Cyberassurance : combien ça coûte en 2026, et votre TPE en a-t-elle vraiment besoin ?
Une cyberassurance coûte en 2026 de l'ordre de 500 € à 1 500 € par an pour une TPE de services aux données peu sensibles, et de 1 500 € à 3 000 € et plus pour une PME manipulant des données clients volumineuses, du e-commerce ou de la production dépendante de l'informatique. Mais le tarif n'est pas le vrai sujet : la cyberassurance est d'abord un contrat d'assistance — une équipe de crise disponible 24h/24 (experts techniques, juristes, communicants) qui prend la main dans les heures suivant l'attaque — avant d'être un contrat d'indemnisation (pertes d'exploitation, frais de restauration, conséquences RGPD). Et elle ne s'achète pas comme une RC pro : les assureurs conditionnent désormais la souscription à une hygiène minimale (authentification multifacteur, sauvegardes déconnectées testées, mises à jour) — sans ces prérequis, vous serez refusé, surprimé, ou pire : couvert en apparence et déchu de garantie au sinistre. Notre lecture honnête : en dessous d'une vraie dépendance informatique et sans données sensibles, commencez par 2 000 € d'hygiène de sécurité plutôt que par une prime ; dès que l'arrêt de votre système d'information une semaine vous coûterait plus de 20 000 €, les deux se cumulent.
Pourquoi votre TPE est devenue une cible (alors que « vous n'avez rien à voler »)
L'objection est systématique en rendez-vous : « nous sommes trop petits pour intéresser des pirates ». Elle repose sur une image datée de l'attaquant — un espion ciblant des secrets industriels. La réalité économique du cybercrime est inverse : le ransomware est une industrie de volume, largement automatisée, qui scanne l'internet entier à la recherche des portes ouvertes. Elle ne choisit pas ses victimes : elle moissonne ce qui est mal fermé. Et les TPE/PME sont statistiquement les plus mal fermées — les rapports publics (ANSSI, cybermalveillance.gouv.fr) le documentent année après année : l'essentiel des attaques par rançongiciel traitées touche des TPE, PME et collectivités, pas des groupes du CAC.
Le scénario type n'a rien de sophistiqué : un courriel d'hameçonnage ouvre l'accès à une messagerie, ou un accès de télémaintenance mal protégé donne la main sur le serveur ; les fichiers sont chiffrés, les sauvegardes connectées le sont aussi, et l'activité s'arrête — devis, factures, paie, production. La demande de rançon (quelques milliers à quelques dizaines de milliers d'euros pour une TPE, calibrée sur votre capacité de paiement supposée) n'est que la partie visible ; le coût réel se loge dans l'arrêt d'exploitation, la reconstruction du système, et les obligations RGPD si des données personnelles ont fui — notification à la CNIL sous 72 heures, information des personnes concernées le cas échéant.
L'autre famille de sinistres monte tout aussi vite : la fraude au virement (faux fournisseur, faux président, IBAN modifié dans une facture interceptée), qui ne demande aucune prouesse technique et vide un compte professionnel en une opération. Selon les contrats, elle relève d'une garantie « fraude » spécifique — l'un des points à vérifier ligne à ligne, car tous les contrats cyber ne la couvrent pas, ou avec des plafonds très inférieurs au reste.
Les tarifs réels constatés en 2026, profil par profil
La prime dépend principalement du chiffre d'affaires, de l'activité, du volume et de la sensibilité des données détenues, des plafonds choisis et — de plus en plus — du niveau de sécurité effectivement déclaré au questionnaire. Ordres de grandeur du marché français :
- TPE de services B2B sans données sensibles (conseil, artisanat avec informatique légère) : 400 € à 900 € par an pour des plafonds de 100 000 € à 250 000 €. À ce niveau, vous achetez surtout l'assistance de crise.
