Cyber-assurance PME : la protection des entreprises les plus visées
La cyber-assurance PME est le contrat qui indemnise une petite ou moyenne entreprise pour les conséquences d'une attaque informatique : rançongiciel qui chiffre les serveurs, vol de la base clients, fraude au virement, piratage de messagerie ou simple erreur humaine. Elle repose sur trois briques indissociables : une assistance de crise disponible 24 h/24, l'indemnisation de vos propres pertes (restauration, arrêt d'activité, frais de notification) et une responsabilité civile cyber pour les dommages causés aux tiers dont les données ont fuité.
Contrairement à une idée tenace, ce contrat n'est pas réservé aux grands groupes. Les entreprises de 10 à 250 salariés concentrent aujourd'hui les attaques : elles génèrent une trésorerie suffisante pour intéresser les attaquants, mais disposent rarement d'une équipe sécurité dédiée. Une PME qui facture, produit ou stocke des données via un système informatique — soit la quasi-totalité d'entre elles — supporte un risque financier qu'une seule attaque réussie peut rendre existentiel.
Le décalage est frappant : la quasi-totalité des PME assurent leurs locaux contre l'incendie — un sinistre devenu rare — quand une sur dix seulement se protège d'un risque cyber désormais banalisé. Les assureurs ont réagi en concevant des offres packagées, avec questionnaire de souscription allégé et plafonds calibrés pour le format PME, entre 500 000 € et 2 M€.
Que couvre une cyber-assurance PME ? Les garanties essentielles
Un contrat adapté à une PME s'organise autour de cinq garanties socles, complétées de deux options souvent décisives. La priorité pour une structure sans équipe sécurité n'est pas le plafond le plus élevé, mais la qualité de l'assistance de crise, qui remplace l'expertise interne qui vous manque le jour J.
| Garantie | Ce qu'elle apporte à une PME | Plafond courant |
|---|---|---|
| Cellule de crise 24/7 | Experts en investigation, juristes, négociateurs et communicants mobilisés en quelques heures | Inclus |
| Restauration des données | Décontamination des serveurs, reconstruction du système, récupération des sauvegardes | 250 000 € à 2 M€ |
| Pertes d'exploitation | Marge brute perdue pendant l'arrêt, souvent le poste le plus lourd pour une PME | Franchise 12 à 48 h |
| RC cyber | Réclamations des clients ou partenaires après une fuite de leurs données | 500 000 € à 2 M€ |
| Frais de notification RGPD | Information de la CNIL et des victimes, centre d'appels, surveillance d'identité | 50 000 € à 300 000 € |
| Cyber-extorsion (option) | Négociation et remboursement de rançon sous conditions légales strictes | Sous-plafonnée 20 à 50 % |
| Fraude au virement (option) | Faux ordre de virement, fraude au président, usurpation de fournisseur | 15 000 € à 300 000 € |
Deux angles morts méritent l'attention d'un dirigeant de PME. La fraude au virement, très fréquente dans les structures où le service comptable est réduit, n'est presque jamais incluse dans le socle : c'est une option à demander explicitement. Et la garantie « défaillance de prestataire », qui joue lorsque c'est votre hébergeur cloud qui tombe, reste rare en dessous de 2 M€ de chiffre d'affaires.
À retenir
Pour une PME sans expert sécurité interne, la cellule de crise est la garantie la plus précieuse. Jugez un contrat sur son délai d'intervention contractuel et la disponibilité de l'assistance en français avant de comparer les primes.
Combien coûte une cyber-assurance pour une PME en 2026 ?
Une PME s'assure en 2026 entre 1 200 € et 5 000 € par an, selon son chiffre d'affaires, son secteur, le plafond choisi et surtout la maturité de sa sécurité informatique. À l'intérieur de cette fourchette, le tarif progresse avec le chiffre d'affaires mais de façon dégressive, et le secteur d'activité pèse lourd : santé, e-commerce et professions du chiffre paient davantage.
| Chiffre d'affaires | Effectif type | Plafond courant | Prime annuelle |
|---|---|---|---|
| 1 à 3 M€ | 10 à 30 salariés | 500 000 € | 1 200 à 2 200 € |
| 3 à 6 M€ | 30 à 80 salariés | 1 M€ | 2 200 à 3 500 € |
| 6 à 10 M€ | 80 à 250 salariés | 1 à 2 M€ | 3 500 à 5 000 € |
À ce budget s'ajoute la franchise restant à votre charge en cas de sinistre : de 2 000 € à 10 000 € par attaque pour une PME, doublée d'une franchise temporelle de 12 à 48 heures sur les pertes d'exploitation. Les premières heures d'arrêt ne sont jamais indemnisées. Bonne nouvelle : un dossier de sécurité solide fait baisser la prime de 15 à 30 % chez la plupart des assureurs.
Le chiffre
59 000 €coût moyen d'une cyberattaque réussie pour une PME française (investigation, restauration, pertes d'activité et frais juridiques cumulés) — soit dix à trente fois la prime annuelle d'un contrat cyber calibré pour une PME.
Les prérequis de sécurité exigés avant de couvrir votre PME
Aucun assureur ne couvre en 2026 une PME dépourvue d'hygiène informatique minimale : le questionnaire de souscription conditionne l'acceptation du risque, le tarif et la validité des garanties. Une déclaration inexacte expose à la réduction proportionnelle d'indemnité (article L113-9 du Code des assurances), voire à la nullité du contrat en cas de fausse déclaration intentionnelle (article L113-8).
