Cyberassurance PME 2026 :
ce que les assureurs exigent avant de vous couvrir
En 2026, payer une prime ne suffit plus. Des dizaines de PME françaises découvrent chaque mois, après une attaque, que leur contrat ne les couvre pas — parce qu’elles n’avaient pas mis en place les mesures exigées. Voici ce que vous devez savoir avant de signer, et comment vous assurer d’être réellement protégé.
Ce que peu de dirigeants savent : depuis 2022, la plupart des assureurs ont réécrit leurs contrats cyber. Résultat : si vous subissez une attaque sans avoir mis en place les mesures qu’ils exigent, l’indemnisation peut être partiellement ou totalement refusée — même si vous avez payé votre prime pendant des années.
La situation en 2026 : le marché de la cyber-assurance a changé de règles
Entre 2020 et 2022, les assureurs ont subi des pertes massives sur leurs portefeuilles cyber. La sinistralité a explosé avec la vague de ransomwares post-Covid. Réponse des compagnies : durcissement drastique des conditions de souscription et d’indemnisation.
Aujourd’hui, les chiffres parlent d’eux-mêmes. Les PME représentent 43% des cyberattaques recensées en France selon le rapport ANSSI 2025. Pourtant, seules 18% d’entre elles disposent d’une couverture cyber dédiée. Et parmi celles qui ont un contrat, une part significative n’est pas réellement couverte — parce qu’elles ne remplissent pas les prérequis techniques devenus obligatoires.
Deux évolutions réglementaires ont renforcé cette dynamique. La directive NIS2, transposée en droit français via la loi Résilience attendue cet été 2026, impose des obligations de sécurité renforcées à plus de 15 000 entités supplémentaires. Et la loi LOPMI de 2023 a introduit une règle des 72 heures qui peut, si elle n’est pas respectée, faire tomber votre indemnisation pour la rançon.
Ce que votre multirisques professionnelle ne couvre plus : depuis 2022, la quasi-totalité des assureurs ont exclu les cyber-risques (ransomware, vol de données, fraude, interruption d’activité d’origine informatique) de leurs contrats multirisques classiques. Si vous ne disposez pas d’une police cyber dédiée, vous n’êtes pas couvert.
Avant de lire la suite
Remplissez-vous déjà les prérequis ?
Notre diagnostic évalue en 10 minutes les 5 critères que vos assureurs vérifient.
Rapport PDF transmissible à votre assureur
Les 5 prérequis exigés par les assureurs en 2026
Ces critères varient légèrement d’un assureur à l’autre, mais ils sont devenus quasi-universels sur le marché français. Leur absence peut entraîner un refus de souscription, une surprime, ou — pire — une annulation de l’indemnisation après sinistre au motif de “manquement aux obligations de sécurité”.
Authentification multi-facteurs (MFA) Critique
Le MFA doit être activé sur tous les accès critiques : messagerie professionnelle, outils cloud (Microsoft 365, Google Workspace), accès distants (VPN), interfaces bancaires et panneaux d’administration. Un accès compromis sans MFA est la cause n°1 des sinistres cyber en PME.
✓ Vérification assureur : attestation sur l’honneur ou questionnaire technique lors de la souscriptionSauvegardes externalisées et testées Critique
Avoir des sauvegardes ne suffit plus. Les assureurs exigent : une copie externalisée (hors site ou cloud, déconnectée du réseau principal), une fréquence minimale de sauvegarde (quotidienne pour les données critiques), et la preuve d’un test de restauration réalisé dans les 12 derniers mois.
✓ Sans test de restauration documenté, la garantie “frais de récupération des données” peut être exclueMises à jour et correctifs de sécurité Critique
60% des intrusions exploitent des vulnérabilités connues avec correctif disponible. Les assureurs vérifient que vous disposez d’un processus de mise à jour documenté : systèmes d’exploitation, logiciels métier, équipements réseau (routeur, firewall). Certains contrats excluent explicitement les sinistres liés à des CVE publiées depuis plus de 90 jours sans correctif appliqué.
✓ Conservez un journal des mises à jour — c’est la preuve en cas de sinistreSolution de protection des postes (EDR) Important
Les assureurs distinguent désormais l’antivirus classique (insuffisant) de l’EDR (Endpoint Detection and Response), qui détecte les comportements suspects en temps réel. Pour les contrats couvrant plus de 500 000 € de garanties, un EDR sur l’ensemble des postes est souvent obligatoire. Pour les PME modestes, un antivirus récent et actif reste acceptable mais avec des plafonds réduits.
✓ Solutions acceptées : SentinelOne, CrowdStrike Falcon Go, Microsoft Defender for BusinessFormation et sensibilisation des équipes Important
91% des cyberattaques commencent par un email de phishing. Les assureurs demandent la preuve qu’une action de sensibilisation a été réalisée dans l’année : formation en présentiel, e-learning, ou simulation de phishing. Une charte informatique signée par tous les collaborateurs est aussi valorisée lors de la souscription.
