La cyberassurance PME sert à financer une partie des coûts après une attaque informatique : remise en service, experts, notification, perte d’exploitation. Elle ne remplace pas la sécurité. Avec 16 % des TPE-PME françaises déclarant un incident cyber en 2025 selon Cybermalveillance.gouv.fr, elle devient surtout un outil de gestion du risque, à condition de comprendre ses limites, ses prérequis et son vrai coût.
Cyberassurance PME : pourquoi le sujet accélère en France
L’intérêt pour la cyberassurance PME progresse parce que les attaques ne visent plus seulement les grands groupes. Les PME ont souvent des systèmes moins segmentés, des sauvegardes peu testées et une dépendance forte à quelques logiciels : comptabilité, e-commerce, ERP (outil de gestion), messagerie Microsoft 365 ou Google Workspace.
Les chiffres disponibles confirment une hausse du marché assuré. Dans son étude LUCY 2026, l’AMRAE recense 20 996 polices cyber autonomes en France en 2025 dans son panel de courtiers, contre 14 124 en 2024, soit +49 %. Les petites entreprises passent à 5 547 polices, en hausse de 45 %, et les microentreprises à 9 360, en hausse de 35 %.
Un chiffre circule aussi beaucoup : 68 % des PME françaises seraient assurées en 2026, contre 45 % en 2024. Prudence. Cette donnée provient d’une source commerciale isolée identifiée lors de la recherche, pas d’un organisme public ou d’une fédération professionnelle. Elle traduit probablement une tendance réelle, mais elle ne doit pas être lue comme une statistique de référence.
Le signal le plus solide est ailleurs : le nombre de contrats augmente alors que les primes totales baissent légèrement. L’AMRAE indique 305,9 millions d’euros de primes cyber souscrites en 2025, contre 316,8 millions en 2024. France Assureurs évoque de son côté environ 302 millions d’euros de contributions cyber autonomes en 2025, hors garanties incluses dans des contrats multirisques. Autrement dit, davantage d’entreprises accèdent à une couverture, mais avec des montants, franchises et conditions très variables.
Que couvre une cyberassurance ?
Une cyberassurance couvre généralement les conséquences financières d’un incident numérique. Le guide français de la commande publique 2025 cite trois grandes familles : les frais de gestion et notification d’une violation de données, les coûts de restauration du système informatique et les pertes d’exploitation.
Concrètement, après un rançongiciel (logiciel qui bloque vos fichiers contre rançon), l’assureur peut financer l’intervention d’un expert en réponse à incident, la remise en route des serveurs, l’assistance juridique liée au RGPD, la communication de crise ou une partie du chiffre d’affaires perdu pendant l’arrêt. Le périmètre dépend du contrat. Le diable est dans les définitions.
Une garantie “perte d’exploitation” peut, par exemple, exclure les premières 12, 24 ou 48 heures d’arrêt via une franchise temporelle. Une clause peut limiter la prise en charge si la faille vient d’un prestataire, d’un logiciel non mis à jour ou d’un manque de sauvegardes utilisables. C’est souvent là que les dirigeants découvrent que “être assuré” ne veut pas dire “être remboursé quoi qu’il arrive”.
L’ACPR, l’autorité de contrôle des banques et assurances, a d’ailleurs demandé en 2024 aux assureurs de clarifier la couverture effective ou l’exclusion du risque cyber dans les contrats. Le point est très concret : certaines entreprises pensent être protégées par une multirisque professionnelle alors que la garantie cyber y est limitée, voire absente.
Combien coûte une cyberassurance PME ?
Le prix d’une cyberassurance PME dépend du chiffre d’affaires, du secteur, du niveau de couverture, de la franchise, de l’historique d’incidents et des mesures de sécurité déjà en place. Les tarifs publiés par des courtiers en 2026 donnent un ordre de grandeur utile : autour de 1 000 à 5 000 euros par an pour une PME de 10 à 250 salariés, avec 2 à 50 millions d’euros de chiffre d’affaires, pour des plafonds de garantie d’environ 1 à 5 millions d’euros. Ce n’est pas une moyenne officielle, mais c’est cohérent avec les fourchettes observées sur le marché.