- TPE/PME avec dépendance informatique réelle (e-commerce, agence digitale, cabinet manipulant des données clients) : 900 € à 2 000 € par an pour des plafonds de 250 000 € à 500 000 €, garanties pertes d'exploitation et RGPD incluses.
- PME de 20 à 50 salariés, production pilotée par informatique ou données sensibles (santé, RH, finance) : 2 000 € à 5 000 € et plus, plafonds au million, questionnaire de sécurité renforcé voire audit exigé.
- Franchises : de 1 000 € à 5 000 € par sinistre en TPE — cohérentes avec l'esprit du contrat, qui vise le sinistre majeur, pas l'incident du lundi matin.
- Facteurs aggravants de prime : antécédents d'incident, secteurs sensibles, accès distants nombreux, absence de MFA (quand elle ne bloque pas simplement la souscription), sous-traitance informatique floue.
Ce que couvre vraiment un contrat cyber (et la hiérarchie des garanties)
Un bon contrat s'évalue dans cet ordre — qui n'est pas celui des plaquettes commerciales :
- L'assistance de crise 24/7 — la garantie n° 1 : accès immédiat à une équipe de réponse à incident (investigation technique, confinement, restauration), à des avocats (obligations CNIL, contrats clients) et à des communicants si l'affaire devient publique. Dans les 48 premières heures d'une attaque, cette organisation vaut plus que n'importe quel plafond d'indemnisation — c'est elle que vous achetez.
- Les dommages subis par l'entreprise : frais de restauration des systèmes et des données, pertes d'exploitation pendant l'interruption (vérifiez la durée d'indemnisation et le délai de carence, souvent exprimé en heures d'interruption), frais de notification RGPD, surcoûts de fonctionnement.
- La cyber-extorsion : prise en charge de la gestion de l'extorsion et, selon les contrats, du remboursement d'une rançon payée. Cadre à connaître : la loi LOPMI conditionne l'indemnisation d'une rançon par l'assureur à un dépôt de plainte dans les 72 heures du paiement — et l'ANSSI comme les autorités déconseillent le paiement, qui finance la filière et ne garantit rien. Le vrai plan anti-rançon reste la sauvegarde déconnectée testée.
- La responsabilité civile cyber : les dommages causés aux tiers — données de vos clients compromises, propagation d'un malware à un partenaire, défaillance de service contractuelle. Indispensable dès que vous hébergez ou traitez les données d'autrui.
- Les extensions à examiner selon votre profil : fraude aux virements et ingénierie sociale (plafonds souvent réduits — à négocier), défaillance de votre prestataire cloud, amendes administratives assurables dans les limites du droit. Chaque extension utile se paie ; chaque extension inutile est de la prime gaspillée — le raisonnement de toute notre grille de lecture assurantielle.
Les prérequis de sécurité : pourquoi le questionnaire est devenu l'étape décisive
Le marché cyber a appris de ses pertes : après des années de sinistralité lourde, les assureurs ont durci les conditions d'accès. Le questionnaire de souscription n'est plus une formalité — c'est un audit déclaratif dont chaque réponse engage la validité de votre couverture. Les exigences types en 2026 : authentification multifacteur (MFA) sur les messageries, les accès distants et les comptes d'administration ; sauvegardes régulières dont au moins une copie est déconnectée ou immuable, et testées par des restaurations ; politique de mise à jour des systèmes ; sensibilisation basique des équipes au phishing ; parfois EDR (détection sur les postes) au-delà d'une certaine taille.
Le piège mortel du questionnaire optimiste : cocher « sauvegardes testées » parce que « l'informaticien a dit que ça tournait », puis découvrir au sinistre que la dernière restauration réussie date de deux ans. Une déclaration inexacte à la souscription expose à la réduction proportionnelle de l'indemnité, voire à la déchéance de garantie — vous aurez payé des primes pour un contrat qui ne vous doit rien au moment précis où tout brûle. Remplissez le questionnaire avec votre prestataire informatique, preuves à l'appui, et faites-en une seconde lecture chaque année au renouvellement : votre système d'information bouge, vos déclarations doivent suivre.
