En bref : IBM place le coût moyen d'une fuite de données au Canada à 7,11 millions de dollars en 2026. Ce chiffre ne décrit pas une PME. Pour les petites entreprises, Statistique Canada n'arrive à publier aucun des seize postes de coût de rétablissement de 2025 : les réponses sont trop peu fiables. Ce que les données montrent, c'est qu'un incident dans une petite entreprise se paie surtout en temps et en arrêts de service, pas en rançons : 84 % des entreprises touchées n'ont versé aucune rançon. Et les obligations de la Loi 25, le registre et les avis, s'appliquent avec ou sans police d'assurance.
Avertissement : ce texte vulgarise un cadre légal, sans être un avis juridique. Les articles, les plafonds et les obligations cités viennent de la Loi sur la protection des renseignements personnels dans le secteur privé et des publications de la Commission d'accès à l'information. Les chiffres de coût viennent de Statistique Canada et d'IBM, et l'exemple chiffré repose sur des hypothèses, pas sur un relevé de marché. La portée exacte d'une obligation dans votre organisation se valide avec un conseiller juridique.
Dans cet article
- À qui ce calcul s'adresse, et à qui il ne s'adresse pas : trois questions fermées qui disent si la suite vous est utile, dont une qui renvoie ailleurs.
- Pourquoi le chiffre de 7,11 millions n'est pas le vôtre : la moyenne d'IBM repose sur 602 organisations et 28 500 dossiers compromis par incident.
- Les postes que Statistique Canada n'arrive pas à chiffrer : aucun des seize postes de coût n'est publiable pour les petites entreprises en 2025.
- Ce qu'un incident fait vraiment subir à une petite entreprise : 46,2 % des incidents restent mineurs, et la facture est surtout faite de temps supplémentaire.
- Les obligations qui ne dépendent pas de votre police : évaluer, aviser, inscrire au registre, trois gestes de la Loi 25 qu'aucun assureur ne fait.
- Les sanctions, et les conditions qui vont avec : 10 millions de plafond, mais 0,7 % des petites entreprises touchées ont vu une amende.
- Ce qu'une police aurait absorbé, et ce qui vous reste : 34 % des entreprises sont assurées et 6 % des assurées touchées ont réclamé.
- Chiffrer votre propre incident en une heure : cinq lignes et un exemple chiffré à 12 200 $, sans rançon ni sanction.
- Les angles morts de ce calcul : l'enquête commence à dix employés, les données sont canadiennes et les moyennes cachent leur queue.
- Chez Blue Fox : le registre, la procédure d'avis et des sauvegardes dont la restauration a été testée.
7,11 millions de dollars. C'est le coût moyen d'une fuite de données au Canada en 2026, selon le rapport annuel d'IBM publié le 29 juillet. Le chiffre va circuler tout l'automne dans les infolettres de fournisseurs et les présentations de vente.
Il ne vous concerne probablement pas. Pas parce qu'il est faux, mais parce qu'il mesure autre chose que ce qui arrive à une organisation de vingt personnes. Et quand on cherche le chiffre qui, lui, décrirait une PME, on tombe sur un vide : l'agence statistique nationale n'arrive pas à le publier.
Voici ce qui est établi, ce qui ne l'est pas, et comment calculer votre propre exposition à la place.
À qui ce calcul s'adresse, et à qui il ne s'adresse pas
Trois questions fermées avant d'aller plus loin. Elles décident si la suite vous est utile.
Détenez-vous des renseignements personnels sur des clients, des membres, des bénéficiaires ou des employés? Si oui, la moitié de cet article porte sur des obligations légales qui vous visent directement. Si non, seule la partie sur les coûts d'interruption vous concerne, et vous pouvez sauter la section sur la Loi 25.
Avez-vous déjà une police de cyberassurance? Si oui, votre question n'est pas « combien ça coûte » mais « qu'est-ce qui serait refusé ». Elle est traitée ailleurs, dans notre article sur ce que la cyberassurance couvre et ne couvre pas.
