Cyber-assurance pour TPE : à partir de quel budget ça se justifie ?

Votre courtier vous propose une « extension cyber », et vous hésitez à ajouter une ligne de plus à vos contrats. Voici les critères pour trancher selon votre dépendance à l’informatique, et les règles à connaître avant de signer — depuis 2023, l’indemnisation d’une cyberattaque obéit à un délai strict.

La cyber-assurance est un contrat qui prend en charge les conséquences d’une attaque informatique : assistance et gestion de crise, restauration des systèmes et des données, pertes d’exploitation pendant l’arrêt d’activité et responsabilité envers les tiers dont les données ont été compromises. Aucun texte ne l’impose, contrairement à la décennale du bâtiment ou à la RC pro des professions réglementées. La bonne question n’est donc pas votre effectif, mais ce qui s’arrête chez vous le jour où l’informatique tombe.

Ce que couvre réellement une cyber-assurance

Premier poste, souvent le plus utile pour une TPE sans informaticien : l’assistance — une ligne joignable en permanence, des experts qui prennent la main pour isoler l’attaque, restaurer les systèmes et piloter la crise. S’y ajoutent les frais d’expertise et, si des données personnelles ont fuité, l’accompagnement des notifications à la CNIL et aux personnes concernées.

Deuxième poste : les pertes d’exploitation cyber, la marge perdue pendant les jours où vous ne pouvez ni produire, ni vendre, ni facturer, ainsi que les frais de reconstitution des données. Troisième poste : votre responsabilité envers les tiers, si des données de clients ou de partenaires ont été compromises depuis vos systèmes.

Certains contrats prévoient aussi le remboursement d’une rançon versée — une garantie très encadrée par la loi. Attention enfin aux montants : la garantie rançongiciel est souvent « sous-limitée », avec un plafond inférieur à celui du reste du contrat.

Rançongiciel : la règle des 72 heures pour être indemnisé

Depuis la loi LOPMI du 24 janvier 2023, l’article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023, pose une condition stricte : le versement de toute indemnisation des pertes et dommages causés par une atteinte à un système informatique (articles 323-1 à 323-3-1 du code pénal) est subordonné au dépôt de plainte de la victime dans les 72 heures après qu’elle a eu connaissance de l’attaque. La règle vise les personnes morales et les professionnels — pas les particuliers.

Retenez la portée du texte : il ne concerne pas seulement le remboursement d’une rançon, mais toute indemnisation liée à une cyberattaque. Pas de plainte dans le délai, pas d’indemnité. Concrètement, inscrivez le dépôt de plainte dans votre procédure d’incident, au même rang que la déconnexion du réseau.

Quant à la rançon : la payer n’est pas interdit en France, mais l’ANSSI et Cybermalveillance.gouv.fr le déconseillent — rien ne garantit la récupération des données, et le paiement finance les attaquants.

Ce que l’assurance ne remplace pas : les prérequis exigés

Une cyber-assurance transfère le risque résiduel, elle ne protège rien. Les assureurs conditionnent donc la souscription à un socle de sécurité, vérifié par questionnaire : sauvegardes régulières, déconnectées du réseau et testées ; double authentification (MFA) sur la messagerie et les accès à distance ; mises à jour appliquées ; antivirus ; sensibilisation des salariés.

Sans ce socle, trois scénarios : refus d’assurer, une surprime, ou des exclusions qui vident la garantie — un sinistre causé par une faille connue et non corrigée pourra ne pas être couvert. L’assureur indemnise l’aléa, pas la négligence.

La bonne nouvelle, c’est que ces mesures sont aussi les plus rentables pour vous : elles évitent le sinistre. L’ANSSI publie un guide gratuit, « La cybersécurité pour les TPE/PME en 13 questions ». L’ordre logique est celui-là : d’abord le socle de sécurité, ensuite l’assurance.

Le bon critère : votre dépendance numérique, pas votre effectif

Quand pouvez-vous vous en passer ? Quand votre dépendance numérique est faible. Un artisan qui établit devis et factures sur un logiciel simple, sauvegardé ailleurs, sans données sensibles ni vente en ligne, perd une journée si son ordinateur meurt — pas son activité. Dans ce cas, le budget est mieux employé en sauvegardes fiables et en double authentification qu’en prime annuelle.

La couverture se justifie, en revanche, dès que l’informatique porte le chiffre d’affaires ou la production. Un site e-commerce à l’arrêt, c’est du chiffre perdu chaque jour. Un fichier clients volumineux ou sensible — professionnels de santé, cabinet comptable, courtier — expose votre responsabilité. Un atelier dont les machines, les stocks et le planning sont pilotés par un logiciel s’arrête net si ce logiciel est chiffré par un rançongiciel.

Le test tient en deux questions : combien de jours pouvez-vous travailler sans aucun de vos outils numériques, et qui appelez-vous un samedi matin si tout est chiffré ? Si vos réponses sont « pas plus de deux » et « personne », le budget devient secondaire face au coût d’un arrêt.

