// CLUBIC — FINANZA
Fusions-acquisitions et due diligence cyber : pourquoi le passif numérique d'une PME peut torpiller une opération
Quand vous vendez votre PME, l'acheteur vérifie vos comptes, mais aussi vos systèmes informatiques, avant de signer. Ce qu'il découvre peut faire baisser son offre ou repousser la vente de plusieurs mois.
Vous êtes sur le point de vendre votre structure. Votre repreneur, et c'est bien logique, ne vous la rachète pas les yeux fermés en vous faisant confiance. Il fait contrôler vos systèmes informatiques par une équipe technique, de la même manière que vos comptes par un expert-comptable.
C'est ce qu'on appelle la due diligence cyber dans le jargon des fusions-acquisitions. Selon Bpifrance Le Lab, 370 000 entreprises françaises changeront de mains d'ici 2030, et 40 % des dirigeants de PME ou d'ETI veulent céder leur activité dans les cinq prochaines années. Pour vous, ce contrôle peut peser sur le prix final ou sur les délais de la vente.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, il y a eu plus de 500 000 personnes et entreprises accompagnées sur l'année. Les signalements de fuites de données ont progressé de 107 % par rapport à 2024, et les tentatives d'hameçonnage de 70 %. Normal dans ce cas que cela pousse le repreneur à contrôler vos systèmes avant de vous croire sur parole.
L'équipe technique mandatée par le repreneur cherche d'abord les failles non corrigées dans vos systèmes et vérifie si chaque incident passé a bien été déclaré à la CNIL. Elle chiffre ensuite ce qu'une fuite de vos données clients coûterait après la vente, pour ajuster son offre en conséquence.
Le baromètre 2025 de Cybermalveillance.gouv.fr, mené auprès de 588 entreprises de moins de 250 salariés, indique un incident de sécurité dans 16 % des cas au cours des douze derniers mois. Une PME sur quatre seulement a mis en place une procédure écrite de réponse à incident. Si vous n'avez pas cette procédure, un repreneur le verra dans les premières heures de son contrôle.
Le règlement européen sur la protection des données vous oblige à notifier une violation de données personnelles à la CNIL dans un délai de 72 heures après sa découverte. Si vous avez subi une fuite sans jamais la déclarer, votre acheteur hérite de cette obligation non remplie et du risque d'une sanction pour un manquement commis avant la vente.
Un rançongiciel jamais totalement neutralisé pose un second problème. L'accès que l'attaquant a laissé ouvert peut resservir après la vente, même si vous avez payé une rançon ou restauré vos données au moment des faits.
Ces deux situations pèsent directement sur la garantie de passif que vous signez au moment de la cession. Cette clause protège l'acheteur si la réalité de votre entreprise diffère de ce que vous avez déclaré avant la signature, avec un délai de notification et un plafond fixés par contrat. Une partie du prix, généralement entre 5 et 10 %, est bloquée sur un compte séquestre pendant toute la durée de cette garantie. Dans l'encadré ci-dessous, vous pourrez en apprendre plus sur son fonctionnement précis.