Votre organisation compte-t-elle moins de dix employés? Les repères chiffrés d'ici ne vous couvrent pas : l'enquête de Statistique Canada commence à dix employés. La méthode de calcul de la fin reste valable, les pourcentages non.
Pourquoi le chiffre de 7,11 millions n'est pas le vôtre
Le communiqué d'IBM Canada du 29 juillet 2026 annonce un sommet historique : 7,11 millions de dollars canadiens en moyenne par fuite de données au Canada. L'énergie mène à 9,21 millions, la technologie à 9,02 millions, l'industriel à 8,89 millions. Le cycle de vie moyen d'une brèche atteint 205 jours, en hausse de 6 % sur un an.
Deux détails du même communiqué expliquent pourquoi ce n'est pas votre facture.
Le premier : l'étude porte sur 602 organisations dans le monde ayant subi une fuite entre mars 2025 et février 2026, et le communiqué ne dit pas combien d'entre elles sont canadiennes. Le second : le nombre moyen de dossiers compromis par incident est de 28 500. Une moyenne bâtie sur des brèches de cette taille ne vous apprend rien sur un incident qui touche 300 dossiers clients.
Un chiffre du rapport reste utile à une PME, par contre : la compromission d'un fournisseur ajoute en moyenne 367 899 $ au coût d'un incident. Ce qui compte là, c'est la direction, pas le montant. Votre exposition passe par les accès que vous avez donnés à des tiers.
Les postes que Statistique Canada n'arrive pas à chiffrer
L'agence publie un tableau fait pour répondre exactement à notre question : le coût moyen pour se remettre d'incidents de cybersécurité, découpé en seize postes, ventilé par taille d'entreprise, et calculé sur les seules entreprises qui ont été touchées. Salaires consacrés au rétablissement, experts-conseils en informatique, services juridiques et relations publiques, logiciels, matériel, remboursements aux clients, amendes canadiennes et étrangères, paiements de rançon, surveillance du crédit, frais de notification d'une atteinte.
Pour les petites entreprises, celles de 10 à 49 employés, aucun des seize postes n'a de valeur publiable pour 2025. Pas un seul. Chaque cellule porte l'indicateur de qualité F, soit « trop peu fiable pour être publié » dans le vocabulaire de l'agence.
Ce qui survit à l'échelle de tout le secteur privé est mince, et l'agence le marque lui-même « à utiliser avec prudence » : 2 749 $ en moyenne pour embaucher des experts-conseils ou des entrepreneurs en informatique, 1 259 $ en logiciels neufs ou mis à jour, 691 $ en matériel. Chez les grandes entreprises, le poste des experts-conseils monte à 7 045 $.
Ce vide ne veut pas dire que ça ne coûte rien. Il veut dire que trop peu de petites entreprises touchées répondent à ces questions pour qu'une moyenne tienne la route. Un indice dans la même enquête : 18 % des petites entreprises touchées en 2025 ont répondu qu'elles ne savaient pas quelles avaient été les répercussions de l'incident.
Conséquence pratique, et elle est utilisable tout de suite : personne ne peut vous vendre un coût moyen crédible pour votre taille. Si un fournisseur vous en présente un, demandez-lui la source et la taille d'entreprise à laquelle elle s'applique.
Ce qu'un incident fait vraiment subir à une petite entreprise
Le tableau voisin, lui, tient. Il donne les répercussions déclarées, en pourcentage des entreprises touchées. Voici 2025 pour les petites entreprises du secteur privé.
