Cyber-assurance TPE PME : garanties, prix et comment choisir en 2026

Un ransomware chiffre l’ensemble de vos serveurs un vendredi soir. Vos équipes ne peuvent plus travailler lundi matin. Chaque jour d’arrêt coûte en moyenne 25 000 € à une TPE, selon la dernière étude de l’ANSSI publiée en juin 2026. La cyber-assurance couvre ce risque. Elle prend en charge la rançon (quand la loi l’autorise), la reconstitution des données, l’interruption d’activité et la notification à la CNIL. Ce guide de courtier explique concrètement quelles garanties chercher, combien vous allez payer et comment nous comparons les offres pour nos clients TPE et PME.

En bref : une cyber-assurance TPE-PME coûte entre 350 € et 5 000 € par an selon la taille et le secteur. Elle n’est pas obligatoire mais devient un prérequis pour signer certains marchés. Cinq garanties clés : gestion de crise 24/7, cyber-extorsion, reconstitution de données, RC cyber (dont notification CNIL) et fraude en ligne. Notre avis de courtier : viser un plafond global d’au moins 250 000 € pour une TPE de moins de 20 salariés. Prévoir aussi un audit de sécurité en amont.

Cyber-assurance : à quoi elle sert vraiment

La cyber-assurance est un contrat qui indemnise votre entreprise après une attaque informatique. Elle couvre trois familles de dommages : les frais engagés pour rétablir votre activité (informatique, communication, juridique), les pertes financières liées à l’arrêt de production et votre responsabilité vis-à-vis des tiers dont les données ont fuité.

Le taux d’équipement des TPE et PME françaises reste faible. Il stagnait sous les 3 % en 2023 selon L’Argus de l’assurance. Il a franchi les 8 % en 2026 sous la pression des cyber-attaques ciblant les petites structures. Les grands comptes sont désormais assurés à plus de 90 %, laissant les hackers se rabattre sur les cibles plus vulnérables.

Le rapport 2025 du Panorama de la cybermenace de l’ANSSI classe les TPE et PME comme premières victimes des attaques par rançongiciel en France. 60 % des entreprises attaquées ferment dans les 18 mois qui suivent, faute de trésorerie pour absorber le choc.

Les cinq garanties d’un contrat cyber-risques sérieux

Toutes les polices cyber ne se valent pas. Nous vérifions systématiquement cinq blocs de garanties avant de proposer un contrat à nos clients. Un contrat qui n’en couvre que deux ou trois n’est pas un vrai contrat cyber : c’est un placement commercial.

Assistance et gestion de crise 24/7

C’est la garantie la plus importante en pratique. En cas d’attaque, vous appelez un numéro et une cellule de crise se met en marche : expert forensic pour comprendre l’origine, prestataire pour reprendre le contrôle, avocat pour cadrer la réponse. Sans cette assistance, un dirigeant seul perd 48 heures à chercher les bons prestataires. Ce risque humain concentré sur une seule personne rejoint la logique de l’assurance homme clé du dirigeant d’entreprise.

Cyber-extorsion et rançongiciels

La garantie couvre les frais de négociation avec les attaquants, le paiement éventuel de la rançon quand la loi française l’autorise. Surtout les frais de reconstitution des données chiffrées. Depuis la loi n° 2023-22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’Intérieur (LOPMI), le paiement d’une rançon n’est indemnisable qu’à la condition d’avoir déposé plainte dans les 72 heures. Le texte est consultable sur Légifrance.

Reconstitution des données et interruption d’activité

Cette garantie prend en charge la restauration des systèmes, le rachat de licences, la reconfiguration des postes et la perte de marge brute pendant l’arrêt. C’est de loin le poste le plus lourd financièrement. Une PME industrielle qui perd son ERP pendant dix jours facture entre 150 000 € et 400 000 € de manque à gagner. Vérifiez toujours le délai de carence : certains contrats n’indemnisent qu’à partir de 24 ou 48 heures d’interruption.

Responsabilité civile cyber et notification CNIL

Quand des données personnelles fuient, votre entreprise doit notifier la CNIL sous 72 heures conformément à l’article 33 du RGPD, prévenir les personnes concernées si le risque est élevé, et peut être poursuivie par ses clients ou partenaires. La RC cyber prend en charge les frais d’avocat, les dommages-intérêts et les frais de communication de crise. Le plafond doit être calibré au volume de données que vous traitez.

Fraude en ligne et fraude au président

Un salarié reçoit un mail imitant celui du dirigeant demandant un virement urgent. Il s’exécute. La perte peut atteindre plusieurs centaines de milliers d’euros. Cette garantie est souvent en option ou plafonnée à 50 000 €. Pour les entreprises qui gèrent des flux financiers importants, nous recommandons de la sur-plafonner à 150 000 € minimum.

Combien coûte une cyber-assurance en 2026 ?

