Cyber-assurance pour PME : utile, obligatoire, à quel prix ?

La cyber-assurance était confidentielle il y a 5 ans. Elle est devenue un sujet de discussion standard en TPE/PME avec la vague de ransomwares et de fuites de données. Les assureurs la vendent de plus en plus activement, les prix ont beaucoup évolué, et les conditions d'éligibilité se sont durcies. Voici le point concret pour une TPE/PME en 2026.

Ce que couvre vraiment une cyber-assurance

Une cyber-assurance n'est pas un antivirus. Elle ne protège pas contre les attaques — elle en couvre les conséquences financières.

Les postes typiquement couverts

• Perte d'exploitation : chiffre d'affaires perdu pendant la paralysie suite à une attaque (ransomware qui bloque l'activité)
• Restauration des systèmes : coûts d'intervention d'experts cyber, de forensique, de restauration des données
• Notification RGPD : coûts juridiques et de communication en cas de fuite de données personnelles
• Rançons (dans certaines polices, et sous conditions légales strictes)
• Responsabilité civile cyber : si des données clients fuitent et qu'un client vous attaque en justice
• Chantage et extorsion : coûts de négociation et de résolution
• Frais de réputation : accompagnement en communication de crise

Ce qui n'est généralement PAS couvert

• Les dommages matériels (déjà couverts par votre RC pro et multirisque)
• Les attaques antérieures à la souscription (il faut déclarer)
• Les attaques issues d'une négligence grave (pas de 2FA, pas de sauvegarde, pas d'antivirus)
• Les fraudes internes (salarié malveillant) — souvent dans un contrat à part
• Les cyberattaques issues d'actes de guerre ou de terrorisme d'État — exclusion fréquente

Les ordres de grandeur de prix

Pour une TPE/PME classique en 2026 :

Les prix varient énormément selon :

• Votre secteur (santé, finance, retail = tarifs plus hauts)
• Votre niveau de maturité cyber (sauvegarde, 2FA, antivirus pro = tarif plus bas)
• Les plafonds de garantie choisis
• Les franchises acceptées
• Les options (rançon couverte ou non, extensions internationales…)

Les conditions d'éligibilité se durcissent

Depuis 2023-2024, les assureurs refusent de plus en plus de couvrir les entreprises qui n'ont pas un socle de sécurité minimum. Ils vous demanderont systématiquement :

Un questionnaire pré-contractuel approfondi

Souvent 30-50 questions qui portent sur :

• Sauvegarde : fréquence, versioning, test de restauration, hors ligne/immuable
• Authentification à deux facteurs sur les comptes administratifs (exigée partout en 2026)
• Antivirus pro avec supervision centralisée (pas Windows Defender seul)
• Mises à jour régulières de Windows et des logiciels
• Gestion des accès : révocation à la fin des contrats, principe du moindre privilège
• Formation des salariés au phishing et aux bonnes pratiques
• Procédures documentées de réponse à incident

Mentir à ce questionnaire = déchéance de garantie en cas de sinistre. Les assureurs vérifient après coup si vous aviez réellement les mesures déclarées.

Un refus pur et simple si vous êtes trop exposé

Il n'est plus rare qu'un assureur refuse de couvrir une TPE qui :

• N'a pas de sauvegarde testée
• N'a pas de 2FA sur les comptes admin M365
• Utilise un Windows obsolète (Windows 7 ou Windows 10 fin de support non étendu)
• A déjà subi une attaque dans les 3 dernières années

Dans ces cas, l'assureur préfère ne pas prendre le risque, et vous devez d'abord monter en maturité avant de pouvoir vous assurer.