| Répercussion déclarée | Petites entreprises touchées |
|---|---|
| Incident mineur, incidence minimale sur l'entreprise | 46,2 % |
| Temps supplémentaire pour que les employés fassent leur travail | 21,9 % |
| Indisponibilité des ressources ou des services | 17,3 % |
| Pertes de revenus | 16,1 % |
| Frais de réparation ou de rétablissement supplémentaires | 11,9 % |
| Employés empêchés d'effectuer leurs tâches quotidiennes | 11,8 % |
| Atteinte à l'intégrité des logiciels ou du matériel | 7,9 % |
| Obligation d'informer des parties externes de l'atteinte | 7,9 % |
| Atteinte à la réputation ou érosion de la confiance du public | 7,7 % |
| Manipulation ou vol de données ou de propriété intellectuelle | 3,4 % |
| Perte de fournisseurs, de clients ou de partenaires | 2,8 % |
| Sanctions ou amendes d'autorités canadiennes | 0,7 % |
| L'entreprise ne sait pas quelles ont été les répercussions | 18,0 % |
Deux lectures s'imposent. La première : l'issue la plus fréquente est un incident mineur, et près de la moitié des petites entreprises touchées le classent ainsi. La seconde : quand il y a une facture, elle est faite de temps. Le poste le plus déclaré après les incidents mineurs est le temps supplémentaire payé pour rattraper le travail, suivi de l'indisponibilité des ressources et des pertes de revenus.
La rançon, elle, est marginale dans les deux sens. En 2025, 8 % des entreprises touchées ont rapporté un rançongiciel, en baisse marquée après 11 % en 2021 et 13 % en 2023. Et parmi les entreprises touchées, plus de quatre sur cinq, 84 %, n'ont versé aucune rançon. Le scénario du film n'est pas le scénario courant.
Un dernier chiffre, qui dit quelque chose sur ce que les dirigeants font de leurs incidents : 11 % des entreprises touchées les ont signalés à un service de police en 2025, contre 13 % en 2023.
Les obligations qui ne dépendent pas de votre police
Le Québec ajoute ici une couche que l'assurance ne remplace pas. La Loi sur la protection des renseignements personnels dans le secteur privé impose trois gestes distincts à toute entreprise qui détient des renseignements personnels, et aucun des trois ne se délègue à un assureur.
Évaluer. L'article 3.7 demande de considérer la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité qu'il soit utilisé à des fins préjudiciables, puis de consulter son responsable de la protection des renseignements personnels.
Aviser, si l'incident présente un risque qu'un préjudice sérieux soit causé. L'article 3.5 exige d'aviser la Commission d'accès à l'information avec diligence, et d'aviser aussi chaque personne dont un renseignement est concerné. À défaut, la Commission peut l'ordonner.
Tenir un registre. L'article 3.8 l'impose sans condition et la Commission peut en exiger une copie. Son guide de janvier 2026 ne laisse pas de marge d'interprétation : « Vous devez également tenir un registre et y colliger tous les incidents de confidentialité, que le risque de préjudice soit sérieux ou non. »
C'est le point le plus souvent raté. Le registre ne commence pas au premier incident grave, il commence au premier incident, point. Un courriel envoyé à la mauvaise personne y entre.
Ces trois gestes se paient en heures, et ce sont vos heures ou celles de votre avocat. Le volume montre d'ailleurs que le mécanisme tourne : dans son rapport annuel 2024-2025, la Commission dit avoir reçu 514 avis d'incidents de confidentialité, en hausse de 16 % sur un an et de 559 % en trois ans. Quatre sur cinq, 80 %, venaient du secteur privé. Sur les causes, elle écrit que « les causes les plus fréquentes d'incidents de confidentialité déclarés sont les cyberattaques, les erreurs humaines et les rançongiciels ». L'erreur humaine est au même rang que l'attaque, ce qui change complètement ce sur quoi on dépense pour se protéger.
Le registre et la procédure d'avis se montent en quelques heures, avant l'incident, et c'est ce qui coûte le moins cher de tout ce dossier. On installe le registre là où vos données vivent déjà, avec les gabarits d'avis et la liste des personnes à joindre. Pour le cadre complet, voir notre bilan de la Loi 25 quatre ans plus tard.
Les sanctions, et les conditions qui vont avec
Les plafonds sont spectaculaires et ils se lisent avec leurs conditions, sinon ils ne servent qu'à faire peur.