Le tarif dépend de trois variables : la taille de l’entreprise (chiffre d’affaires et effectif), le secteur d’activité (santé, finance et industrie paient plus cher) et le niveau de maturité cybersécurité (sauvegardes, EDR, authentification forte). Voici les fourchettes que nous observons chez nos clients franciliens.

Profil	CA annuel	Prime annuelle	Plafond global recommandé
Micro-entreprise, freelance	< 200 K€	350 à 700 €	50 000 à 100 000 €
TPE (5 à 20 salariés)	200 K€ à 2 M€	700 à 2 500 €	250 000 à 500 000 €
PME (20 à 50 salariés)	2 à 10 M€	1 500 à 5 000 €	500 000 à 1 M€
PME (50 à 250 salariés)	10 à 50 M€	5 000 à 20 000 €	1 à 5 M€
Secteur sensible (santé, finance)	toutes tailles	+30 à +80 %	doublé

Ces primes sont indicatives. Un cabinet médical de 8 personnes traitant des données de santé paiera 2 000 à 3 500 € pour un contrat correct, tandis qu’un cabinet d’architectes du même effectif tournera autour de 900 à 1 500 €. Le secteur pèse autant que la taille.

Notre avis de courtier : ne cherchez pas la prime la plus basse. Le vrai critère est le plafond global et la qualité de la cellule de gestion de crise. Un contrat à 500 € qui plafonne à 30 000 € et sous-traite l’assistance à un centre d’appel générique ne vous sauvera pas d’un ransomware sérieux.

Cyber-assurance obligatoire : ce que dit la loi

La cyber-assurance n’est pas obligatoire par la loi française pour les entreprises privées. Aucun texte ne l’impose. En revanche, elle devient un prérequis contractuel dans plusieurs situations concrètes.

Les grands donneurs d’ordre l’exigent de plus en plus dans leurs appels d’offres. Un sous-traitant automobile, un prestataire IT ou un fournisseur de services aux collectivités se voit demander la preuve d’une couverture cyber avec des plafonds précis. Les acteurs soumis à la directive européenne NIS 2, transposée en droit français en octobre 2024, doivent démontrer qu’ils gèrent leurs risques cyber, ce qui pousse mécaniquement à souscrire une police.

La directive NIS 2 s’applique aux entreprises de plus de 50 salariés ou 10 M€ de CA dans les secteurs essentiels : énergie, transport, santé, eau, infrastructures numériques, administration publique, banques, poste. Les sous-traitants de ces entités subissent une pression contractuelle équivalente.

Cas concret : notre simulation pour une TPE parisienne

Prenons le profil d’un de nos clients récents. Cabinet d’expertise-comptable à Levallois, 12 salariés, 1,4 M€ de CA, données comptables de 380 clients dont 60 professions libérales. Sauvegardes quotidiennes chiffrées, antivirus professionnel, MFA sur la messagerie, pas d’EDR ni de SOC.

Nous avons interrogé quatre assureurs pour ce dossier. Les primes proposées oscillaient entre 1 850 € et 3 200 € par an, pour des plafonds allant de 250 000 € à 1 M€. Le contrat retenu : 2 100 € annuels, plafond global 500 000 €, franchise 2 500 €, cellule de crise Stoïk-CyberProtect avec intervention garantie sous 4 heures, sur-plafond fraude au président porté à 100 000 €.

Six mois après la souscription, tentative de phishing ciblée sur la comptable. Elle appelle la hotline avant de cliquer. Un expert vérifie l’e-mail, confirme qu’il s’agit d’une usurpation, guide la réponse. Coût pour le cabinet : zéro. Coût pour l’assureur : deux heures de forensic incluses dans la prestation. La cellule de crise sert autant avant l’attaque qu’après.

Notre méthode pour comparer les offres cyber

Nous refusons les comparateurs en ligne pour la cyber-assurance. Cette exigence rejoint notre méthode générale, détaillée dans notre guide sur comment réussir le choix de sa police d’assurance. Chaque contrat contient des exclusions et des sous-plafonds que seul un examen ligne à ligne permet de repérer. Notre grille de lecture repose sur six critères, dans cet ordre.

D’abord, l’identité de la cellule de crise. Ni le nom de l’assureur ni le prix ne comptent autant que le nom du prestataire d’intervention. Stoïk, Coalition, Hiscox, AIG et Beazley disposent d’équipes solides. Certains contrats moins chers renvoient vers des centres d’appel sans expertise réelle.

Ensuite, le montant du plafond global et surtout la présence de sous-limites. Un plafond affiché à 1 M€ n’a pas de valeur si la rançon est plafonnée à 50 000 € et l’interruption d’activité à 100 000 €. Nous chiffrons systématiquement les sous-limites.

Troisième point, les exclusions. Les guerres d’État, les attaques attribuées à un État étranger, les vulnérabilités connues et non patchées depuis plus de 30 jours, l’absence de sauvegardes vérifiées sont fréquemment exclues. Un client mal informé découvre l’exclusion le jour du sinistre.

