Assurance cyber PME : critères et prix moyen 2026

L’assurance cyber PME prix se construit sur une évaluation fine des risques techniques et organisationnels de l’entreprise. Les critères de tarification retenus par les assureurs en 2026 combinent le chiffre d’affaires, l’effectif, le secteur d’activité et la maturité des mesures de sécurité, avec une forte prime aux entreprises ayant déployé authentification multifactorielle, endpoint detection and response et sauvegardes robustes.

Contexte du marché cyber PME en 2026

Le marché de l’assurance cyber a connu une transformation profonde depuis 2020. Après une phase de forte hausse des primes en réaction à l’explosion des rançongiciels, le marché s’est stabilisé en 2024 et 2025 grâce à l’amélioration mesurable de la maturité cyber des entreprises assurées. Les assureurs sélectionnent désormais plus sévèrement les risques et exigent la démonstration de mesures techniques minimales avant toute souscription.

Les petites et moyennes entreprises restent la cible privilégiée des cyberattaquants. Selon le rapport annuel de l’Agence nationale de la sécurité des systèmes d’information, plus de la moitié des victimes de rançongiciel en France sont des petites et moyennes entreprises et des collectivités locales. Le coût médian d’un sinistre cyber pour une petite ou moyenne entreprise se situe entre 30 000 et 300 000 euros, incluant l’arrêt d’activité, les frais de gestion de crise, la restauration des systèmes et les éventuels contentieux avec les tiers.

La souscription d’une assurance cyber est devenue une exigence contractuelle fréquente dans les appels d’offres, en particulier dans les secteurs sensibles (santé, finance, industrie, sous-traitance des opérateurs de services essentiels) et pour les fournisseurs de grands comptes. La directive européenne Network and Information Security 2, transposée en France en 2024, renforce cette dynamique en imposant à un périmètre élargi d’entreprises des obligations de sécurité et de notification.

Critères de tarification retenus par les assureurs

Le questionnaire de souscription cyber comporte typiquement 40 à 80 questions couvrant l’ensemble des dimensions techniques, organisationnelles et juridiques de la sécurité de l’entreprise. Les principaux critères de pricing sont les suivants.

Le chiffre d’affaires détermine l’exposition financière à la perte d’exploitation et sert de base au calcul de la prime rapportée au chiffre d’affaires, généralement comprise entre 0,04 et 0,15 pour cent selon le profil de risque.

L’effectif influe sur le nombre de points d’entrée potentiels et sur la complexité de la formation à la sensibilisation cyber. Une entreprise de 50 salariés présente une surface d’attaque supérieure à celle d’une entreprise de 10 salariés à chiffre d’affaires équivalent.

Le secteur d’activité conditionne la sensibilité des données traitées et l’appétit des attaquants. Les secteurs santé, finance, e-commerce, industrie de défense, cabinets d’avocats et d’expertise comptable, hébergement de données de santé sont classés à risque élevé et supportent des surcotes importantes.

Le volume de données personnelles traitées entre dans le calcul du plafond utile et des franchises. Les entreprises traitant plus de 100 000 fiches clients ou des données sensibles au sens de l’article 9 du Règlement général sur la protection des données doivent retenir des plafonds supérieurs pour couvrir les frais de notification et les sanctions de la Commission nationale de l’informatique et des libertés.

Mesures techniques exigées

Les assureurs cyber ont convergé sur un socle de mesures techniques désormais exigées pour toute souscription en 2026.

L’authentification multifactorielle est requise sur l’ensemble des accès sensibles : messagerie professionnelle, virtual private network, comptes administrateurs, applications métier hébergées en mode software as a service. Son absence entraîne un refus de garantie ou une déchéance en cas de sinistre exploité par compromission d’identifiants.

La solution endpoint detection and response, qui remplace l’antivirus traditionnel par une détection comportementale des attaques sur les postes et serveurs, est devenue un standard. Les principaux éditeurs reconnus sont audités par les assureurs, qui peuvent exiger la production du contrat de licence.

La sauvegarde selon la règle 3-2-1 constitue la meilleure protection contre le rançongiciel. Trois copies des données, deux supports distincts, une copie hors site ou hors ligne. La copie hors ligne, souvent réalisée par bandes ou par snapshot immuable sur cloud, garantit la reprise même si l’ensemble du système d’information a été chiffré.

La segmentation du réseau, la mise à jour régulière des systèmes, le filtrage web et messagerie, le chiffrement des postes nomades, le contrôle des accès distants et la journalisation centralisée complètent le socle technique. La formation régulière du personnel à la sensibilisation cyber, avec exercices de phishing, est également valorisée.

Une certification comme ISO 27001, HDS pour l’hébergement de données de santé ou SecNumCloud pour les hébergeurs souverains constitue un signal fort de maturité et se traduit par des remises importantes sur la prime.

Besoin d’un devis personnalisé pour votre entreprise ? Demander un devis gratuit en 24 h →

Gamme de prix indicatifs pour une PME

Les fourchettes de prix ci-dessous sont indicatives et supposent le respect du socle technique minimal (authentification multifactorielle, endpoint detection and response, sauvegardes 3-2-1).

À partir de (TTC) : 800 à 1 200 euros par an pour une très petite entreprise de moins de 10 salariés réalisant moins de 1 million d’euros de chiffre d’affaires, plafond 250 000 euros par sinistre, franchise 5 000 euros.

