Cyberassurance pour les PME, la souscription recule en France, les exigences des assureurs surprennent

La cyberassurance n’est plus un produit réservé aux grands groupes, elle vise aussi les PME qui encaissent des cyberattaques avec peu de marge d’erreur opérationnelle. En France, la dynamique se grippe: la part des TPE/PME disposant d’une police cyber dédiée a reculé, d’après Hiscox. Dans ce marché, le vrai sujet n’est pas seulement le contrat, c’est l’éligibilité et le niveau d’hygiène numérique exigé.

La promesse de l’assurance est simple sur le papier: payer pour transférer une partie du risque. En pratique, une cyberattaque ressemble rarement à un sinistre « classique ». C’est un enchaînement, intrusion, arrêt d’activité, restauration, communication de crise, parfois contentieux. Pour une PME, c’est comme passer d’une panne de serveur à une panne de chaîne de production, sauf que la « pièce cassée » peut être invisible et se déplacer dans le système.

Cette réalité explique pourquoi les assureurs mettent la barre plus haut, pourquoi certaines entreprises restent à l’écart, et pourquoi d’autres découvrent que l’assurance ne remplace pas un socle de sécurité. La question devient alors opérationnelle: que faut-il mettre en place pour être assurable, et que peut apporter une police cyber au quotidien?

Hiscox: la cyberassurance recule chez les TPE/PME françaises

Le dernier rapport cybersécurité d’Hiscox, réalisé par Wakefield Research auprès de 6 800 décideurs dans plusieurs pays, décrit un recul de l’assurance cyber chez les petites structures en France. La part des TPE/PME françaises disposant d’une police cyber dédiée est passée de 33,6 % à 27,6 % en un an [SOURCE 3].

Le même ensemble de résultats indique que 45 % des entreprises françaises interrogées déclarent ne disposer d’aucune couverture [SOURCE 3]. En clair, la baisse ne se limite pas à un arbitrage « police dédiée vs extension de garanties », elle s’inscrit dans un contexte où une partie des entreprises reste sans protection assurantielle.

Hiscox insiste aussi sur un point de doctrine: l’assurance cyber doit compléter les dispositifs techniques, pas s’y substituer [SOURCE 3]. Traduction: l’assureur n’achète pas le risque « brut ». Il achète un risque encadré par des pratiques minimales, parce que la probabilité et l’ampleur d’un incident dépendent directement de la maturité cyber.

Les causes possibles de ce recul sont multiples, coût perçu, complexité des questionnaires, exigences techniques, crainte des exclusions. Mais le signal principal est là: sur un marché qui se professionnalise, la cyberassurance devient un produit conditionnel. Comme un crédit bancaire, il faut « passer » un scoring, sauf qu’ici le scoring s’appuie sur des contrôles concrets, authentification, sauvegardes, gestion des accès.

Deloitte Suisse: prévention, aide d’urgence et protection financière dans un même package

Dans une analyse consacrée aux PME suisses, Deloitte Suisse défend l’idée que la cyberassurance est utile avant l’attaque, pas seulement après. Marcel Thom, associé au sein du département Assurance, met en avant une valeur ajoutée qui combine prévention, aide d’urgence rapide et protection financière [SOURCE 2].

Ce triptyque correspond à la mécanique réelle d’un incident. Étape 1, limiter l’exposition (prévention). Étape 2, contenir et remettre en route (réponse d’urgence). Étape 3, absorber les coûts résiduels (couverture financière). Une PME qui n’a pas d’équipe sécurité interne peut y voir un moyen d’accéder à un réseau d’experts, quand chaque heure d’arrêt compte.

Deloitte souligne aussi un angle très concret: les petites entreprises ont besoin de produits clairs, d’exigences transparentes et d’un processus de souscription simple, avec des outils numériques [SOURCE 2]. C’est un point clé, parce que la cyberassurance a longtemps été vendue comme un contrat, alors que, pour une PME, c’est aussi un parcours, diagnostic, justificatifs, parfois remédiation préalable.

Autre message, la couverture est jugée particulièrement lacunaire chez les micro-entreprises et les petites entreprises [SOURCE 2]. Or ce sont souvent elles qui encaissent le choc le plus violemment, car les dommages pèsent proportionnellement plus lourd au regard du chiffre d’affaires, selon Deloitte [SOURCE 2]. Même sans entrer dans des montants, l’arithmétique est simple: plus la trésorerie est contrainte, plus un incident se transforme en risque de survie.

Deloitte pointe enfin un frein structurel: de nombreuses PME ne disposent pas des mesures de sécurité élémentaires requises pour souscrire une cyberassurance [SOURCE 2]. En clair, l’assurance devient un accélérateur de maturité pour celles qui peuvent s’aligner, mais un mur d’entrée pour celles qui sont déjà en retard.

