Rédigé par Jean-Georges NANOT, le 13 mai 2026
Sommaire
- Comprendre le risque cyber pour les entreprises françaises en 2026
- Les 7 garanties d’une police d’assurance cyber moderne
- Souscrire une assurance cyber en 2026 : conditions et pièges
- Piloter sa couverture cyber dans la durée
- Conclusion : l’assurance cyber est un complément, pas un substitut
- Cas-type : le ransomware d’une ETI de distribution
- Questions fréquentes
Introduction
Selon le panorama de la cybermenace 2025 publié par l’ANSSI, plus de 4 500 incidents cyber significatifs ont été traités en France sur l’année, dont près de 40 % visaient des entreprises de taille intermédiaire et des PME. Le rapport IBM Cost of Data Breach 2024 estime le coût moyen d’un sinistre cyber en France à 4,17 M€, en hausse de 12 % par rapport à 2023. Pour une ETI, un incident majeur représente désormais entre 5 % et 25 % de l’EBITDA de l’exercice.
Face à cette évolution, l’assurance cyber est passée en cinq ans d’option exotique à incontournable de la gouvernance des risques. Mais les polices ont changé : les conditions de souscription se sont durcies, les exclusions se sont précisées, et les sanctions OFAC redessinent les règles du paiement de rançon. CBE Consulting accompagne les ETI françaises et les filiales industrielles dans la structuration de leur couverture cyber, en lien avec leur dispositif de cybersécurité et leur plan de continuité d’activité. Cet article décrit le marché cyber 2026, les 7 garanties essentielles d’une police moderne, les conditions de souscription, et la gestion des sinistres.
1. Comprendre le risque cyber pour les entreprises françaises en 2026
Panorama des menaces 2026 : ANSSI, ENISA, IBM
Quatre familles de menaces dominent le paysage cyber des entreprises françaises en 2026.
Le ransomware reste la première menace en volume et en impact. Les groupes criminels opèrent désormais en mode “ransomware-as-a-service” avec une double extorsion systématique : chiffrement des données puis menace de divulgation. Les rançons demandées varient de 50 K€ pour une PME à plusieurs dizaines de millions pour un grand compte. Notre article dédié ransomware et assurance cyber détaille les mécanismes spécifiques.
Le phishing ciblé et l’ingénierie sociale restent les vecteurs d’entrée les plus fréquents (estimés à 70 % des compromissions selon l’ANSSI). Les techniques se sont raffinées avec l’IA générative : faux mails très crédibles, deepfake voix pour les fraudes au président, usurpation de fournisseurs.
Les attaques supply chain progressent : compromission d’un prestataire IT puis propagation aux clients. SolarWinds en 2020, Kaseya en 2021, MOVEit en 2023 ont démontré l’ampleur potentielle. Pour une entreprise française, le risque est aussi indirect : un fournisseur Tier 1 ou Tier 2 attaqué peut paralyser la production.
Les attaques sur les systèmes industriels (OT, SCADA, IoT industriels) gagnent en importance avec la convergence IT/OT. Une ligne de production peut désormais être paralysée par ransomware aussi sûrement qu’un système comptable. Notre guide sur les risques industriels décrit l’articulation entre cyber et industriel.
Coût moyen d’un sinistre cyber par taille d’entreprise
Sur la base des rapports IBM Cost of Data Breach 2024 et ANSSI, les ordres de grandeur en France :
- TPE et PME (CA < 10 M€) : coût moyen 80 à 250 K€, durée d’interruption 5 à 15 jours
- ETI (CA 50 à 500 M€) : coût moyen 800 K€ à 4 M€, durée d’interruption 7 à 30 jours
- Grands comptes (CA > 500 M€) : coût moyen 4 à 20 M€, durée d’interruption 10 à 45 jours
Ces coûts cumulent quatre composantes : forensic et reconstitution du SI (15 à 25 %), pertes d’exploitation (40 à 60 %), frais juridiques et notifications RGPD (10 à 15 %), atteinte à la réputation et perte de clients (5 à 20 %). La rançon, lorsqu’elle est payée, vient en plus mais représente paradoxalement une part minoritaire du coût total.
