L'assurance cyber risques couvre remédiation, perte d'exploitation, RC cyber, rançongiciel et frais RGPD.
49 % des entreprises françaises ont subi une cyberattaque en 2023, et seulement 3 % des PME sont assurées.
La RC Pro exclut les événements cyber : un contrat dédié est indispensable en complément.
Prix : de 290 € à 6 000 €/an pour une PME selon son profil et ses mesures de sécurité.
Pourquoi les entreprises françaises sont-elles de plus en plus exposées aux cyberattaques ?
En 2023, 49 % des entreprises françaises ont subi au moins une cyberattaque, soit une hausse de 4 % par rapport à 2022 [1]. L'ANSSI estime que les attaques informatiques ont augmenté de 400 % depuis 2020 sur le territoire national [2]. Derrière ces chiffres, une réalité préoccupante : les TPE, PME et ETI représentent 34 % des attaques recensées, et plus de 330 000 PME ont été ciblées en 2022 selon le cabinet Asterès [1].
Les formes d'attaques se diversifient. Le rançongiciel (ransomware) reste un fléau majeur, avec 144 compromissions signalées à l'ANSSI en 2024 [2]. Les violations de données explosent : 4 668 fuites ont été notifiées à la CNIL en 2023, soit +16 % en un an [1]. L'hameçonnage (phishing) demeure la première menace pour tous les publics selon Cybermalveillance.gouv.fr [3].
Les conséquences financières sont lourdes. Le coût médian d'un incident cyber pour une PME se situe entre 45 000 et 110 000 €, avec 19 à 23 jours d'interruption d'activité. La paralysie d'activité touche 43 % des TPE/PME victimes pendant plus d'une journée. Selon plusieurs experts du secteur, 50 à 60 % des PME victimes d'une cyberattaque majeure fermeraient dans les 18 mois suivant l'incident, même si ce chiffre, souvent repris, reste difficile à vérifier de manière indépendante [4]. Or, seulement 3 % des PME françaises sont aujourd'hui couvertes par une assurance cyber [1].
Qu'est-ce que l'assurance cyber risques et que couvre-t-elle exactement ?
L'assurance cyber risques est un contrat dédié à la protection des entreprises contre les conséquences financières des incidents numériques : piratage, fuite de données, extorsion, fraude informatique. Elle se distingue fondamentalement de la RC Pro (Responsabilité Civile Professionnelle), qui couvre les dommages causés à des tiers dans le cadre de l'activité professionnelle mais exclut, dans la quasi-totalité des cas, les risques cyber.
Par exemple, les conditions générales du contrat Hiscox « Métiers du Conseil » excluent explicitement l'événement Cyber ainsi que la perte de données en l'absence de process de sauvegarde. De même, le contrat AXA « Mon Pack Entrepreneur » exclut les dommages cyber de sa couverture RC Pro. Chez Stello, les exclusions portent sur les risques relevant d'assurances spécifiques, ce qui inclut de fait le risque numérique dédié.
Les 6 garanties fondamentales d'un contrat cyber
| Garantie | Ce qu'elle couvre |
|---|---|
| Remédiation technique | Restauration du système d'information, reconstitution des données, remplacement des logiciels infectés |
| Perte d'exploitation | Indemnisation du chiffre d'affaires perdu pendant l'arrêt d'activité |
| Responsabilité civile cyber | Dommages causés à des tiers (fuite de données clients, propagation de virus) |
| Cyber-extorsion / rançongiciel | Frais liés aux demandes de rançon et négociation |
| Frais RGPD / CNIL | Notification aux personnes concernées, frais juridiques, sanctions potentielles (jusqu'à 4 % du CA ou 20 M€) |
| Gestion de crise 24h/24 | Assistance par des experts en cybersécurité, communication de crise, gestion de l'image |
Certains assureurs proposent en option une garantie cyber-fraude / détournement de fonds (par exemple AXA Cyber Protect). La complémentarité avec la RC Pro est essentielle : la RC Pro protège contre les erreurs professionnelles causant un préjudice à un tiers, mais ne couvre ni les pertes d'exploitation internes, ni la remédiation technique, ni l'assistance RGPD. Pour comprendre l'ensemble des garanties professionnelles disponibles et choisir la couverture adaptée à votre activité, consultez notre guide complet sur la RC Pro.
Quelles sont les exclusions et conditions à connaître avant de souscrire ?
