Mis à jour le 11 juin 2026
Le coût moyen d'un incident cyber pour une PME française dépasse 150 000 euros. Pour une TPE, un ransomware peut signifier la cessation d'activité. La cyberassurance ne remplace pas la cybersécurité PME, mais elle constitue un filet de sécurité financier indispensable quand la prévention ne suffit pas.
Ce guide couvre ce que la cyberassurance couvre (et ne couvre pas), les 7 critères pour choisir son contrat, les fourchettes de prix et le processus de déclaration de sinistre.
Ce que couvre la cyberassurance
Une police de cyberassurance standard pour PME couvre généralement :
- Frais de réponse à incident : expertise forensique, remédiation technique, restauration des systèmes. Ces frais représentent souvent 30 à 50 % du coût total d'un incident.
- Perte d'exploitation : compensation du manque à gagner pendant la période d'arrêt. Calculée sur la base du chiffre d'affaires journalier moyen.
- Frais juridiques : avocat spécialisé, notification RGPD à la CNIL, gestion des plaintes des personnes concernées.
- Communication de crise : gestion de la réputation, notification aux clients et partenaires.
- Responsabilité civile : dommages causés à des tiers suite à la compromission de leurs données.
Ce que la cyberassurance ne couvre pas
- Les pertes liées à un défaut de maintenance ou de mise à jour connu et non corrigé.
- Les attaques par des États (exclusion courante, parfois contestée).
- Les pertes de propriété intellectuelle (évaluation du préjudice trop complexe).
- Les amendes réglementaires (RGPD, NIS2) dans certains contrats.
- Les incidents antérieurs à la date de souscription.
Fourchettes de prix
Le tarif dépend de quatre facteurs principaux : le chiffre d'affaires, le nombre de postes, le secteur d'activité et le niveau de maturité cyber.
| Profil PME | Prime annuelle | Plafond type |
|---|---|---|
| TPE (5-10 postes, CA < 1M euros) | 1 000 à 2 500 euros | 100 000 à 300 000 euros |
| PME (20-50 postes, CA 2-10M euros) | 2 500 à 5 000 euros | 300 000 à 1M euros |
| PME+ (50-200 postes, CA 10-50M euros) | 5 000 à 15 000 euros | 1M à 5M euros |
7 critères pour choisir votre cyberassurance
Périmètre de couverture
Vérifiez que le contrat couvre les frais de réponse à incident (forensique, juridique, communication de crise), la perte d'exploitation, la responsabilité civile et les frais de notification RGPD. Certains contrats excluent les ransomwares ou les attaques par des États.
Plafond d'indemnisation
Le plafond doit être cohérent avec votre exposition réelle. Pour une PME de 50 postes, un plafond de 500 000 à 1 million d'euros couvre la majorité des scénarios. En dessous, vous portez le risque résiduel.
Franchise
La franchise est le montant qui reste à votre charge. Elle varie de 1 000 à 20 000 euros selon les contrats. Une franchise élevée réduit la prime mais augmente votre exposition en cas de sinistre mineur.
Délais de carence et de déclaration
Vérifiez le délai de déclaration (48 à 72 heures en général) et le délai de carence (période après la souscription pendant laquelle vous n'êtes pas couvert). Un délai de carence de 30 jours est courant.
Services d'assistance inclus
Les meilleurs contrats incluent un accès direct à une équipe de réponse à incident (hotline 24/7, expert forensique, avocat spécialisé, communication de crise). Ces services sont critiques dans les premières heures après une attaque.
Exigences de sécurité préalables
Chaque assureur impose un socle minimum de sécurité. Comparez les exigences : certains demandent un audit préalable, d'autres un simple questionnaire. Un contrat qui n'exige rien est suspect (exclusions probables en cas de sinistre).
Clause de sous-assurance
Vérifiez que le contrat ne contient pas de clause de sous-assurance qui réduirait l'indemnisation si votre niveau de sécurité réel est inférieur à celui déclaré à la souscription. La transparence avec l'assureur est essentielle.
Processus de déclaration de sinistre
- Détection et confinement : isolez les systèmes touchés et préservez les preuves. Ne tentez pas de remédier seul.
- Notification à l'assureur : contactez la hotline de votre assureur dans les délais prévus au contrat (48 à 72 heures). Fournissez les premiers éléments : nature de l'incident, systèmes touchés, impact estimé.
- Dépôt de plainte : obligatoire dans les 72 heures pour la prise en charge du paiement éventuel de rançon (loi LOPMI). Également nécessaire pour la notification CNIL si des données personnelles sont concernées.
- Activation de la chaîne de réponse : l'assureur mandate un expert forensique, un avocat et un communicant de crise si nécessaire.
- Remédiation et reprise : restauration des systèmes, correction des vulnérabilités, reprise d'activité. Le prestataire en cybersécurité PME coordonne la remédiation technique.
- Évaluation du préjudice et indemnisation : l'expert de l'assureur évalue les dommages (perte d'exploitation, frais engagés, responsabilité civile) et détermine l'indemnisation.
Questions fréquentes
Combien coûte une cyberassurance pour une PME ?
Entre 1 000 et 8 000 euros par an pour une PME de 10 à 100 postes. Le tarif dépend du chiffre d'affaires, du secteur d'activité, du nombre de postes et du niveau de maturité cyber de l'entreprise. Une PME qui a réalisé un audit de sécurité et déployé les fondamentaux (MFA, EDR, sauvegardes) obtiendra un tarif plus favorable.
La cyberassurance couvre-t-elle le paiement d'une rançon ?
La loi LOPMI de 2023 autorise la couverture du paiement de rançon à condition que l'entreprise dépose plainte dans les 72 heures. En pratique, la majorité des assureurs déconseillent le paiement et privilégient la restauration depuis les sauvegardes. Le paiement de rançon ne garantit pas la récupération des données.
Quelles sont les conditions préalables pour être assuré ?
Les assureurs exigent un socle minimum de sécurité : sauvegardes régulières, antivirus ou EDR sur tous les postes, MFA sur les accès critiques, mises à jour système, politique de mots de passe. Sans ces fondamentaux, le contrat sera refusé ou les primes seront majorées. Un audit de sécurité facilite la souscription.
Que faire en cas de sinistre cyber ?
Contactez votre assureur dans les délais prévus au contrat (généralement 48 à 72 heures). Préservez les preuves numériques, ne tentez pas de remédier seul. L'assureur active sa chaîne de réponse à incident : expert forensique, assistance juridique, communication de crise. Déposez plainte auprès des autorités compétentes.
La cyberassurance est-elle obligatoire pour les PME ?
Non, la cyberassurance n'est pas obligatoire. Cependant, elle devient un prérequis commercial dans de nombreux secteurs : les donneurs d'ordres et les clients grands comptes exigent de plus en plus une attestation d'assurance cyber dans leurs appels d'offres. C'est aussi un filet de sécurité financier en cas d'incident majeur.
Article rédigé par Quentin Beauger, fondateur de Sicollab et DSI pour PME en Auvergne.
Préparez votre entreprise avant de souscrire
Un audit de sécurité préalable améliore vos conditions d'assurance et réduit vos primes. Diagnostic gratuit de 30 minutes.
Planifier un diagnostic gratuit