Qu’est-ce que la cybersécurité des données comptables ? Guide complet

En 2025, 43 % des cabinets comptables français ont déclaré au moins un incident de sécurité (baromètre annuel de l’Ordre des experts-comptables). L’impact moyen d’une attaque atteint environ 250 000 euros, rançon et perte d’exploitation confondues. Ce chiffre, à lui seul, devrait suffire à placer la cybersécurité des données comptables en tête de l’ordre du jour de tout cabinet, quelle que soit sa taille.

Le cabinet d’expertise comptable concentre des données fiscales, sociales et bancaires pour des dizaines, parfois des centaines de clients. Une brèche ne compromet pas seulement le cabinet : elle expose chaque entrepreneur, chaque dirigeant, chaque salarié dont les fiches de paie ou les bilans transitent par vos systèmes. La responsabilité est double, et le risque est collectif.

Le choix des outils numériques fait partie intégrante de cette stratégie de protection : logiciel de production comptable, portail client, solution de stockage. Aucun de ces éléments n’est neutre. Ce guide couvre les mesures techniques, organisationnelles et réglementaires que tout cabinet peut mettre en place, sans budget de direction des systèmes d’information dédié.

Pourquoi les cabinets comptables sont des cibles de choix pour les cybercriminels

Un cabinet qui gère 50 dossiers TPE/PME détient un volume d’informations sensibles comparable à celui d’une grande entreprise : coordonnées bancaires, bilans, numéros de TVA, données de paie, liasses fiscales confidentielles. Sur les marchés illicites en ligne, ces données alimentent des fraudes à grande échelle : virements détournés, usurpation d’identité d’entreprise, fraude à la TVA, des vecteurs documentés dans les rapports annuels de Cybermalveillance.gouv.fr. L’attaquant qui compromet un cabinet accède, en réalité, à l’ensemble du portefeuille clients.

Les chiffres sont sans ambiguïté : selon les données sectorielles 2025, les cyberattaques contre la profession ont augmenté de 67 % en trois ans, et plus de 20 % des experts-comptables ont subi une tentative d’attaque sur les douze derniers mois. Les vecteurs les plus courants sont l’hameçonnage ciblé, les rançongiciels, la compromission de comptes mal sécurisés et les accès via un prestataire tiers. Dans 55 % des cas documentés, l’hameçonnage a constitué le point d’entrée initial (Cybermalveillance.gouv.fr, bilan 2025).

Les petits cabinets sont particulièrement exposés : ils ne disposent pas des mêmes ressources de reprise, ni des mêmes équipes pour gérer une crise en plein milieu d’une période de clôture. L’impact moyen de 250 000 euros recouvre la rançon elle-même, l’interruption d’activité, les coûts de remédiation et la perte de clients consécutive à l’incident. Rapporté au chiffre d’affaires d’une structure de cinq à dix personnes, ce montant peut mettre en péril la continuité de l’activité.

Cybersécurité des données comptables : accès et contrôles

De nombreuses violations de données en cabinet trouvent leur origine dans un mot de passe faible ou réutilisé. C’est le vecteur le plus simple et le plus fréquemment exploité. Les recommandations de l’Agence nationale de la sécurité des systèmes d’information préconisent des mots de passe longs, sous forme de phrases secrètes ou d’au moins douze caractères, associés à un gestionnaire de mots de passe professionnel. Prévoyez un changement immédiat en cas de suspicion, mais évitez la rotation systématique trop fréquente : elle pousse les collaborateurs à simplifier leurs mots de passe plutôt qu’à les renforcer.

Authentification multifacteur (MFA) et périmètre d’application

L’authentification multifacteur (MFA) constitue le deuxième rempart indispensable. Elle réduit très fortement le risque lié aux attaques par réutilisation d’identifiants volés, un mécanisme par lequel des identifiants compromis sur un service sont testés automatiquement sur des dizaines d’autres. Selon Microsoft, le MFA bloque plus de 99 % des compromissions de comptes liées à ce type d’attaque. Les accès qui doivent obligatoirement être couverts sont :

• Le logiciel de production comptable
• La messagerie professionnelle
• L’accès VPN distant
• Le portail client et les outils de stockage partagé

Principe du moindre privilège et révision des droits

Le principe du moindre privilège complète ce dispositif : chaque collaborateur n’accède qu’aux dossiers nécessaires à ses missions. Un stagiaire ne consulte pas les dossiers de l’associé principal ; un collaborateur affecté à un portefeuille spécifique n’a pas à voir l’ensemble du cabinet. Une révision trimestrielle des droits d’accès est recommandée, avec désactivation immédiate des comptes lors de tout départ, point souvent négligé dans les petites structures.

