Selon un reportage de TVA Nouvelles, deux tiers des petites et moyennes entreprises du Québec auraient déjà été touchées par une cyberattaque. L’information vise le Québec, au Canada; la source ne précise ni la méthodologie, ni la période couverte, ni l’organisme à l’origine de ce chiffre.
L’essentiel
- Selon les informations rapportées, deux tiers des PME québécoises auraient déjà subi une cyberattaque, sans précision de méthode ni de période.
- La source ne nomme aucune entreprise touchée ni aucun type d’attaque précis; il s’agit d’un constat d’ensemble, pas d’un cas individuel documenté.
- Ce chiffre confirme ce que nous observons sur le terrain : la taille d’une organisation n’est pas une protection contre le risque informatique.
Ce que l’on sait de ce constat
La source rapporte une proportion élevée de PME québécoises déjà touchées par une cyberattaque, sans détailler la nature des incidents, leur ampleur ou la façon dont ce chiffre a été établi.
Le reportage ne décrit pas un incident unique avec une victime identifiée : il présente un constat agrégé sur l’ensemble des PME québécoises. Faute de détails sur la méthodologie dans l’extrait disponible, nous nous limitons à rapporter l’information telle que publiée, sans l’amplifier ni la préciser au-delà de ce que la source permet d’affirmer.
Ce type de constat recoupe les avis publiés par le Centre canadien pour la cybersécurité, qui rappellent régulièrement qu’aucune organisation, peu importe sa taille, n’est à l’abri d’un incident de sécurité informatique.
Ce que cela change pour une PME ou un OBNL québécois
Pour un dirigeant de PME ou d’OBNL, ce constat n’est pas une raison de paniquer, mais un rappel que la question n’est plus « si » un incident surviendra, mais comment l’organisation y est préparée.
Au Québec, une organisation qui traite des renseignements personnels est soumise à la Loi sur la protection des renseignements personnels dans le secteur privé, qui impose notamment la tenue d’un registre des incidents de confidentialité et, selon les cas, une notification à la Commission d’accès à l’information. Ces obligations existent indépendamment de tout incident précis : elles s’appliquent à toute organisation visée par la loi, qu’elle ait ou non déjà subi une attaque.
Il n’existe pas de protection absolue contre les cyberattaques, et aucun prestataire sérieux ne peut promettre un risque zéro. L’objectif réaliste est de réduire fortement l’exposition et de limiter les conséquences lorsqu’un incident survient, plutôt que de chercher une garantie qui n’existe pas.
FAQ
Ce chiffre de « deux tiers » s’applique-t-il à toutes les PME, peu importe leur secteur?
La source ne précise pas si ce chiffre varie selon le secteur d’activité, la taille exacte de l’entreprise ou la région du Québec. Il s’agit d’un constat global rapporté par TVA Nouvelles, sans ventilation disponible dans l’extrait consulté. Nous recommandons de consulter le reportage original pour tout détail supplémentaire sur la portée de ce chiffre.
Une PME qui n’a jamais eu d’incident est-elle moins à risque?
Pas nécessairement. L’absence d’incident connu peut aussi refléter une détection insuffisante plutôt qu’une réelle protection. Le Centre canadien pour la cybersécurité recommande des contrôles de base, comme les sauvegardes testées et la gestion des accès, applicables même sans incident déclaré.
Que doit faire une organisation québécoise qui soupçonne une atteinte à des renseignements personnels?
Elle doit évaluer les risques de préjudice pour les personnes concernées, consigner l’événement dans son registre des incidents de confidentialité et déterminer si une notification à la Commission d’accès à l’information est requise. Ces obligations découlent de la loi québécoise applicable, et non d’un incident précis rapporté dans les médias.
Sources
- TVA Nouvelles, via Google Actualités · presse, 2026
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
