Comment choisir la meilleure assurance cyber pour votre entreprise ?

Un marché encore largement sous-couvert

Selon la 6ᵉ édition de l’étude LUCY (Lumière sur la Cyberassurance) de l’Amrae, publiée en juin 2026, le marché français de la cyberassurance représentait 306 millions d’euros de primes en 2025, en repli pour la troisième année consécutive (328 M€ en 2023, 317 M€ en 2024), alors même que la sinistralité augmente. Cette baisse ne traduit pas une désaffection : elle reflète surtout une guerre des prix entre assureurs, avec un taux de prime moyen en chute de 32 % chez les grandes entreprises en un an. 

La dynamique reste très inégale selon la taille de l’entreprise. Les ETI ont vu leur nombre d’assurées progresser de 75 % en 2025, portées par des courtiers offensifs et des tarifs favorables — mais leurs primes ne représentent encore que 67 millions d’euros, contre 204 millions pour les grandes entreprises. Leur ratio sinistres/primes atteint 42 %, largement au-dessus de la moyenne du marché (27 %), signe d’une sinistralité qui progresse plus vite que la prime perçue. Les PME, qui représentent l’écrasante majorité des entreprises françaises, restent structurellement les moins couvertes : un marché encore jeune sur ce segment, avec des offres qui commencent seulement à se structurer spécifiquement pour elles.

Qu’est-ce qu’une assurance cyber et pourquoi est-elle indispensable ?

Dans un environnement de plus en plus connecté, les menaces informatiques peuvent causer des dommages considérables à la fois sur le plan financier et sur la réputation d’une entreprise. Une assurance cyber offre une réponse adaptée pour minimiser les conséquences d’une attaque numérique et protéger vos données.

Cette assurance peut couvrir différents types de risques : 

• Les attaques par rançongiciel : lorsque les cybercriminels bloquent vos systèmes et exigent une rançon. 
• Le vol de données : perte ou vol de données sensibles (personnelles, financières, stratégiques). 
• Le phishing et le piratage informatique : pertes financières résultant de fraudes par email ou d’accès non autorisés. 
• Les attaques par déni de service (DDoS) : perturbations importantes des services en ligne.

En cas de fuite de données, des sanctions administratives peuvent être prononcées par la CNIL en cas de non-respect du RGPD, avec des amendes pouvant atteindre plusieurs millions d’euros. Pour les entreprises soumises à la directive NIS2, disposer d’une couverture adaptée devient aussi un élément de conformité à documenter, pas seulement une protection financière. 

Exemple illustratif : une PME de 60 salariés est victime d’un rançongiciel qui chiffre sa base clients. Son contrat d’assurance cyber prend en charge l’intervention d’un prestataire en réponse à incident, la restauration des données à partir des sauvegardes, et l’assistance juridique pour la notification CNIL mais pas la perte d’exploitation des trois jours d’arrêt, faute d’avoir souscrit cette option spécifique lors de la signature. C’est exactement ce type d’angle mort que les six critères ci-dessous permettent d’anticiper avant de signer, pas après un sinistre.

6 critères clés pour choisir la bonne assurance cyber

1. L'étendue de la couverture

Vérifiez si votre contrat inclut : les types de cyberattaques pris en charge (ransomware, phishing, DDoS, vol de données, erreurs humaines), les fraudes par ingénierie sociale, la prise en charge du télétravail, la récupération des données et la remise en service des systèmes, l’indemnisation des pertes d’exploitation, la responsabilité civile en cas de fuite de données clients, et le moment de déclenchement de la garantie (date de l’attaque ou date de sa découverte). 

Bon à savoir : certaines assurances excluent les attaques dues à un défaut de mise à jour ou à une négligence. Attention aussi à ne pas confondre l’assurance cyber avec l’assurance RCMS (responsabilité civile des mandataires sociaux) : la première couvre l’entreprise face aux tiers après un incident, la seconde protège le patrimoine personnel du dirigeant si sa responsabilité de gestion est mise en cause. Voir notre article Cyberattaque, quelle protection juridique pour le dirigeant ? pour le détail de cette distinction.

