Selon le rapport Coût d’une violation des données publié en 2025 par IBM, le coût moyen d’une violation de données à l’échelle mondiale est de 4,44 millions de dollars. Alors que toute entreprise est vulnérable face à ces violations, quelles que soient sa taille et la nature de son activité, la gravité de ces incidents et les coûts nécessaires pour y remédier peuvent varier.
Par exemple, le coût moyen d’une violation de données aux États-Unis est de 10,22 millions de dollars, soit environ 4 fois supérieur au coût d’une violation en Inde (2,51 millions de dollars).
En général, les conséquences des violations de données sont particulièrement graves pour les organisations dans les secteurs fortement réglementés comme la santé, la finance et le secteur public, où de lourdes amendes et sanctions peuvent s’ajouter aux coûts. Par exemple, selon le rapport d’IBM, le coût moyen d’une violation de données dans le secteur de la santé en 2025 s’élève à 7,42 millions de dollars, le plus élevé de tous les secteurs pour la 14ᵉ année consécutive.
Le coût d’une violation de données dépend de plusieurs facteurs. En voici les quatre principaux selon le rapport d’IBM : perte d’activité, détection et remontée, réponse post-violation et notification.
La perte d’activité, de chiffre d’affaires et de clients qui en résultent coûte aux entreprises 1,38 million de dollars en moyenne. Le coût de détection et d’endiguement est encore plus élevé, soit 1,47 million de dollars américains. Les dépenses engagées ultérieurement, comme les amendes, les frais juridiques ou encore la fourniture de services de surveillance gratuits aux clients touchés, coûtent en moyenne 1,20 million de dollars américains aux entreprises victimes de violation.
Les coûts de notification, à savoir de signalement des incidents aux clients, aux régulateurs, ainsi qu’à d’autres tiers, s’élèvent à au moins 390 000 USD. La production de rapport peut toutefois s’avérer particulièrement coûteuse et chronophage.
La loi américaine CIRCIA de 2022 (Cyber Incident Reporting for Critical Infrastructure Act) impose aux organisations des secteurs de la sécurité nationale, de la finance, de la fabrication critique et d’autres secteurs désignés de signaler au Département de la sécurité intérieure, dans un délai de 72 heures, les incidents de cybersécurité qui concernent soit des données à caractère personnel, soit des opérations métier.
Les organisations américaines soumises à la loi HIPAA (Health Insurance Portability and Accountability Act) doivent informer le Département de la santé et des services sociaux des États-Unis, les personnes concernées et, dans certains cas, les médias en cas de violation des données de santé protégées.
Les 50 États américains disposent également de leur propre législation en matière de notification des violations de données.
Le Règlement général sur la protection des données (RGPD) exige que les entreprises qui traitent avec des citoyens de l’UE signalent les violations de données aux autorités dans un délai de 72 heures.