Assurance cyber, exigences PME à connaître en 2026

La question revient de plus en plus souvent lors de nos échanges avec des dirigeants de PME : faut-il souscrire une assurance cyber, et surtout, quelles exigences PME l’assureur va-t-il demander en contrepartie en matière d’assurance cyber ? Un contrat cyber ne se signe pas comme une simple extension de garantie : avant de couvrir une entreprise, l’assureur évalue son niveau de maturité technique à travers un questionnaire détaillé.

Comprendre l’assurance cyber et ses exigences pour les PME permet d’éviter deux écueils fréquents : une prime inutilement élevée, ou pire, une indemnisation contestée au moment du sinistre. Voici ce que les assureurs vérifient réellement, et comment préparer votre dossier sereinement.

Assurance cyber, exigences PME à connaître en 2026

Temps de lecture : ~10 min

1. Assurance cyber et exigences PME : de quoi parle-t-on exactement ?
2. L’assurance cyber est-elle obligatoire pour une PME en France ?
3. Le questionnaire de souscription, pièce maîtresse du dossier
4. Les mesures techniques attendues par les assureurs
5. Les exigences organisationnelles, souvent sous-estimées
6. Que couvre concrètement une assurance cyber et comment comparer deux contrats
7. Les exclusions et les motifs de limitation les plus fréquents
8. Ce qu’il faut préparer avant de demander un devis
9. Comment un prestataire de proximité vous aide à franchir ces prérequis
10. Aller plus loin avec l’assurance cyber pour votre PME
11. Questions fréquentes sur l’assurance cyber pour les PME

Assurance cyber et exigences PME : de quoi parle-t-on exactement ?

L’assurance cyber couvre les conséquences financières d’un incident touchant votre système d’information, vos données ou votre activité numérique. Concrètement, elle intervient après l’attaque, pour financer la remise en état des serveurs et des postes, la reconstitution des données, les frais d’analyse forensique, l’assistance juridique, la gestion de crise, la notification des personnes concernées et, selon les contrats, la perte d’exploitation, la responsabilité civile cyber, la cyber-extorsion ou certains cas de fraude informatique.

Il s’agit donc d’un mécanisme de transfert de risque, et non d’un substitut à la cybersécurité. La prévention réduit la probabilité et l’impact d’un incident, l’assurance en absorbe une partie du coût. Les deux sont complémentaires, et c’est précisément pour cette raison que les assureurs conditionnent leur engagement au respect de mesures techniques et organisationnelles précises. Une entreprise sans sauvegarde isolée ni authentification multifacteur représente un risque difficilement modélisable, donc difficilement assurable à un tarif raisonnable.

L’assurance cyber est-elle obligatoire pour une PME en France ?

Non. Il n’existe pas d’obligation légale générale imposant à toutes les PME françaises de souscrire une assurance cyber. Elle peut en revanche devenir une exigence contractuelle ou commerciale dans plusieurs situations : contrat avec un grand donneur d’ordre, référencement fournisseur, appel d’offres, activité dans un secteur réglementé, sous-traitance informatique ou accès à des données sensibles pour le compte d’un client.

Il faut également distinguer trois choses souvent confondues. D’abord, l’obligation de se conformer à des règles de cybersécurité, qui concerne certaines entreprises au titre de la directive NIS2 selon leur secteur, leur taille et leur rôle dans la chaîne numérique. Ensuite, les obligations issues du RGPD en cas de violation de données personnelles, avec analyse de l’incident, documentation et notification à la CNIL lorsque le risque le justifie. Enfin, la souscription d’une assurance, qui reste une décision de gestion financière. Les guides publiés par l’ANSSI à destination des TPE et PME, ainsi que les travaux conjoints de l’ANSSI et de l’AMRAE sur la maîtrise du risque numérique, insistent d’ailleurs sur cette logique : sécuriser d’abord, assurer ensuite.