Avant de signer un contrat d'assurance cyber, il est crucial de comprendre ses limites. Voici les principales exclusions et obligations :
- Attaques étatiques (Nation-State) : depuis 2023, la majorité des assureurs (dont Lloyd's of London) excluent les cyberattaques parrainées par des États, même en temps de paix [5].
- Négligences caractérisées : absence de MFA (authentification multifacteur), pas de sauvegardes chiffrées, mises à jour non appliquées depuis plus de 30 jours, absence de plan de réponse aux incidents. Environ 60 % des PME seraient refusées à la souscription sans preuves de ces mesures [5].
- Obligation LOPMI : depuis 2023, l'entreprise victime doit déposer plainte dans les 72 heures suivant la découverte de l'attaque pour pouvoir bénéficier de l'indemnisation de son assureur.
- Obligation RGPD : la CNIL doit être notifiée dans les 72 heures suivant la découverte d'une violation de données personnelles.
- Dommages physiques liés à une cyberattaque : non couverts par les contrats cyber.
L'ACPR a d'ailleurs appelé les assureurs à clarifier les garanties implicites (ou « silencieuses ») dans les contrats, c'est-à-dire des couvertures cyber non identifiées clairement qui créent une incertitude sur l'étendue réelle de la protection [6]. L'EIOPA a publié en 2022 un Supervisory Statement allant dans le même sens au niveau européen [7].
Quel est le prix d'une assurance cyber pour une PME en France ?
Le coût d'une assurance cyber risques varie considérablement selon le profil de l'entreprise. Voici des repères tarifaires actualisés :
| Profil d'entreprise | Fourchette de prime annuelle |
|---|---|
| TPE peu exposée (MFA + sauvegardes en place) | 290 € à 1 500 €/an |
| PME sensible (santé, SaaS, retail, données personnelles) | 1 500 € à 6 000 €/an |
| Fourchette générale toutes tailles | 200 € à 10 000 €/an |
La prime moyenne pour une PME se situe aux alentours de 5 400 €/an [8]. Les primes ont baissé d'environ 5 % depuis 2024 pour les entreprises disposant de MFA et d'un EDR (Endpoint Detection and Response) [5].
Franchise et plafonds : l'arbitrage clé
La franchise (somme restant à la charge de l'entreprise par sinistre) se situe typiquement entre 2 500 € et 10 000 €. Une franchise basse (2 500 €) réduit le risque financier immédiat mais augmente la prime de 20 à 40 %. À l'inverse, une franchise haute (10 000 €) diminue la cotisation mais expose davantage la trésorerie en cas d'incident.
Les plafonds de garantie recommandés vont de 100 000 € à 5 M€ selon le chiffre d'affaires. Les plafonds de 1 à 5 M€ couvrent 90 % des sinistres PME.
Bonne nouvelle : la conformité aux référentiels NIS2 et ANSSI permet d'obtenir des réductions de primes de 15 à 40 % [1].
Comment choisir son assurance cyber et quelles démarches suivre ?
Voici une méthode en 5 étapes pour souscrire intelligemment :
- Auditer sa maturité cyber : vérifiez la présence de MFA, de sauvegardes chiffrées, de mises à jour régulières et d'un plan de réponse aux incidents testé. Sans ces prérequis, la plupart des assureurs refuseront votre dossier.
- Identifier les 5 garanties indispensables : perte d'exploitation, remédiation technique, RC cyber, assistance RGPD et gestion de crise 24h/24.
- Comparer les offres via l'document contractuel et les Conditions Générales : ne vous fiez pas uniquement au prix. Analysez les exclusions, franchises et plafonds. Parmi les acteurs du marché : AXA Cyber Protect, Hiscox CyberClear, Allianz, Stoik, Dattak [1].
- Faire appel à un courtier spécialisé : des acteurs comme Stoik, Marsh, RESCO Courtage ou Finlex peuvent négocier des conditions adaptées à votre profil.
- Adapter la franchise à votre trésorerie : si votre entreprise peut absorber 10 000 € sans difficulté, optez pour une franchise haute afin de réduire la prime annuelle.
Point réglementaire important : la directive NIS2 élargit les obligations de cybersécurité aux PME fournisseurs de secteurs critiques (énergie, santé, transports). Les premiers contrôles de l'ANSSI sont attendus fin 2026, avec des sanctions pouvant atteindre 10 M€ ou 2 % du CA mondial pour les entités essentielles [2].