Ce durcissement a une vertu cachée : la liste des prérequis assureurs constitue, gratuitement, la feuille de route de sécurité minimale de votre entreprise. MFA partout, sauvegarde déconnectée testée, mises à jour, sensibilisation : ces quatre chantiers coûtent de l'ordre de 1 000 € à 3 000 € à mettre en place dans une TPE — et ils évitent davantage de sinistres que n'importe quelle prime. C'est notre position assumée de courtier : l'hygiène d'abord, l'assurance ensuite, jamais l'inverse.
Votre TPE en a-t-elle vraiment besoin ? Le test en 4 questions
La cyberassurance n'est pas un réflexe universel — c'est une réponse à une exposition. Le test que nous appliquons en diagnostic :
- Combien coûterait une semaine sans informatique ? Chiffrez brutalement : CA perdu, équipes à l'arrêt, pénalités clients. En dessous de ~10 000 €, l'enjeu relève de la débrouille et des sauvegardes ; au-delà de 20 000 €, la garantie pertes d'exploitation cyber commence à se justifier d'elle-même.
- Détenez-vous les données d'autrui ? Fichiers clients volumineux, données de santé, RH, financières : l'exposition RGPD et la RC cyber changent d'échelle, et vos propres clients grands comptes exigeront tôt ou tard une attestation cyber dans leurs contrats — comme pour la RC pro.
- Votre encaissement dépend-il des virements ? Si un faux IBAN peut détourner 50 000 € (BTP, négoce, grossistes), la garantie fraude — dans un contrat cyber ou séparée — mérite l'examen prioritaire, avec les procédures internes de contre-appel qui, elles, sont gratuites.
- Avez-vous déjà l'hygiène minimale ? Si non, l'ordre est imposé : prévention d'abord (elle conditionne l'assurabilité), assurance ensuite. Si oui, la souscription est rapide et la prime raisonnable — vous êtes précisément le profil que les assureurs veulent.
- Et si vous décidez de ne pas souscrire : actez-le comme une décision (auto-assurance du risque cyber, revue annuelle), pas comme un oubli. Un risque identifié, chiffré et assumé est une politique ; un risque jamais regardé est une roulette.
Bien acheter : les 5 points de comparaison qui départagent les contrats
Comme pour la RC pro et la multirisque, les écarts entre contrats à prime égale sont considérables. La grille de mise en concurrence :
- La qualité réelle de l'assistance : qui répond à 3 heures du matin — un plateau généraliste ou une équipe de réponse à incident nommée ? Demandez le nom du prestataire de crise et son délai d'intervention contractuel. C'est la question qui déclasse le plus de contrats.
- Le déclencheur des pertes d'exploitation : franchise en heures (8 h, 12 h, 24 h d'interruption ?) et durée d'indemnisation. Une carence de 24 h sur une activité qui perd 5 000 € par jour redéfinit sérieusement la valeur de la garantie.
- Le périmètre fraude et ingénierie sociale : couvert ou non, à quel plafond, avec quelles exigences de procédure interne (double validation des changements d'IBAN). Les refus de sinistre se concentrent ici.
- Les exclusions structurantes : failles connues non corrigées, systèmes en fin de support, actes de « guerre cyber » (clause devenue standard), sinistres antérieurs à la souscription. Lisez-les avant, pas après.
- La cohérence avec vos autres contrats : la frontière cyber / multirisque (bris de machine informatique) / RC pro (défaillance de prestation) doit être nette pour éviter le double payé et le trou entre deux polices. C'est typiquement le travail de cahier des charges à garanties identiques que nous décrivons sur notre page méthode — la cyberassurance s'y prête comme le reste.
Questions fréquentes
- Ma multirisque professionnelle ne couvre-t-elle pas déjà le risque cyber ?