Ce que disent les chiffres sur le risque des petites entreprises

Le Panorama de la cybermenace 2025 de l’ANSSI recense 128 compromissions par rançongiciel dans l’année. Les PME, TPE et ETI en représentent 48 % des victimes, contre 37 % en 2024 : première catégorie touchée, loin devant les collectivités. L’agence a aussi été informée de 196 incidents d’exfiltration de données, contre 130 un an plus tôt.

Le rapport d’activité 2025 de Cybermalveillance.gouv.fr précise le quotidien des entreprises et associations : le piratage de compte arrive en tête (21 % des demandes, en hausse de 52 %), devant l’hameçonnage (16 %), les faux ordres de virement (13,5 %, en hausse de 93 %) et le rançongiciel (8,1 %).

Lecture utile : la menace la plus probable pour vous n’est pas l’attaque sophistiquée, c’est la boîte mail piratée et le faux virement. Vérifiez donc que le contrat couvre aussi la fraude et les faux ordres de virement — c’est souvent une garantie distincte, parfois en option.

Budget : raisonner en critères, et remplir le questionnaire sans tricher

Il n’existe pas de barème public fiable pour une TPE. L’étude LUCY de l’AMRAE chiffre le marché à environ 306 millions d’euros de primes en 2025, concentrés sur les grandes entreprises ; elle recense environ 2 000 ETI assurées et moins de 4 000 polices sur les entreprises moyennes — rapporté aux millions de TPE françaises, le marché reste embryonnaire, même si les conditions se détendent (taux de prime et franchises en baisse). Toute « prime moyenne TPE » lue en ligne est donc invérifiable.

Ce qui fait réellement le prix : votre chiffre d’affaires, votre activité, le volume et la sensibilité des données détenues, les mesures de sécurité en place, le plafond de garantie et la franchise retenus. Comparez les devis sur ces critères — plafond, franchise, assistance incluse ou non, sous-limite rançongiciel, garantie fraude, exclusions — jamais sur la prime seule.

Le questionnaire de souscription est une déclaration du risque : ne cochez jamais « oui » pour une mesure partiellement en place. Si la double authentification protège la messagerie mais pas l’accès à distance, écrivez-le. L’article L. 113-9 du code des assurances est clair : une déclaration inexacte de bonne foi, découverte après un sinistre, réduit l’indemnité en proportion ; une fausse déclaration intentionnelle entraîne la nullité du contrat (article L. 113-8). Se sur-déclarer pour obtenir un meilleur tarif revient à payer pour une garantie qui ne fonctionnera pas.

Vos questions, nos réponses

La cyber-assurance est-elle obligatoire pour une entreprise ?

Non. Aucun texte n’impose de cyber-assurance — à la différence de l’assurance décennale dans le bâtiment ou de la RC professionnelle de certaines professions réglementées. C’est une garantie facultative, à arbitrer selon votre dépendance numérique : part du chiffre d’affaires qui passe par l’informatique, données clients détenues, capacité à travailler sans vos outils pendant plusieurs jours. En revanche, si vous souscrivez, la loi encadre l’indemnisation : sans dépôt de plainte dans les 72 heures après la découverte de l’attaque, l’assureur peut refuser de payer.

Une assurance peut-elle rembourser une rançon payée à des pirates ?

Oui, c’est légal en France, et certains contrats le prévoient. Mais la loi LOPMI de 2023 a strictement encadré ce remboursement : l’article L. 12-10-1 du code des assurances le subordonne, comme toute indemnisation cyber, à un dépôt de plainte dans les 72 heures suivant la connaissance de l’attaque, et le réserve aux professionnels. Enfin, l’ANSSI et Cybermalveillance.gouv.fr déconseillent le paiement : rien ne garantit la restitution des données, et payer entretient le modèle économique des attaquants. Vérifiez aussi le plafond propre à cette garantie dans le contrat.

Que risquez-vous en cas d’erreur dans le questionnaire de l’assureur ?

Tout dépend de votre bonne foi. Une réponse inexacte sans intention de tromper — vous pensiez vos sauvegardes testées, elles ne l’étaient pas — relève de l’article L. 113-9 du code des assurances : découverte après un sinistre, elle entraîne une réduction proportionnelle de l’indemnité, calculée sur l’écart entre la prime payée et celle qui aurait été due. Une fausse déclaration intentionnelle, elle, entraîne la nullité du contrat : aucune indemnité, primes conservées par l’assureur. Règle pratique : répondez exactement, et faites valider les questions techniques par votre prestataire informatique.

Une TPE sans site internet est-elle à l’abri des cyberattaques ?

Non. Il suffit d’une boîte mail et d’un compte bancaire pour être une cible. Chez les professionnels, le piratage de compte est la première cause de demande d’assistance recensée par Cybermalveillance.gouv.fr en 2025 (21 %), devant l’hameçonnage et les faux ordres de virement — trois attaques qui ne passent pas par votre site, mais par votre messagerie et vos habitudes de paiement. Cela ne signifie pas qu’il faut s’assurer dans tous les cas : commencez par la double authentification et une procédure de contre-appel avant tout changement de RIB.