Prix d'une assurance cyber : les fourchettes 2026
Le prix d'une assurance cyber varie de 300 € par an pour un artisan ou un commerce de proximité à plus de 25 000 € pour une ETI, en passant par 1 200 à 5 000 € pour une PME classique. Cette amplitude ne traduit pas une opacité du marché mais une logique de risque : la prime suit le chiffre d'affaires, le secteur d'activité, le plafond de garantie retenu et le niveau de sécurité de l'entreprise.
Voici les tarifs réellement constatés en 2026 sur le marché français, hors franchise et options :
| Profil d'entreprise | Chiffre d'affaires | Plafond courant | Prime annuelle |
|---|---|---|---|
| Artisan, commerce de proximité | < 500 000 € | 100 000 € | 300 à 600 € |
| TPE de services, profession libérale | < 1 M€ | 250 000 € | 450 à 900 € |
| PME | 1 à 10 M€ | 500 000 € à 2 M€ | 1 200 à 5 000 € |
| ETI | 10 à 50 M€ | 2 à 5 M€ | 6 000 à 25 000 € |
Rapporté au risque, ce budget reste modeste : une prime d'entrée de gamme représente souvent l'équivalent de quelques heures de chiffre d'affaires, quand une attaque réussie immobilise l'activité plusieurs jours. C'est ce rapport, et non le montant absolu de la prime, qui doit guider la décision.
Les quatre facteurs qui déterminent votre prime
Un tarif cyber se construit sur quatre variables. Comprendre leur poids respectif permet d'agir sur celles qui sont à votre main — la sécurité et le plafond — plutôt que de subir un devis.
- Le chiffre d'affaires
- Base de calcul principale : il reflète le volume de données traitées et l'enjeu financier d'une interruption. La prime progresse avec lui, mais de façon dégressive.
- Le secteur d'activité
- La santé, le e-commerce, les professions du droit et du chiffre paient davantage : données sensibles, dépendance au système informatique et fréquence d'attaque plus élevées.
- Le plafond de garantie
- Doubler le plafond ne double pas la prime, mais l'augmente sensiblement. Il doit correspondre au coût réel d'un sinistre majeur, pas à un chiffre rassurant.
- La maturité de la sécurité
- C'est le seul levier vraiment décisif à court terme : le questionnaire de souscription conditionne à la fois l'acceptation, le tarif et la validité des garanties.
Bon à savoir
Deux entreprises au même chiffre d'affaires peuvent payer du simple au double. L'écart tient presque toujours à l'hygiène informatique : authentification multifacteur, sauvegardes déconnectées et postes à jour valent, aux yeux de l'assureur, bien plus qu'un secteur d'activité favorable.
Le poids de chaque facteur évolue avec la taille : pour une TPE, la sécurité et le secteur d'activité priment ; pour une PME ou une ETI, le plafond retenu et l'historique de sinistres deviennent déterminants. Un même effort de sécurisation ne produit donc pas la même remise partout — il est le plus rentable sur les petits contrats, où il fait souvent la différence entre acceptation et refus de couverture.
Franchises et sous-plafonds : le prix réel au-delà de la prime
La prime affichée ne dit pas tout : la franchise et les sous-plafonds déterminent ce qui reste à votre charge le jour du sinistre. Une franchise s'échelonne de 1 000 € pour une TPE à 10 000 € et plus pour une PME, à laquelle s'ajoute une franchise temporelle de 12 à 48 heures sur les pertes d'exploitation : les premières heures d'arrêt ne sont jamais indemnisées.
Certaines garanties sont par ailleurs plafonnées bien en deçà du plafond global. La cyber-extorsion est fréquemment limitée à 20-50 % du plafond, et la fraude au virement, souvent proposée en option, reste bornée à quelques dizaines de milliers d'euros. Un contrat peu cher affichant un plafond élevé mais des sous-limites étroites protège parfois moins bien qu'une offre légèrement supérieure au budget.
| Poste | Fourchette 2026 | Ce qu'il faut vérifier |
|---|---|---|
| Franchise par sinistre | 1 000 à 10 000 € | Montant compatible avec votre trésorerie |
| Franchise temporelle | 12 à 48 h | Nombre d'heures d'arrêt non indemnisées |
| Sous-plafond cyber-extorsion | 20 à 50 % | Part réellement couverte du plafond affiché |
Faire baisser la prime : les leviers concrets
La façon la plus efficace de réduire le prix d'une assurance cyber n'est pas de rogner sur les garanties, mais de présenter un dossier de sécurité solide : la plupart des assureurs accordent une remise de 15 à 30 % aux entreprises qui cochent les prérequis d'hygiène informatique. Un investissement de 2 000 à 5 000 € en amont se rembourse souvent dès la première année de prime, tout en évitant un refus.
