En 2025, le coût moyen d’une cyberattaque pour une PME française s’est établi aux alentours de 75 000 euros, selon les estimations compilées par l’ANSSI dans ses rapports annuels sur la menace informatique. Ce chiffre inclut les frais de remédiation technique, les pertes d’exploitation liées à l’interruption d’activité, et les éventuelles indemnités versées aux clients dont les données ont été compromises. Ce que ce montant ne dit pas, c’est que la majorité de ces entreprises n’avaient souscrit aucune assurance cyber sécurité au moment de l’incident. Elles ont donc absorbé seules l’intégralité des dommages.
L’assurance cyber est un produit relativement récent sur le marché français. Il y a une quinzaine d’années, ce type de couverture n’existait quasiment pas pour les structures de moins de 500 salariés : les contrats disponibles s’adressaient exclusivement aux grandes entreprises cotées, avec des primes annuelles hors de portée des PME. Depuis le milieu des années 2010, l’offre s’est considérablement élargie, portée par la multiplication des attaques de type ransomware et par la mise en application du RGPD en 2018, qui a créé une obligation légale de notification des violations de données.
Aujourd’hui, une TPE peut s’assurer contre les risques de cyber sécurité pour quelques dizaines d’euros par mois, avec des garanties qui couvrent aussi bien la responsabilité civile envers les clients que la gestion de crise interne. Mais toutes les formules ne se valent pas, et choisir la mauvaise couverture peut s’avérer aussi coûteux qu’une absence totale de contrat. Voici comment se structurent les principales options disponibles.
Ce que les contrats couvrent rarement de la même façon
Avant de comparer les formules, un point mérite d’être clarifié : le marché de l’assurance cyber n’est pas standardisé. Contrairement à l’assurance responsabilité civile professionnelle, dont les contours sont relativement codifiés, chaque assureur définit librement le périmètre de ses garanties, les plafonds d’indemnisation et les exclusions. Deux contrats affichant le même tarif mensuel peuvent présenter des écarts considérables sur la prise en charge des frais de notification aux clients, sur l’assistance juridique en cas de plainte collective, ou sur la couverture des pertes d’exploitation au-delà des premières 72 heures.
Les garanties les plus fréquemment proposées se regroupent autour de quelques axes. La prise en charge des frais de remédiation technique (restauration des systèmes, analyse forensique) constitue le socle de base. La couverture de la responsabilité civile envers les tiers dont les données ont été exposées représente un deuxième niveau. La prise en charge des pertes d’exploitation pendant la période d’interruption d’activité, souvent limitée à un nombre de jours défini dans le contrat, constitue le troisième pilier. Certains contrats ajoutent une assistance à la gestion de crise, incluant une cellule joignable 24h/24 et un accompagnement à la communication de crise.
Les exclusions à lire avant tout
La quasi-totalité des contrats excluent les attaques résultant d’une négligence caractérisée, notion que les assureurs définissent de façon variable mais qui englobe généralement l’absence de mises à jour de sécurité sur des systèmes critiques ou l’utilisation de mots de passe identifiés comme compromis. Certains contrats excluent également les attaques étatiques, une clause qui a pris de l’importance depuis 2022 avec la recrudescence des opérations d’espionnage industriel attribuées à des acteurs soutenus par des États.
La question du délai de carence
Un autre point souvent négligé lors de la souscription est le délai de carence. Plusieurs assureurs imposent une période de 30 à 90 jours entre la signature du contrat et l’entrée en vigueur des garanties. Pour une entreprise qui souscrit à la suite d’un incident mineur ou d’un audit de sécurité alarmant, ce délai peut rendre le contrat inutile face à une attaque qui survient dans les semaines suivant la signature.