Différence cyber-sécurité vs assurance cyber
La cyber-sécurité est l’ensemble des dispositifs techniques et organisationnels pour empêcher et détecter les attaques : pare-feu, EDR (Endpoint Detection and Response), MFA (Multi-Factor Authentication), SOC (Security Operations Center), formation des collaborateurs, plan de réponse aux incidents.
L’assurance cyber prend le relais quand la cyber-sécurité a échoué. Elle couvre les conséquences financières d’un incident : forensic, reconstitution SI, rançon (sous conditions), pertes d’exploitation, frais juridiques RGPD, communication de crise.
Les deux sont strictement complémentaires. Aucun assureur sérieux ne souscrit une police cyber sans un minimum de cybersécurité en place. Aucun dispositif de cyber-sécurité, aussi bon soit-il, ne peut prétendre garantir le risque zéro. C’est l’articulation des deux qui constitue la stratégie cyber complète.
2. Les 7 garanties d’une police d’assurance cyber moderne
Frais d’investigation et de forensic
Première garantie déclenchée en cas d’incident : la prise en charge des frais d’investigation par une équipe forensic mandatée. Les acteurs reconnus en France et en Europe : Mandiant (Google Cloud), Kivu, Arete, Crowdstrike, Wavestone, NTT Security. Coût typique : 50 à 200 K€ pour une ETI, 200 K€ à 1 M€ pour un grand compte.
Le forensic répond à trois questions : par où l’attaquant est-il entré, jusqu’où a-t-il pénétré, quelles données ont été exfiltrées. C’est la base de toutes les décisions qui suivent (notification RGPD, déclaration à l’ANSSI, communication clients).
Frais de reconstitution du SI et des données
Une fois l’incident maîtrisé, il faut reconstituer le système d’information : remplacement de matériels compromis, réinstallation propre des serveurs, restauration des sauvegardes, audit de sécurité pour vérifier qu’aucun cheval de Troie ne subsiste. Coût typique pour une ETI : 100 à 400 K€.
Cette garantie inclut généralement les frais supplémentaires d’exploitation pendant la reconstruction (équipements de remplacement, prestataires d’urgence, heures supplémentaires des équipes IT).
Pertes d’exploitation pendant l’arrêt
C’est le poste le plus important du sinistre cyber moderne. Une ETI qui voit son ERP chiffré pendant 10 jours peut perdre plusieurs millions d’euros de marge brute. La police cyber indemnise cette perte de revenus sur une période d’indemnisation négociée (généralement 6, 9 ou 12 mois maximum).
Attention aux franchises temps (ou périodes de carence) : typiquement 8 à 12 heures avant déclenchement. Sur un incident de courte durée, la franchise temps peut empêcher l’indemnisation. À négocier finement avec l’assureur selon le profil de l’entreprise.
Cyber-extorsion et paiement de rançon
Les polices modernes incluent généralement une garantie cyber-extorsion qui couvre le paiement d’une rançon liée à un ransomware. Trois conditions strictes s’appliquent.
Première condition : le contrat doit inclure explicitement cette garantie (parfois optionnelle, parfois plafonnée séparément). Deuxième condition : le paiement doit être validé par l’assureur et son négociateur agréé (l’entreprise ne paie pas seule). Troisième condition cruciale : la sanctions clause OFAC s’applique. Si l’attaquant figure sur une liste de sanctions (OFAC SDN List, sanctions UE, sanctions ONU), le paiement est illégal et donc non couvert. Depuis 2024, plusieurs assureurs et le gouvernement français recommandent fortement de ne pas payer. La police couvre alors les coûts de reconstitution sans rançon.