✓ Un simple email de sensibilisation interne ne suffit pas — il faut une trace documentéeLa règle LOPMI : la bombe à retardement dans votre contrat
La loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI, 2023) a introduit une disposition que beaucoup de dirigeants ignorent encore. Elle conditionne le remboursement des rançons par les assureurs cyber au dépôt d’une plainte auprès des autorités.
⏱️ La règle des 72 heures
Depuis la LOPMI, votre assureur cyber peut légalement refuser d’indemniser le paiement d’une rançon si vous n’avez pas déposé plainte dans les 72 heures suivant la prise de connaissance de l’attaque. Ce délai court dès le moment où vous constatez l’incident — pas à partir du moment où vous avez “compris” que c’était grave.
Concrètement : si votre PME est frappée par un ransomware un vendredi soir et que vous ne constatez l’étendue de l’attaque que le lundi matin, votre délai de 72 heures court déjà depuis le vendredi. Vous avez jusqu’au lundi soir pour déposer plainte — pas jusqu’à la semaine suivante.
Cette règle s’applique spécifiquement à l’indemnisation de la rançon. Les autres postes (frais de remise en état, pertes d’exploitation, frais juridiques) ne sont pas conditionnés au même dépôt de plainte, mais les assureurs peuvent invoquer d’autres clauses de déchéance selon les contrats.
Préparez votre procédure d’urgence maintenant. Notez ces trois contacts avant d’en avoir besoin : cybermalveillance.gouv.fr (assistance technique 24h/24), numéro de votre assureur cyber (cellule sinistres, distinct du numéro général), commissariat ou gendarmerie la plus proche pour le dépôt de plainte rapide. Imprimez cette fiche et collez-la dans votre bureau.
Combien coûte une cyber-assurance PME en 2026 ?
La prime dépend directement de votre score de maturité cyber : plus vous êtes sécurisé, moins vous payez. C’est le mécanisme clé à comprendre — investir 500 € dans les bonnes mesures peut réduire votre prime annuelle de 30 à 50%.
Micro-entreprise
300 €
à 1 200 € / an
- Moins de 10 salariés
- CA < 2M€
- Garanties limitées
- Plafond 100-250K€
PME standard
800 €
à 4 500 € / an
- 10 à 50 salariés
- CA 2M€ à 5M€
- Couverture complète
- Plafond 500K€ à 2M€
PME moyenne
4 000 €
à 12 000 € / an
- 50 à 249 salariés
- CA 5M€ à 50M€
- Couverture étendue
- Plafond 2M€ à 5M€
| Facteur | Impact sur la prime | Votre levier |
|---|---|---|
| MFA activé sur tous les accès | −15 à −25% | Activable gratuitement en 1h |
| Sauvegardes externalisées testées | −10 à −20% | Solution cloud : 50–200€/mois |
| EDR sur tous les postes | −10 à −15% | Defender for Business : ~3€/poste/mois |
| Formation anti-phishing réalisée | −5 à −10% | Prestataire : 200–500€ pour l’équipe |
| Audit/diagnostic documenté | −5 à −10% | Diagnostic CyberDiagnostic : 9,99€ |
| Historique de sinistre cyber | +30 à +100% | Irréversible sur 3–5 ans |
| Secteur santé, finance, données sensibles | +20 à +50% | Compensable par les mesures ci-dessus |
Le calcul est simple : mettre en place les 5 prérequis techniques coûte en moyenne 1 000 à 2 000 € à une PME de 15 salariés. Cette dépense peut réduire votre prime annuelle de 800 à 1 500 € et garantir que vous serez effectivement indemnisé en cas de sinistre. L’arbitrage est évident.
Préparez votre dossier
Évaluez vos prérequis avant de contacter votre assureur
Notre rapport identifie exactement ce qui manque — et ce qui est déjà en place.
PDF immédiat · Conforme ANSSI
Ce que vous devez préparer avant de contacter votre assureur
Les assureurs envoient un questionnaire technique à la souscription. Voici les points qu’il contient systématiquement, et ce que vous devez avoir documenté pour y répondre honnêtement — et favorablement.
🛡️ Prérequis techniques — documents à avoir
- MFA activé sur messagerie, cloud et accès distants — captures d’écran ou attestation IT comme preuve
- Politique de mots de passe documentée (12 caractères minimum, gestionnaire déployé) — charte informatique signée
- Inventaire des sauvegardes : fréquence, localisation, date du dernier test de restauration réussi
- Liste des postes protégés par antivirus/EDR avec version et date de dernière mise à jour
- Registre des traitements RGPD à jour — requis si vos données personnelles sont compromises
- Charte informatique signée par tous les collaborateurs — prouve la politique de sensibilisation
- Contrats de prestataires IT avec clause de sécurité — responsabilise vos fournisseurs
📋 Procédures à définir avant l’incident
- Procédure de réponse à incident : qui appelle qui, dans quel ordre, avec quels numéros
- Contacts d’urgence imprimés : assureur (cellule sinistres), cybermalveillance.gouv.fr, prestataire IT, gendarmerie
- Délai LOPMI documenté : votre équipe sait-elle qu’il faut déposer plainte dans les 72h ?
