Cyberattaque SAP : Ce qu’elle coûte vraiment à l’entreprise
Une cyberattaque visant un système SAP va bien au-delà d’un simple coût technique de réparation. Elle touche la production, les ventes et la confiance des partenaires.
Quand un ERP tombe en panne, l’entreprise s’attend généralement à devoir régler une facture de remise en état. La réalité est pourtant bien plus vaste, et surtout plus coûteuse qu’il n’y paraît, car derrière l’écran noir se cachent une production interrompue, des ventes qui s’évaporent et une confiance à reconstruire, parfois pendant plusieurs mois.
Un arrêt qui coûte cher
Un ERP centralise en effet la facturation, la logistique, les achats, et parfois même la paie. Aussi, lorsqu’il tombe, ce sont souvent plusieurs services qui s’arrêtent en même temps, dans un effet domino difficile à contenir une fois enclenché. Les commandes cessent de partir, les factures restent bloquées, et les entrepôts peinent à savoir quoi expédier.
Cette réalité, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) l’a documentée à plusieurs reprises. Certaines entités ont dû couper en urgence l’alimentation électrique de leur centre de données, provoquant un arrêt total de l’activité, prolongé bien après l’incident. Saint-Gobain en a fait l’expérience en 2017, tout comme Jaguar Land Rover à l’automne 2025. Le constructeur automobile a ainsi vu ses lignes de production à l’arrêt pendant plusieurs semaines, avec des ventes en gros en baisse de plus de 40 % sur le trimestre, selon ses résultats financiers. Plus un système occupe une place centrale dans l’organisation, plus les conséquences de son indisponibilité se propagent, et plus longtemps l’entreprise met à s’en relever.
Un impact qui dépasse le service informatique
Le coût réel se prolonge par ailleurs dans la relation que l’entreprise entretient avec ses clients, ses fournisseurs et ses investisseurs. Un client dont la commande accuse du retard se tourne ainsi parfois vers un concurrent, quand un fournisseur qui découvre une faille chez son partenaire révise ses conditions de collaboration.
L’aéronautique en offre d’ailleurs une illustration marquante. En 2019, une série d’attaques a visé plusieurs sous-traitants stratégiques d’Airbus, dans le but d’atteindre par rebond ses propres systèmes et ses documents les plus sensibles, fragilisant durablement la confiance entre le groupe et son écosystème de partenaires.
Ces répercussions se logent pourtant ailleurs que dans un devis de réparation. Le système, lui, peut retrouver son fonctionnement normal en quelques semaines, quand la relation commerciale met bien plus de temps à s’en remettre.
Une facture qui s’alourdit avec les régulateurs
À ces conséquences commerciales s’ajoute désormais un risque réglementaire bien réel, la CNIL pouvant sanctionner l’entreprise au titre du RGPD, notamment pour insuffisance des mes de sécurité. En janvier 2026, elle a ainsi infligé 42 millions d’euros d’amende à Free, à la suite d’une intrusion ayant exposé les données de 24 millions de contrats d’abonnés.
Pour les entreprises soumises à un régime de contrôle export, à l’image de l’ITAR aux États-Unis, l’exposition de données techniques sensibles peut également ouvrir la voie à des sanctions spécifiques, parfois bien plus lourdes encore.
Reste une question, anodine en apparence, mais qui engage bien plus qu’il n’y paraît. Qu’adviendra-t-il le jour où un système SAP sera réellement touché ? Les entreprises qui se la posent en amont limitent le plus souvent l’ampleur des dégâts, quand celles qui la découvrent après coup en paient le prix fort.
Source : ANSSI