Le questionnaire de souscription, pièce maîtresse du dossier

Tout commence par le questionnaire d’assurance cyber. Ce document, parfois de plusieurs pages, constitue votre déclaration de risque. L’assureur y évalue votre exposition, la sensibilité des données traitées, votre dépendance au système d’information, votre chiffre d’affaires, votre historique de sinistres et la robustesse de vos contrôles de sécurité.

Chaque réponse engage l’entreprise. Une déclaration imprécise, une mesure annoncée mais jamais déployée, ou un dispositif abandonné en cours de contrat peuvent justifier une surprime, une exclusion ou une réduction de l’indemnisation. C’est le point le plus sensible du sujet, et celui que nous abordons systématiquement avec les dirigeants que nous accompagnons. Remplir ce questionnaire sans l’appui de son prestataire informatique revient souvent à répondre de bonne foi à des questions dont on ne mesure pas la portée technique.

Important

Un manquement ne déclenche pas automatiquement un refus d’indemnisation. L’effet dépend de vos déclarations, des obligations inscrites au contrat, du lien entre le manquement et le sinistre, et du droit applicable. D’où l’intérêt de documenter précisément ce que vous affirmez.

Les mesures techniques attendues par les assureurs

L’authentification multifacteur, devenue un prérequis quasi systématique

L’authentification multifacteur figure en tête des prérequis d’assurance cyber. Elle consiste à exiger un second élément de vérification en plus du mot de passe, par exemple une notification sur smartphone ou un code temporaire. Son absence sur un accès critique est l’un des motifs les plus fréquemment invoqués pour limiter une garantie.

Les accès généralement concernés par cette exigence sont les suivants :

• la messagerie professionnelle, porte d’entrée privilégiée du phishing
• les accès VPN et les connexions distantes de type bureau à distance
• les comptes administrateurs et les consoles d’administration
• les applications cloud métier et les outils comptables ou financiers

Déployer la double authentification sur l’ensemble de ces accès demande un minimum de méthode pour ne pas bloquer les équipes au quotidien. C’est un chantier court, mais qui doit être cartographié avant d’être lancé.

Des sauvegardes isolées et des restaurations réellement testées

Le volet sauvegarde est le second pilier des conditions de souscription d’une assurance cyber. Les assureurs ne se contentent plus de l’existence d’une sauvegarde. Ils examinent sa fréquence, sa séparation effective avec l’environnement de production, sa protection contre l’effacement par un compte compromis, la durée de conservation, le périmètre des données couvertes et, surtout, la date du dernier test de restauration documenté.

La raison est simple. Une copie en permanence connectée au réseau est chiffrée ou supprimée en même temps que le reste lors d’une attaque par rançongiciel. Sans sauvegarde isolée, la reprise d’activité s’allonge, la perte d’exploitation grimpe et la facture pour l’assureur avec elle. Un test de restauration annuel, tracé et daté, est l’un des documents les plus utiles à joindre à un dossier de souscription. Pour les PME qui n’ont pas encore formalisé ce dispositif, externaliser et isoler ses sauvegardes reste la mesure la plus rentable à mettre en place rapidement.

Gestion des correctifs, inventaire des actifs et systèmes hors support

L’assureur cherche à savoir si vos systèmes sont maintenus. Il peut demander l’existence d’un inventaire des actifs, la procédure de gestion des correctifs, les délais de correction des vulnérabilités critiques et la présence éventuelle de logiciels obsolètes ou d’équipements hors support. Conserver un serveur ou des postes qui ne reçoivent plus de mises à jour de sécurité constitue une circonstance aggravante lors du règlement d’un sinistre, et parfois une exclusion pure et simple.

Comptes à privilèges et principe du moindre privilège

Les attaquants progressent dans un réseau en récupérant des identifiants. Les assureurs attendent donc une séparation nette entre les comptes bureautiques et les comptes administrateur, une suppression des comptes inutilisés, une revue périodique des droits, une désactivation rapide des accès lors des départs et une protection renforcée des accès à privilèges. La segmentation réseau est également valorisée, car elle limite la propagation d’une compromission d’un poste vers l’ensemble des serveurs.