La Presse: des PME déjà touchées, et un enjeu de résilience opérationnelle

Dans sa série Cybersécurité, La Presse rappelle que de nombreuses PME ont été victimes de cyberattaques au cours des dernières années [SOURCE 1]. Ce constat compte, parce qu’il casse l’idée tenace que « les attaquants ne visent que les grands ». En pratique, beaucoup d’attaques sont opportunistes: elles cherchent des systèmes exposés, pas une marque prestigieuse.

La logique économique des attaquants favorise même les cibles « assez grandes pour payer, assez petites pour être vulnérables ». Une PME peut avoir des données sensibles (clients, fournisseurs, propriété intellectuelle) et des contraintes fortes (production, logistique, facturation). Le tout avec un SI parfois hétérogène, empilé au fil des années, comme une baie de serveurs où cohabitent des générations de matériel et de logiciels.

Dans ce contexte, la cyberassurance se comprend comme un outil de résilience plus que comme un simple remboursement. Résilience, cela veut dire capacité à continuer, ou à redémarrer vite. Le redémarrage dépend moins du contrat que de la préparation: inventaire des actifs, sauvegardes testées, procédures d’isolement, contacts d’urgence. Sans ce socle, l’assurance peut financer une intervention, mais l’entreprise reste lente à remettre en route.

La Presse met aussi en avant, dans un autre article de la même série, l’intérêt d’un guide canadien « Pensez cybersécurité », jugé pertinent et fiable par Patrick Boucher, fondateur de Certi360 [SOURCE 4]. Ce type de guide joue un rôle de « mode d’emploi »: il aide à transformer des principes généraux en check-list actionnable, ce qui est souvent le point de blocage dans les petites structures.

Éligibilité: les exigences des assureurs deviennent le vrai filtre

Le marché se déplace: la question n’est plus « faut-il une cyberassurance? », mais « l’entreprise peut-elle être assurée, et à quelles conditions? ». Un article consacré aux PME en France explique que, en 2026, l’assurance cyber « ne suffit plus » et met en avant cinq mesures exigées par les assureurs pour rendre une PME éligible [SOURCE 5].

Le point important n’est pas la liste en elle-même, c’est la logique. Les assureurs cherchent des contrôles qui réduisent les scénarios les plus fréquents: compromission d’identifiants, propagation interne, perte de données, impossibilité de restaurer. C’est une approche d’ingénierie du risque: comme en sécurité incendie, on ne se contente pas d’acheter une assurance, on installe des détecteurs, on compartimente, on prévoit des issues, on entraîne les équipes.

Ce durcissement a deux effets. D’abord, il peut exclure des entreprises qui n’ont pas encore fait les investissements de base, ce que Deloitte observe aussi côté suisse avec l’absence de mesures élémentaires [SOURCE 2]. Ensuite, il peut améliorer la qualité globale du parc assuré: une entreprise qui met en place des prérequis réduit sa surface d’attaque, même si elle ne subit jamais d’incident.

Il faut aussi lire ces exigences comme un langage commun entre assureur et assuré. Un questionnaire de souscription, quand il est bien conçu, sert à cartographier des dépendances: qui a accès à quoi, comment les mots de passe sont gérés, comment les sauvegardes sont isolées, quels prestataires interviennent. Ce sont souvent les mêmes points faibles qui réapparaissent lors des attaques, et Hiscox rappelle que l’assurance doit rester un complément aux protections techniques [SOURCE 3].

Sur le papier, la cyberassurance peut donner un sentiment de « filet de sécurité ». En pratique, ce filet a des mailles: exclusions, franchises, obligations de moyens, exigences de déclaration. La bonne question pour une PME devient alors très opérationnelle: le contrat est-il aligné avec la réalité du SI, des prestataires, et des usages internes? Une police cyber utile est une police comprise, testée en amont, et articulée avec un plan de réponse à incident.

recap_placeholder

• La part des TPE/PME françaises avec une police cyber dédiée recule selon Hiscox [SOURCE 3].
• Deloitte met en avant un mix prévention, urgence et protection financière [SOURCE 2].
• La Presse souligne que des PME ont été touchées par des cyberattaques ces dernières années [SOURCE 1].
• Les exigences d’éligibilité deviennent un filtre central pour accéder à l’assurance [SOURCE 5].

enjeux_placeholder

Entre durcissement des conditions, besoin d’accompagnement et exposition croissante, la cyberassurance se transforme en outil de pilotage du risque, pas en simple produit financier.