2. L'accompagnement et l'assistance en cas d’attaque 

Un bon contrat inclut un service de réponse à incident mobilisable 24h/24 et 7j/7, pour identifier rapidement l’origine de l’attaque, contenir sa propagation, restaurer vos données et limiter les impacts opérationnels et financiers. L’assurance peut aussi inclure une assistance juridique, une aide à la communication de crise et des conseils en gestion de rançon.

3. La prise en charge des pertes financières

Les conséquences économiques d’une cyberattaque peuvent être lourdes. Assurez-vous que le contrat couvre les pertes de chiffre d’affaires liées à l’interruption d’activité, les coûts de restauration des systèmes et les frais de gestion de crise.

4. Les exclusions et obligations du contrat

Vérifiez les exclusions de garantie (absence de mises à jour, négligence) et les mesures préventives exigées (formation des employés, audits réguliers, sauvegardes, antivirus).

5. Les coûts, la franchise et le taux de prime

Le tarif dépend de votre secteur, de la taille de l’entreprise, du niveau de couverture choisi, et du montant des franchises et plafonds d’indemnisation. Trois notions à bien distinguer avant de comparer deux devis : 

• Le taux de prime : le montant de la cotisation annuelle rapporté au plafond de garantie souscrit. Il varie fortement selon le profil de risque, mais a nettement baissé ces dernières années sous l’effet de la concurrence entre assureurs, un contexte favorable pour renégocier un contrat existant. 
• La franchise : la somme qui reste à la charge de l’entreprise avant que la garantie ne se déclenche. À titre d’ordre de grandeur, les franchises moyennes s’élèvent à environ 6,5 millions d’euros pour les grandes entreprises et 110 000 euros pour les ETI, en baisse elles aussi ces dernières années mais ces montants n’ont de sens que rapportés à la trésorerie disponible de votre entreprise. 
• Le délai de carence : la période, définie dans le contrat, entre le début d’une perte d’exploitation et le moment où l’indemnisation commence réellement à courir. C’est un point souvent négligé lors de la souscription, qui peut réduire fortement la prise en charge réelle d’une interruption d’activité courte.

6. La compatibilité avec vos solutions de cybersécurité existantes

Vérifiez les prérequis imposés par l’assureur : antivirus et pare-feu à jour, sauvegardes régulières, respect des normes de cybersécurité.

Ne laissez pas votre entreprise sans protection

Dans un environnement où les cyberattaques sont de plus en plus sophistiquées, une assurance cyber adaptée est un véritable bouclier pour votre entreprise. Elle ne remplace pas les mesures de cybersécurité, mais permet de limiter les pertes et d’assurer la continuité de votre activité. 

BNP Paribas s’est associée à Stoïk, le premier acteur français de l'assurance spécialisé sur le risque cyber à destination des PME et ETI en Europe, pour aider les entreprises à se protéger et à réduire leur exposition. Voir le témoignage de Benjamin Mangel, responsable souscription chez Stoïk, sur l’évolution du marché et des critères de souscription.

Questions fréquentes

Une assurance responsabilité civile classique couvre-t-elle les cyberattaques ?

En général non. La plupart des contrats RC Pro classiques excluent explicitement les dommages liés aux cyberattaques, et n’indemnisent que les préjudices subis par des tiers, pas vos propres pertes d’exploitation. 

Quel est le principal frein à la souscription pour une PME ? 

Le coût perçu et la complexité des questionnaires de souscription. Certains assureurs, comme Stoïk, ont simplifié ce parcours avec des questionnaires allégés selon la taille de l’entreprise. 

L’assurance cyber remplace-t-elle les mesures de sécurité internes ? 

Non. Les assureurs conditionnent généralement la couverture au respect de prérequis de sécurité (mises à jour, sauvegardes, authentification multi-facteurs). L’assurance est un filet de sécurité complémentaire, pas un substitut à la prévention.