Cybersécurité des cabinets comptables : l’importance de choisir un partenaire expert.
Les cabinets d’expertise comptable et de conseil jouent un rôle central dans le tissu économique, en accompagnant au quotidien des milliers d’entreprises dans la gestion de leurs données financières et fiscales. Cette position stratégique les place aujourd’hui au cœur des préoccupations en matière de cybersécurité. En effet, les cybercriminels ciblent en priorité les organisations manipulant des volumes massifs de données sensibles et interconnectées, ce qui fait des cabinets comptables des proies de choix. En 2026, la cybersécurité n’est plus une option pour ces acteurs : elle constitue un impératif stratégique, aussi vital que la conformité réglementaire ou la qualité des prestations délivrées.
1. Un secteur de plus en plus exposé aux cyberattaques
A. Une réalité chiffrée préoccupante
Les chiffres des dernières années confirment la pression constante exercée sur les cabinets. En 2024, près d’un cabinet sur deux, soit 47 % des structures sondées, a subi au moins une cyberattaque réussie. Même si cette proportion est en légère baisse par rapport à 2020 (57 %), elle reste alarmante. Les ransomwares demeurent la menace principale : selon l’ANSSI, leur fréquence a encore augmenté de 15 % en 2024. L’attaque la plus marquante fut celle qui a frappé la plateforme Coaxis en décembre 2024. Elle a paralysé plus de 1 200 cabinets et indirectement touché près de 350 000 entreprises clientes, illustrant l’ampleur des dommages possibles lorsqu’un prestataire central est compromis.
Cette réalité dépasse largement le cadre du secteur comptable. À l’échelle nationale, 62 % des entreprises françaises ont constaté une augmentation des cyberattaques en 2024. Selon certaines analyses, six entreprises sur dix ne survivent pas à une cyberattaque majeure, ce qui témoigne de l’impact destructeur que peut avoir un incident de cybersécurité sur la continuité d’activité.
B. Pourquoi les cabinets sont-ils des cibles privilégiées ?
Les cabinets comptables concentrent plusieurs facteurs de risque qui attirent les cybercriminels. Leur premier point de vulnérabilité réside dans la nature des données qu’ils manipulent : informations fiscales, relevés financiers, identités de dirigeants et de salariés, autant de ressources très prisées sur les marchés noirs numériques. À cela s’ajoute l’évolution des pratiques professionnelles, qui reposent désormais largement sur des plateformes SaaS interconnectées. Ces environnements, bien que pratiques et performants, multiplient les points d’entrée potentiels pour les attaquants.
La chaîne de dépendance accroît également le risque. Lorsqu’un cabinet est paralysé, ce sont des centaines, voire des milliers d’entreprises clientes qui se retrouvent directement impactées, créant un effet domino. Enfin, la culture de cybersécurité demeure encore insuffisamment intégrée dans de nombreux cabinets. Le manque de formation des collaborateurs face aux tentatives de phishing ou aux comportements à risque constitue un facteur aggravant.
2. Des obligations réglementaires de plus en plus strictes
A. Un cadre légal renforcé depuis 2024
Face à ces enjeux, les régulateurs ont durci les obligations applicables au secteur. Depuis octobre 2024, la directive européenne NIS2 impose aux cabinets comptables une responsabilité accrue en matière de cybersécurité. Désormais, les conseils d’administration sont directement responsables de la mise en œuvre de mesures de protection robustes : gestion stricte des mots de passe, sauvegardes régulières, chiffrement automatique des données sensibles, contrôle rigoureux des accès, ou encore authentification forte. La directive impose aussi une gestion active des risques liés aux prestataires et fournisseurs. En cas de non-conformité, les sanctions sont lourdes : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel.
En parallèle, le Cyberscore act, adoptée en 2022, impose un audit externe annuel des systèmes numériques, dont le résultat est rendu public sous la forme d’un “score” de cybersécurité. Les cabinets doivent donc non seulement se conformer, mais également démontrer leur niveau de sécurité auprès de leurs clients. Le RGPD, quant à lui, reste une référence incontournable : toute violation de données personnelles peut entraîner une sanction allant jusqu’à 4 % du chiffre d’affaires mondial. Dans ce contexte, la désignation d’un Délégué à la protection des données (DPO) n’est plus seulement recommandée, mais tend à devenir la norme pour les structures les plus importantes. Enfin, l’Ordre des Experts-comptables a renforcé ses exigences sectorielles en matière de cybersécurité, en insistant sur la mise en place de plans d’action documentés, de formations continues pour les collaborateurs et d’une veille régulière sur les systèmes d’information.
B. Des normes techniques pour structurer la sécurité
Au-delà des obligations légales, plusieurs normes internationales guident les cabinets dans la mise en place de politiques de sécurité solides. La norme ISO/IEC 27001 constitue la référence en matière de management de la sécurité de l’information. Elle offre un cadre structuré pour identifier les risques, mettre en place des contrôles adaptés et auditer régulièrement les dispositifs. La norme ISA 315 (COS 315) complète cette approche en renforçant la fiabilité des processus de traitement automatisé des données.
De plus, les logiciels SaaS dédiés à la comptabilité ont évolué pour intégrer nativement des fonctionnalités avancées de cybersécurité : chiffrement des flux, authentification multi-facteurs, pare-feu nouvelle génération. Ces outils permettent aux cabinets de se conformer plus facilement aux exigences RGPD et NIS2, tout en offrant une meilleure résilience opérationnelle.