- Rarement au-delà du symbolique : certaines multirisques incluent un volet « tous risques informatiques » (le matériel) ou une extension cyber d'appoint à petits plafonds, sans l'assistance de crise qui fait la valeur d'un vrai contrat cyber. Vérifiez ce que votre police actuelle prévoit noir sur blanc — c'est l'une des lignes de notre audit des contrats — avant de conclure que vous êtes couvert.
- L'assureur paiera-t-il la rançon si je décide de payer ?
- Certains contrats le prévoient, dans un cadre légal strict : depuis la loi LOPMI, l'indemnisation suppose un dépôt de plainte dans les 72 heures suivant le paiement. Mais la vraie réponse est en amont : l'ANSSI déconseille le paiement (aucune garantie de récupération, financement de la filière, re-ciblage), et une sauvegarde déconnectée testée rend la question largement théorique. Ne bâtissez jamais votre plan de continuité sur l'hypothèse du paiement.
- Que dois-je faire dans les premières heures d'une cyberattaque ?
- Isoler (déconnecter les machines touchées du réseau, sans les éteindre si possible pour préserver les preuves), appeler la hotline de votre contrat cyber si vous en avez un — c'est exactement son rôle —, ne pas payer ni répondre à l'attaquant, déposer plainte rapidement, et notifier la CNIL sous 72 heures si des données personnelles sont concernées. Le réflexe public utile : cybermalveillance.gouv.fr, qui oriente aussi les non-assurés.
- Un contrat cyber couvre-t-il le télétravail et les téléphones personnels ?
- Le télétravail est généralement couvert dès lors que les accès distants respectent les prérequis déclarés (VPN, MFA) — c'est d'ailleurs l'un des points du questionnaire. Les appareils personnels utilisés à titre professionnel (BYOD) sont une zone à clarifier contrat par contrat : selon les polices, ils sont inclus, exclus, ou couverts sous conditions de gestion. Si votre équipe travaille sur ses propres machines, posez la question par écrit avant de souscrire.
- Mon prestataire informatique me dit que ses propres assurances me protègent : vrai ?
- Sa RC professionnelle couvre les dommages causés par ses fautes à lui — pas les attaques que vous subissez sans faute de sa part, ni vos pertes d'exploitation, ni vos obligations RGPD. Les deux couvertures sont complémentaires, pas substituables. Demandez-lui en revanche son attestation RC pro et ses engagements de sécurité écrits : un prestataire sérieux les fournit sans se vexer.
- Les attestations cyber demandées par mes clients grands comptes : quel contrat suffit ?
- Les donneurs d'ordre exigent de plus en plus une cyberassurance avec des plafonds minimaux (souvent 500 000 € à 1 M€) et parfois des garanties précises (RC cyber, fraude). Relisez vos contrats-cadres avant de choisir vos plafonds — exactement comme pour la RC pro : c'est le besoin contractuel réel, pas le tarif, qui dimensionne la police. Et faites établir l'attestation par l'assureur au périmètre exact demandé.
Les contenus de ChefEntreprise sont rédigés et relus par l'équipe conseil d'EXP Capital, cabinet de courtage et d'optimisation dédié aux dirigeants de TPE/PME, immatriculé à l'ORIAS sous le n° 25005915 (vérifiable sur orias.fr) et membre du réseau Le Rempart Financier. Nos règles d'écriture — et nos conflits d'intérêts potentiels — sont documentés publiquement.
Et vous, où en est votre entreprise sur ce sujet ?
Lancez le diagnostic gratuit de 10 minutes et obtenez une analyse personnalisée sur la trésorerie, la mutuelle, la prévoyance, l'épargne salariale et les assurances.
Aucune carte bancaire requise · 100 % gratuit · Données confidentielles
À lire ensuite
Publié le 12 juillet 2026 · Mis à jour le 12 juillet 2026 · ChefEntreprise