En 2024, 1 TPE/PME sur 2 a subi une cyberattaque, pour un coût moyen de 14 720 €. Moins de 3 % des PME disposent d'une assurance cyber dédiée. Le RGPD impose une notification à la CNIL sous 72 h, avec des sanctions pouvant atteindre 4 % du CA. Un contrat cyber coûte entre 1 000 et 1 500 €/an et couvre pertes d'exploitation, remédiation technique et assistance juridique.
TPE/PME : une cible prioritaire des cyberattaques en 2024-2025
Le constat est sans appel : en 2024, une TPE/PME sur deux a subi une cyberattaque [1]. Selon le Panorama de la cybermenace 2024 publié par l'ANSSI, l'agence a traité 4 386 événements de sécurité (soit +15 % par rapport à 2023), dont 37 % touchant les TPE, PME et ETI [2]. Les petites entreprises ne sont plus des cibles secondaires : elles représentent le premier segment visé par les cybercriminels, devant les collectivités territoriales (17 %) et les établissements d'enseignement supérieur (12 %) [3].
Les conséquences financières sont lourdes. Le rapport Hiscox 2023 évalue le coût moyen d'une cyberattaque à 14 720 €, un montant pouvant grimper jusqu'à 58 600 € lorsqu'une rançon est exigée. Plus alarmant encore : entre 50 et 60 % des PME victimes d'une attaque cessent leur activité dans les 6 à 18 mois suivant l'incident [4]. Ce chiffre, bien que discuté dans sa méthodologie exacte, reflète une réalité documentée par plusieurs acteurs du secteur [5].
Face à cette menace croissante, le taux de couverture reste dramatiquement bas. En 2023, moins de 3 % des PME françaises étaient protégées par une assurance cyber dédiée [6]. Un paradoxe quand on sait que le coût annuel d'un tel contrat se situe entre 1 000 et 1 500 €/an pour 90 % des TPE/PME [6], soit moins de 130 € par mois, à comparer aux dizaines de milliers d'euros que peut coûter un sinistre cyber.
Le baromètre 2025 de Cybermalveillance.gouv.fr confirme cette prise de conscience tardive : 44 % des dirigeants de TPE/PME se sentent désormais fortement exposés (contre 38 % en 2024), et pourtant 80 % reconnaissent ne pas être prêts face à une attaque [7]. Pour aller plus loin sur l'ensemble des cyber-risques auxquels les entreprises sont exposées, consultez notre guide complet sur l'assurance cyber.
RGPD et NIS 2 : les obligations légales qui renforcent la nécessité d'une assurance cyber pour TPE et PME
L'assurance cyber pour TPE et PME ne répond pas uniquement à un risque financier : elle constitue aussi un levier de conformité réglementaire. Le cadre juridique européen et français impose en effet des obligations strictes en matière de protection des données et de gestion des incidents.
Le RGPD : notification, transparence et sanctions
Le Règlement général sur la protection des données (RGPD) oblige toute entreprise victime d'une violation de données personnelles à notifier la CNIL dans les 72 heures suivant la découverte de l'incident [8]. Si le risque pour les personnes concernées est élevé, l'entreprise doit également les informer individuellement. En 2023, 4 668 fuites de données ont été notifiées à la CNIL, soit 13 par jour (+16 % par rapport à 2022).
Les sanctions en cas de manquement peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu [8]. Un risque considérable, même pour une petite structure.
La directive NIS 2 : de nouvelles obligations pour les PME
La directive européenne NIS 2, en cours de transposition en droit français, élargit le périmètre des entreprises soumises à des exigences renforcées de cybersécurité. Les PME opérant dans des secteurs critiques (santé, transport, numérique, énergie) doivent désormais mettre en place une analyse de risques, une politique de gestion des vulnérabilités et un signalement d'incident sous 24 heures [10].