Responsabilité civile vis-à-vis des tiers et frais RGPD
Quand un incident cyber affecte des données personnelles ou des données contractuelles de clients/partenaires, l’entreprise expose sa responsabilité civile. La police cyber couvre :
- Les frais juridiques (avocats spécialisés en droit du numérique, défense devant la CNIL ou en juridiction civile)
- Les frais de notification aux personnes concernées (lettres recommandées, plateforme dédiée)
- Les dommages et intérêts versés à des tiers ayant subi un préjudice
- Les sanctions administratives de la CNIL (jusqu’à 4 % du CA mondial pour les manquements RGPD graves), sous réserve que la police le prévoie expressément (toutes les polices ne couvrent pas les amendes)
Frais de communication de crise
Une cyberattaque génère un risque de réputation important. La garantie communication de crise couvre les honoraires d’agences spécialisées (Image 7, Brunswick, FleishmanHillard, Havas Paris) qui aident à gérer la sortie médiatique, les notifications clients, la communication interne. Coût typique : 30 à 100 K€ pour une ETI, davantage si l’incident devient médiatique.
L’articulation avec le risque de réputation doit être pensée en amont : sinistre cyber et atteinte à la réputation se cumulent souvent.
Frais de défense et procédures réglementaires
Dernière garantie clé : les frais engagés pour défendre l’entreprise dans les procédures réglementaires consécutives à l’incident. Notamment : enquêtes ANSSI, instruction CNIL, contrôles ACPR si l’entreprise est régulée, action publique pénale si des données sensibles ont fuité. Ces frais peuvent atteindre plusieurs centaines de milliers d’euros sur les dossiers complexes.
3. Souscrire une assurance cyber en 2026 : conditions et pièges
Le questionnaire 60-120 questions et l’audit préalable
Depuis 2023, les assureurs cyber n’accordent plus de couverture sur la base d’un simple déclaratif. Le processus de souscription standard inclut :
- Un questionnaire détaillé de 60 à 120 questions sur l’organisation IT, les dispositifs en place, l’historique de sinistralité, la formation des collaborateurs
- Pour les ETI au-delà de 50 M€ de CA, un audit cyber léger par un préventionniste mandaté par l’assureur ou par le courtier indépendant (entre 1 et 3 jours de travail)
- Une revue de la convention IT avec les prestataires externes (hébergeur, infogérant, SOC)
Le questionnaire engage l’entreprise : toute déclaration inexacte peut entraîner la nullité du contrat en cas de sinistre (article L. 113-8 du Code des assurances). Une revue préalable du questionnaire par un courtier-conseil indépendant est devenue une étape critique.
Exigences minimales 2026 : MFA, sauvegardes immuables, EDR
Les assureurs cyber refusent désormais de souscrire sans un socle minimal de cyber-sécurité. Les exigences typiques en 2026 :
- MFA généralisée sur l’ensemble des accès distants et privilégiés
- EDR (Endpoint Detection and Response) ou antivirus nouvelle génération sur tous les postes
- Sauvegardes immuables (offline ou cloud isolé non modifiable)
- Plan de réponse aux incidents documenté et testé annuellement
- ** Gestion des comptes à privilèges (PAM, vault de mots de passe)
- Patch management documenté
Sans ce socle, l’assureur refusera ou exigera des franchises et exclusions dissuasives. Un audit cyber préalable (par un prestataire indépendant ou via le courtier) permet d’identifier les écarts avant la souscription et d’optimiser les conditions.
Exclusions classiques à surveiller
Les exclusions à vérifier ligne à ligne :
- War exclusion : depuis l’affaire Merck v. ACE 2022 et l’affaire Mondelez 2023, les attaques attribuées à un État ou à un groupe étatique sont fréquemment exclues. La rédaction de cette clause est devenue critique : exiger une formulation restrictive de la war exclusion
- Sanctions OFAC : déjà mentionnée
- Négligence grave et systémique : non-application de patchs critiques connus depuis plusieurs mois, absence totale de MFA, pratiques manifestement insuffisantes
- Incidents antérieurs à la souscription : tout incident non déclaré au moment de la souscription est exclu (clause de loyauté)
- Cyber-extorsion sur infrastructure tierce : si le ransomware frappe votre hébergeur cloud et non vos systèmes directement, certaines polices excluent
- Atteintes physiques : si l’incident cyber a aussi causé des dommages matériels, la couverture peut basculer sur la DAB et non la cyber
Diagnostic gratuit de votre couverture cyber
Vous avez souscrit une assurance cyber il y a plus de 18 mois, sans audit récent du contrat ? CBE Consulting réalise un diagnostic gratuit de votre couverture (garanties, exclusions, plafonds, écarts vs marché). 30 minutes en visioconférence, sans engagement.