Protection des postes, EDR et supervision

L’antivirus traditionnel ne suffit plus aux yeux du marché. De nombreux acteurs recommandent ou exigent un EDR, c’est-à-dire une solution de détection et de réponse installée sur les postes et les serveurs, capable d’identifier un comportement anormal et d’isoler une machine. Selon votre profil de risque, l’assureur peut aussi s’intéresser au filtrage des courriels, à la journalisation des événements, à la supervision des alertes et à la capacité de réaction en dehors des heures ouvrées.

Les exigences organisationnelles, souvent sous-estimées

Sensibilisation des collaborateurs

L’erreur humaine reste un vecteur d’attaque majeur. Les assureurs vérifient fréquemment l’existence d’une sensibilisation régulière des collaborateurs : reconnaissance des courriels frauduleux, gestion des mots de passe, règles de télétravail, usage des supports amovibles et procédure de signalement d’un incident. Une session annuelle, tracée, suffit souvent à cocher la case, à condition qu’elle soit réellement tenue. Les tentatives de phishing par virement urgent comptent d’ailleurs parmi les scénarios les plus fréquemment rencontrés en entreprise.

Plan de réponse à incident

Le plan de réponse à incident doit préciser qui contacter, comment isoler les équipements touchés, comment conserver les preuves pour l’analyse forensique, qui communique en interne et en externe, dans quelles conditions déposer plainte et notifier la CNIL, et selon quel ordre relancer l’activité. Le portail cybermalveillance.gouv.fr met à disposition des ressources utiles pour construire ce document. Certains contrats conditionnent d’ailleurs la prise en charge de la cyber-extorsion au respect de procédures précises, notamment un dépôt de plainte rapide. Les délais annoncés varient d’un assureur à l’autre, il faut donc lire la clause exacte de votre police plutôt que de se fier à une règle générale.

Que couvre concrètement une assurance cyber et comment comparer deux contrats

Deux contrats affichant un plafond global identique peuvent offrir des protections très différentes. Les sous-plafonds, les franchises et la franchise temporelle, c’est-à-dire le délai avant déclenchement de la garantie perte d’exploitation, pèsent souvent plus lourd que le montant principal. Voici les garanties à examiner ligne par ligne.

Comparer les garanties d’une assurance cyber PME

Concernant le prix d’une assurance cyber pour une PME, aucun barème universel n’existe. La prime dépend du chiffre d’affaires, du secteur, du volume de données traitées, des garanties retenues, des plafonds et du niveau de sécurité constaté. Deux entreprises de taille comparable peuvent obtenir des propositions très éloignées selon la qualité de leur dossier technique.

Les exclusions et les motifs de limitation les plus fréquents

Exclusions et limitations typiques

Les contrats excluent ou limitent généralement la faute intentionnelle, les systèmes non déclarés, les logiciels non maintenus, l’absence des mesures de sécurité promises au questionnaire, le défaut de sauvegarde, les accès critiques non protégés par MFA, les fraudes réalisées sans procédure de validation des paiements, les sinistres antérieurs à la souscription et certains actes relevant de la guerre ou d’attaques étatiques selon la rédaction des clauses. Le paiement de rançons interdit par la réglementation est également exclu.

À retenir

L’assurance cyber récompense la cohérence. Ce que vous déclarez doit être déployé, maintenu et documenté pendant toute la durée du contrat, pas seulement le jour de la signature.

