Vos sauvegardes datent
de quand, exactement ?
Vous hésitez. C'est le sujet.

TPE de services peu exposées, avec les bonnes pratiques de base en place : MFA généralisé et sauvegardes testées.

Activités sensibles (SaaS, santé, retail) ou dépendances fournisseurs critiques et volumes de données importants.

Non, il n'y a pas d'obligation générale. Mais elle est de plus en plus exigée par contrat : par les grands comptes, les investisseurs et certains donneurs d'ordre publics. DORA et NIS2 renforcent par ailleurs les exigences de résilience pour certaines entités.

Les études ASTERÈS/CRIP, CESIN et Hiscox situent le coût médian d'un incident pour une PME entre 45 000 € et 110 000 €, avec une interruption médiane de l'ordre de trois semaines. La part la plus lourde n'est pas la restauration technique : c'est le chiffre d'affaires perdu.

Vous n'êtes pas ciblé, vous êtes balayé. Les campagnes sont automatisées et cherchent des failles, pas des noms. Une TPE avec un logiciel métier non patché est une cible plus facile qu'un grand compte, et elle a moins de trésorerie pour encaisser.

Vous serez probablement inassurable, ou assuré avec une exclusion qui vide la garantie de son sens. L'absence de sauvegardes isolées et testées est l'exclusion la plus classique. La bonne nouvelle : c'est aussi le levier le moins cher pour faire baisser la prime.

L'estimation est disponible en continu. Un devis complet demande en général de trente minutes à trois heures si le dossier est complet. La souscription reste conditionnée à l'éligibilité et aux pièces justificatives.

Qu'est-ce qu'une assurance cyber, exactement ?

Une police cyber finance les coûts d'un incident numérique : investigation technique, remise en service, pertes d'exploitation, obligations RGPD, communication de crise et défense juridique.

Elle ne remplace pas votre sécurité informatique et n'empêche aucune attaque. Elle intervient au moment où vos défenses ont été franchies, pour payer ce que vous ne pouvez pas absorber : les experts en réponse à incident mobilisés dans l'heure, les semaines de chiffre d'affaires perdues, les avocats et la cellule de communication.

C'est une différence de nature avec la RC Professionnelle, qui indemnise les tiers lésés. La police cyber indemnise d'abord vous. Les deux se déclenchent souvent sur le même sinistre : une fuite de données provoque à la fois vos propres frais de restauration et des réclamations clients.

Qui a réellement besoin d'être couvert ?

Toute structure qui perdrait de l'argent si ses systèmes s'arrêtaient trois semaines, et toute structure qui détient des données personnelles.

Concrètement : les PME manipulant des données clients, les sites e-commerce, les cabinets comptables, médicaux et juridiques, les éditeurs SaaS, et les sous-traitants critiques de grands comptes. Ces derniers sont de plus en plus souvent contraints par contrat de justifier d'une couverture.

L'idée que les TPE seraient trop petites pour intéresser un attaquant est fausse depuis longtemps. Les campagnes sont automatisées : elles scannent des failles, pas des noms. Une petite structure avec un logiciel métier non mis à jour est une cible plus rentable qu'un grand groupe, parce qu'elle paie plus vite et se défend moins bien.

Combien coûte une assurance cyber en 2026 ?

À titre indicatif et non contractuel : 400 à 1 500 € par an pour une TPE de services peu exposée, 1 500 à 6 000 € par an pour un profil sensible ou fortement dépendant de prestataires.

Le tarif se construit sur cinq variables : votre chiffre d'affaires, le volume et la sensibilité des données traitées, l'état de vos sauvegardes, la généralisation de l'authentification multifacteur, et la criticité de vos dépendances fournisseurs. Le secteur d'activité module l'ensemble, la santé et la finance sont structurellement plus chères.

Contre-intuitivement, ce n'est donc pas la taille qui pèse le plus, mais la maturité. Deux entreprises au même chiffre d'affaires peuvent voir leur prime varier du simple au triple selon la qualité de leur dossier technique. C'est le levier sur lequel vous avez la main.

Combien coûte une cyberattaque, si l'on ne fait rien ?

Les études ASTERÈS/CRIP, CESIN et Hiscox situent le coût médian d'un incident pour une PME française entre 45 000 € et 110 000 €, hors pénalités contractuelles.

