J’exige qu’on dise aux PME à vendre ce que leur passif numérique leur coûtera avant la signature

J’exige que l’on dise aux dirigeants de PME ce qui les attend avant qu’ils ne signent. Vendre son entreprise, c’était offrir ses comptes au regard de l’acheteur. C’est aussi lui offrir ses ordinateurs, ses sauvegardes et ses incidents passés sous silence. Le contrôle porte un nom de jargon, la due diligence cyber. Personne ne l’a expliqué à ceux qui vont la subir.

Les chiffres posent l’ampleur du sujet. Selon Bpifrance Le Lab, cité par Clubic, 370 000 entreprises françaises changeront de mains d’ici 2030. Quarante pour cent des dirigeants de PME ou d’ETI veulent céder leur activité dans les cinq prochaines années. Ce n’est pas une niche. C’est une génération de patrons qui passera sous la loupe d’équipes techniques mandatées par les repreneurs.

Que cherchent ces équipes ? D’abord les failles non corrigées dans les systèmes. Elles vérifient ensuite que chaque incident passé a bien été déclaré à la CNIL. Elles estiment enfin ce que coûterait, après la vente, une fuite des données clients, et ajustent l’offre en conséquence. Selon Clubic, ce qu’elles découvrent peut faire baisser le prix ou repousser la vente de plusieurs mois. Un passif qui n’apparaît dans aucun bilan devient une décote bien réelle.

J’exige qu’on regarde l’écart entre cette exigence et la réalité des petites entreprises. Le baromètre 2025 de Cybermalveillance.gouv.fr, mené auprès de 588 entreprises de moins de 250 salariés, relève un incident de sécurité dans 16 % des cas sur douze mois. Une PME sur quatre seulement dispose d’une procédure écrite de réponse à incident. Clubic prévient que le repreneur le verra dès les premières heures. Trois PME sur quatre arriveront donc à la table de négociation sans ce document.

La pression ne retombe pas. Le rapport d’activité 2025 de Cybermalveillance.gouv.fr fait état de plus de 500 000 personnes et entreprises accompagnées sur l’année. Les signalements de fuites de données ont progressé de 107 % par rapport à 2024, les tentatives d’hameçonnage de 70 %. Chaque incident mal documenté aujourd’hui pèsera demain sur le prix de cession.

Les sources ne livrent pas toutes le même diagnostic, et il faut le dire. Clubic évoque une opération que ce passif peut torpiller. Capgemini, dans une publication de conseil, juge ce contrôle rarement rédhibitoire et le présente plutôt comme un outil pour réajuster la valeur de la cible. Les deux lectures se rejoignent sur l’essentiel : le risque numérique a un prix, et c’est le vendeur qui le règle.

J’exige que les pouvoirs publics, qui disposent des chiffres de la transmission d’entreprises, publient un guide clair à l’usage des dirigeants de PME. Il devra dire ce que contrôle un repreneur, quels documents préparer et dans quels délais. J’exige que le diagnostic cyber entre dans le parcours d’accompagnement de la cession, avant la mise en vente et non après la première offre.

J’exige que la CNIL et Cybermalveillance.gouv.fr précisent aux dirigeants ce qu’ils doivent avoir déclaré et conservé avant de céder leur entreprise. J’exige qu’un indicateur public annuel indique la part des PME dotées d’une procédure écrite de réponse à incident, pour qu’on sache enfin si le chiffre d’une sur quatre bouge.

Un patron qui vend des années de travail mérite de savoir, avant la signature, ce que ses serveurs diront à sa place.