Ce qu’il faut préparer avant de demander un devis

Un dossier bien préparé accélère la souscription et améliore souvent les conditions obtenues. Voici les éléments à réunir en amont :

• les données économiques : chiffre d’affaires, effectif, nombre de sites, répartition des activités
• la description du système d’information : serveurs, postes, applications cloud, accès distants, VPN
• les preuves techniques : déploiement de la MFA, politique de sauvegarde, dernier test de restauration, solution de protection des postes, procédure de mise à jour
• les éléments organisationnels : plan de réponse à incident, actions de sensibilisation, contrats de maintenance, historique des incidents des trois dernières années

Comment un prestataire de proximité vous aide à franchir ces prérequis

C’est précisément là que nous intervenons. Remplir un questionnaire d’assurance cyber suppose de savoir ce qui est réellement en place, et de mesurer l’écart avec ce que demande l’assureur. Un audit de l’existant permet d’objectiver la situation, de hiérarchiser les corrections prioritaires et de produire les justificatifs attendus : inventaire des actifs, journal des correctifs, rapport de test de restauration, attestation de déploiement de la double authentification.

En pratique, les chantiers les plus rentables sont presque toujours les mêmes : activer la MFA sur les accès critiques, externaliser et isoler les sauvegardes, remplacer les équipements hors support, séparer les comptes administrateurs et déployer une détection sur les postes. Ces mesures améliorent votre éligibilité, réduisent votre prime potentielle et, surtout, diminuent la probabilité de devoir un jour activer le contrat. Un accompagnement local présente ici un avantage concret : la personne qui connaît votre infrastructure est aussi celle qui peut répondre, pièce à l’appui, aux questions de l’assureur ou du courtier.

Aller plus loin avec l’assurance cyber pour votre PME

L’assurance cyber est un outil financier utile, à condition de la considérer comme l’aboutissement d’une démarche de sécurisation et non comme un raccourci. Les exigences des assureurs envers les PME ne relèvent pas de la contrainte administrative : elles reprennent, pour l’essentiel, les recommandations de l’ANSSI en matière d’authentification, de sauvegarde, de mise à jour et de gestion des accès. Mettre ces fondations en place vous rend assurable, vous positionne mieux face à un donneur d’ordre exigeant et limite l’impact d’un incident. Si vous souhaitez faire le point sur votre niveau de conformité avant de remplir un questionnaire de souscription, un audit de votre environnement constitue le point de départ le plus efficace.

FAQ – Questions fréquentes sur l’assurance cyber pour les PME

Quelle différence entre cybersécurité et assurance cyber ?

La cybersécurité réduit la probabilité qu’un incident survienne et en limite les effets. L’assurance cyber intervient après coup pour financer tout ou partie des conséquences. L’une ne remplace jamais l’autre, et la seconde exige généralement un niveau minimal de la première.

Un assureur peut-il demander un audit avant de couvrir une entreprise ?

C’est possible, notamment au-delà de certains seuils de chiffre d’affaires ou pour des secteurs jugés exposés. Certains assureurs se contentent du questionnaire déclaratif, d’autres réalisent un scan externe de votre exposition ou demandent des justificatifs techniques complémentaires.

Faut-il déclarer un changement de prestataire informatique en cours de contrat ?

Toute évolution significative de votre organisation ou de votre système d’information peut constituer une modification du risque déclaré. Un changement d’infrastructure, une migration vers le cloud ou l’abandon d’une mesure annoncée méritent d’être signalés à votre assureur ou à votre courtier.

L’assurance cyber couvre-t-elle les amendes RGPD ?

Cela dépend des contrats et du cadre juridique applicable. Certaines polices prennent en charge les frais de défense et d’accompagnement juridique, la couverture des sanctions administratives elles-mêmes étant plus restrictive. Ce point doit être vérifié clause par clause avant signature.

Combien de temps faut-il pour se mettre en conformité avec les prérequis d’un assureur ?

Le délai varie selon l’état du parc informatique. Activer la double authentification et externaliser les sauvegardes se traite généralement en quelques semaines. Le remplacement d’équipements hors support ou une refonte des droits d’accès demandent davantage de préparation.