Demander un diagnostic → · 09 80 43 16 34 · secretariat@cbeconsulting.fr
4. Piloter sa couverture cyber dans la durée
Renouvellement et indexation des plafonds
Le marché cyber évolue plus vite que tout autre marché d’assurance. Trois bonnes pratiques de pilotage :
Renouveler chaque année avec un appel d’offres léger (3 assureurs minimum). Le marché s’est élargi depuis 2023 : Hiscox, AIG, Allianz Global Corporate, AXA XL, Chubb, Beazley, Hannover Re et plusieurs MGA spécialisés interviennent désormais sur le marché français. La concurrence est revenue après le durcissement de 2020-2022.
Réviser les plafonds annuellement en fonction de l’évolution de l’entreprise : croissance du CA, expansion géographique, dépendance accrue au SI, nouveaux process automatisés. Un plafond à 2 M€ adapté en 2023 peut être insuffisant en 2026.
Auditer les exclusions chaque renouvellement : les assureurs glissent fréquemment de nouvelles exclusions dans les avenants. Une revue ligne à ligne est indispensable.
Process sinistre : qui appeler dans la première heure
En cas d’incident détecté, les premières 60 minutes sont critiques. Trois actions doivent être engagées en parallèle :
- Activer la cellule de crise interne (direction, DSI/RSSI, juridique, communication, RH)
- Contacter la hotline cyber de l’assureur (numéro inscrit en page de garde de la police), qui mobilise immédiatement l’équipe forensic et le négociateur
- Préserver les preuves (ne pas éteindre les machines, ne pas réinstaller, ne pas négocier soi-même avec les attaquants)
La rapidité de la déclaration conditionne souvent le succès de la résolution. Une déclaration tardive de plus de 48 heures peut entraîner des restrictions de couverture (clauses de réactivité).
Articulation avec NIS 2, DORA, supply chain
La directive NIS 2 (transposée en France en 2024) impose à un large périmètre d’entités essentielles et importantes des obligations de cybersécurité renforcées et une obligation de notification des incidents. Le règlement DORA s’applique au secteur financier depuis 2025. Le devoir de vigilance s’étend désormais à la cyber-sécurité de la supply chain.
L’assurance cyber doit s’articuler avec ces obligations : les notifications réglementaires sont couvertes par la police, mais la conformité au socle technique est une condition de souscription. Notre guide sur les risques supply chain décrit l’articulation cyber et chaîne fournisseurs, notamment via la garantie CBI (Contingent Business Interruption).
5. Conclusion : l’assurance cyber est un complément, pas un substitut
L’assurance cyber moderne est devenue un produit sophistiqué qui mérite une analyse contractuelle approfondie à chaque renouvellement. Les 7 garanties essentielles (forensic, reconstitution, pertes d’exploitation, extorsion, RC tiers, communication, défense réglementaire) doivent être dimensionnées en regard du profil cyber de l’entreprise. Les exclusions doivent être négociées finement. Mais l’assurance n’est qu’un volet de la stratégie cyber : sans dispositif technique et organisationnel adapté, aucune police ne peut prétendre couvrir le risque. La souscription est devenue un audit en soi. Pour une revue indépendante de votre couverture, contactez les équipes CBE Consulting via la page contact.