Cybersécurité des données comptables : sauvegardes et chiffrement

Le chiffrement protège les données en cas de vol ou d’interception. Sans lui, une clé USB égarée ou un ordinateur portable volé devient une violation de données à déclarer à la Commission nationale de l’informatique et des libertés. Il se décline en deux dimensions : le chiffrement au repos, qui couvre les données stockées sur les disques et serveurs, et le chiffrement en transit, qui sécurise les échanges entre le cabinet et ses clients.

En pratique, cela signifie un chiffrement de disque complet sur tous les postes de travail, des protocoles HTTPS et TLS pour les échanges en ligne, et le chiffrement des pièces jointes sensibles envoyées par courriel. Les terminaux mobiles des collaborateurs qui accèdent aux dossiers à distance doivent recevoir le même traitement : chiffrement du stockage et protection par code ou empreinte biométrique.

La règle 3-2-1 et ses limites face au rançongiciel

Les sauvegardes forment la dernière ligne de défense contre le rançongiciel. La règle 3-2-1 s’impose : trois copies des données, sur deux supports différents, dont une copie hors site ou isolée du réseau. C’est précisément cette copie hors réseau qui résiste au rançongiciel : sans elle, un logiciel malveillant qui chiffre les données en production chiffre également les sauvegardes accessibles sur le même réseau. La sauvegarde doit elle-même être chiffrée, et sa restauration doit être testée au moins une fois par trimestre. Une sauvegarde dont on n’a jamais vérifié la restauration est une fausse sécurité.

Conformité RGPD : ce que la loi impose concrètement à votre cabinet

Le cabinet d’expertise comptable porte une double casquette au regard du règlement général sur la protection des données. Il est responsable de traitement pour ses propres données de gestion interne, et sous-traitant lorsqu’il traite des données pour le compte d’un client, que ce soit pour la paie, la comptabilité ou les déclarations fiscales. Cette distinction génère des obligations distinctes selon chaque rôle.

En tant que sous-traitant, le cabinet doit formaliser un accord conforme à l’article 28 du règlement avec chaque client. Cet accord encadre les instructions reçues, les mesures de sécurité mises en place, la gestion des sous-traitants ultérieurs et les conditions de restitution ou de destruction des données en fin de mission. Le registre des activités de traitement est également obligatoire : il décrit les catégories de données traitées, les finalités, les accès autorisés et les durées de conservation. C’est un document vivant, pas un fichier oublié sur un serveur.

En cas de violation de données, la notification à la Commission nationale de l’informatique et des libertés doit intervenir dans les 72 heures suivant la découverte de l’incident, lorsque l’incident présente un risque pour les personnes concernées. Les sanctions encourues peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. L’absence de mesures techniques et organisationnelles adaptées constitue en elle-même un manquement sanctionnable, indépendamment de tout incident déclaré.

Souveraineté des données : pourquoi héberger vos données en France n’est pas un luxe

Les données comptables de vos clients ne sont pas seulement sensibles au sens du règlement sur la protection des données. Elles peuvent également être soumises à des législations extraterritoriales si elles sont stockées sur des serveurs opérés par des entreprises américaines, même physiquement situés en Europe. Le CLOUD Act américain, adopté en 2018, autorise les autorités des États-Unis à exiger l’accès aux données hébergées par des entreprises sous juridiction américaine, quelle que soit la localisation géographique des serveurs.