La sanction administrative pécuniaire peut atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial de l'exercice précédent, le plus élevé des deux, pour une entreprise, et 50 000 $ pour une personne physique. Le fait de ne pas déclarer un incident à la Commission ou aux personnes concernées, quand on y est tenu, figure explicitement dans la liste des manquements visés.
Au pénal, l'amende va de 15 000 $ à 25 millions, ou 4 % du chiffre d'affaires mondial. Du côté civil, l'article 93.1 prévoit des dommages-intérêts punitifs d'au moins 1 000 $, mais seulement lorsque l'atteinte illicite à un droit conféré par la loi est intentionnelle ou résulte d'une faute lourde. Dans un recours collectif, ce plancher se multiplie par le nombre de personnes visées.
Maintenant le contrepoids, et il compte autant que les plafonds : en 2025, 0,7 % des petites entreprises touchées ont déclaré une sanction financière ou une amende d'une autorité canadienne. Les montants maximums sont réels, leur application reste rare. Ce ne sont pas des sommes à provisionner, ce sont des sommes à ne pas déclencher.
Ce qui se vérifie en premier, en pratique, c'est le registre et les avis.
Ce qu'une police aurait absorbé, et ce qui vous reste
En 2025, plus du tiers des entreprises canadiennes, 34 %, déclaraient avoir une assurance contre les cyberrisques. L'adoption grimpe vite : 16 % en 2021, 22 % en 2023. Chez les grandes entreprises, elle atteint 63 %.
Le chiffre qui surprend est ailleurs. Parmi les entreprises à la fois assurées et touchées par un incident en 2025, 6 % ont tenté de présenter une demande de règlement. Six pour cent. Et la proportion a baissé, elle était de 9 % en 2023, pendant que l'adoption de l'assurance augmentait.
Deux explications tiennent ensemble : la plupart des incidents restent sous la franchise, et les conditions d'admissibilité se sont durcies. C'est le sujet de notre article sur la cyberassurance, qui détaille ce que les assureurs exigent maintenant avant de payer.
Ce qu'une police absorbe, quand la réclamation passe : la réponse technique, les pertes d'exploitation, les frais juridiques, les avis. Ce qu'elle n'absorbe jamais : l'évaluation du préjudice sérieux, la tenue du registre, la conversation avec vos clients, et le temps de vos employés qui refont le travail perdu. Ces postes-là vous appartiennent dans tous les scénarios.
Chiffrer votre propre incident en une heure
Cinq lignes suffisent. L'exercice ne vaut que par vos chiffres, donc remplacez chaque taux par le vôtre.
Les cinq lignes à remplir, dans cet ordre :
- Le temps interne : qui arrête son travail, combien d'heures, à quel taux horaire chargé.
- Le secours externe : un taux horaire d'urgence, obtenu avant d'en avoir besoin.
- L'interruption : des jours d'arrêt multipliés par votre marge quotidienne, pas par votre chiffre d'affaires quotidien.
- Les avis : les heures juridiques de l'évaluation, plus le nombre de personnes à joindre.
- Le remplacement d'urgence : le matériel et les licences qu'il faut racheter vite.
Un exemple d'illustration, avec les hypothèses posées à la vue de tous : une organisation de 18 personnes, un taux horaire chargé moyen de 45 $, un arrêt partiel de deux jours, une marge quotidienne de 1 400 $, et 420 personnes à aviser.
| Ligne | Hypothèse | Montant |
|---|---|---|
| Temps interne | 6 personnes immobilisées 11 heures à 45 $ | 2 970 $ |
| Secours externe | 20 heures à 150 $ | 3 000 $ |
| Interruption | 2 jours à la moitié de la marge quotidienne | 1 400 $ |
| Avis et évaluation | 6 heures juridiques à 300 $, plus 420 envois à 1,50 $ | 2 430 $ |
| Remplacement d'urgence | Deux postes de travail et leurs licences | 2 400 $ |
| Total | Sans rançon, sans sanction, sans perte de client | 12 200 $ |
Douze mille dollars. Ce montant ne fait la manchette d'aucun rapport annuel, et il ampute le budget d'une PME pour un trimestre. C'est aussi un ordre de grandeur que vous pouvez défendre devant un conseil d'administration, ce que les 7,11 millions ne permettent pas.