6. Cas-type : le ransomware d’une ETI de distribution
Contexte : ETI française du secteur de la distribution B2B (CA 140 M€, 320 salariés, 4 entrepôts logistiques, ERP central). Police cyber souscrite 2 mois avant l’attaque : plafond 2 M€, franchise 50 K€.
Chronologie de l’attaque (mai 2024) :
- Lundi 6h00 : découverte par le DSI que l’ERP est chiffré
- Lundi 9h00 : déclaration immédiate à l’assureur cyber via la hotline 24/7
- Lundi 12h00 : équipe forensic externe (mandatée par l’assureur) sur site
- Mercredi : confirmation du vecteur (phishing ciblé sur un comptable, élévation de privilèges en 6 jours)
- Vendredi : décision de ne pas payer la rançon (1,8 M€ demandés), reconstitution depuis sauvegardes immuables
- Jour 14 : redémarrage partiel de l’ERP en mode dégradé
- Jour 17 : reprise complète des opérations
Coûts engendrés :
- Forensic et investigation : 85 K€
- Reconstitution SI (équipe externe + heures internes) : 240 K€
- Communication de crise (agence + interne) : 45 K€
- Pertes d’exploitation pendant l’arrêt partiel et la remise en route : 1,2 M€
- Frais juridiques RGPD et notifications CNIL (4 200 personnes concernées) : 35 K€
- Total préjudice : 1,605 M€
Indemnisation :
- Plafond police : 2 M€ ✓
- Franchise : 50 K€
- Sous-limite forensic : 200 K€ ✓
- Sous-limite communication : 50 K€ ✓
- Indemnisation finale : 1,480 M€ (92 % du préjudice couvert)
- Reste à charge : 125 K€ (franchise et sous-limites dépassées)
Enseignement : la rapidité de la déclaration (3 heures après détection) et la qualité des sauvegardes immuables (mises en place 6 mois plus tôt sur recommandation d’un audit cyber) ont permis d’éviter le paiement de la rançon. Sans police cyber, ce sinistre aurait amputé l’EBITDA de l’année à hauteur de 1,6 M€, soit 11 % de l’EBITDA 2023.
Cas-type construit à partir des rapports ANSSI Panorama de la cybermenace 2024, des publications Mandiant M-Trends 2024, et du rapport IBM Cost of a Data Breach 2024.
Faites auditer votre couverture cyber par CBE Consulting
Nos consultants vous proposent :
- Un diagnostic gratuit de votre police cyber actuelle (garanties, exclusions, plafonds, sous-limites)
- Un benchmark de votre prime et de vos conditions vs marché 2026
- Une recommandation chiffrée d’optimisation ou de refonte
Sans engagement, en visioconférence de 30 minutes.
Téléphone : 09 80 43 16 34 Email : secretariat@cbeconsulting.fr
7. Questions fréquentes
Quelle différence entre l’assurance cyber et la cybersécurité ? La cybersécurité est l’ensemble des dispositifs techniques et organisationnels pour empêcher et détecter les attaques : pare-feu, antivirus, MFA, EDR, SOC, formation. L’assurance cyber prend le relais quand la cybersécurité échoue : elle couvre les conséquences financières d’un incident (forensic, reconstitution SI, rançon, pertes d’exploitation, frais juridiques RGPD, communication de crise). Les deux sont complémentaires : aucun assureur ne souscrit une police cyber sans un minimum de cybersécurité en place.
Combien coûte une assurance cyber pour une PME ou une ETI ? Ordres de grandeur 2026 : PME (CA 5 à 15 M€) entre 3 000 et 12 000 € par an pour un plafond de 1 M€. ETI (CA 50 à 150 M€) entre 25 000 et 80 000 € par an pour un plafond de 5 à 10 M€. ETI industrielle ou e-commerce (CA 200+ M€) entre 80 000 et 250 000 € par an. Les primes ont fortement augmenté entre 2020 et 2024 puis se sont stabilisées depuis que les assureurs exigent un audit cyber préalable.