La formule entrée de gamme pour TPE et indépendants
Les contrats positionnés pour les très petites structures, artisans, professions libérales, micro-entreprises du numérique, proposent généralement une couverture limitée mais suffisante pour absorber un incident de faible ampleur. Les plafonds d’indemnisation se situent entre 50 000 et 150 000 euros, avec une prise en charge des frais de remédiation technique et une assistance téléphonique en cas d’attaque. La responsabilité civile envers les clients est incluse, mais plafonnée à des montants qui ne couvrent pas un contentieux impliquant des centaines de dossiers clients.
Le tarif mensuel de ce type de contrat oscille entre 30 et 80 euros pour une TPE dont le chiffre d’affaires annuel ne dépasse pas 500 000 euros. La prime est calculée principalement sur la base du secteur d’activité et du volume de données traitées, avec des majorations pour les structures qui manipulent des données de santé ou des données financières. Ce segment de marché s’est développé rapidement depuis 2020 : des acteurs comme Hiscox, Chubb ou des courtiers en ligne spécialisés proposent désormais des devis instantanés en quelques clics.
La limite principale de ces contrats est l’absence de couverture des pertes d’exploitation. Pour un indépendant dont l’activité est entièrement numérique, une interruption de 10 jours consécutive à un ransomware peut représenter plusieurs milliers d’euros de chiffre d’affaires non récupérable. Ce poste de dommage n’est généralement pas pris en charge dans les formules d’entrée de gamme.
La formule intermédiaire pour PME de 10 à 100 salariés
C’est le segment qui a connu la plus forte croissance depuis 2019. Les PME de taille intermédiaire présentent un profil de risque élevé : elles disposent de systèmes informatiques suffisamment complexes pour être vulnérables, mais rarement d’une équipe de sécurité dédiée capable de détecter une intrusion avant qu’elle ne se propage. L’attaque par ransomware contre un sous-traitant automobile normand en 2021, qui avait paralysé l’ensemble de sa chaîne de production pendant trois semaines, illustre ce type de vulnérabilité.
Les contrats intermédiaires proposent des plafonds d’indemnisation compris entre 500 000 et 2 millions d’euros, avec une couverture des pertes d’exploitation généralement limitée à 30 ou 60 jours. La gestion de crise est incluse, souvent sous la forme d’un accès à un réseau de prestataires référencés (experts forensiques, avocats spécialisés, agences de communication de crise). La prime mensuelle se situe entre 150 et 500 euros selon le secteur et le niveau de maturité en cybersécurité de l’entreprise.
Certains assureurs pratiquent désormais un audit de sécurité préalable à la souscription. Ce n’est pas une contrainte : c’est une opportunité pour l’entreprise d’identifier ses vulnérabilités les plus exposées avant qu’elles ne soient exploitées. Les résultats de cet audit influencent directement le tarif, ce qui crée une incitation concrète à investir dans des mesures de protection basiques comme la segmentation réseau ou l’authentification à double facteur.
La formule premium pour ETI et structures à fort volume de données
Au-delà de 100 salariés ou pour les entreprises dont l’activité repose massivement sur le traitement de données clients (e-commerce, fintech, santé numérique, éditeurs de logiciels SaaS), les contrats premium offrent des garanties étendues qui se rapprochent de ce que les grandes entreprises négocient depuis les années 2000. Les plafonds d’indemnisation dépassent les 5 millions d’euros, et certains contrats prévoient une couverture illimitée sur des postes spécifiques comme les frais de notification réglementaire.
La couverture des pertes d’exploitation est ici plus généreuse, avec des durées de prise en charge pouvant atteindre 180 jours. Les contrats premium incluent également la prise en charge des rançons dans certaines conditions, un sujet sensible sur lequel les assureurs français ont durci leur position depuis la circulaire du ministère de l’Intérieur de 2021 qui recommande de ne pas céder aux demandes des attaquants. La prime annuelle pour ce type de contrat se négocie entre 5 000 et 30 000 euros selon l’exposition au risque.