Conclusion
L'assurance cyber risques n'est plus un luxe réservé aux grandes entreprises : c'est un filet de sécurité indispensable pour toute PME connectée. Face à la multiplication des piratages, des rançongiciels et des violations de données, la combinaison d'une bonne hygiène numérique et d'un contrat cyber adapté constitue la meilleure protection. Rappelons que la RC Pro, aussi complète soit-elle, ne couvre pas les risques numériques spécifiques.
Références
- Le Nouvel Économiste, « Les PME mal assurées face au risque cyber »
- ANSSI, Panorama de la cybermenace 2024 (CERTFR-2025-CTI-003)
- Cybermalveillance.gouv.fr, Rapport d'activité 2024
- LeMagIT, « Combien de PME mettent la clé sous la porte après une cyberattaque ? »
- MyBusinessFuture, « Assurance cyber pour les PME : ce qui est réellement couvert »
- ACPR, « L'ACPR appelle les assureurs à clarifier la couverture du risque cyber », mars 2024
- ACPR / EIOPA, « Garanties implicites : couverture du risque cyber », septembre 2022
- LeComparateurAssurance, « Prix assurance cyber-risques »
Points clés des contrats - RC Pro
Synthèse issue des documents contractuels publiés par les assureurs. 6 contrats affichés sur 9 disponibles dans notre base.
Analyse des contrats - RC Pro
Garanties, exclusions et conditions à comparer pour chaque contrat. Les informations manquantes sont signalées.
Allianz
Points clés du contrat
- Activités couvertes (RC Pro)
- entreprises de fabrication et/ou de négoce (chiffre d’affaires entre 5 et 500 millions d’euros)
- exécution de travaux de pose ou d’installation chez la clientèle
- Défense juridique
Oui
Exclusions principales
- entreprises exerçant une activité dans les secteurs de la construction, de l’aviation ou du spatial
- entreprises exclusivement prestataires de services
- responsabilité civile décennale des constructeurs d’ouvrage
Voir les 8 autres exclusions
- responsabilité civile automobile
- responsabilité civile en cas d’incendie, d’explosion ou d’action de l’eau survenu dans les locaux occupés par l’assuré pendant plus de 15 jours consécutifs
- responsabilité civile personnelle du (des) dirigeant(s) et mandataires sociaux
- responsabilité civile des sous-traitants de l’assuré
- exploitation de plateformes off shore
- extraction minière souterraine
- activités dans le secteur nucléaire
- fabrication ou fourniture de produits azotés, de pesticides, de farines animales, de tabac ou cigarettes électroniques, produits d’origine humaine
Voir les détails contractuels
Notes du document
Garanties systématiquement incluses : RC Exploitation, RC après livraison des produits, RC liée à l’environnement, Défense pénale et recours suite à accident. Garanties optionnelles : RC produits exportés aux USA/Canada, RC Professionnelle (études sans travaux), Frais de retrait des produits, RC Risques cyber. Couverture géographique : France métropolitaine et Monaco (monde entier pour RC entreprise sauf activités >6 mois à l’étranger, avec particularités USA/Canada). Défense pénale et recours : juridictions françaises, UE, Suisse, Norvège, Monaco, Andorre, Liechtenstein, Vatican, Saint-Marin.
Version documentaire analysée : 2018.
April
Points clés du contrat
- Activités couvertes (RC Pro)
- entreprises de construction
- Défense juridique
Oui
Exclusions principales
- violation délibérée des règles de l’art ou travaux exécutés malgré les réserves d’un maître d’œuvre, bureau d’études ou organisme de contrôle technique
- contestation sur le prix de vente des produits, travaux ou prestations facturés
- conséquences pécuniaires d’engagements contractuels excédant le droit en vigueur et les usages de la profession
Voir les 6 autres exclusions
- responsabilité personnelle des sous-traitants
- vols commis par des préposés sans dépôt de plainte
- dommages causés par l’amiante, le plomb ou leurs dérivés ainsi que les moisissures toxiques
- dommages résultant d’un virus informatique
- atteintes à l’environnement non soudaines et accidentelles
- dommages causés par les véhicules terrestres à moteur dont l’assuré est propriétaire, locataire ou détenteur
Voir les détails contractuels
Notes du document
Garanties incluses : RC générale (corporels, matériels, immatériels, biens confiés, vol par préposés, atteinte à l’environnement), RC décennale (obligatoire et optionnelle), dommages à l’ouvrage en cours de travaux (accidentels uniquement), défense pénale et recours. Couverture géographique : RC générale mondiale (hors activités permanentes hors France/DROM, hors USA/Canada, hors activités >6 mois hors France/Andorre/Monaco), RC décennale et dommages à l’ouvrage limités à France métropolitaine et DROM. Garantie optionnelle 'Protection Juridique Professionnelle' (via COVEA) pour litiges dans UE, Andorre, Liechtenstein, Norvège, Monaco, Saint Marin, Suisse, Vatican.