3. Risques, sanctions et bénéfices de la conformité
A. Les conséquences de la non-conformité
Ignorer ou minimiser les obligations en matière de cybersécurité expose les cabinets à des risques considérables. Sur le plan financier, les sanctions peuvent atteindre des montants colossaux. Mais les impacts vont bien au-delà des sanctions : une cyberattaque peut entraîner une paralysie totale des systèmes, une perte définitive de données sensibles, et une interruption d’activité qui se chiffre en centaines de milliers d’euros.
La réputation est également en jeu. Dans un secteur où la confiance est un élément central de la relation client, un incident de cybersécurité médiatisé peut durablement ternir l’image d’un cabinet et provoquer une perte massive de clientèle. Enfin, avec NIS2, la responsabilité des dirigeants est désormais directement engagée, ce qui signifie que les administrateurs peuvent être tenus personnellement responsables des manquements à la cybersécurité.
B. La mise en conformité devient une priorité
À l’inverse, une approche proactive de la cybersécurité peut se transformer en véritable avantage compétitif. Les cabinets qui investissent dans des dispositifs solides renforcent leur fiabilité opérationnelle : en cas d’attaque, ils disposent de plans de continuité et de reprise qui garantissent la poursuite de l’activité. Cette résilience constitue un facteur de différenciation fort, particulièrement apprécié par les clients soucieux de la sécurité de leurs données.
La conformité réglementaire est aussi un atout commercial. Un cabinet certifié ISO 27001, transparent sur ses audits et affichant un cyberscore positif inspire davantage confiance, ce qui facilite l’acquisition de nouveaux clients et fidélise les anciens. De plus, la prévention coûte toujours moins cher que la réparation : selon plusieurs études, le coût moyen d’une cyberattaque pour une PME dépasse 200 000 €, tandis que l’investissement dans la formation, l’audit et la sécurisation des systèmes reste généralement inférieur. Enfin, la cybersécurité contribue à renforcer la crédibilité sectorielle et à positionner le cabinet comme un acteur moderne, fiable et conforme aux meilleures pratiques.
4. Cas de cyberattaques sur des cabinets de comptabilité
A. Le cas Coaxis
En décembre 2023, la cyberattaque contre Coaxis, acteur majeur de l’hébergement de données pour les cabinets comptables, a marqué un tournant dans la profession. Le ransomware Lockbit 3.0 a chiffré près d’un quart des systèmes en quelques minutes, privant 1 200 cabinets et plus de 350 000 entreprises clientes de l’accès à leurs données. Pendant plusieurs semaines, l’activité de toute une partie du secteur a été paralysée, entraînant retards de déclarations fiscales et sociales, intervention des autorités (URSSAF, DGFiP), ainsi qu’un lourd plan de reconstruction informatique. Bien que la rançon n’ait pas été payée, les coûts engendrés et l’impact réputationnel ont été considérables, rappelant la fragilité des écosystèmes interconnectés.
B. La cyberattaque sur In Extenso
Deux ans plus tôt, en avril 2021, c’est le géant In Extenso qui avait été frappé par une attaque d’envergure. Les pirates ont chiffré l’intégralité des bases de données en exigeant une rançon de 5 millions d’euros, impactant directement 130 000 dossiers clients et perturbant le fonctionnement de ses 280 agences. L’incident a obligé le groupe à arrêter totalement son activité le temps d’organiser sa riposte et de sécuriser son infrastructure. Au-delà des pertes immédiates, l’affaire a renforcé la prise de conscience des risques cyber, poussant à un investissement massif dans la formation, la prévention et la sensibilisation des collaborateurs.
5. Passer à l’action
A. L’offre packagée de Systelium, accessible à tous
Travailler avec Systelium offre aux cabinets d’expertise comptable un avantage stratégique majeur dans leur mise en conformité et leur protection face aux cybermenaces. Grâce à son modèle de CISO Office externalisé en nearshore, Systelium met à disposition des experts francophones spécialisés en cybersécurité et en intelligence artificielle, capables d’accompagner les cabinets de toutes tailles dans la structuration de leur gouvernance, la mise en œuvre de mesures techniques, et la formation continue des équipes.
Cette approche permet non seulement de bénéficier d’une expertise de haut niveau immédiatement opérationnelle, mais aussi de maîtriser les coûts, avec des tarifs jusqu’à 70 % inférieurs à ceux des cabinets onshore. En s’appuyant sur Systelium, les cabinets comptables peuvent renforcer leur conformité aux normes européennes (RGPD, NIS2, ISO 27001), sécuriser les données sensibles de leurs clients et accroître leur crédibilité sur un marché où la confiance est essentielle.
B. Que faut-il en retenir ?
En 2026, la cybersécurité est devenue une condition de survie pour les cabinets comptables et de conseil aux entreprises. L’augmentation constante des cyberattaques, la sévérité croissante des régulateurs et la dépendance critique des clients aux services fournis imposent une vigilance absolue. Les obligations légales et normatives sont désormais strictes et les sanctions dissuasives, mais elles constituent aussi une formidable opportunité pour transformer la cybersécurité en levier de confiance et de compétitivité.
Les cabinets comptables qui investissent dans la cybersécurité, la conformité et la formation ne se contentent pas d’éviter les sanctions : ils bâtissent une réputation solide, assurent la continuité de leurs services et se distinguent dans un marché de plus en plus exigeant. La cybersécurité, loin d’être une charge, est devenue un gage de pérennité et un catalyseur de croissance durable.