- Authentification multifacteur (MFA) sur les messageries, VPN et accès administrateurs
- Sauvegardes selon la règle 3-2-1, dont une copie déconnectée testée chaque trimestre
- Antivirus ou EDR déployé sur l'ensemble des postes et serveurs
- Mises à jour de sécurité appliquées sous 30 jours sur les systèmes exposés
- Sensibilisation des équipes au hameçonnage au moins une fois par an
À l'inverse, certaines situations font grimper le tarif ou entraînent un refus pur et simple :
- Accès bureau à distance (RDP) ouvert sur internet sans VPN ni MFA
- Systèmes d'exploitation obsolètes non isolés du reste du réseau
- Sauvegardes hébergées uniquement sur le réseau principal, chiffrables avec lui
- Antécédent de sinistre cyber non déclaré ou mal documenté
À retenir
Négociez sur quatre points plutôt que sur la seule prime : le plafond global, le sous-plafond de cyber-extorsion, la durée de la franchise temporelle et le délai d'intervention contractuel de la cellule de crise. Un contrat 10 % plus cher mais deux fois plus réactif se rentabilise au premier incident.
Trois budgets réels selon la taille de l'entreprise
Au-delà des fourchettes, voici comment se compose concrètement une prime pour trois profils courants en 2026.
Ces montants supposent un dossier de sécurité conforme. Sans MFA ni sauvegardes déconnectées, le cabinet libéral verrait sa prime majorée de 20 à 30 %, la PME essuierait un ajustement plus sévère, et l'ETI pourrait se voir refuser certaines garanties. À couverture égale, l'écart entre une entreprise bien préparée et une entreprise négligente dépasse largement le coût de la mise à niveau technique.
Ce qui fait baisser la prime
- Authentification multifacteur généralisée
- Sauvegardes déconnectées testées régulièrement
- Plan de continuité et exercice de crise documentés
- Absence de sinistre sur les 36 derniers mois
Ce qui la fait monter
- Secteur exposé : santé, e-commerce, finance
- Plafond élevé avec faibles franchises
- Système d'information vieillissant
- Sinistre cyber antérieur : surprime de 30 à 50 %
La prime est généralement payable annuellement, mais la plupart des assureurs proposent une mensualisation sans surcoût significatif, utile pour lisser la charge de trésorerie d'une petite structure. Exigez toujours un devis détaillé poste par poste plutôt qu'un tarif global : il révèle la part consacrée à chaque garantie et permet une comparaison honnête entre deux offres affichant le même plafond.
Prime cyber ou coût d'une attaque : la vraie comparaison
Pour juger si une prime est chère, il faut la rapporter au montant qu'elle couvre. Une TPE assurée 500 € par an se protège contre un sinistre dont la facture moyenne dépasse 50 000 € — soit un rapport de 1 à 100. C'est cette asymétrie, propre au risque cyber, qui rend le calcul favorable dès le premier incident évité.
Le chiffre
59 000 €coût moyen d'une cyberattaque réussie pour une PME française : investigation, restauration du système, pertes d'exploitation et frais juridiques cumulés — l'équivalent de dix à vingt années de prime pour un contrat d'entrée de gamme.
Ce ratio ne prend son sens qu'en détaillant les postes réellement supportés lors d'un sinistre : rançon éventuelle, arrêt d'activité, reconstruction informatique, atteinte à la réputation. Le coût réel d'une cyberattaque pour une TPE ou une PME mérite d'être chiffré poste par poste pour dimensionner correctement son plafond et calibrer sa franchise. Rappelons enfin que le contrat se renouvelle par tacite reconduction et se résilie à chaque échéance annuelle, avec un préavis de deux mois (article L113-12 du Code des assurances) : rien n'empêche de renégocier son tarif chaque année à mesure que votre sécurité progresse.
« Le bon réflexe n'est pas de chercher la prime la plus basse, mais le meilleur rapport entre le tarif, le plafond utile et la réactivité de la cellule de crise. Un contrat cyber se juge le jour du sinistre, jamais sur le devis. »
