A l’occasion du mois européen de la cybersécurité, décliné en France sous le nom de Cybermois, NousAssurons alerte sur un fait désormais avéré : les petites et moyennes entreprises sont devenues la première cible des cybercriminels. Près de 50 % des victimes de rançongiciel en France sont des TPE, PME ou ETI, contre 37 % un an plus tôt.
Pourtant, moins d'une TPE-PME sur quatre déclare être assurée contre le risque cyber.
Coût réel
d'une attaque, limites des contrats existants, obligation de porter plainte sous
72 heures pour être indemnisé : le réseau de courtage en assurance spécialisé
dans l’assurance des entreprises et des entrepreneurs fait le point.
Les PME en première
ligne d'une cybercriminalité industrialisée
En 2025, l'ANSSI a traité 128 compromissions par rançongiciel. Les TPE, PME et ETI représentent près de la moitié des victimes, loin devant les collectivités territoriales (11 %) et les établissements de santé
(8 %). Le dispositif Cybermalveillance.gouv.fr
dresse le même constat : les demandes d'assistance des entreprises et
associations ont bondi de 73 % en un an. Les menaces les plus fréquentes sont
le piratage de compte (21 % des demandes), l'hameçonnage (16 %) et la fraude au
faux ordre de virement (13,5 %). Cette dernière a presque doublé en un an (+93
%). Sur le terrain, le phénomène n'a plus rien d'exceptionnel. Selon le
Baromètre France Num 2026, publié fin septembre par la Direction générale des
Entreprises, 39 % des TPE-PME déclarent avoir été confrontées à un incident de
cybersécurité au cours des douze derniers mois.
« Beaucoup de
dirigeants pensent encore que leur entreprise est trop petite pour intéresser
les pirates. C'est l'inverse. Les attaques sont automatisées, elles visent le
plus grand nombre et réussissent là où les défenses sont les plus faibles.
Aujourd'hui, près d'une victime de rançongiciel sur deux est une petite ou
moyenne entreprise. Le risque cyber n'est plus un risque de grand groupe, c'est
un risque de TPE et de PME », explique Jérôme Robin, fondateur de
NousAssurons.
Une attaque peut
effacer plusieurs années de résultat
Pour une petite
structure, l'addition est lourde. Selon Nousassurons, le coût d'une
cyberattaque pour une TPE-PME se situe entre 20 000 et 600 000 euros, soit 3 à
10 % de son chiffre d'affaires annuel. Un rançongiciel peut paralyser
l'activité de 5 à 20 jours. Le rapport Hiscox 2026 évalue l'impact financier
moyen d'une attaque à 46 000 euros pour une PME française.
Ces montants
additionnent plusieurs postes. Il faut d'abord payer des experts pour reprendre
la main sur le système d'information et reconstituer les données. S'y ajoutent
la perte d'exploitation pendant l'arrêt, les frais juridiques, la notification
des clients en cas de fuite de données, et la responsabilité engagée vis-à-vis
de tiers. Dans le cas d'une fraude au faux virement, la somme détournée est le
plus souvent perdue.
Une protection qui
recule alors que le risque progresse
Le paradoxe est
frappant : seule une PME sur 4 a souscrit une assurance cyber, un taux en léger
recul sur un an. Le rapport Hiscox 2026 fait le même constat : 27,6 % des
TPE-PME françaises disposent d'une police cyber dédiée, contre 33,6 % un an
plus tôt. Et 45 % déclarent n'avoir aucune couverture contre ce risque, sous
quelque forme que ce soit.
Une partie de ce
déficit tient à une idée reçue : beaucoup de dirigeants pensent que leur
responsabilité civile professionnelle couvre ce risque. Ce n'est pas le cas.
Seul un contrat cyber dédié prend en charge les conséquences d'une attaque.
« La cyberassurance
n'est pas un luxe de grand groupe. Pour une micro-entreprise, la prime moyenne
représente moins de 2 euros par jour. Face à un sinistre qui se chiffre en
dizaines, voire en centaines de milliers d'euros, le calcul est vite fait. Le
vrai luxe aujourd'hui, c'est de prendre le risque de ne pas être assuré », souligne
Jérôme Robin.
72 heures pour porter
plainte : la condition de l'indemnisation que beaucoup ignorent
Depuis la loi
d'orientation et de programmation du ministère de l'Intérieur (LOPMI) du 24
janvier 2023, l'article L.12-10-1 du Code des assurances encadre
l'indemnisation des cyberattaques. Cette indemnisation est subordonnée au dépôt
d'une plainte au plus tard 72 heures après que la victime a pris connaissance
de l'attaque. Une simple pré-plainte en ligne ne suffit pas. Sans plainte dans
ce délai, l'assureur peut refuser de prendre en charge les pertes et dommages.
Un second délai de 72 heures s'applique si des données personnelles ont été
compromises : la notification de la violation à la CNIL, imposée par le RGPD.
Le risque d'oublier ces
démarches est réel. « Dans les heures qui suivent une
cyberattaque, le dirigeant d'une PME doit gérer l'urgence technique, rassurer
ses clients et tenter de relancer son activité. C'est précisément à ce
moment-là que l'on oublie la plainte, alors que sans elle l'indemnisation peut
être refusée. Notre rôle de courtier est d'expliquer ces obligations dès la
souscription, puis d'accompagner l'assuré pas à pas le jour du sinistre :
déclaration à l'assureur, dépôt de plainte, notification à la CNIL si des
données personnelles sont touchées. Un bon contrat ne sert à rien si on en perd
le bénéfice pour une question de délai », insiste Jérôme Robin.
Les points à vérifier
avant de souscrire
NousAssurons recommande
de comparer les contrats sur leurs garanties plutôt que sur leur seul prix. Le premier point est
une assistance d'urgence joignable 24h/24, capable de mobiliser des experts en
réponse à incident dès les premières heures. Viennent ensuite la prise en
charge des frais de restauration des systèmes et de reconstitution des données,
puis la couverture de la perte d'exploitation, souvent le poste le plus lourd.
Il faut aussi vérifier la garantie fraude au faux virement, parfois proposée en
option, et la responsabilité civile liée aux données de tiers. Enfin, il
convient de bien lire les conditions de sécurité exigées par l'assureur, comme
les sauvegardes externes ou l'authentification multi-facteurs : leur
non-respect peut réduire l'indemnisation.
Un engagement fort pour
la protection des entreprises
À l'occasion du Cybermois, NousAssurons souhaite accompagner les entreprises dans leur lutte contre la cybercriminalité en leur expliquant en quoi l'assurance cyber est un levier stratégique pour garantir leur résilience, et parfois leur survie, face aux nouvelles menaces informatiques. « Notre objectif est de transformer l'assurance cyber en un véritable outil de gestion du risque. Il ne s'agit plus seulement d'indemniser après un sinistre, mais d'accompagner les entreprises en amont et de les aider à minimiser leur exposition aux cybermenaces », conclut Jérôme Robin.