À partir de (TTC) : 1 500 à 2 200 euros par an pour une petite ou moyenne entreprise de 10 à 30 salariés réalisant 1 à 5 millions d’euros de chiffre d’affaires, plafond 500 000 à 1 million d’euros, franchise 10 000 euros.

À partir de (TTC) : 2 800 à 4 000 euros par an pour une petite ou moyenne entreprise de 30 à 50 salariés réalisant 5 à 15 millions d’euros de chiffre d’affaires, plafond 1 à 2 millions d’euros, franchise 15 000 à 25 000 euros.

Ces fourchettes s’appliquent aux secteurs à profil de risque standard : services aux entreprises, commerce de gros, industrie manufacturière classique, professions libérales non médicales. Les secteurs sensibles (santé, finance, cabinet d’avocats, sociétés de conseil en informatique, e-commerce) supportent des surcotes de 30 à 80 pour cent.

L’absence de mesures techniques minimales ou une sinistralité antérieure conduisent à des surcotes pouvant dépasser 100 pour cent, voire à un refus de souscription pour les profils les plus dégradés.

Plafonds courants et franchises

Le choix du plafond doit refléter l’exposition maximale de l’entreprise en cas de sinistre majeur. Deux composantes structurent ce dimensionnement.

Le premier volet est la perte d’exploitation, qui compense la marge brute perdue pendant l’interruption d’activité. Une petite ou moyenne entreprise de 20 salariés stoppée trois semaines par un rançongiciel peut perdre 150 000 à 400 000 euros de marge selon son secteur. Le plafond de garantie perte d’exploitation doit couvrir ce montant, avec une période d’indemnisation de 6 à 12 mois.

Le second volet est la responsabilité civile de l’entreprise à l’égard des tiers dont les données ont été compromises : clients, salariés, sous-traitants. Les indemnisations judiciaires, les frais de notification et les sanctions administratives de la Commission nationale de l’informatique et des libertés peuvent atteindre plusieurs centaines de milliers d’euros.

Les plafonds courants du marché en 2026 s’échelonnent comme suit. 250 000 euros par sinistre pour les très petites entreprises de moins de 10 salariés. 500 000 à 1 million d’euros pour les petites et moyennes entreprises de 10 à 30 salariés. 1 à 2 millions d’euros pour les petites et moyennes entreprises de 30 à 50 salariés. Au-delà, un dimensionnement sur mesure est réalisé après audit.

Les franchises usuelles vont de 5 000 à 25 000 euros par sinistre, avec parfois une franchise en jours pour la perte d’exploitation (24 à 72 heures).

Besoin d’un devis personnalisé pour votre entreprise ? Demander un devis gratuit en 24 h →

Garanties couvertes par l’assurance cyber

Un contrat cyber PME en 2026 couvre typiquement les postes suivants. La gestion de crise avec une cellule d’astreinte disponible 24 heures sur 24, incluant experts juridiques, techniques et communication. Les frais d’enquête forensique menée par un prestataire qualifié pour identifier l’origine et l’ampleur de l’attaque. La restauration des systèmes et des données, y compris les frais de reconstruction en cas de chiffrement irréversible.

La perte d’exploitation compense la marge brute perdue pendant l’interruption. La responsabilité civile couvre les indemnisations dues aux tiers pour la compromission de leurs données. Les frais de notification aux personnes concernées et aux autorités (Commission nationale de l’informatique et des libertés dans les 72 heures) sont pris en charge, ainsi que les frais de communication de crise et de veille sur les données exfiltrées.

Les sanctions administratives infligées par la Commission nationale de l’informatique et des libertés peuvent être couvertes dans la limite autorisée par la loi. La fraude au président, où un attaquant se fait passer pour un dirigeant pour ordonner un virement frauduleux, est proposée en garantie complémentaire.

Pour approfondir la démarche de protection cyber, consultez notre guide complet assurance cyber entreprise et notre article sur l’assurance continuité d’activité et le plan de continuité.

L’essentiel à retenir

• Le prix d’une assurance cyber pour une petite ou moyenne entreprise se situe entre 800 et 4 000 euros toutes taxes comprises selon le chiffre d’affaires et le secteur.

• Les mesures techniques désormais exigées incluent authentification multifactorielle, endpoint detection and response et sauvegardes conformes à la règle 3-2-1.

• Les plafonds courants vont de 250 000 euros à 2 millions d’euros par sinistre, avec franchises de 5 000 à 25 000 euros.

• Les secteurs sensibles (santé, finance, e-commerce, conseil informatique) supportent des surcotes de 30 à 80 pour cent.

• La règle 3-2-1 (trois copies, deux supports, une hors site) est la meilleure protection contre le rançongiciel.

• Une certification ISO 27001, hébergement de données de santé ou SecNumCloud donne accès à des remises significatives.

• Les contrats couvrent en priorité la gestion de crise, la restauration, la perte d’exploitation et la notification aux personnes concernées.

Demander un devis assurance entreprise

Chaque petite ou moyenne entreprise présente un profil de risque cyber spécifique lié à son secteur, à son volume de données et à sa maturité technique. Nos conseillers spécialisés analysent votre système d’information et vos processus pour bâtir un contrat cyber juste, sans sursouscription ni angle mort.

Demander un devis gratuit en 24 h →

Sources officielles : recommandations et alertes de sécurité de l’Agence nationale de la sécurité des systèmes d’information, guide de la Commission nationale de l’informatique et des libertés sur la sécurité des données personnelles et portail cybermalveillance.gouv.fr pour la prévention et l’assistance aux victimes.