Cyberattaque : combien ça coûte concrètement à une entreprise ?

Moins d’attaques réussies, mais des factures plus lourdes

Selon le baromètre 2025 du CESIN (11ᵉ édition, sondage OpinionWay réalisé en décembre 2025 auprès de 397 RSSI), la part des entreprises françaises touchées par une cyberattaque significative recule d’année en année : 40 % en 2025, contre 47 % en 2024 et 65 % en 2019. Les investissements en protection (pare-feux, EDR, authentification multifacteurs, déployés par plus de 9 entreprises sur 10) commencent à porter leurs fruits. 

Mais quand une attaque aboutit malgré tout, ses conséquences sont plus lourdes qu’avant : 81 % des entreprises touchées déclarent un impact réel sur leur activité (CESIN, 2025).

Combien coûte réellement une cyberattaque ?

Les études convergent sur l’ampleur du problème, sans s’accorder sur un chiffre unique. La fourchette dépend fortement de la taille de l’entreprise et du type d’attaque : 

• 50 000 € : coût médian d’une cyberattaque pour une PME, selon l’étude Astérès 2024 réalisée pour le MEDEF — un chiffre médian, donc moins influencé que la moyenne par les incidents les plus extrêmes. 
• Jusqu’à 450 000 à 500 000 € : plusieurs études d’assureurs spécialisés en cyberrisques avancent des moyennes nettement supérieures au chiffre médian, tirées vers le haut par une minorité de sinistres très graves (rançon payée, interruption prolongée, sanction réglementaire).
• 2 milliards d’euros : c’est l’estimation du coût total des cyberattaques réussies pour l’ensemble des organisations françaises en 2022, dernière année pour laquelle Astérès a publié une estimation macroéconomique globale (étude commandée par le CRiP, méthodologie discutée par certains observateurs du secteur en raison de la taille de l’échantillon). 

L’écart entre coût moyen et coût médian illustre une réalité simple : une minorité d’attaques très graves (rançon payée, fuite de données personnelles avec sanction CNIL, arrêt d’activité prolongé) tire fortement la moyenne vers le haut, tandis que la majorité des incidents restent d’ampleur plus contenue.

Coûts directs, coûts indirects : deux factures bien différentes

Additionner ces chiffres à un seul montant masque une distinction utile pour comprendre où va réellement l’argent : 

• Les coûts directs sont les plus visibles : rançon éventuelle, intervention d’un prestataire en réponse à incident, remplacement de matériel, restauration des données à partir des sauvegardes. Ce sont ceux que couvre le plus souvent une assurance cyber classique. 
• Les coûts indirects sont plus diffus mais souvent plus lourds sur la durée : perte d’exploitation pendant l’interruption d’activité, temps de travail interne mobilisé plutôt qu’affecté à l’activité normale, augmentation de la prime d’assurance l’année suivante, perte de clients qui ne renouvellent pas leur confiance, et éventuelles sanctions CNIL en cas de fuite de données personnelles mal gérée. C’est cette seconde catégorie qui explique le plus souvent l’écart entre le coût médian (50 000 €) et les cas les plus extrêmes. 

Exemple illustratif, à partir des ordres de grandeur documentés par les études citées plus haut : une PME de 40 salariés victime d’un rançongiciel peut voir sa facture directe (intervention technique, restauration) rester sous 30 000 €, tandis que l’arrêt de production pendant plusieurs jours, le temps de direction mobilisé sur la gestion de crise plutôt que sur l’activité, et la hausse de prime d’assurance l’année suivante peuvent représenter un multiple de ce montant. C’est cet effet cumulatif, plus que le coût technique isolé, qui explique pourquoi la remise en route rapide de l’activité compte davantage que la seule réparation des systèmes.

Le taux de couverture assurantielle reste très inégal selon la taille

Selon le rapport LUCY 2025 de l’Association pour le management des risques et des assurances de l’entreprise (Amrae), le marché français de la cyberassurance représentait 317 millions d’euros de primes en 2024. Fait notable : pour la première fois, les primes ont reculé (notamment sur le segment ETI), tandis que le nombre de souscriptions par les PME et TPE a fortement augmenté — un signe encourageant, même si l’écart de couverture entre PME et grands groupes reste structurellement important. 