Faut-il souscrire ? Les critères de décision

Oui, souscrire est pertinent si :

• Votre activité dépend fortement de l'informatique (vous perdez de l'argent chaque jour d'arrêt)
• Vous manipulez des données personnelles de clients (risque RGPD lourd en cas de fuite)
• Vous avez des contrats clients qui l'exigent (certains grands donneurs d'ordre, administrations)
• Votre trésorerie ne pourrait pas absorber un incident à 50-150 000 € sans assurance
• Vous êtes dans un secteur ciblé (santé, finance, cabinet d'avocats, cabinet comptable…)

Non, c'est optionnel si :

• Votre activité ne dépend pas de l'informatique (petit commerce de proximité très basique)
• Vous êtes une structure solide financièrement qui peut absorber un incident ponctuel
• Vous n'avez pas de données sensibles
• Et vous avez un très bon niveau de prévention (ce qui réduit la probabilité d'incident)

Dans tous les cas :

Avant même de souscrire, mettez à niveau votre socle sécurité. Ça ne vous coûte pas plus cher (c'est de toute façon demandé par l'assurance) et ça réduit déjà la probabilité d'incident. L'assurance complète une bonne hygiène, elle ne la remplace pas.

Comment bien négocier son contrat

1. Faire plusieurs devis

Les tarifs varient du simple au triple selon les assureurs pour un même profil. Minimum 3 devis : votre assureur habituel (RC Pro) + 2 spécialistes cyber (Hiscox, Stoïk, Beazley, Chubb, AXA, Generali…).

2. Choisir les bons plafonds

Évaluer réalistement votre risque :

• Perte d'exploitation : combien perdez-vous par jour d'arrêt total ? Si 2000 €/jour × 15 jours de blocage = 30 000 €, votre plafond doit couvrir ça.
• Notification RGPD : si vous avez 10 000 clients, prévoir au moins 50 000 € sur cette ligne
• Experts cyber : prévoir 20 000 à 50 000 € minimum (une intervention d'urgence coûte 500-1500 €/jour x plusieurs jours)

3. Vérifier les exclusions au peigne fin

Lire chaque exclusion du contrat. Les points sensibles :

• Délai de carence : certains contrats ne couvrent pas les incidents dans les 30 premiers jours
• Attribution étatique : la plupart des contrats excluent les attaques "d'origine étatique" — notion floue qu'un assureur peut invoquer pour ne pas payer
• Catastrophes majeures (cyberattaque de masse type SolarWinds) : parfois exclues

4. Préférer un contrat avec hotline d'incident 24/7

Les meilleurs contrats incluent une équipe d'intervention cyber joignable 24/7 en cas d'attaque. C'est très précieux quand vous êtes paniqué à 23h un vendredi. L'assureur mobilise ses experts avant même la validation de la prise en charge.

5. Négocier chaque année

Les tarifs cyber baissent depuis 2024 (le marché s'est stabilisé après la panique 2020-2022). Renégocier au renouvellement est presque toujours rentable.

Les erreurs à éviter

Erreur 1 : prendre l'assurance et ne rien faire côté prévention

Avoir une cyber-assurance ne vous protège pas. Elle couvre les coûts si vous êtes attaqué. Mettre en place la 2FA, la sauvegarde, l'antivirus pro doit rester la priorité.

Erreur 2 : sous-déclarer son activité

Si vous dites à l'assureur que vous êtes "une entreprise de services" alors que vous êtes "une plateforme SaaS qui stocke 500 000 données clients", le refus de couverture est quasi garanti en cas de sinistre. Soyez transparent dans la déclaration.

Erreur 3 : attendre l'attaque pour chercher à s'assurer

Les assurances refusent systématiquement de couvrir une entreprise qui vient de subir une attaque (sauf après un délai, et à des tarifs très élevés). Souscrire avant d'avoir besoin.

Ce qu'on fait chez Depass Info

Nous ne vendons pas d'assurance (ce n'est pas notre métier), mais dans le forfait d'infogérance, nous :

• Documentons votre niveau de sécurité réel (ce qui est demandé dans tout questionnaire assurantiel)
• Vous aidons à remplir le questionnaire honnêtement avec les preuves techniques
• Maintenons le niveau demandé par l'assurance (mises à jour, 2FA, sauvegardes testées)
• Documentons les incidents mineurs qui pourraient devenir couvrables si ça s'aggrave

L'audit gratuit inclut une évaluation de votre "assurabilité" : seriez-vous accepté par un assureur cyber aujourd'hui, et à quel prix indicatif ? C'est souvent une révélation.