À ce budget, mieux vaut éviter de comparer uniquement la prime annuelle. Deux contrats à 2 500 euros peuvent être très différents si l’un prévoit 10 000 euros de franchise, une hotline 24/7 et une prise en charge de la perte d’exploitation, tandis que l’autre limite fortement les frais d’expertise et exclut certains prestataires informatiques.
| Profil d’entreprise | Prime annuelle indicative | Plafond souvent recherché | Délai de souscription courant |
|---|---|---|---|
| TPE avec site vitrine et messagerie cloud | Quelques centaines à 1 500 € | 250 000 à 1 M€ | 1 à 2 semaines si questionnaire simple |
| PME 10-50 salariés, données clients | 1 000 à 3 000 € | 1 à 2 M€ | 2 à 4 semaines avec analyse minimale |
| PME 50-250 salariés, SI plus complexe | 3 000 à 5 000 € et plus | 2 à 5 M€ | 3 à 6 semaines, parfois audit demandé |
| PME e-commerce ou activité sensible | Variable, souvent majoré | Selon chiffre d’affaires et dépendance web | 4 à 8 semaines si exigences renforcées |
Le bon arbitrage consiste à comparer la prime au coût d’un arrêt. Si votre activité perd 8 000 euros par jour sans accès à l’ERP ou au site marchand, une franchise élevée et un plafond trop bas peuvent rendre le contrat peu utile. Pour situer les ordres de grandeur, un point détaillé sur le coût réel d’un ransomware pour une PME aide souvent à poser les bons chiffres avant de demander un devis.
Les prérequis demandés par les assureurs
Les assureurs ne vendent plus une cyberassurance PME comme une simple formalité administrative. Ils demandent de plus en plus des preuves : procédures, captures de paramétrage, rapports d’audit, politique de sauvegarde. L’objectif est simple : ne pas assurer une entreprise dont le risque est déjà hors contrôle.
Les exigences varient selon les contrats, mais les demandes qui reviennent souvent sont assez stables :
- authentification multifacteur ou MFA (validation en deux étapes) sur la messagerie, les accès administrateurs et les outils sensibles ;
- sauvegardes isolées, restaurables et testées, idéalement avec une copie hors ligne contre les rançongiciels ;
- mises à jour régulières des serveurs, postes, CMS comme WordPress, extensions et frameworks ;
- protection avancée des postes, par exemple EDR (détection comportementale) plutôt qu’un simple antivirus ;
- sensibilisation des salariés au phishing (hameçonnage), car l’e-mail reste une porte d’entrée fréquente.
Sur les projets que nous menons, nous voyons souvent le même décalage : l’entreprise pense être “couverte” parce qu’elle a une sauvegarde automatique, mais personne n’a testé une restauration complète depuis six mois. Or une sauvegarde non restaurable ne vaut pas grand-chose le jour où tout est chiffré.
Ce point rejoint les recommandations réglementaires. Pour les entités concernées par NIS2, l’ANSSI indique dans ReCyF v2.5, publié en 2026, que les processus de sauvegarde et restauration doivent être testés au moins une fois par an, et que les sauvegardes doivent être protégées contre les incidents qui les rendraient inutilisables, par exemple via un stockage hors ligne. Même si votre PME n’est pas soumise à NIS2, c’est une base saine.
Les applications web et mobiles méritent aussi une attention particulière. Une API (interface qui permet à deux logiciels de communiquer) mal protégée peut exposer des données clients sans que le serveur principal soit compromis. Avant de souscrire, vérifiez les points de sécurité applicative, notamment ceux liés aux failles invisibles des API mobiles et aux contrôles de publication d’une application mobile sécurisée.
Les exclusions qui changent tout au moment du sinistre
Une assurance cyber se lit comme un contrat de risque, pas comme une promesse de secours illimité. Les exclusions peuvent porter sur les actes de guerre, certains événements systémiques, les amendes non assurables, les pertes indirectes, l’absence de maintenance ou le non-respect des mesures déclarées au questionnaire.
Le piège le plus courant est le questionnaire de souscription rempli trop vite. Si vous cochez “MFA activée sur tous les comptes sensibles” alors que seuls les dirigeants l’utilisent, l’assureur peut discuter la garantie après incident. Même chose si vous déclarez des sauvegardes testées alors qu’aucun procès-verbal, ticket ou rapport ne le prouve.
