Coût d'une cyberattaque : le chiffre moyen pour une entreprise
Le coût moyen d'une cyberattaque réussie approche 59 000 € pour une entreprise française, tous postes confondus. Ce montant recouvre une réalité très étalée : une TPE s'en tire souvent pour 15 000 à 50 000 €, tandis qu'un rançongiciel qui paralyse une PME plusieurs semaines peut dépasser 120 000 €, voire franchir les 500 000 € dans les cas les plus lourds.
Ce coût ne se limite jamais à la rançon, contrairement à une idée répandue. Il additionne des frais d'investigation, de restauration, des pertes d'exploitation, des frais juridiques et une atteinte à la réputation difficile à chiffrer. C'est précisément cette accumulation de postes, dont beaucoup restent invisibles au premier regard, qui rend une attaque si coûteuse.
Le chiffre
59 000 €coût moyen d'une cyberattaque réussie pour une entreprise française : investigation, restauration du système, pertes d'exploitation et frais juridiques cumulés — un total sans commune mesure avec le seul montant d'une éventuelle rançon.
Les postes de coût, du plus lourd au plus discret
Le poste le plus lourd n'est presque jamais la rançon : c'est l'arrêt d'activité. Quand les systèmes sont chiffrés, l'entreprise cesse de produire, de facturer et de livrer, parfois durant plusieurs semaines. À elles seules, les pertes d'exploitation représentent plus de la moitié de la facture d'un sinistre majeur.
| Poste | Ce qu'il recouvre | Part du coût total |
|---|---|---|
| Arrêt d'activité | Marge perdue et frais supplémentaires pendant l'indisponibilité | 40 à 60 % |
| Restauration du SI | Décontamination, reconstruction des serveurs, récupération des données | 15 à 30 % |
| Investigation, cellule de crise | Expertise technique, juristes, négociateurs, communication | 10 à 20 % |
| Frais juridiques, notification | Notification CNIL, information des clients, défense | 5 à 15 % |
| Rançon éventuelle | Versée seulement dans une minorité de cas, sous conditions | variable |
La rançon, quand elle est payée, ne constitue donc qu'une fraction du total. C'est aussi le poste le plus incertain : rien ne garantit la récupération des données, et son remboursement par l'assurance suppose un dépôt de plainte sous 72 heures. Concentrer son attention sur elle revient à ignorer 80 % de la facture réelle.
Coûts directs et coûts cachés : l'effet iceberg
Une cyberattaque fonctionne comme un iceberg : la partie visible — rançon, factures de prestataires — masque une part immergée souvent plus lourde. Ces coûts cachés se déploient dans les mois qui suivent l'incident et échappent aux estimations réalisées à chaud.
Coûts directs (visibles)
- Investigation et cellule de crise ;
- Restauration des systèmes et des données ;
- Frais juridiques et de notification ;
- Rançon éventuelle, sous conditions.
Coûts cachés (immergés)
- Perte de clients et de contrats après la fuite ;
- Atteinte durable à la réputation et à la confiance ;
- Hausse des primes d'assurance l'année suivante ;
- Temps interne mobilisé, désorganisation, départ de talents.
Combien selon la taille : TPE, PME, ETI
Le coût absolu grimpe avec la taille, mais le poids relatif frappe souvent plus durement les petites structures : une TPE dispose de moins de trésorerie pour absorber un arrêt de quinze jours. Voici les ordres de grandeur constatés en 2026.
| Profil | Attaque courante | Ransomware majeur |
|---|---|---|
| TPE, artisan, commerce | 15 000 à 50 000 € | jusqu'à 100 000 € |
| PME | 50 000 à 120 000 € | 100 000 à 500 000 € |
| ETI | 150 000 à 600 000 € | plusieurs millions |
Ces montants expliquent pourquoi une part des entreprises touchées ne s'en relève pas : faute de trésorerie et de plan de continuité, un arrêt prolongé peut conduire à la cessation d'activité. La vraie question n'est donc pas seulement « combien ça coûte », mais « combien de temps l'entreprise peut tenir sans ses systèmes ».
Ce que l'assurance cyber absorbe (et ce qui reste à charge)
L'assurance cyber absorbe l'essentiel des postes chiffrables : elle finance la cellule de crise, la restauration du système, les pertes d'exploitation au-delà de la franchise temporelle, ainsi que les frais juridiques et de notification. C'est précisément sur les postes les plus lourds — arrêt d'activité et reconstruction — qu'elle apporte le plus de valeur.
Certains coûts restent toutefois à votre charge. La franchise et la franchise temporelle de 12 à 48 heures ne sont jamais indemnisées, l'atteinte à la réputation ne se rembourse pas, et deux exclusions majeures méritent d'être connues avant de compter uniquement sur son contrat.
Attention
Deux coûts ne sont jamais couverts : l'amende administrative prononcée par la CNIL, non assurable en France, et la rançon payée sans dépôt de plainte dans les 72 heures. Ces deux exclusions peuvent, à elles seules, représenter une part décisive de la facture.
Réduire la facture : la préparation change tout
Le coût final d'une attaque dépend moins de sa violence que de votre préparation. À gravité égale, une entreprise dotée de sauvegardes déconnectées et d'un plan de crise s'en tire pour une fraction du montant subi par une structure non préparée, parce qu'elle restaure vite au lieu de subir un arrêt prolongé.
- Des sauvegardes déconnectées, testées, permettant de restaurer sans payer ;
- Une authentification multifacteur pour bloquer l'intrusion initiale ;
- Un plan de continuité écrit et un exercice de crise réalisé ;
- Une procédure de dépôt de plainte préparée pour tenir le délai de 72 heures ;
- Un contrat cyber dimensionné sur le coût réel, pas sur un plafond rassurant.
À retenir
Le vrai coût d'une cyberattaque se joue sur la durée d'arrêt, pas sur la rançon. Réduire cette durée — par des sauvegardes restaurables et une cellule de crise réactive — est le levier le plus puissant pour faire baisser la facture. Pour signaler un incident et être orienté vers un prestataire, le portail public cybermalveillance.gouv.fr reste le premier réflexe.
« Le montant d'une cyberattaque ne se mesure pas le jour de l'attaque, mais à la vitesse de la reprise. Chaque jour d'arrêt gagné vaut plus que n'importe quelle négociation de rançon : la préparation est le meilleur des amortisseurs. »