Que couvre exactement une police d’assurance cyber moderne ? Une police cyber complète couvre sept volets : 1) frais d’investigation et forensic, 2) frais de reconstitution du SI et des données, 3) pertes d’exploitation pendant l’arrêt, 4) cyber-extorsion et paiement de rançon (sous limite et réserve sanctions OFAC), 5) frais juridiques et notifications RGPD, 6) responsabilité civile vis-à-vis des tiers, 7) frais de communication de crise. À vérifier : les sous-limites par garantie, le délai de carence (8 à 12 heures généralement), et les exclusions (guerre, sanctions, négligence grave).
L’assurance cyber paie-t-elle la rançon en cas de ransomware ? Oui, sous trois conditions strictes. Premièrement, le contrat doit inclure une garantie cyber-extorsion (parfois optionnelle). Deuxièmement, le paiement doit être validé par l’assureur et son négociateur agréé. Troisièmement, la sanctions clause OFAC s’applique : si l’attaquant figure sur une liste de sanctions, le paiement est illégal et non couvert. Depuis 2024, plusieurs assureurs et le gouvernement français recommandent fortement de ne pas payer. La police couvre alors les coûts de reconstitution sans rançon.
Quelle franchise négocier sur un contrat d’assurance cyber ? La franchise varie typiquement entre 5 et 100 K€ selon la taille de l’entreprise. Pour une PME, 5 à 10 K€ est standard. Pour une ETI, 25 à 50 K€ est courant ; au-delà de 50 K€, la franchise devient un vrai levier de réduction de prime (-15 à -25 %). La franchise s’applique généralement par sinistre, pas par garantie. Vérifier aussi les sous-franchises (notamment sur la cyber-extorsion qui peut avoir une franchise propre supérieure).
Faut-il un audit cyber avant de souscrire ? Oui, de manière quasi systématique en 2026. Les assureurs cyber exigent un questionnaire détaillé (60 à 120 questions) et de plus en plus un audit léger par un préventionniste mandaté. Les attentes minimales : MFA généralisée, EDR ou antivirus nouvelle génération, sauvegardes immuables, plan de réponse aux incidents documenté, formation phishing annuelle. Un audit préalable indépendant permet d’identifier les écarts avant que l’assureur ne les transforme en exclusions ou en surfacturation.
À propos de l’auteur : Jean-Georges NANOT
Jean-Georges NANOT est courtier-conseil et fondateur de CBE Consulting, cabinet de courtage en assurances internationales basé en France. Il accompagne les ETI françaises à activité internationale et les filiales étrangères en France dans la structuration de leurs programmes d’assurance, l’audit de leurs risques et le pilotage de leurs sinistres.
ORIAS N° 15000172 LinkedIn : [à compléter] Voir tous les articles de l’auteur
À propos de cet article
Cet article a été rédigé par Jean-Georges NANOT pour vous apporter une vision experte sur le sujet traité. Les informations présentées sont d’ordre général et ne se substituent pas à un audit personnalisé. Chaque situation requiert une analyse spécifique de votre exposition aux risques. Pour une évaluation adaptée à votre entreprise, prenez contact avec nos équipes.
CBE Consulting, Cap de Bonne-Espérance Consulting, courtier d’assurances. ORIAS N° 15000172 Autorité de contrôle : ACPR, 4 place de Budapest, 75009 Paris.
Sources et références
- ANSSI, Panorama de la cybermenace 2025 : cert.ssi.gouv.fr
- Cybermalveillance.gouv.fr
- IBM Cost of a Data Breach Report 2024
- ENISA Threat Landscape 2024
- Mandiant M-Trends 2024
- CNIL, recommandations RGPD et incidents de sécurité
- Directive NIS 2 (UE) 2022/2555
- Règlement DORA (UE) 2022/2554
- Article L. 113-8 Code des assurances, fausse déclaration
- ACPR, autorité de contrôle prudentiel et de résolution
Featured Industries
Become an Expert!
Get the latest insights from our newsletter.
Free 31 page Blueprint For Consultants
Complex situation, changing demands and dynamic market environment make today's business even more challenging.