souvent configurée dans l’urgence et propriété intellectuelle concentrée sur quelques serveurs. En 2024, 40% des rançongiciels traités par l’ANSSI visaient des TPE, PME ou ETI.
Le phishing reste le vecteur dominant : 43% des attaques déclarées en 2025 empruntent ce canal, contre 24% l’année précédente. Un collaborateur en onboarding qui clique sur un lien frauduleux, un accès administrateur sans double authentification, un secret d’API exposé dans un dépôt public : ce sont des scénarios banals pour les jeunes structures. Les conséquences, elles, le sont moins. 5 629 violations de données ont été notifiées à la CNIL en 2024, soit une hausse de 20% par rapport à 2023.
Le piège de la sécurité différée
Dans la plupart des startups, la cybersécurité est traitée comme une dette technique : quelque chose à régler après la levée de fonds ou une fois le produit stabilisé. Cette logique est compréhensible (les ressources sont rares, la pression de la mise sur le marché est forte) mais elle est coûteuse. Plus une infrastructure grandit sans fondations de sécurité, plus le coût de la remise à niveau augmente. Et le coût d’un incident augmente plus vite encore : selon les données 2024, le coût moyen d’une cyberattaque pour une PME française est estimé à 1,2 million d’euros.
Le guide ANSSI/French Tech part d’un constat simple : la sécurité par conception (security by design) n’est pas incompatible avec l’agilité. Elle suppose d’intervenir au bon moment, avec des mesures adaptées à la maturité de la structure. Un cofondateur seul en phase d’idéation n’a pas les mêmes besoins qu’une équipe de 30 personnes en série A. C’est précisément ce que les 13 enjeux du guide formalisent.
Les 13 enjeux du guide : de l’idéation au scaling
La structure du guide repose sur une frise du parcours type d’une startup numérique. Chacun des 13 enjeux de sécurité est rattaché à une phase précise : idéation, premier produit, recrutement, levée de fonds, déploiement en production, internationalisation et passage à l’échelle. Pour chaque enjeu, des mesures techniques et organisationnelles sont détaillées. Treize enjeux, treize fiches pratiques : protéger le savoir-faire de l’entreprise, sécuriser les postes de travail, respecter les obligations réglementaires, sécuriser l’usage de composants tiers, sécuriser l’environnement de développement, choisir les bons outils pour les développements, valoriser la sécurité, sécuriser les déploiements, sécuriser l’industrialisation du produit, anticiper le passage à l’échelle, choisir son hébergement pour les données et traitements, gérer le travail collaboratif et sécuriser une levée de fonds.
La protection du savoir-faire figure en tête de liste, et pour cause. Le code source, les données d’identification techniques et les configurations concentrent l’essentiel de la valeur d’une jeune entreprise numérique ; si cet environnement est compromis, c’est l’intégrité du produit final qui vacille, avec elle celle des clients qui l’utilisent. Les attaques ciblant la chaîne d’approvisionnement logicielle progressent d’année en année, et un environnement de développement mal sécurisé en constitue souvent le point d’entrée le plus simple pour un attaquant. Rien d’exotique là-dedans.
Les phases de développement et de déploiement en production sont identifiées comme les plus critiques. En développement, les risques portent sur la protection du code source, la gestion des secrets (clés API, tokens, mots de passe) et la sécurité de la chaîne de dépendances logicielles. Un secret exposé dans un dépôt GitHub public peut être exploité en quelques minutes par des robots automatisés. En déploiement, une mise à jour mal maîtrisée, un rollback défaillant ou une exposition involontaire de ports peuvent compromettre l’ensemble d’un système en quelques instants.
D’autres enjeux traversent l’ensemble du cycle de vie : la gestion des accès et des identités, la sécurisation des outils collaboratifs (messagerie et stockage cloud), la protection des données sensibles en période de due diligence et la préparation à la gestion de crise en cas d’incident. La sécurisation des postes de travail et des outils collaboratifs mérite d’ailleurs plus qu’une ligne. Messagerie, stockage cloud, visioconférence : chaque outil SaaS ajouté à la pile logicielle d’une startup élargit la surface d’attaque, souvent sans que personne n’en prenne la mesure au moment de l’onboarding. Un poste personnel connecté au Slack de l’entreprise, un compte Google Workspace sans authentification forte, un partage de fichier resté public par oubli : ce sont ces détails, pris isolément anodins, qui finissent par ouvrir une brèche. Le guide recommande d’appliquer le principe du moindre privilège à chaque nouvel accès accordé, poste par poste.
