Si vous êtes freelance, gérant d'une SARL unipersonnelle ou entrepreneur individuel travaillant seul, vous avez probablement supposé que les directives de cybersécurité n'étaient pas écrites en pensant à vous. La plupart d'entre elles semblent s'adresser aux services informatiques : pare-feu à configurer, employés à former, équipes de sécurité à coordonner. Vous n'avez rien de tout cela. Vous avez un ordinateur portable, un téléphone, une poignée de comptes clients, et pas beaucoup de temps libre.
Le NIST vient de remarquer la même lacune — et a agi en conséquence. En avril 2026, le National Institute of Standards and Technology a publié un projet de mise à jour de sa directive de cybersécurité pour les petites entreprises, et pour la première fois, elle est explicitement rédigée pour les « entreprises sans salarié » : des entreprises sans personnel rémunéré autre que le propriétaire. Ce n'est pas une catégorie marginale. Selon la Small Business Administration, il existe 34,8 millions de petites entreprises aux États-Unis, et 81,9 % d'entre elles — plus de 28 millions — n'ont aucun employé. Si vous dirigez une entreprise seul, vous représentez l'écrasante majorité, pas le cas particulier.
Qu'est-ce que le CSWP 50, exactement ?
La nouvelle publication, formellement intitulée NIST CSWP 50 : Small Business Cybersecurity: Non-Employer Firms, est une révision d'un document qui existe depuis 2009 (à l'origine NIST IR 7621). Elle s'appuie sur le NIST Cybersecurity Framework (CSF) 2.0, le même cadre de gestion des risques utilisé par les banques, les hôpitaux et les entreprises du Fortune 500 — mais réduit à une échelle qu'une structure d'une seule personne peut réellement appliquer sans engager de consultant.
Plusieurs éléments ont changé dans cette révision qui comptent si vous avez déjà consulté les directives du NIST et les avez trouvées accablantes :
- Un périmètre plus restreint. Les versions précédentes tentaient de couvrir la sécurité de l'information en général. Le CSWP 50 se concentre spécifiquement sur la cybersécurité — protéger vos systèmes numériques et vos données contre les menaces — ce qui constitue une cible plus gérable et concrète.
- Une mise en forme pensée pour la lecture rapide. Le contenu est présenté sous forme de tableaux plutôt que de texte dense, afin que vous puissiez trouver la seule section pertinente pour votre situation au lieu de tout lire du début à la fin.
- Trois cas d'usage concrets. Le projet comprend des exemples détaillés montrant comment une très petite entreprise appliquerait la directive en pratique, plutôt que de vous laisser traduire vous-même des principes abstraits.
- Sensible à la croissance. Il reconnaît que certaines entreprises sans salarié prévoient de rester solo indéfiniment, tandis que d'autres finiront par embaucher — et fournit des conseils pour les deux trajectoires, plutôt que de supposer que tout le monde évolue vers une « vraie » entreprise dotée d'un service informatique.
La période de commentaires publics sur le projet s'est terminée le 14 mai 2026, et le NIST devrait finaliser la directive plus tard cette année. Il s'agit encore d'un projet, pas d'une norme définitive — mais la direction qu'il indique mérite qu'on agisse dès maintenant plutôt que d'attendre.
Pourquoi cela compte plus qu'il n'y paraît
Il est tentant de supposer que la cybersécurité est un problème de « grande entreprise » — que personne ne va prendre la peine de cibler un cabinet de comptabilité d'une seule personne ou un développeur web solo. Les données disent le contraire.
Les petites entreprises sont ciblées dans une large part de toutes les cyberattaques, et les rapports sectoriels sur les violations de données estiment le taux annuel de violation pour les petites entreprises à environ la moitié de l'ensemble des petites structures au cours d'une année donnée. Lorsqu'une violation se produit, les coûts typiques pour les petites et moyennes entreprises vont de six chiffres bas à sept chiffres une fois pris en compte les temps d'arrêt, la récupération, les obligations de notification et la perte de confiance des clients — et une majorité des petites entreprises victimes d'une violation importante ne survivent pas à long terme. Les rançongiciels sont impliqués dans une large part de ces incidents, avec des paiements médians bien au-delà de six chiffres — souvent supérieurs au chiffre d'affaires annuel total d'un opérateur solo.
