Rapport MercuIE – Impact des cyberattaques sur l’économie française

Collectif

Auteur : Projet MercurIE, École de Guerre Économique, promotion Agora 41, avec Mattias Allio, Théo Gapihan, Baudouin Pedro-Rousselin, Élie Mimerane et Godefroy Sulger.

Ce rapport évalue le coût des cyberattaques pour l’économie française à partir de sources ouvertes et d’une enquête de terrain. Les auteurs retiennent une définition large de la cyberattaque, couvrant rançongiciels, hameçonnage, piratage de compte, exfiltration de données, déni de service et fraude au virement. Ils rappellent que le sujet reste mal mesuré en France, faute de collecte nationale homogène et de déclaration systématique des incidents. L’étude mobilise deux approches : une transposition de chiffrages étrangers au cas français, puis une estimation fondée sur une enquête et trois méthodes de calcul. Le résultat principal avance un coût de 96,1 Md€ en 2025, soit 3,3 % du PIB français.

Les impacts ne se limitent pas aux coûts directs de remédiation, car ils incluent aussi les pertes d’exploitation, la réputation, les contentieux et les effets sur les chaînes de sous-traitance. Le rapport souligne que les grandes entreprises concentrent l’essentiel du montant total, tandis que les microentreprises pèsent par leur nombre. Il insiste sur le caractère systémique du risque cyber pour la compétitivité et la souveraineté économiques. Les auteurs recommandent la création d’un observatoire dédié, la généralisation d’une déclaration structurée des attaques et la mise en place d’un guichet unique national.

Éléments clés à retenir :

  • Estimation du coût annuel des cyberattaques : 96,1 Md€ en 2025.
  • Poids annoncé : 3,3 % du PIB français.
  • Analyse fondée sur deux volets : sources ouvertes et enquête de terrain.
  • Trois méthodes de chiffrage indépendantes convergent vers un ordre de grandeur proche.
  • Les coûts cachés pèsent fortement : réputation, interruption d’activité, contentieux, pertes commerciales.
  • Les grandes entreprises concentrent la valeur, les microentreprises l’effet de masse.
  • Le rapport relève l’absence de dispositif public national de mesure récurrente.
  • Trois recommandations : observatoire, déclaration structurée, guichet unique.


Rapport-MercuIE-Impact-des-cyberattaques-sur-leconomie-francaise.pdf