- Procédure de notification CNIL sous 72h en cas de violation de données personnelles
Le bon ordre des opérations : faites d’abord votre diagnostic pour identifier ce qui manque → mettez en place les mesures prioritaires → obtenez votre rapport documenté → contactez votre assureur avec un dossier complet. Cette séquence peut réduire votre prime de 30 à 40% par rapport à une souscription “à froid”.
Comment un rapport de diagnostic améliore votre dossier d’assurance
Les assureurs valorisent explicitement la démarche proactive. Un dirigeant qui arrive avec un rapport de diagnostic documenté — score de maturité, failles identifiées, plan d’action priorisé — envoie un signal très différent de celui qui “pense être bien protégé”.
Scénario comparatif
Même PME, deux approches — deux résultats
Sans diagnostic — souscription à froid
Questionnaire rempli de mémoire, réponses approximatives sur les sauvegardes et le MFA. L’assureur applique une prime majorée (doute sur la réalité des mesures) et inclut une clause d’exclusion si les déclarations s’avèrent inexactes.
Avec rapport de diagnostic — souscription documentée
Rapport PDF avec score de maturité par domaine, liste des mesures en place, plan d’action pour les lacunes. L’assureur peut vérifier les déclarations, réduit la prime de 20-30%, et surtout : en cas de sinistre, les déclarations sont documentées et difficiles à contester.
Après une attaque ransomware — l’écart devient critique
PME A : l’assureur mandate un expert forensique qui constate l’absence de MFA sur 3 comptes. Invocation de la clause “manquement aux mesures déclarées”. Indemnisation réduite de 60%. PME B : le rapport prouve la démarche. Indemnisation complète dans les délais.
Notre rapport de diagnostic est transmissible directement à votre assureur ou courtier. Il inclut votre score de maturité sur 6 domaines (accès, sauvegardes, réseau, humain, légal, continuité), la liste des mesures en place, et votre plan d’action priorisé avec les 3 actions immédiates. C’est exactement le format que les compagnies d’assurance reconnaissent lors de la souscription.
Questions fréquentes
La cyberassurance est-elle obligatoire pour les PME en 2026 ?
Non, elle n’est pas légalement obligatoire en 2026. Mais elle devient indispensable en pratique : vos clients grands comptes soumis à NIS2 peuvent l’exiger contractuellement avant de vous référencer, et certains secteurs (santé, finance) l’imposent de fait. Par ailleurs, sans couverture cyber dédiée, un sinistre de 97 000 € en moyenne peut mettre votre trésorerie en difficulté irréversible.
Mon assurance multirisques professionnelle couvre-t-elle les cyberattaques ?
Non, dans la grande majorité des cas. Depuis 2022, les assureurs ont progressivement exclu les cyber-risques (ransomware, vol de données, fraude, interruption d’activité d’origine informatique) de leurs contrats multirisques classiques. Vérifiez votre contrat : cherchez les termes “cyber”, “attaque informatique” ou “données” dans les exclusions. Si votre contrat a plus de 2 ans et n’a pas été renégocié, il est probable que vous n’êtes pas couvert.
Combien coûte une cyber-assurance PME en 2026 ?
Entre 800 et 4 500 euros par an pour une PME de 10 à 50 salariés avec un CA inférieur à 5M€. La prime varie fortement selon votre score de maturité cyber : activer le MFA, tester vos sauvegardes et avoir un audit documenté peut réduire votre prime de 30 à 50%. Pour une micro-entreprise (moins de 10 salariés), des formules existent à partir de 300 € par an.
Qu’est-ce que la règle LOPMI et pourquoi peut-elle annuler ma couverture ?
La loi LOPMI (2023) conditionne le remboursement de la rançon par votre assureur au dépôt d’une plainte dans les 72 heures après la constatation de l’attaque. Si vous ne déposez pas plainte dans ce délai — à la gendarmerie, commissariat ou via un procès-verbal numérique — votre assureur peut légalement refuser d’indemniser ce poste. Ce délai court dès que vous avez connaissance de l’attaque, pas à partir du moment où vous avez “tout compris”.
Un rapport de diagnostic cybersécurité suffit-il à satisfaire les assureurs ?
Non à lui seul — les mesures techniques doivent réellement être en place. Mais un diagnostic documenté constitue une preuve de démarche sérieuse que les assureurs valorisent à deux niveaux : lors de la souscription (prime réduite, meilleures garanties) et en cas de sinistre (vos déclarations sont documentées et difficiles à contester). C’est le point de départ rationnel avant de souscrire.
Prochaine étape concrète
Obtenez votre rapport avant votre prochain RDV assureur
Score de maturité · Mesures en place · Plan d’action · PDF transmissible · 10 minutes.
Conforme ANSSI · Résultat immédiat · Sans engagement