Le risque spécifique aux freelances est réel aussi : les comptes compromis de sous-traitants et de freelances sont liés à une part significative des incidents de violation dans l'ensemble du secteur, souvent parce qu'un client a accordé un accès à des systèmes partagés et que personne n'a pensé à le verrouiller par la suite. Si vous effectuez du travail sous contrat pour d'autres entreprises, votre posture de sécurité n'est pas seulement votre propre risque — c'est une porte d'entrée vers la leur.
Pourtant, l'écart de préparation est énorme. Près de la moitié des entreprises de moins de 50 employés déclarent n'avoir aucun budget dédié à la cybersécurité, et seule une petite fraction des petites entreprises souscrit une assurance cyber. La prévention est nettement moins coûteuse que la récupération — souvent estimée 50 à 60 fois moins chère — mais presque personne n'y consacre de budget avant qu'un incident ne survienne.
Les six fonctions, traduites pour une entreprise d'une seule personne
Le CSF 2.0 organise le travail de cybersécurité en six fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Récupérer. Pour une entreprise dotée d'une équipe de sécurité, chacune de ces fonctions correspond à un service. Pour un opérateur solo, chacune ressemble plutôt à un élément de liste de contrôle que vous revisitez quelques fois par an. Voici à quoi elles ressemblent en pratique :
Gouverner — Décidez, par écrit (même un document simple suffit), quelles données vous traitez et quelle est votre tolérance au risque. Si vous stockez des dossiers financiers de clients, des informations médicales ou des détails de paiement, votre tolérance au risque devrait être faible et vos pratiques devraient le refléter.
Identifier — Établissez un court inventaire : quels appareils utilisez-vous pour le travail ? Quels comptes contiennent des données sensibles — e-mail, stockage cloud, logiciel de comptabilité, portails clients ? Vous ne pouvez pas protéger ce que vous n'avez pas répertorié.
Protéger — C'est là que se trouve l'essentiel de la valeur pratique pour une entreprise solo :
- Utilisez un gestionnaire de mots de passe et activez l'authentification multifacteur sur chaque compte qui la propose, en particulier l'e-mail et les outils financiers — l'e-mail est la clé de récupération de presque tout le reste.
- Maintenez les logiciels et systèmes d'exploitation à jour automatiquement plutôt que de reporter les mises à jour.
- Chiffrez le disque dur de votre ordinateur portable (intégré aux versions modernes de Windows et macOS, il suffit de l'activer).
- Sauvegardez les données clients et financières quelque part séparé de votre appareil principal — une sauvegarde cloud ou un disque externe qui n'est pas toujours connecté.
- Si vous faites appel à des prestataires ou sous-traitants, ne leur accordez pas plus d'accès système que ce que la tâche spécifique requiert, et révoquez-le une fois le travail terminé.
Détecter — Activez les alertes de connexion et les notifications d'activité inhabituelle pour votre e-mail, votre banque et vos principaux comptes cloud. En tant qu'entreprise d'une seule personne, vous n'aurez pas de système de surveillance — mais la plupart des grands fournisseurs vous préviendront gratuitement si quelque chose semble anormal, à condition d'avoir activé cette option.
Répondre — Notez à l'avance, avant d'en avoir besoin, ce que vous ferez si vous soupçonnez une compromission : quels comptes verrouiller en premier, qui prévenir (clients, votre banque, votre assureur le cas échéant), et où se trouvent vos sauvegardes. Décider de cela calmement à l'avance est bien préférable à le décider en pleine panique.
Récupérer — Sachez comment vous restaureriez vos systèmes et vos données à partir d'une sauvegarde, et testez réellement que la sauvegarde fonctionne avant d'en avoir besoin. Une sauvegarde non testée est un espoir, pas un plan.
Une liste de contrôle de 30 minutes pour démarrer
Vous n'avez pas besoin de mettre en œuvre les six fonctions du CSF en une seule fois. Si vous voulez agir dès aujourd'hui, voici un point de départ réaliste qui couvre d'abord les éléments à plus forte valeur :
- Activez l'authentification multifacteur (MFA) pour votre e-mail, votre banque et tout portail destiné aux clients. Cela seul bloque la majorité des tentatives de prise de contrôle de compte, même en cas de fuite de mot de passe.