Version documentaire analysée : 2019.
AXA
Points clés du contrat
- Plafond par sinistre
1 000 000 € / sinistre (plafond indexé)
- Activités couvertes (RC Pro)
- micro-entrepreneur
- travailleur indépendant sans salarié
- exercice à domicile
Voir les 2 autres éléments
- exercice chez clients
- exercice en local professionnel loué
- Défense juridique
Oui
Exclusions principales
- dommages de guerre civile ou étrangère
- sanctions pénales et amendes
- dommages survenus avant la souscription
Voir les 3 autres exclusions
- atteintes aux programmes et données informatiques
- dommages immatériels non consécutifs résultant d'une attaque cyber ou d'une défaillance de fournisseurs de service
- responsabilité environnementale (sauf pour frais de prévention et réparation des dommages environnementaux dans l'UE)
Voir les détails contractuels
Notes du document
Contrat destiné aux micro-entrepreneurs et travailleurs indépendants sans salarié. Garanties étendues aux dommages causés au matériel professionnel et marchandises lors de foires/marchés ou lieux d'exécution de prestations (hors locaux dédiés).
Version documentaire analysée : 2024.
Hiscox
Points clés du contrat
- Domaines couverts
- Gestion amiable
- Accompagnement dans la phase judiciaire
- Suivi de l'exécution des décisions
Voir les 2 autres éléments
- Défense pénale
- Complément d'assurance responsabilité civile professionnelle
- Plafonds d'honoraires
Les frais de défense et les dommages et intérêts sont pris en charge dans la limite des plafonds choisis (jusqu'à 30 millions d'euros). Une somme peut rester à la charge de l'assuré (franchise).
- Libre choix de l'avocat
L'assuré doit laisser l'organisation et la conduite de sa défense en justice à l'assureur et s'interdire toute immixtion sous peine de déchéance de garantie.
Voir les détails contractuels
Notes du document
Le contrat inclut des garanties de responsabilité civile professionnelle, exploitation, employeur et protection juridique. Les exclusions principales incluent les fautes intentionnelles, les sanctions pécuniaires, les dommages nucléaires, les épidémies, et les litiges devant les juridictions des États-Unis et du Canada. L'assuré doit déclarer tout sinistre dans les délais impartis et informer l'assureur de toute modification de ses activités professionnelles.
Version documentaire analysée : 2021.
La Médicale
Points clés du contrat
- Plafond par sinistre
Lire le détail complet
8 000 000 € / sinistre (RC Pro et RC Exploitation) / 15 000 000 € / an (RC Pro et RC Exploitation) / 1 000 000 € / sinistre (dommages matériels et immatériels consécutifs) / 300 000 € / sinistre (animaux) / 1 000 000 € / victime et 5 000 000 € / an (pertes pécuniaires pour faute inexcusable de l'employeur) / 8 000 € / sinistre et 16 000 € / an (défense pénale) / 15 000 € ou 30 000 € / sinistre (protection juridique) / 4 000 € / événement (e-réputation) / 3 entretiens par téléphone et/ou 12 consultations en cabinet (80 € TTC max par consultation) (soutien psychologique)
- Activités couvertes (RC Pro)
- exercice légal de la profession médicale ou paramédicale (libéral)
- stages de perfectionnement
- soins prodigués à titre gracieux
Voir les 12 autres éléments
- enseignement dispensé
- recherche impliquant la personne humaine
- exploitation du cabinet
- soins pratiqués au domicile des patients
- activité salariée du secteur privé (défense pénale)
- vie professionnelle et privée (protection juridique)
- conjoint et enfants fiscalement à charge (protection juridique pour litiges de la vie privée)
- e-réputation
- soutien psychologique (événements traumatisants)
- Allo infos (service d'informations pratiques, juridiques et fiscales)
- rapatriements ou évacuations sanitaires
- situations d'urgence au cours de déplacements ou de voyages non professionnels
- Défense juridique
Oui
Exclusions principales
- sinistres dont le fait dommageable était connu de l'assuré à la date de la souscription
- dommages résultant d'actes professionnels légalement prohibés
- dommages résultant d'actes effectués par une personne ne possédant pas les diplômes ou titres légalement nécessaires à l'exercice de sa profession ou de sa spécialité
Voir les 6 autres exclusions
