L’assurance cyber est-elle obligatoire en 2026 ?
Non : en 2026, aucune loi française n’impose à une entreprise de souscrire une assurance cyber. Le législateur oblige les organisations à se protéger — à mettre en place des mesures de cybersécurité — mais jamais à s’assurer contre le risque. C’est une distinction essentielle : on parle d’une obligation de sécurité, pas d’une obligation d’assurance, comme il en existe pour la responsabilité civile automobile.
Cette réponse juridique masque pourtant une réalité de terrain : la cyber-assurance est devenue de fait incontournable pour une part croissante d’entreprises. Trois forces convergent — la directive NIS 2, les exigences des donneurs d’ordre et les appels d’offres publics — au point qu’une PME sous-traitante peut aujourd’hui perdre un marché faute d’attestation cyber. La question n’est donc plus vraiment « suis-je obligé ? » mais « combien de temps puis-je m’en passer ? ».
NIS 2 : une obligation de cybersécurité, pas d’assurance
La directive européenne NIS 2 est le texte qui change la donne, sans pour autant rendre l’assurance obligatoire. Adoptée sous la référence directive (UE) 2022/2555 et transposée en droit français par la loi de 2025 relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, elle étend le périmètre de la réglementation de quelques centaines d’opérateurs à environ 15 000 entités : administrations, collectivités et, surtout, de nombreuses ETI et PME de secteurs « hautement critiques » (énergie, santé, transport, numérique) et « critiques » (agroalimentaire, industrie, poste).
NIS 2 classe les organisations en entités essentielles et entités importantes. Toutes doivent adopter des mesures de gestion des risques (analyse, sauvegardes, gestion des accès, plan de continuité), notifier leurs incidents significatifs à l’ANSSI — alerte précoce sous 24 heures, notification sous 72 heures — et engager la responsabilité de leurs dirigeants. Les sanctions atteignent 10 M€ ou 2 % du chiffre d’affaires mondial pour une entité essentielle. Mais nulle part le texte n’exige de contrat d’assurance.
Bon à savoir
NIS 2 n’impose pas l’assurance, mais elle la rend plus accessible et souvent moins chère : se conformer à ses exigences (MFA, sauvegardes, EDR, plan de continuité) revient à remplir les prérequis que tout assureur cyber vérifie avant de couvrir. La mise en conformité réglementaire et l’assurabilité avancent main dans la main.
DORA, LPM, RGPD : les autres textes qui pèsent
Au-delà de NIS 2, plusieurs réglementations imposent des obligations de sécurité — jamais d’assurance — selon le profil de l’entreprise. Le secteur financier est le plus encadré, avec le règlement DORA ; les opérateurs d’importance vitale relèvent de la loi de programmation militaire ; et le RGPD s’applique à tout organisme traitant des données personnelles, soit la quasi-totalité des entreprises.
| Texte | Qui est concerné | Ce qu’il impose | Assurance imposée ? |
|---|---|---|---|
| NIS 2 (dir. UE 2022/2555) | ~15 000 entités essentielles et importantes | Mesures de sécurité, notification ANSSI, responsabilité des dirigeants | Non |
| DORA (règl. UE 2022/2554) | Banques, assureurs, fintech et leurs prestataires | Résilience opérationnelle numérique, applicable depuis le 17 janvier 2025 | Non |
| LPM / dispositif OIV | Opérateurs d’importance vitale | Sécurité renforcée des systèmes critiques sous contrôle de l’ANSSI | Non |
| RGPD (règl. UE 2016/679) | Tout organisme traitant des données personnelles | Sécurité des données, notification CNIL sous 72 h, sanctions jusqu’à 20 M€ ou 4 % du CA | Non |
Le constat est constant : le droit français et européen oblige à se protéger, jamais à transférer le risque à un assureur. L’assurance reste un choix de gestion — mais un choix que la réglementation rend de plus en plus rationnel, puisque le coût d’un incident se cumule désormais avec le risque de sanction administrative.
Quand la cyber-assurance devient une obligation contractuelle
C’est par le contrat, et non par la loi, que l’assurance cyber devient réellement obligatoire pour beaucoup d’entreprises. Trois situations la transforment en condition d’accès au marché :
- Les appels d’offres publics : de plus en plus d’acheteurs publics exigent une attestation d’assurance cyber comme critère de recevabilité ou de notation, au même titre que la RC professionnelle.
- Les contrats de sous-traitance des grands comptes : un donneur d’ordre qui vous confie ses données impose souvent, par clause, une couverture cyber minimale avec un plafond plancher.
- Les partenaires bancaires et financiers : certaines lignes de crédit ou de garantie s’accompagnent d’exigences de couverture des risques immatériels.
Dans ces cas, l’absence de contrat ne coûte pas une amende : elle coûte un marché perdu ou un partenariat refusé. Pour une entreprise dont l’activité dépend de quelques grands clients, l’attestation cyber est devenue un document commercial autant qu’un contrat d’assurance.
Faut-il souscrire même sans y être obligé ?
Oui, dès lors que votre activité dépend d’un système informatique ou que vous manipulez des données de tiers — c’est-à-dire dans la quasi-totalité des cas. Le calcul est simple : une prime annuelle se compte en centaines ou milliers d’euros, là où le coût complet d’une attaque réussie se chiffre en dizaines de milliers d’euros pour une PME.
Les arguments pour souscrire
- Assistance de crise 24/7 qui remplace l’expertise interne absente
- Prise en charge des pertes d’exploitation, souvent le poste le plus lourd
- Attestation exigée par vos clients et appels d’offres
- Accompagnement juridique et notification RGPD inclus
Les limites à garder en tête
- Ne remplace pas la sécurité : c’est un complément, pas une alternative
- Prérequis techniques exigeants à remplir avant de couvrir
- Franchises et sous-plafonds à lire ligne à ligne
- Déclaration inexacte au questionnaire : risque de non-indemnisation
À retenir
La cyber-assurance n’est obligatoire par aucune loi en 2026, mais elle est imposée de fait par NIS 2 (indirectement), par les appels d’offres et par les grands donneurs d’ordre. Traitez-la comme la RC professionnelle : non obligatoire au sens strict pour beaucoup, mais indispensable pour travailler sereinement.
Se mettre en conformité : la marche à suivre
Que vous soyez concerné par NIS 2 ou simplement soucieux d’être assurable, la démarche est la même : la conformité réglementaire et l’assurabilité reposent sur le même socle d’hygiène informatique.
- Vérifier votre statut réglementaire.
Déterminez si votre entreprise entre dans le champ de NIS 2 (secteur, taille, chiffre d’affaires) et recensez les obligations RGPD qui vous concernent déjà.
- Mettre en place les mesures de sécurité.
Authentification multifacteur, sauvegardes déconnectées testées, EDR, mises à jour sous 30 jours, plan de continuité : ce socle satisfait à la fois le régulateur et l’assureur.
- Documenter votre dispositif.
Un dossier de sécurité à jour accélère l’instruction du contrat et améliore le tarif de 15 à 30 %.
- Souscrire une couverture calibrée.
Choisissez un plafond cohérent avec votre exposition et vérifiez que l’attestation répond aux exigences de vos donneurs d’ordre.
Pour déterminer précisément vos obligations, l’ANSSI met à disposition un portail officiel dédié à la transposition : monespacenis2.cyber.gouv.fr. Il permet de tester votre éligibilité et de suivre les échéances de mise en conformité.
« Aucune loi n’oblige à s’assurer contre le risque cyber, mais tout pousse à le faire : le régulateur exige la sécurité, le marché exige l’attestation, et l’attaquant, lui, n’attend aucune autorisation. »