- Installez un gestionnaire de mots de passe et arrêtez de réutiliser les mots de passe d'un compte à l'autre. Un seul mot de passe réutilisé sur un site piraté est l'une des façons les plus courantes dont les comptes solo sont compromis.
- Confirmez que vos sauvegardes fonctionnent réellement. Ne faites pas simplement confiance au fait qu'une synchronisation cloud a lieu — choisissez un fichier, supprimez-le localement, et restaurez-le à partir de la sauvegarde pour prouver que le processus fonctionne.
- Répertoriez chaque endroit où résident les données clients — pièces jointes d'e-mails, un lecteur partagé, un outil de facturation, votre logiciel de comptabilité — et vérifiez que chacun a la MFA activée.
- Rédigez un plan d'incident de deux paragraphes. Qui appeler, quoi verrouiller en premier, où se trouvent vos sauvegardes. Il n'a pas besoin d'être formel ; il doit exister avant que vous soyez en pleine panique.
- Examinez trimestriellement l'accès des prestataires et des applications. Révoquez tout ce que vous avez accordé pour un projet désormais terminé.
Aucun de ces éléments ne nécessite un budget ou des connaissances en sécurité — c'est plus proche d'un après-midi de réglages de comptes que d'un projet informatique.
Ce qui se passe ensuite
Comme le CSWP 50 est encore un projet, la formulation et la structure précises pourraient évoluer avant que le NIST ne le finalise. Mais l'orientation — des directives en langage clair, orientées cas d'usage, dimensionnées pour une entreprise d'une seule personne — a peu de chances de s'inverser, et les fonctions sous-jacentes du CSF 2.0 sur lesquelles elle repose sont déjà finalisées et stables. Si vous voulez prendre de l'avance, les étapes pratiques ci-dessus correspondent directement au cadre, quelle que soit la forme du document final, donc il y a peu d'inconvénient à commencer maintenant plutôt que d'attendre la version finalisée.
C'est aussi un signal utile sur les priorités des régulateurs et des organismes de normalisation : les entreprises solo et sans salarié sont de plus en plus traitées comme une catégorie distincte méritant ses propres directives, et non comme une réflexion secondaire greffée sur des conseils destinés aux entreprises dotées de personnel informatique. Attendez-vous à ce que davantage de règles — des règles de notification de violation de données à la souscription d'assurance — commencent à tenir compte explicitement du fait que la plupart des « petites entreprises » sont en réalité une seule personne.
Le lien avec la comptabilité
Voici où la cybersécurité et la tenue de registres financiers se recoupent plus qu'on ne le pense : un incident de sécurité est aussi un incident de registres financiers. Si vos données comptables résident dans un système que vous ne contrôlez pas entièrement, ou si vos livres n'existent que sous forme de connexion en direct à un tableau de bord cloud sans sauvegarde exportable, un compte compromis peut signifier la perte de votre historique financier au moment précis où vous en avez le plus besoin — pendant une réponse à incident, une réclamation d'assurance, ou une déclaration fiscale.
C'est l'un des avantages sous-estimés de tenir ses livres sous forme de fichiers en texte brut, versionnés, plutôt que uniquement au sein d'une plateforme propriétaire : vos registres financiers ne sont pas piégés derrière un identifiant unique qu'un attaquant pourrait vous verrouiller. Un fichier de grand livre local et sauvegardé survit à un compte SaaS compromis d'une manière qu'un tableau de bord accessible uniquement par navigateur ne peut pas.
Simplifiez votre gestion financière
Alors que vous renforcez vos pratiques de cybersécurité en tant qu'opérateur solo, il vaut la peine d'étendre cette même logique de « ne pas mettre toute sa confiance dans un seul identifiant » à votre comptabilité. Beancount.io propose une comptabilité en texte brut qui vous offre une transparence et un contrôle complets sur vos données financières — pas de boîtes noires, pas de dépendance à un fournisseur, et des registres que vous pouvez sauvegarder et auditer de la même manière que tout autre fichier critique. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.