- dommages subis par l'assuré, son conjoint, ses ascendants ou descendants
- dommages occasionnés aux chevaux participant à des épreuves officielles des sociétés de course
- faute intentionnelle (sauf si commise par un salarié, un préposé ou assistant dont l'assuré doit répondre)
- pratique d'accouchement à domicile (sauf en situation d'urgence)
- litiges relatifs à des opérations de construction et tous travaux de nature immobilière (protection juridique)
- litiges relatifs à l'état des personnes (livre premier du code civil), aux successions et aux libéralités (protection juridique)
Voir les détails contractuels
Notes du document
Garanties optionnelles disponibles : Responsabilité civile professionnelle société, Dommages au cabinet, Sécurité client. Territorialité : France métropolitaine, Guadeloupe, Martinique, La Réunion, Mayotte, Guyane, Monaco, UE + Suisse (déplacements autorisés), DOM-TOM (séjours ≤ 1 an), monde entier (rapatriements/évacuations sanitaires et urgences). Obligations : déclaration sincère à la souscription, paiement de la cotisation, déclaration des modifications de risque sous 15 jours, déclaration des sinistres. Résiliation possible à l'échéance (préavis 2 mois), en cas de changement d'activité/retraite (3 mois), ou majoration de tarif (1 mois).
Version documentaire analysée : 2023.
MAAF
Points clés du contrat
- Plafond par sinistre
8 000 000 € / sinistre (tous dommages confondus)
- Activités couvertes (RC Pro)
- Artisanat/Industrie
- Commerces
- Services
Voir le dernier élément
- Professions libérales
- Défense juridique
Oui
Exclusions principales
- faute intentionnelle ou dolosive de l'assuré ou avec sa complicité
- dommages et réclamations liés à l'amiante
- dommages directs ou indirects liés à une épidémie, pandémie ou une épizootie
Voir les détails contractuels
Notes du document
Plafond de 300 000 € par sinistre et par année d'assurance pour la garantie Responsabilité civile des dirigeants (en option).
Version documentaire analysée : 2024.
Pour aller plus loin
Guide complet - RC Pro
Guides du même thème
Pages connexes
Sujets voisins
Questions fréquentes
- L'assurance cyber est-elle obligatoire pour les entreprises françaises ?
- Non, l'assurance cyber n'est pas obligatoire en France à ce jour. Toutefois, la directive NIS2, en cours de transposition, impose des obligations de cybersécurité renforcées aux entreprises de secteurs critiques et à leurs fournisseurs. Ne pas être assuré expose l'entreprise à supporter seule le coût d'un incident, qui peut dépasser 100 000 € pour une PME.
- La RC Pro couvre-t-elle les cyberattaques ?
- Dans la grande majorité des cas, non. Les contrats RC Pro standards (Hiscox, AXA, Stello, MAAF) excluent explicitement les événements cyber, la perte de données sans sauvegarde ou les dommages numériques. L'assurance cyber vient en complément indispensable de la RC Pro pour une couverture complète des risques numériques.
- Que se passe-t-il si je ne dépose pas plainte dans les 72h après une cyberattaque ?
- Depuis la loi LOPMI, le dépôt de plainte dans les 72 heures est une condition pour bénéficier de l'indemnisation de votre assureur. Sans cette démarche, votre contrat cyber ne pourra pas être activé, même si vous êtes couvert.
- Quelles conditions dois-je remplir pour être éligible à une assurance cyber ?
- Les assureurs exigent généralement la mise en place de mesures de sécurité minimales : MFA sur les accès critiques, sauvegardes chiffrées régulières, mises à jour appliquées sous 30 jours et un plan de réponse aux incidents documenté. Sans ces prérequis, environ 60 % des PME voient leur demande refusée.
Méthode et sources
Méthodologie éditoriale AssurancesLabs : pas de promesse de taux sans devis ; priorité aux sources vérifiables (documents contractuels, conditions générales, autorités).
Sources
Documents contractuels lorsque disponibles, documentation AssurancesLabs, sites institutionnels.
Version
Documents et données 2026
Relecture
Rédaction AssurancesLabs
Avertissement : certains chiffres présentés sur cette page sont des ordres de grandeur utilisés à des fins pédagogiques. Ils peuvent être inexacts. Pour obtenir une estimation fiable, faites une simulation ou demandez un devis auprès d'un assureur.