Ce que l'assurance couvre (et ne couvre pas) sur le plan réglementaire
Point essentiel à comprendre : les amendes CNIL directes ne sont pas assurables en droit français. L'article L.113-1 du Code des assurances exclut la couverture des sanctions de nature quasi pénale [9]. En revanche, une assurance cyber prend en charge les frais de notification, la défense juridique et l'accompagnement en gestion de crise. Selon nos données internes, AXA inclut la garantie vol_donnees_notification (frais de notification à la CNIL et aux personnes concernées), tandis que Hiscox couvre les enquêtes et sanctions (frais de défense et amendes légalement assurables).
Les 5 garanties indispensables d'une assurance cyber pour TPE et PME
Toutes les assurances cyber ne se valent pas. Voici les cinq garanties clés à vérifier avant de souscrire, illustrées par les offres réelles des assureurs référencés sur AssurancesLabs.
1. Perte d'exploitation
Cette garantie compense le chiffre d'affaires perdu pendant la période d'interruption ou de réduction d'activité consécutive à l'attaque. Chez AXA, la couverture des pertes d'exploitation (perte de marge brute et frais supplémentaires) est incluse par défaut. Chez Allianz, cette garantie est proposée en option.
2. Remédiation technique
Elle couvre l'intervention d'experts forensic, la restauration des systèmes d'information et la reconstitution des données. Allianz inclut les "frais engagés et pertes subies" (nettoyage, reconstitution, experts informatiques). AXA prend en charge l'"atteinte au système et aux données" (remise en état du SI et reconstitution des données).
3. Assistance RGPD et notification
Cette garantie finance les frais de notification à la CNIL, la communication aux personnes concernées (environ 7 € par donnée en moyenne [9]) et l'accompagnement juridique. AXA inclut cette couverture (vol_donnees_notification). Hiscox intègre la prise en charge des enquêtes et sanctions réglementaires.
4. Responsabilité civile cyber
Elle indemnise les tiers victimes de dommages liés à l'attaque : clients dont les données ont fuité, partenaires affectés par la propagation d'un virus, etc. Allianz et Hiscox incluent cette garantie par défaut (dommages aux tiers, atteinte à la sécurité et à la confidentialité). Chez AXA, la responsabilité civile est proposée en option.
5. Cellule de crise 24/7
L'accès à une hotline d'urgence avec des experts mobilisables immédiatement (IT, juridique, communication) est crucial dans les premières heures d'un incident. AXA inclut la gestion de crise majeure (conseil en communication, plateforme téléphonique). Hiscox propose une assistance intégrée au contrat.
Garanties complémentaires à vérifier
- Cyber-extorsion / rançon : inclus chez Hiscox, à vérifier chez les autres assureurs
- Cyber-fraude : optionnel chez Hiscox (plafond maximum de 250 000 €)
- Atteinte à l'e-réputation : inclus chez AXA
- Détournement de fonds : inclus chez AXA (cyber_detournement_fonds)
Tableau comparatif des garanties par assureur
| Garantie | Allianz | AXA | Hiscox |
|---|---|---|---|
| Perte d'exploitation | Optionnel | Inclus | Sur demande |
| Remédiation technique | Inclus | Inclus | Inclus |
| Notification RGPD | Inclus | Inclus | Inclus |
| RC Cyber (tiers) | Inclus | Optionnel | Inclus |
| Cellule de crise 24/7 | Inclus | Inclus | Inclus |
| Cyber-extorsion | Inclus | Non précisé | Inclus |
| Cyber-fraude | Non précisé | Non précisé | Optionnel (250 000 €) |
Source : données internes AssurancesLabs. Les garanties peuvent varier selon les formules et options choisies.
Ce que l'assurance cyber NE couvre PAS
- Les amendes CNIL directes (sanctions administratives non assurables) [9]
- Les actes intentionnels ou la négligence grave
- Les attaques sur des systèmes non maintenus à jour
- Les sinistres en cas d'absence de mesures préventives minimales (MFA, sauvegardes, antivirus)
Comment choisir son assurance cyber : critères, tarifs et conditions d'éligibilité
Souscrire une assurance cyber pour TPE et PME ne se résume pas à comparer des tarifs. Voici les critères essentiels pour faire le bon choix.