La durée d'interruption médiane après un ransomware ou une attaque sur la chaîne d'approvisionnement se situe autour de 19 à 23 jours. C'est cette durée, et non la facture technique, qui fait l'essentiel du sinistre : trois semaines sans facturer, avec les charges qui continuent, mettent en difficulté une majorité de TPE.

S'y ajoutent des coûts moins visibles mais durables : la perte de confiance client, les pénalités de retard sur des engagements contractuels, et le temps de direction absorbé par la gestion de crise pendant plusieurs semaines.

Que couvre concrètement la police, garantie par garantie ?

Quatre blocs constituent le socle de la plupart des programmes : frais IT et forensic, perte d'exploitation, communication de crise, protection juridique.

Les frais IT et forensic financent l'équipe de réponse à incident : analyse des journaux, identification du vecteur d'entrée, éradication, restauration des données et validation de la remise en service. Certains contrats couvrent aussi le test d'intrusion post-incident.

La perte d'exploitation indemnise le chiffre d'affaires perdu et les charges fixes pendant l'arrêt, ainsi que les frais supplémentaires engagés pour tenir : location de matériel, heures supplémentaires, prestataires ponctuels. Les meilleures offres étendent cette garantie aux dépendances fournisseurs, à condition qu'elles aient été déclarées à la souscription.

La communication de crise donne accès à une cellule de relations publiques, à une hotline clients et à une surveillance des fuites sur le dark web. La protection juridique prend en charge les honoraires d'avocats, la défense face aux recours de tiers, le recours contre un prestataire défaillant et l'assistance lors des contrôles CNIL ou ACPR.

Quelles exclusions vous feront refuser l'indemnisation ?

Les quatre plus fréquentes : actes intentionnels, absence de sauvegardes, non-respect des mesures déclarées lors de la souscription, et amendes administratives.

L'absence de sauvegardes isolées et testées est de loin le premier motif de litige. Les assureurs la vérifient à la souscription et la re-vérifient au sinistre. Déclarer des sauvegardes que l'on n'a jamais testées revient à souscrire une police vide.

Le second piège est la déclaration inexacte : si vous avez indiqué une authentification multifacteur généralisée et que l'attaque est passée par un compte qui n'en avait pas, l'indemnisation peut être contestée. La souscription est un moment de vérité technique, pas un formulaire administratif.

Enfin, les sanctions administratives (typiquement une amende CNIL) ne sont généralement pas assurables en droit français. La police finance la défense et la mise en conformité, pas la pénalité elle-même.

RGPD et DORA : ce que la réglementation exige vraiment

Le RGPD impose de notifier la CNIL sous 72 heures. DORA, applicable depuis le 17 janvier 2025, impose aux entités financières et à leurs prestataires TIC critiques un plan de résilience documenté.

Aucun des deux textes ne rend l'assurance cyber obligatoire. Tous deux imposent en revanche des obligations qui coûtent cher à honorer en situation de crise : analyse d'impact, notification des personnes concernées, hotline, reporting d'incident dans des délais courts, documentation des mesures correctives. C'est précisément ce que la police finance.

Pour les entités soumises à DORA, le calendrier de supervision s'est resserré en 2025-2026, avec des tests de résilience avancés pour les entités significatives et une supervision directe de certains prestataires TIC critiques. L'assurance ne vous met pas en conformité : elle vous donne les moyens humains de la démontrer.

Comment faire baisser votre prime avant même de demander un devis

Cinq mesures techniques font davantage pour votre tarif que n'importe quelle négociation commerciale.

Généraliser l'authentification multifacteur sur la messagerie, le VPN et les outils critiques. Mettre en place des sauvegardes isolées et testées selon la règle 3-2-1. Maintenir un patching régulier avec un antivirus ou un EDR actif. Sensibiliser les équipes au phishing et appliquer le moindre privilège sur les accès. Documenter un plan de réponse à incident, même court.

Les assureurs regardent aussi la dimension organisationnelle : formation, audits, tests d'intrusion, plans de continuité. Un dispositif de détection et réponse, même externalisé, est un signal fort de maturité. C'est la raison pour laquelle je fais toujours commencer par une évaluation avant de solliciter le marché : un dossier documenté se négocie, un dossier vide se subit.