Quatrième critère, la franchise. Elle oscille entre 1 500 € et 10 000 €. Nous conseillons une franchise moyenne (2 500 à 5 000 €) pour équilibrer prime et implication de l’entreprise dans la prévention.

Cinquième, les obligations préalables. La plupart des assureurs exigent des sauvegardes hors ligne testées trimestriellement, l’authentification à deux facteurs sur les accès sensibles et un plan de continuité d’activité formalisé. Si ces conditions ne sont pas remplies, l’indemnisation peut être refusée.

Enfin, le service de prévention inclus. Les meilleurs contrats fournissent des audits annuels, des simulations de phishing pour sensibiliser les équipes et un tableau de bord des risques. Cet accompagnement vaut plus que 20 % de prime en moins.

Foire aux questions

Quel est le tarif d’une cyber-assurance pour une PME en 2026 ?

Pour une PME de 20 à 50 salariés, la prime annuelle se situe entre 1 500 € et 5 000 € selon le secteur et le niveau de maturité cyber. Les cabinets médicaux, laboratoires, sociétés de services financiers et industries paient dans le haut de la fourchette. Les cabinets de conseil ou d’architecture paient plutôt entre 1 500 et 2 500 €.

La cyber-assurance est-elle obligatoire ?

Non, aucun texte de loi n’oblige les entreprises françaises à souscrire une cyber-assurance. Elle devient toutefois un prérequis contractuel pour répondre à certains appels d’offres publics ou pour sous-traiter avec des grands comptes. La directive européenne NIS 2 pousse indirectement les entités essentielles et importantes à s’assurer.

Quelle est la meilleure cyber-assurance pour une TPE ?

Il n’existe pas de meilleur contrat dans l’absolu. Le bon contrat dépend de votre secteur, de votre chiffre d’affaires et de votre maturité cybersécurité. Chez Allègre Assurances, nous comparons quatre à six offres par dossier parmi Stoïk, Hiscox, Beazley, AIG, Coalition et les contrats packagés des grands assureurs traditionnels. Le critère décisif reste l’identité et la réactivité de la cellule de gestion de crise.

Quels sont les trois piliers de la cybersécurité en entreprise ?

Les trois piliers reconnus par l’ANSSI sont la prévention (sauvegardes, authentification forte, formation des équipes), la détection (EDR, supervision des logs, tests d’intrusion) et la réaction (plan de continuité, cellule de crise, assurance cyber). La cyber-assurance couvre principalement le troisième pilier mais impose souvent des exigences sur les deux premiers.

La cyber-assurance couvre-t-elle le paiement d’une rançon ?

Oui, sous conditions strictes depuis la LOPMI de janvier 2023. Le paiement de la rançon n’est indemnisable qu’à la condition d’avoir déposé plainte dans les 72 heures suivant le paiement. L’assureur exige également la démonstration que le paiement était la seule solution pour éviter un dommage majeur. Nous conseillons toujours à nos clients de refuser de payer et de miser sur la reconstitution via sauvegardes.

Que faire en cas de cyberattaque quand on est assuré ?

Trois réflexes dans l’ordre. D’abord, débrancher les machines infectées du réseau sans les éteindre pour préserver les traces. Ensuite, appeler la cellule de crise de l’assureur avant même la CNIL ou la police. Enfin, déposer plainte dans les 72 heures et notifier la CNIL sous le même délai si des données personnelles sont concernées. La cellule de crise pilote toutes ces démarches.

Ma responsabilité civile professionnelle couvre-t-elle les cyber-risques ?

Non, sauf mention explicite dans le contrat. La responsabilité civile professionnelle classique couvre les dommages causés aux tiers dans l’exercice du métier, pas les conséquences d’une attaque informatique. Certaines multirisques professionnelles proposent une option cyber-risques, mais avec des plafonds limités (souvent 50 000 à 100 000 €) qui suffisent rarement pour un sinistre sérieux.

Faut-il un audit de sécurité avant de souscrire ?

La plupart des assureurs demandent un questionnaire de souscription détaillé (30 à 80 questions) sur vos systèmes, sauvegardes, formations et procédures. Certains exigent un audit externe pour les contrats au-dessus de 500 000 € de plafond. Nous accompagnons nos clients dans la préparation de ce questionnaire : une réponse imprécise ou fausse peut annuler la garantie.

Notre accompagnement chez Allègre Assurances

Nos courtiers à Levallois et Paris 9ème gèrent une cinquantaine de contrats cyber pour des TPE et PME franciliennes : cabinets d’expertise-comptable, laboratoires d’analyses, agences d’architecture, sociétés de services numériques, industriels sous-traitants. Nous proposons un diagnostic personnalisé en 20 minutes pour cadrer votre besoin réel, puis une mise en concurrence de quatre à six assureurs sur la base d’un questionnaire commun. Contactez-nous pour un premier échange.