Sécuriser son environnement de développement
Le guide insiste sur des mesures accessibles même pour une équipe de 2 ou 3 développeurs. La première est la gestion des secrets : aucun identifiant, token ou clé d’API ne doit être stocké en clair dans le code source ou dans un fichier de configuration versionné. Des outils comme HashiCorp Vault, AWS Secrets Manager ou de simples variables d’environnement correctement isolées permettent de centraliser et protéger ces accès.
La revue de code systématique, même entre deux personnes, réduit le risque d’introduction de vulnérabilités. Les tests de sécurité automatisés intégrés à la chaîne CI/CD via des outils d’analyse statique (SAST) comme SonarQube ou Semgrep détectent les failles communes avant la mise en production. La mise à jour régulière des dépendances open source est aussi un vecteur de risque majeur : des bibliothèques embarquant des vulnérabilités connues sont activement ciblées par des attaquants. Un correctif ignoré suffit.
Levée de fonds : la cybersécurité comme critère de confiance
À partir de la série A, la cybersécurité devient un enjeu de crédibilité vis-à-vis des investisseurs. Les due diligences incluent désormais des audits de sécurité et un incident révélé pendant une levée peut bloquer ou retarder le closing. Les données sensibles partagées avec les fonds (données financières, roadmap produit, base clients) circulent dans des data rooms qui doivent être sécurisées avec des droits d’accès granulaires et un historique des consultations.
Depuis le RGPD, la protection des données personnelles est un impératif légal dès le premier utilisateur. En 2024, les entreprises touchées par une violation de données voient leur chiffre d’affaires impacté dans 65% des cas selon cybermalveillance.gouv.fr. Pour une startup en phase de croissance, une telle rupture de confiance peut être difficile à surmonter.
Trois priorités concrètes pour démarrer
Pour une startup en phase précoce, le guide ANSSI/French Tech recommande de concentrer les efforts sur trois axes avant tout autre investissement de sécurité. L’authentification multifacteur (MFA) sur l’ensemble des accès critiques (messagerie, hébergement cloud, outils de développement et outils financiers) offre le meilleur rapport coût/efficacité. La présidente de la CNIL l’a rappelé après le bilan 2024 : 80% des violations de données de grande ampleur auraient pu être évitées par la seule généralisation de la double authentification. Une politique de sauvegarde régulière et testée est la deuxième priorité : une sauvegarde qui n’a jamais été restaurée n’est pas fiable. Enfin, un inventaire des accès précis et à jour (qui a accès à quoi, avec quel niveau de privilèges, avec une revue à chaque départ) limite l’exposition en cas de compromission.
Ces trois mesures ne coûtent pas 1,2 million d’euros. Elles peuvent en éviter la dépense.
Où trouver le guide ANSSI/French Tech ?
Le guide de cybersécurité à l’usage des start-up du numérique est disponible en téléchargement sur le site de la Mission French Tech. Il est consultable gratuitement et s’adresse aux fondateurs, CTO et équipes opérationnelles, quel que soit le stade de maturité de la startup.
La cybersécurité est-elle obligatoire pour les startups ?
Il n’existe pas d’obligation légale générale de certification cyber pour les startups. En revanche, le RGPD impose des obligations de protection des données personnelles dès le premier utilisateur, sous peine de sanctions CNIL. Pour les startups qui traitent des données de santé, financières ou relevant de secteurs réglementés, des exigences spécifiques s’appliquent.
Quel budget prévoir pour la cybersécurité d’une startup en phase précoce ?
Selon le baromètre cyber 2025 de cybermalveillance.gouv.fr, 75% des PME investissent moins de 2 000 € par an. Pour une startup early-stage, les mesures les plus efficaces (MFA, sauvegardes, gestion des accès, outils SAST open source) sont accessibles pour moins de 1 000 € par an, avant tout recrutement dédié à la sécurité.