Un autre point est souvent oublié : depuis l’article L12-10-1 du Code des assurances, applicable aux clauses cyberattaque, la victime doit déposer plainte auprès des autorités compétentes dans les 72 heures après avoir eu connaissance de l’attaque pour permettre l’indemnisation. Dans la panique d’un incident, ce délai passe très vite.
Honnêtement, une cyberassurance ne se justifie que si vous acceptez de professionnaliser un minimum votre gestion du risque. Sinon, vous payez une prime pour un contrat fragile. Le bon réflexe consiste à préparer un dossier d’assurabilité : cartographie simple du système, liste des prestataires, sauvegardes, procédures d’urgence, contacts de crise.
Quand la cyberassurance est une bonne décision, et quand elle ne l’est pas encore
La cyberassurance PME est pertinente si votre entreprise dépend fortement du numérique, traite des données personnelles, vend en ligne, gère une production connectée ou ne peut pas fonctionner plusieurs jours sans messagerie ni logiciels métiers. Elle est aussi utile si vos clients grands comptes exigent des garanties contractuelles.
Elle est moins prioritaire si votre budget cybersécurité est nul. Dans ce cas, consacrer d’abord 3 000 à 8 000 euros à des mesures de base peut être plus rentable qu’une prime : MFA généralisée, gestionnaire de mots de passe, sauvegardes 3-2-1, durcissement WordPress, mises à jour, supervision, plan de reprise. Un contrat d’assurance vient ensuite, sur un socle plus crédible.
La directive NIS2 ajoute une pression pour certaines organisations. D’après MonEspaceNIS2 de l’ANSSI, les “entités importantes” incluent notamment des structures d’au moins 50 salariés ou dépassant 10 millions d’euros de chiffre d’affaires et de bilan, sauf classement comme entité essentielle. Pour ces entreprises, l’assurance ne remplace pas la conformité, mais elle peut compléter le dispositif financier.
Côté agence, le réflexe est de traiter l’assurance comme une conséquence d’architecture : où sont les données, qui administre quoi, comment restaure-t-on, combien de temps l’activité peut-elle tenir ? Sur un site e-commerce, par exemple, la sécurisation des accès, des mises à jour, du paiement, de l’hébergement OVH ou Cloudflare et des sauvegardes pèse directement sur l’assurabilité.
Les modes d’authentification modernes peuvent aussi réduire le risque de compromission de compte. Les passkeys (connexion sans mot de passe basée sur une clé cryptographique) deviennent une piste sérieuse pour les services web exposés ; le sujet est développé ici pour les sites web qui veulent remplacer les mots de passe.
Cadrer ce type de projet en amont évite la plupart des mauvaises surprises : mauvaises déclarations, garanties trop faibles, sauvegardes inutilisables, délais irréalistes après incident. C’est souvent là qu’un regard extérieur fait gagner du temps, surtout quand assurance, hébergement, sécurité et continuité d’activité se croisent.
FAQ sur la cyberassurance PME
Une PME est-elle obligée de souscrire une cyberassurance ?
Non, il n’existe pas d’obligation générale de cyberassurance pour les PME françaises. En revanche, certains clients, appels d’offres ou contrats peuvent l’exiger, et NIS2 renforce indirectement les attentes de maîtrise du risque.
La cyberassurance rembourse-t-elle une rançon ?
Cela dépend du contrat, du cadre légal applicable et des circonstances. Même quand une prise en charge est prévue, le paiement d’une rançon reste une décision risquée, encadrée par les autorités, l’assureur et les experts de réponse à incident.
Combien de temps faut-il pour être assuré contre le risque cyber ?
Une petite structure peut obtenir une proposition en une à deux semaines si son dossier est simple. Pour une PME plus exposée, comptez plutôt trois à six semaines, surtout si l’assureur demande des preuves ou un audit.
Une multirisque professionnelle couvre-t-elle déjà le cyber ?
Parfois, mais souvent avec des plafonds faibles ou des exclusions. Il faut demander noir sur blanc si les frais de restauration, notification, expertise et perte d’exploitation cyber sont inclus.
Que faire avant de demander un devis de cyberassurance PME ?
Préparez vos preuves : MFA activée, sauvegardes testées, inventaire des logiciels, mises à jour, prestataires, procédure d’incident. Un dossier clair améliore les échanges et limite les ambiguïtés au moment du sinistre.