Les exigences standard du marché pour une PME :
- Authentification multifacteur (MFA) sur les messageries, le VPN et les accès administrateurs ;
- Sauvegardes selon la règle 3-2-1, dont une copie déconnectée du réseau et testée chaque trimestre ;
- Antivirus nouvelle génération ou EDR déployé sur l'ensemble des postes et serveurs ;
- Mises à jour de sécurité appliquées sous 30 jours sur les systèmes exposés à internet ;
- Sensibilisation des équipes au hameçonnage au moins une fois par an ;
- Comptes nominatifs et révocation immédiate des accès au départ d'un salarié.
À l'inverse, certaines situations entraînent une surprime lourde, une exclusion de garantie, voire un refus pur et simple :
- Accès bureau à distance (RDP) ouvert sur internet sans VPN ni MFA ;
- Serveurs sous systèmes obsolètes non isolés du reste du réseau ;
- Sauvegardes hébergées uniquement sur le réseau principal, chiffrables avec lui ;
- Absence de tout responsable identifié — même externalisé — sur le sujet informatique.
Attention
Le questionnaire de souscription est un document engageant. Faites-le valider par votre prestataire informatique : chaque réponse est vérifiée au moment du sinistre, et une inexactitude peut réduire, voire annuler, votre indemnisation au pire moment.
La cyber-assurance est-elle obligatoire pour une PME ?
Non, aucune loi n'impose la cyber-assurance à une PME en 2026. Elle s'impose pourtant dans les faits par trois canaux : la directive NIS 2, qui étend les obligations de sécurité à environ 15 000 entités françaises dont de nombreuses PME de secteurs « importants » ; les grands donneurs d'ordre, qui l'exigent de leurs sous-traitants au même titre que la RC professionnelle ; et les appels d'offres publics, où elle devient un critère de recevabilité.
La frontière entre obligation légale et exigence contractuelle est subtile, et elle évolue vite. Pour savoir précisément ce que la réglementation impose déjà à votre entreprise, notre décryptage de ce que la loi impose vraiment aux entreprises en matière de cyber-assurance fait le point texte par texte, de NIS 2 au RGPD. Une PME sous-traitante d'un grand compte a tout intérêt à anticiper : perdre un marché faute d'attestation cyber coûte bien plus cher qu'une prime annuelle.
Fraude au virement : le complément que néglige la plupart des PME
La menace la plus fréquente contre une PME n'est pas toujours le rançongiciel spectaculaire, mais la fraude au virement, plus discrète et redoutablement efficace. Un dirigeant usurpé par courriel, un faux RIB de fournisseur, une pièce comptable falsifiée : quelques minutes suffisent pour détourner des dizaines de milliers d'euros, souvent hors de portée du socle standard d'un contrat cyber.
Ce que couvre l'option fraude
- Faux ordre de virement par usurpation du dirigeant
- Changement frauduleux de coordonnées bancaires d'un fournisseur
- Détournement consécutif à un piratage de la messagerie comptable
- Accompagnement juridique pour tenter de bloquer les fonds
Ses limites habituelles
- Garantie en option, jamais incluse d'office
- Plafond bas : 15 000 € à 300 000 € selon les contrats
- Exige des procédures de double validation des virements
- Négligence manifeste de l'entreprise souvent exclue
Cette garantie mérite une lecture attentive, car ses conditions d'indemnisation sont strictes et varient fortement d'un assureur à l'autre. Les mécanismes précis de l'assurance fraude au président et des faux ordres de virement — plafonds, exclusions et procédures internes exigées — se vérifient ligne à ligne avant de signer.
Souscrire une cyber-assurance PME : la méthode en 5 étapes
Comptez deux à six semaines entre le premier contact et la prise d'effet. La démarche gagne à être préparée : un dossier de sécurité documenté accélère l'instruction et améliore le tarif de plusieurs centaines d'euros.
- Cartographier votre exposition.
Listez vos actifs critiques : base clients, outils de production, dépendances cloud, volumes de virements. Estimez le coût d'une journée d'arrêt complet — c'est cette donnée qui dimensionne le plafond de pertes d'exploitation.
- Mettre à niveau les prérequis.
MFA, sauvegardes déconnectées, EDR : un investissement de 2 000 à 5 000 € avant la souscription écarte un refus et réduit durablement la prime.
- Remplir le questionnaire avec exactitude.
Faites-le valider par votre prestataire informatique. Chaque réponse engage la validité des garanties au jour du sinistre.
- Comparer sur quatre points.
Plafond global, sous-plafond de cyber-extorsion, franchise temporelle sur les pertes d'exploitation, et surtout délai d'intervention contractuel de la cellule de crise.
- Tester le dispositif.
Enregistrez le numéro d'urgence de l'assureur hors du réseau informatique, intégrez-le à votre plan de continuité et réalisez un exercice de crise dans les six mois.
Le contrat se renouvelle par tacite reconduction ; vous pouvez le résilier à chaque échéance annuelle avec un préavis de deux mois (article L113-12 du Code des assurances). Signalez à l'assureur toute évolution majeure de votre système d'information en cours d'année pour rester couvert. Pour l'orientation initiale et le dépôt de plainte, le dispositif public cybermalveillance.gouv.fr complète utilement l'assistance de votre contrat.
« Pour une PME, le meilleur contrat cyber n'est pas le moins cher : c'est celui dont la cellule de crise décroche un dimanche à 3 heures du matin et parle votre langue. L'assistance remplace l'équipe sécurité que vous n'avez pas. »