Ce risque n’est pas théorique. La Commission nationale de l’informatique et des libertés a déjà sanctionné des transferts de données hors Union européenne non conformes et invalidé plusieurs mécanismes de transfert vers les États-Unis. Un logiciel comptable édité par une société américaine, ou hébergé sur une infrastructure cloud américaine, expose potentiellement les données de vos clients à ces accès sans que vous en soyez informé ni que vos clients aient donné leur accord.

Le critère d’hébergement en France doit donc être traité comme un critère de sécurité à part entière, au même niveau que le chiffrement ou l’authentification multifacteur. Certains éditeurs français répondent à ces exigences ; vérifiez que votre prestataire actuel peut vous l’attester par écrit, avec des garanties contractuelles sur la localisation des données et le statut juridique des entités hébergeantes. MyUnisoft, par exemple, héberge ses données en France et s’inscrit dans cette démarche de souveraineté numérique. Lors du choix ou du renouvellement de votre logiciel de production comptable, intégrez ce critère à votre grille d’évaluation.

Former vos équipes et préparer un plan de reprise d’activité

Selon plusieurs études sectorielles, dont des données relayées par l’Agence nationale de la sécurité des systèmes d’information, une majorité d’incidents de sécurité impliquent une erreur humaine qui aurait pu être évitée par une sensibilisation adéquate. La technologie ne suffit pas : c’est un collaborateur qui clique sur la pièce jointe piégée, qui transmet ses identifiants sur un site frauduleux, qui répond à un faux courriel d’un prétendu client demandant un changement de RIB. Les structures qui mettent en place une sensibilisation régulière et continue rapportent une réduction significative des incidents liés à l’erreur humaine.

Pour les petites structures, le format le plus efficace repose sur trois piliers : des capsules mensuelles courtes de dix minutes centrées sur des scénarios du quotidien du cabinet ; des simulations d’hameçonnage trimestrielles présentées comme des exercices pédagogiques ; la nomination d’un référent cybersécurité interne pour centraliser les alertes. Des ressources gratuites existent pour démarrer : SensCyber sur cybermalveillance.gouv.fr et SecNumacadémie de l’Agence nationale de la sécurité des systèmes d’information constituent de bonnes bases accessibles à toutes les structures.

Le plan de reprise d’activité doit exister avant l’attaque, pas pendant. Il s’organise en cinq phases : détecter et qualifier l’incident, isoler les systèmes touchés, notifier les parties concernées (prestataire informatique, assureur, Commission nationale de l’informatique et des libertés si nécessaire), maintenir les missions critiques en mode dégradé, puis revenir à la normale avec un contrôle d’intégrité des données restaurées. Ce plan doit être testé au moins une fois par an, conformément aux bonnes pratiques de l’Agence nationale de la sécurité des systèmes d’information : restauration depuis la sauvegarde, vérification des contacts d’urgence, accès aux dossiers depuis un poste de secours. Un cabinet qui découvre l’absence de procédure au milieu d’une attaque par rançongiciel perd un temps qu’il n’a pas.

Par où commencer

La cybersécurité des données comptables n’est pas réservée aux grands cabinets dotés d’une direction des systèmes d’information. Les six axes développés dans ce guide, comprendre les menaces, sécuriser les accès, chiffrer et sauvegarder, respecter le règlement sur la protection des données, choisir un logiciel souverain, former les équipes, sont applicables dans toute structure, dès la semaine prochaine.

Commencez par les deux points les plus critiques et les plus rapides à vérifier : l’audit de vos accès et l’état de vos sauvegardes. Qui peut accéder à quoi ? Les comptes des anciens collaborateurs sont-ils désactivés ? Vos sauvegardes ont-elles été testées ces trois derniers mois ? Ces questions ont des réponses concrètes, et les corrections sont souvent plus simples qu’on ne le croit.

Évaluez ensuite votre logiciel actuel au regard des critères de souveraineté et de conformité réglementaire. Vos données clients sont-elles hébergées en France, sous juridiction française ? Votre éditeur est-il en mesure de vous le garantir par écrit ? Si la réponse est incertaine, c’est le moment d’explorer ce que des solutions comme MyUnisoft apportent concrètement sur ces questions. La protection des données de vos clients est une responsabilité professionnelle ; les outils que vous choisissez en sont l’expression concrète.