Un tarif accessible, un retour sur investissement évident
Le coût annuel d'un contrat d'assurance cyber se situe entre 1 000 et 1 500 €/an pour 90 % des TPE/PME [6], soit moins de 130 € par mois. À mettre en perspective avec le coût moyen d'une attaque (14 720 €, voire 58 600 € avec rançon). L'assurance cyber est l'un des investissements les plus rentables en matière de gestion des risques.
Les prérequis techniques exigés par les assureurs
Les assureurs conditionnent de plus en plus l'acceptation du risque à un niveau minimal de maturité en cybersécurité :
- MFA (authentification multifactorielle) activée sur tous les accès critiques
- Sauvegardes isolées et testées régulièrement (hors réseau principal)
- Mises à jour régulières des systèmes, logiciels et équipements de sécurité
- Formations anti-phishing des collaborateurs
- Tendance 2026 : la présence d'un Micro-SOC ou d'une surveillance en temps réel est de plus en plus demandée
Sans ces mesures, les assureurs peuvent refuser le contrat ou appliquer des exclusions significatives [9].
Les pièges à éviter
- Ne pas confondre multirisque professionnelle et assurance cyber : la première exclut généralement les cyber-risques. Vérifiez systématiquement les exclusions de votre contrat actuel.
- Comparer les plafonds de garantie et les délais de carence, pas seulement la prime annuelle.
- Vérifier la réactivité de la hotline : un temps de réponse en heures (et non en jours) est indispensable lors d'une attaque par rançongiciel.
- Réaliser un audit cybersécurité avant souscription : le site Cybermalveillance.gouv.fr propose des diagnostics gratuits pour les TPE/PME [7].
Rappelons un principe fondamental : l'assurance complète la cybersécurité, elle ne la remplace pas. Un contrat d'assurance cyber ne dispensera jamais une entreprise de mettre en place les mesures préventives de base.
Conclusion : l'assurance cyber, un investissement stratégique pour les TPE et PME
Face à une menace cyber en constante progression et à un cadre réglementaire de plus en plus exigeant (RGPD, NIS 2), l'assurance cyber n'est plus un luxe réservé aux grandes entreprises. Pour un budget de 1 000 à 1 500 €/an, elle offre un filet de sécurité financier et juridique indispensable, couvrant la perte d'exploitation, la remédiation technique, la notification RGPD et la responsabilité civile envers les tiers.
Cependant, souscrire ne suffit pas : il est essentiel de comparer les garanties réelles (pas seulement les primes), de vérifier les conditions d'éligibilité et de maintenir un niveau de cybersécurité conforme aux exigences des assureurs. L'assurance complète la prévention, elle ne s'y substitue jamais.
Références
- Le Nouvel Économiste, "Les PME mal assurées face au risque cyber", 2026
- ANSSI, Panorama de la cybermenace 2024
- CERT-FR, Panorama de la cybermenace 2024 (rapport complet PDF)
- LeMagIT, "Combien de PME mettent la clé sous la porte après une cyberattaque ?", 2025
- L'Assurance en Mouvement, "Cybersécurité, priorité incontournable pour les TPE et PME", 2024
- L'Assurance en Mouvement, tarifs assurance cyber TPE/PME, 2024
- Cybermalveillance.gouv.fr, Baromètre national de la maturité cyber des TPE-PME 2025
- Cyber Cover, "Assurance Cyber et RGPD : pourquoi s'assurer ?"
- Hiscox, "Cyberassurance et RGPD : êtes-vous vraiment couvert face aux sanctions ?", 2025
- KT Assur&Bank, "Assurance Cyber PME : obligations légales et bonnes pratiques", 2025
Points clés des contrats - Cyber risques
Synthèse issue des documents contractuels publiés par les assureurs. 2 contrats affichés sur 3 disponibles dans notre base.
Analyse des contrats - Cyber-risques
Garanties, exclusions et conditions à comparer pour chaque contrat. Les informations manquantes sont signalées.