Le résultat sert à deux décisions : ce que vous provisionnez, et si une prime d'assurance vaut son prix pour vous.
Les angles morts de ce calcul
Plusieurs limites, qu'il vaut mieux nommer que cacher.
L'enquête citée commence à dix employés et exclut les administrations publiques. Une entreprise de six personnes n'y figure pas, et c'est une bonne part du tissu économique québécois.
Les tableaux sont canadiens, pas québécois. Ceux que nous citons ne sont ventilés que par industrie et par taille, jamais par province. Les obligations légales, elles, sont bien québécoises.
Les moyennes cachent leur queue. Un incident sur cent coûte beaucoup plus que la moyenne, et c'est précisément celui-là qu'on assure.
Une suppression pour cause de fiabilité n'est pas un zéro. Que l'agence ne publie pas le coût moyen des services juridiques des petites entreprises ne dit rien sur ce coût, sinon que peu d'entreprises l'ont déclaré.
Et l'évaluation du risque de préjudice sérieux se fait dossier par dossier, avec votre responsable de la protection des renseignements personnels, jamais à partir d'un article.
Chez Blue Fox
La partie la moins chère de ce dossier se prépare avant l'incident, et elle n'est pas technique. Un registre des incidents qui vit là où les données vivent déjà, dans l'outil de gestion plutôt que dans un fichier que personne ne retrouvera. Une procédure d'avis écrite d'avance, avec ses gabarits. Des sauvegardes dont la restauration a été testée, pas seulement planifiée.
Deux autres pièces réduisent le nombre d'incidents à inscrire, et elles sont moins chères que tout le reste : un gestionnaire de mots de passe et un plan de transfert des accès, celui dont parle notre article sur la transmission des infos de connexion. L'erreur humaine étant au même rang que la cyberattaque dans les avis reçus par la Commission, c'est là que le dollar travaille le mieux.
On déploie ces choses sur de l'infrastructure libre, hébergée au Québec et sous le contrôle du client. Ça ne ramène pas le risque à zéro, et aucun fournisseur ne devrait vous le promettre.
Si vous voulez mettre un chiffre sur votre exposition réelle avant d'en parler à un courtier, parlons de votre situation.
Sources
- Statistique Canada, « L'incidence du cybercrime sur les entreprises canadiennes, 2025 » : le communiqué du 21 octobre 2026, d'où viennent les taux d'entreprises touchées, l'assurance, les rançons et les signalements à la police.
- Statistique Canada, tableau 22-10-0132-01 : le coût moyen pour se remettre d'incidents de cybersécurité, par industrie et taille d'entreprise, et ses indicateurs de qualité.
- Statistique Canada, tableau 22-10-0133-01 : les répercussions des incidents de cybersécurité sur les entreprises, source du tableau des petites entreprises.
- IBM Canada, communiqué du 29 juillet 2026 : la moyenne canadienne de 7,11 millions, les secteurs, le cycle de vie des brèches et la méthodologie Ponemon.
- Loi sur la protection des renseignements personnels dans le secteur privé : les articles 3.5 à 3.8 sur les incidents et le registre, 90.12 et 91 sur les sanctions, 93.1 sur les dommages punitifs.
- Commission d'accès à l'information, « Prévenir les incidents de confidentialité » : le guide de janvier 2026, dont la règle du registre qui couvre tous les incidents.
- Commission d'accès à l'information, rapport annuel de gestion 2024-2025 : les 514 avis d'incidents reçus, leur répartition et les causes les plus fréquentes.