Ce que la prime ne couvre pas
Même à ce niveau de couverture, certains postes restent systématiquement exclus. Les dommages réputationnels à long terme, c’est-à-dire la perte de clients consécutive à une atteinte à l’image de marque, ne sont pas indemnisables. L’atteinte aux systèmes de contrôle industriel (OT/SCADA) fait souvent l’objet d’un avenant spécifique, avec une prime additionnelle. Les incidents impliquant un prestataire tiers (attaque via la chaîne d’approvisionnement) peuvent également être exclus si le contrat ne prévoit pas explicitement cette hypothèse.
L’audit comme condition de maintien du contrat
Pour les contrats premium, plusieurs assureurs imposent un audit annuel de sécurité et subordonnent le maintien des garanties au respect d’un niveau minimal de conformité. Si l’entreprise ne met pas en œuvre les recommandations issues de l’audit dans un délai défini, l’assureur peut réviser les conditions du contrat ou le résilier. Cette pratique, importée du marché américain où elle est standard depuis une dizaine d’années, commence à se généraliser en France.
La formule sectorielle pour les professions réglementées
Certains secteurs font face à des obligations légales spécifiques qui rendent les contrats généralistes inadaptés. Les établissements de santé, les cabinets d’expertise comptable, les studios juridiques et les organismes de formation traitent des catégories particulières de données dont la violation expose à des sanctions réglementaires qui s’ajoutent aux dommages directs. Pour ces structures, des contrats sectoriels ont été développés, souvent en partenariat avec les organisations professionnelles représentatives.
Ces contrats intègrent des garanties spécifiques : prise en charge des amendes CNIL dans les limites autorisées par la réglementation, couverture des frais de notification aux autorités de contrôle, assistance juridique spécialisée dans le droit sectoriel applicable. Le tarif est généralement supérieur de 20 à 40% aux contrats généralistes équivalents, mais le périmètre de couverture est nettement mieux adapté aux risques réels de ces organisations.
La responsabilité envers les clients est ici particulièrement encadrée. Un cabinet comptable dont les données fiscales de ses clients sont exfiltrées s’expose à des demandes d’indemnisation qui peuvent dépasser largement la valeur du contrat de mission. Les contrats sectoriels prévoient des plafonds de responsabilité civile calculés en fonction du chiffre d’affaires géré pour le compte des clients, et non du chiffre d’affaires propre du cabinet.
Quel contrat choisir selon le profil de l’entreprise
S’assurer contre les risques de cyber sécurité ne se réduit pas à une comparaison de primes. La première question à poser est celle du risque réel : quelles données l’entreprise traite-t-elle, quels systèmes seraient paralysants en cas d’indisponibilité, et quelle serait la conséquence d’une fuite vers les clients ou les partenaires. Cette cartographie des risques, même sommaire, permet de hiérarchiser les garanties prioritaires.
Pour une TPE ou un indépendant dont l’activité peut être reconstituée rapidement, la priorité est la couverture de la responsabilité civile envers les clients et les frais de remédiation technique. La formule entrée de gamme est suffisante. Pour une PME dont la continuité d’activité dépend de ses systèmes informatiques, la couverture des pertes d’exploitation devient le critère discriminant, et la formule intermédiaire s’impose. Pour une ETI ou une structure réglementée, les plafonds d’indemnisation et la qualité de l’assistance à la gestion de crise justifient un contrat premium ou sectoriel.
Un point souvent sous-estimé est la qualité du réseau de prestataires mobilisables en cas d’incident. Un contrat qui prévoit une cellule de crise joignable 24h/24 avec des experts forensiques disponibles sous quatre heures a une valeur opérationnelle très différente d’un contrat qui se contente d’un numéro de téléphone et d’un remboursement a posteriori. La rapidité d’intervention dans les premières heures d’une attaque conditionne directement l’étendue des dommages finaux.
Un responsable informatique qui ouvre son tableau de bord le lundi matin et découvre que ses sauvegardes sont chiffrées depuis le week-end n’a pas besoin d’un formulaire de déclaration de sinistre : il a besoin d’un numéro qui répond, d’un expert qui sait quoi faire, et d’une assurance qui a anticipé exactement ce scénario.
Source : Vinko Assurance