Allianz
Points clés du contrat
- Garanties de base
- Responsabilité civile : atteinte aux données personnelles des personnes physiques
- RC : atteinte aux données informatiques des co-contractants de l'assuré
- RC : atteinte à la sécurité du système d'information de l'assuré
Voir les 9 autres éléments
- RC : atteinte suite à publication ou diffusion de données portant atteinte à des tiers
- RC : réclamations de prestataires de services de paiement électronique
- Frais engagés : nettoyer/reconstituer les données informatiques
- Frais engagés : experts en informatique (identification origine cyberattaque, restauration)
- Frais engagés : remédier à une attaque déni de service
- Frais engagés : notification aux clients dont les données personnelles ont été détournées
- Frais engagés : restauration du site Internet ou de l'image de l'assuré
- Frais engagés : découverts bancaires consécutifs à l'impossibilité d'émettre des factures
- Frais engagés : stopper une cyber extorsion
- Garanties optionnelles
- Pertes subies (Perte d'exploitation) : perte de marge brute liée à interruption ou réduction d'activité (en complément de Frais engagés)
- Non assurables
- Paris et jeux en ligne
- Entreprise sans pare-feu, serveur proxy, anti-virus, anti-spam, OS à jour
- Entreprise n'effectuant pas de sauvegardes régulières et tests de restauration
Voir les 3 autres éléments
- Entreprise n'installant pas les correctifs de sécurité
- Conséquences RC ou frais/pertes ne résultant pas d'une cyberattaque
- Sanctions et amendes infligées par une autorité administrative ou judiciaire suite à cyberattaque
Voir les 5 autres points du contrat
- Couverture géographique
- RC, Frais engagés et pertes subies (perte d'exploitation) : Espace Économique Européen, Andorre et Monaco
- Obligations
- À la souscription : répondre exactement, fournir les justificatifs, régler la cotisation
- En cours : déclarer toutes circonstances aggravantes ; informer des changements (adresse, sauvegarde/redressement/liquidation judiciaire, transfert de propriété, cessation d'activité)
- En cas de sinistre : déclarer dans conditions et délais ; communiquer documents pour expertise ; mesures de constatation des dommages ; justifier réalité et importance des pertes
- Modes de paiement
Cotisations payables d'avance pour 1 an, ensuite chaque année dans les 10 jours après échéance. Fractionnement mensuel/trimestriel/semestriel possible. Prélèvement automatique, CB ou chèque.
- Durée du contrat
1 an avec renouvellement automatique annuel à l'échéance principale
- Conditions de résiliation
Par lettre recommandée ou déclaration contre récépissé : à l'échéance principale (LRAR au moins 2 mois avant), en cas de modification de situation professionnelle, en cas de hausse de tarif à l'initiative de l'assureur
Exclusions principales
- Obsolescence, usure normale, détérioration progressive du SI
- Défaut de conception, architecture ou configuration du SI
- Incident dans les 24h suivant un changement d'OS/logiciel applicatif/système (incluant phase de test)
Voir les 5 autres exclusions
- Programme informatique non prêt à être exploité, sans tests, ou non habilité
- Défaut d'entretien ou de maintenance des SI
- Réclamation/atteinte connue avant la période d'assurance ou notifiée dans un contrat antérieur
- Opérations sur titres financiers, produits dérivés, fonds étrangers/fédéraux, devises, opérations de change
- Atteinte à la propriété intellectuelle, droits d'auteurs, marques, brevets, licence, noms commerciaux, dessins/modèles, secrets de fabrication
Limites et délais
- Restrictions
- Franchise indiquée au contrat pour l'ensemble des garanties
Voir les détails contractuels
Notes du document
Compagnie : Allianz IARD, agrément n°54211091 (RCS Nanterre 542 110 291, capital 991 967 200 €), 1 cours Michelet CS 30051 92076 Paris La Défense Cedex. Référence : REG32156 V08/19. URL téléchargée manuellement après échec 403 du script.
Version documentaire analysée : 2019.
Hiscox
Points clés du contrat
- Rançongiciel et cyber
Cyber-extorsion : garantie de base (catégorie 5, seul intitulé listé : « Cyber-extorsion »). Exclusion associée : « Le paiement direct d’une rançon préalablement à toute déclaration de sinistre par l’assuré ».
