Le marché de la cyberassurance s’ouvre largement aux PME : selon l’étude LUCY 2026 de l’AMRAE, le nombre d’entreprises assurées a bondi de 49 % en un an, pour atteindre près de 21 000, avec une quasi-multiplication par deux chez les entreprises moyennes. Mais un contrat de cyberassurance n’est pas une protection en soi : il suppose des mesures de sécurité réelles, déclarées dans un questionnaire qui engage l’assuré. Une réponse inexacte peut réduire l’indemnisation, voire annuler le contrat. Voici les contrôles techniques à réaliser avant de signer ou de renouveler.
L’essentiel en 30 secondes
- Les assureurs vérifient surtout : authentification multifacteur, sauvegardes hors ligne testées, EDR, mises à jour, comptes à privilèges et plan de réponse.
- Le questionnaire doit décrire la réalité vérifiée, pas l’intention : une fausse déclaration a des conséquences juridiques.
- En cas d’attaque, une plainte dans les 72 heures conditionne l’indemnisation (article L. 12-10-1 du Code des assurances).
- Lisez les exclusions, les franchises (y compris en temps) et les sous-limites, notamment pour la fraude au virement.
Le marché en 2025-2026
| Indicateur (étude LUCY 2026, données 2025) | Valeur |
|---|---|
| Entreprises assurées | 20 996 (+49 %) |
| dont micro-entreprises | 9 360 (+35 %) |
| dont petites entreprises | 5 547 (+45 %) |
| dont entreprises moyennes | 3 769 (+97 %) |
| Nombre de sinistres indemnisés | 1 251 (+179 %) |
| Montant indemnisé | 83,2 M€ (+53 %) |
| Franchise moyenne d’une micro-entreprise | environ 1 100 € |
Les tarifs ont baissé pendant trois ans sous l’effet de la concurrence, mais la sinistralité remonte : l’AMRAE s’interroge sur la durabilité de cette détente. Les exigences de sécurité, elles, ne faiblissent pas.
Les contrôles que les assureurs examinent
| Domaine | Ce qui est attendu | Comment le vérifier |
|---|---|---|
| Authentification multifacteur | Sur la messagerie, tous les accès distants (VPN, bureau à distance) et les comptes d’administration | Rapport de la console Microsoft 365 ou Google, liste des comptes sans MFA, configuration du VPN |
| Sauvegardes | Au moins une copie hors ligne ou immuable, chiffrée, avec restauration testée | Date du dernier test de restauration réussi, documentée (voir tester la restauration) |
| Protection des postes et serveurs | EDR sur tous les postes et serveurs, de préférence surveillé | Console : nombre d’équipements couverts contre l’inventaire (voir EDR, XDR et antivirus) |
| Mises à jour | Correctifs critiques appliqués sous un délai défini ; pas de système en fin de support exposé | Rapport de conformité des mises à jour, inventaire des versions |
| Comptes à privilèges | Comptes d’administration séparés et peu nombreux, mots de passe locaux uniques | Liste des membres des groupes d’administration ; Windows LAPS |
| Accès distants | Aucun bureau à distance exposé sur Internet | Scan externe de vos adresses publiques (voir sécuriser RDP) |
| Messagerie | Filtrage, SPF, DKIM et DMARC | Outils de test des enregistrements DNS |
| Sensibilisation | Formation régulière des utilisateurs | Feuilles de présence, dates des sessions |
| Réponse à incident | Plan écrit, contacts à jour, exercice | Document daté (voir le playbook des 60 premières minutes) |
| Prestataires | Accès des tiers contrôlés et tracés | Liste des accès, contrats |
Le questionnaire : répondre juste
Le Code des assurances sanctionne la fausse déclaration du risque : nullité du contrat si elle est intentionnelle (article L. 113-8), réduction de l’indemnité en proportion des primes si elle ne l’est pas (article L. 113-9). Concrètement :
- répondez sur la base de vérifications (rapports, captures), pas de souvenirs ;
- si une mesure est partielle (MFA sur 90 % des comptes), dites-le et indiquez la date prévue de généralisation ;
- conservez les preuves de l’état déclaré à la date de souscription ;
- signalez les changements importants en cours de contrat (nouveau site, fusion, nouveau système exposé).
Ce qu’il faut lire dans le contrat
- Garanties : frais de gestion de crise et d’investigation, restauration des données, perte d’exploitation, responsabilité civile, frais de notification, cyberextorsion.
- Franchise de temps pour la perte d’exploitation : la garantie ne joue souvent qu’après un certain nombre d’heures d’interruption.
- Sous-limites : la fraude au virement ou au président est fréquemment exclue ou plafonnée bas.
- Exclusions : actes de guerre ou attaques étatiques, systèmes obsolètes connus, défaut de mise à jour.
- Obligations en cas de sinistre : délai de déclaration, recours obligatoire aux prestataires de l’assureur, plainte sous 72 heures.
- Assistance 24 h/24 : numéro, délais d’intervention, langue.
Questions fréquentes
Une TPE a-t-elle intérêt à s’assurer ?
Souvent oui, ne serait-ce que pour l’assistance immédiate en cas d’attaque et la prise en charge des frais d’investigation et de restauration. Les franchises des micro-entreprises sont désormais modestes.
L’assurance paie-t-elle les rançons ?
Le droit français autorise l’assurance du remboursement d’une rançon sous condition de plainte dans les 72 heures, mais beaucoup de contrats l’excluent et les autorités recommandent de ne pas payer.
Que faire si je ne coche pas toutes les cases ?
Établissez un plan de mise en conformité daté. Certains assureurs acceptent un engagement, d’autres ajustent la prime ou la franchise.
L’assureur viendra-t-il vérifier ?
Parfois avant la souscription (scan externe, entretien), presque toujours après un sinistre. C’est à ce moment que les écarts avec le questionnaire se révèlent.
Sources
- AMRAE, étude LUCY 2026 sur l’assurance du risque cyber.
- Direction générale du Trésor, FAQ sur l’obligation de dépôt de plainte (article L. 12-10-1 du Code des assurances).
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous réalisons un état des lieux avant souscription lors d’un audit de votre parc. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
