Le marché français de l’assurance cyber affiche un paradoxe rarement commenté : les primes baissent alors que les sinistres explosent. L’étude LUCY 2025 de l’AMRAE, portée sur plus de 20 000 polices, révèle que les sinistres indemnisés sont passés de 54,5 millions d’euros à 83,2 millions d’euros en un an, soit une hausse de 53 %.
Dans le même temps, les primes pour les grandes entreprises ont chuté en moyenne de 32 %. Ce décalage entre le coût réel des attaques et le prix de la couverture pose une question directe à toute entreprise : que vaut réellement votre contrat d’assurance cyber aujourd’hui ?
A lire également : Téléchargez le plan parc Disney en PDF pour optimiser votre visite et éviter l'attente
Primes en baisse et sinistres en hausse : ce que le soft market change pour les PME
Le terme « soft market » désigne une phase où la concurrence entre assureurs pousse les tarifs vers le bas et élargit les garanties proposées. Liberty Specialty Markets confirme cette tendance à l’échelle européenne, malgré des pertes élevées et des risques amplifiés par l’intelligence artificielle.
Pour une PME, cette conjoncture semble favorable : accéder à une couverture cyber coûte moins cher qu’il y a deux ans. En revanche, cette baisse de primes ne reflète pas une diminution du risque. Elle traduit un appétit commercial des assureurs qui pourrait se retourner brutalement si la sinistralité continue de grimper.
A découvrir également : Tout savoir sur l'amortissement d'un parking : règles, conseils et fiscalité
Le danger concret pour les entreprises qui souscrivent maintenant est de se retrouver, au renouvellement, face à des hausses tarifaires soudaines ou à des exclusions de garantie ajoutées en cours de contrat. Un contrat signé en soft market n’engage pas l’assureur à maintenir ses conditions. Avant de signer, il faut examiner les clauses de renouvellement et les mécanismes de révision tarifaire, pas seulement le montant de la prime initiale.
Pour comprendre l’assurance cyber risques dans ses mécanismes fondamentaux, il faut d’abord saisir que le prix d’une police ne dit rien sur la qualité de la protection offerte.
Sous-assurance cyber : le vrai problème des entreprises françaises
L’enquête 2025 de l’Association suisse d’assurances révèle un chiffre frappant : seulement 10,8 % des entreprises disposent d’une assurance cyber, malgré une hausse de 22 % des primes collectées en 2024. Les données françaises disponibles suggèrent une situation comparable, voire plus marquée pour les TPE et PME.
La sous-assurance ne se limite pas à l’absence totale de contrat. Elle concerne aussi les entreprises qui détiennent une police dont les plafonds de garantie sont déconnectés de leur exposition réelle. Une entreprise qui stocke les données personnelles de plusieurs milliers de clients, mais dont la couverture plafonne à quelques dizaines de milliers d’euros en frais de notification, se retrouve en difficulté dès le premier incident sérieux.
Trois signaux d’alerte d’une couverture inadaptée
- Le contrat ne mentionne pas explicitement la prise en charge des frais de gestion de crise (communication, expertise forensique, assistance juridique), qui représentent souvent la part la plus lourde d’un sinistre cyber.
- Les données hébergées chez un prestataire cloud ne sont pas couvertes, ou le sont uniquement si le prestataire est nommément désigné dans la police, ce qui exclut tout changement de fournisseur en cours de contrat.
- La clause de déclaration de sinistre impose un délai très court (parfois 48 heures) alors que la détection d’une intrusion prend en moyenne plusieurs semaines.
L’outsourcing informatique accentue la sous-assurance : quand une partie du système d’information est gérée par un tiers, la frontière entre ce qui est couvert et ce qui ne l’est pas devient floue. Vérifier cette articulation dans le contrat est un préalable, pas une option.
Directive NIS 2 et assurance cyber : une convergence réglementaire en cours
La transposition de la directive européenne NIS 2 modifie le cadre de responsabilité des dirigeants en matière de cybersécurité. Les entreprises concernées (et elles sont bien plus nombreuses que sous NIS 1, puisque le périmètre s’élargit aux ETI et à certains fournisseurs critiques) doivent démontrer qu’elles ont mis en place des mesures de gestion du risque cyber proportionnées.
Dans ce contexte, l’assurance cyber passe progressivement du statut de garantie optionnelle à celui d’exigence commerciale. Certains donneurs d’ordres commencent à conditionner leurs appels d’offres à la présentation d’une attestation de couverture cyber. Ne pas être assuré peut devenir un frein commercial avant même d’être un risque financier.
Les retours terrain divergent sur ce point : toutes les filières n’ont pas encore intégré cette exigence, et la maturité varie fortement selon les secteurs. Les CCI des Hauts-de-France, par exemple, invitent déjà les entreprises à anticiper ces obligations. D’autres régions restent en retrait.
Responsabilité du dirigeant et assurance RC
NIS 2 introduit la possibilité de sanctions personnelles pour les dirigeants en cas de manquement aux obligations de cybersécurité. Cette responsabilité n’est pas systématiquement couverte par une assurance cyber classique. Elle relève plutôt de la RC dirigeants (D&O), un contrat distinct dont les interactions avec la police cyber méritent d’être vérifiées.
L’articulation entre assurance cyber et RC dirigeants est un angle mort fréquent dans la protection des entreprises de taille intermédiaire.
Lire une police cyber : les clauses qui déterminent la vraie couverture
Au-delà du montant de la prime et du plafond global, trois éléments contractuels conditionnent l’utilité réelle d’une assurance cyber en cas d’incident.
- Le périmètre des données couvertes : certaines polices excluent les données non chiffrées, ou les données stockées sur des équipements personnels (BYOD), ce qui réduit considérablement la portée de la garantie.
- La définition de l’événement déclencheur : un ransomware détecté mais non activé constitue-t-il un sinistre déclarable ? La réponse varie d’un assureur à l’autre et conditionne le déclenchement de la prise en charge.
- Les obligations de prévention imposées à l’assuré : certaines polices prévoient une déchéance de garantie si l’entreprise n’a pas maintenu à jour ses correctifs de sécurité ou si elle n’a pas réalisé d’audit dans les douze derniers mois.
Ces clauses techniques ne figurent pas toujours dans la documentation commerciale. Elles se trouvent dans les conditions particulières, parfois dans des annexes. Un contrat cyber se lit à l’envers, en partant des exclusions.
Le marché de l’assurance cyber évolue vite, porté par des dynamiques contradictoires : baisse des prix, hausse des sinistres, durcissement réglementaire. Une entreprise qui souscrit sans analyser ces trois dimensions (tarif, périmètre réel de couverture, obligations réglementaires) prend le risque de payer pour une protection qui ne se déclenchera pas au moment critique.