- Assistance en cas de crise
Assistance, sous-item : « Expert en communication de crise » (avec « Expert en sécurité IT », « Avocat » et « Expert en récupération de données »).
- Plafonds cyber
Lire le détail complet
« Les garanties sont limitées à des plafonds qui varient en fonction du montant choisi. Une somme peut rester à la charge de l’assuré. » Assistance : « sans franchise pour les entreprises dont le chiffre d’affaires est inférieur à 25 millions € ». Plafonds chiffrés uniquement pour les options « Cyber-fraude (plafond maximum de 250.000 €) » et « Piratage de ligne téléphonique (plafond maximum de 250.000 €) ».
Voir les 4 autres points du contrat
- Garanties de base
- Assistance
- Dommages subis par l’assuré
- Dommages causés aux tiers
Voir les 2 autres éléments
- Enquêtes et sanctions
- Cyber-extorsion
- Garanties optionnelles
- Cyber-fraude (plafond maximum de 250.000 €)
- Piratage de ligne téléphonique (plafond maximum de 250.000 €)
- Interruption des activités professionnelles – défaillance de fournisseurs de services informatiques et/ou externalisés (sur demande)
Voir les 2 autres éléments
- Interruption des activités professionnelles – défaillance du système informatique de l’assuré (sur demande)
- Fraude élargie à l’ingénierie sociale (sur demande)
- Fraude et fausse déclaration
Lire le détail complet
Garanties optionnelles : « Cyber-fraude (plafond maximum de 250.000 €) » et « Fraude élargie à l’ingénierie sociale (sur demande) ». Exclusion : « Les sinistres résultants de sols, pertes et détournements (sauf pour la garantie « fraude et surfacturation ») » — la garantie « fraude et surfacturation » citée dans l’exclusion n’apparaît nulle part ailleurs dans le texte extrait sous cet intitulé.
- Données personnelles (RGPD)
Lire le détail complet
Dommages subis par l’assuré, sous-item : « Violation de données personnelles : frais de notification, centre d’appel, identity/credit monitoring ». Dommages causés aux tiers, sous-item : « Atteinte à la sécurité et/ou la confidentialité des données personnelles : frais de défense, dommages et intérêts, mesures correctives » et « Atteinte aux données confidentielles de tiers : frais de défense, dommages et intérêts, mesures correctives ». Exclusion : « Les sinistres résultant de la collecte et traitement illégal(e) de données personnelles / spamming ».
Exclusions principales
- Les risques liés à une activité dans les domaines suivants : institutions financières, services financiers, courtage, assurances, compagnies aériennes, gouvernements, agences de notation, réseaux sociaux, nucléaire, aéronautique, aérospatial, fournisseurs d’utilités, paris et jeux d’argent, parcs d’attraction, détectives et enquêteurs privés, portails et processeurs de paiements, éditions ou exploitation de logiciels de contrôle de process industriel, industries extractives, diagnostic immobilier, activités contraires aux bonnes mœurs.
- Les dommages matériels et corporels
- Les sinistres liés à la guerre civile ou étrangère, et aux désordres civils
Voir les 10 autres exclusions
- Les frais de reconstitution des données en l’absence de procédure de sauvegarde mensuelle au minimum
- Les sinistres résultants de toute atteinte à des brevets
- Les sinistres causés par tout événement naturel
- Les sinistres causés par tout tiers fournisseur d’utilités
- Les sinistres résultant de tout manquement aux obligations contractuelles de l’assuré, sauf lorsque sa responsabilité aurait été engagée dans les mêmes termes en l’absence de contrat
- Les sinistres résultant de toute violation par l’assuré de toute règlementation boursière, financière ou comptable et/ou fiscale
- Les amendes, impositions, taxes, pénalités et/ou toutes autres sanctions pécuniaires, (sauf pour la garantie "Enquêtes et sanctions" dès lors que les sommes sont légalement assurables)
- Le paiement direct d’une rançon préalablement à toute déclaration de sinistre par l’assuré
- Les sinistres résultants de sols, pertes et détournements (sauf pour la garantie « fraude et surfacturation »)
- Les sinistres résultant de la collecte et traitement illégal(e) de données personnelles / spamming
Voir les détails contractuels
Notes du document
Rançongiciel et cyber : Cyber-extorsion : garantie de base (catégorie 5, seul intitulé listé : « Cyber-extorsion »). Exclusion associée : « Le paiement direct d’une rançon préalablement à toute déclaration de sinistre par l’assuré ».. Assistance en cas de crise : Assistance, sous-item : « Expert en communication de crise » (avec « Expert en sécurité IT », « Avocat » et « Expert en récupération de données »).. Plafonds cyber : « Les garanties sont limitées à des plafonds qui varient en fonction du montant choisi. Une somme peut rester à la charge de l’assuré. » Assistance : « sans franchise pour les entreprises dont le chiffre d’affaires est inférieur à 25 millions € ». Plafonds chiffrés uniquement pour les options « Cyber-fraude (plafond maximum de 250.000 €) » et « Piratage de ligne téléphonique (plafond maximum de 250.000 €) ».. Garanties de base : Assistance ; Dommages subis par l’assuré ; Dommages causés aux tiers ; Enquêtes et sanctions ; Cyber-extorsion.
Version documentaire analysée : 2021.
Pour aller plus loin
Guide complet - Cyber
Guides du même thème
Pages connexes
Sujets voisins
Questions fréquentes
- L'assurance cyber est-elle obligatoire pour les TPE et PME ?
- Non, l' assurance cyber n'est pas obligatoire en France pour les TPE et PME. Toutefois, les obligations du RGPD en matière de protection des données et les exigences croissantes de la directive NIS 2 rendent cette couverture fortement recommandée. De plus, certains donneurs d'ordre (grands groupes, administrations) exigent désormais de leurs sous-traitants qu'ils disposent d'une assurance cyber.
- L'assurance cyber couvre-t-elle les amendes RGPD infligées par la CNIL ?
- Non. Les amendes administratives prononcées par la CNIL sont considérées comme des sanctions de nature quasi pénale et sont inassurables en droit français (article L.113-1 du Code des assurances). En revanche, l'assurance prend en charge les frais de défense juridique, les coûts de notification aux personnes concernées et l' accompagnement en gestion de crise. Chez Hiscox, la garantie "enquêtes et sanctions" couvre les frais de défense et les amendes légalement assurables.
- Quelle est la différence entre une assurance multirisque professionnelle et une assurance cyber ?
- L' assurance multirisque professionnelle (MRP) couvre les dommages matériels classiques (incendie, dégât des eaux, vol physique) mais exclut généralement les risques cyber : attaques informatiques, vol de données, pertes d'exploitation liées à un incident numérique. L'assurance cyber est un contrat spécifique qui prend en charge la remédiation technique, la notification RGPD, la responsabilité civile cyber et la gestion de crise. Les deux contrats sont complémentaires.
- Quelles conditions faut-il remplir pour être éligible à une assurance cyber ?
- Les assureurs exigent un socle minimal de cybersécurité : activation de la MFA, sauvegardes isolées et testées, mises à jour régulières et sensibilisation des équipes au phishing. Un audit préalable (proposé gratuitement par Cybermalveillance.gouv.fr) permet d'identifier les lacunes et d'améliorer ses conditions de souscription. Le non-respect de ces prérequis peut entraîner un refus de couverture ou des exclusions importantes.
Méthode et sources
Méthodologie éditoriale AssurancesLabs : pas de promesse de taux sans devis ; priorité aux sources vérifiables (documents contractuels, conditions générales, autorités).
Sources
Documents contractuels lorsque disponibles, documentation AssurancesLabs, sites institutionnels.
Version
Documents et données 2026
Relecture
Rédaction AssurancesLabs
Avertissement : certains chiffres présentés sur cette page sont des ordres de grandeur utilisés à des fins pédagogiques. Ils peuvent être inexacts. Pour obtenir une estimation fiable, faites une simulation ou demandez un devis auprès d'un assureur.