Souscrire une assurance cyber, une piste pour se prémunir

L’assurance cyber est une des armes pour se prémunir du choc d’une cyberattaque. Le prix varie selon la taille de la société, le secteur d’activité, le niveau de risque et la couverture souhaitée. Les PME peuvent prétendre à une couverture incluant assistance à la gestion de crise, restauration du système informatique, couverture des dommages immatériels et protection de la cyber-responsabilité. 

BNP Paribas s’est associée à Stoïk, acteur français de l’assurance cyber spécialisé sur les PME et ETI, pour une raison précise : la majorité des offres historiques du marché se limitaient à l’indemnisation après coup, sans réel accompagnement en amont. Stoïk combine les deux volets — des outils de prévention et de détection des vulnérabilités intégrés au contrat, en plus de la couverture assurantielle — ce qui répond directement au constat de ce chiffre : ce n’est pas seulement une meilleure prise en charge financière qui réduit la facture globale, c’est surtout la capacité à détecter et contenir une attaque avant qu’elle ne s’aggrave.

Les premiers réflexes en cas d’attaque 

Au-delà de la question du coût, la rapidité de réaction pèse directement sur la facture finale. 

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cyberattaques, recommande une séquence d’actions immédiates dès la détection d’un incident : 

• Déconnecter les équipements touchés du réseau, sans les éteindre, pour limiter la propagation tout en préservant les preuves techniques de l’attaque. 
• Changer immédiatement les mots de passe depuis un appareil non compromis, en priorité ceux des comptes à privilèges (administrateur, messagerie de direction, accès bancaires). 
• Ne pas payer la rançon dans l’urgence : le paiement ne garantit ni la récupération des données ni l’absence de nouvelle attaque, et peut compliquer la couverture assurantielle. 
• Solliciter un expert en sécurité informatique référencé par Cybermalveillance.gouv.fr pour qualifier l’ampleur réelle de l’attaque avant toute décision. 
• Conserver les traces de l’incident (journaux, captures d’écran, horodatage) : elles seront nécessaires pour le dépôt de plainte, la déclaration à l’assureur et, le cas échéant, la notification à la CNIL.

Ces réflexes rejoignent un constat de fond largement partagé sur le terrain : la plupart des attaques qui aboutissent exploitent des failles élémentaires — mises à jour négligées, mots de passe faibles ou réutilisés, absence d’authentification multi-facteurs, ou tout simplement un e-mail piégé ouvert sans vérification. Renforcer ces bases en amont reste la mesure la plus rentable, bien avant la question de l’assurance ou de la remédiation. Structurer un Plan de Continuité d’Activité en amont permet aussi de réduire directement la durée d’interruption, et donc la part la plus lourde de la facture indirecte.

Bon à savoir 

Le gouvernement a fait adopter en janvier 2023 la loi d’orientation et de programmation du ministère de l’Intérieur (Lopmi), qui encadre les conditions de remboursement des rançongiciels par les assureurs, conditionné au dépôt d’une plainte par les victimes. Un “17 cyber” a été mis en place pour assister les victimes de cyberattaques, particuliers comme entreprises.

Ce coût n’est pas qu’un sujet technique : il engage directement la direction financière dans les arbitrages de prévention, au même titre que la trésorerie ou l’assurance — voir notre article DAF, pourquoi la cybersécurité est aussi votre responsabilité. Si la fraude financière est en jeu plutôt qu’une attaque technique (virement détourné, changement de RIB frauduleux), les mécanismes et les montants en jeu diffèrent sensiblement — voir notre article Fraude au changement de RIB, fournisseurs et salariés.

Questions fréquentes

Pourquoi les études donnent-elles des chiffres si différents sur le coût d’une cyberattaque ? 

Les méthodologies varient (échantillon, définition d’une “attaque réussie”, périmètre géographique et sectoriel) et les résultats dépendent fortement de la taille des entreprises interrogées. Un chiffre médian (50 000 €) et un chiffre moyen (466 000 €) racontent deux histoires différentes sur la même réalité. 

Le nombre de cyberattaques diminue-t-il vraiment en France ? 

Selon le CESIN, la part d’entreprises touchées par une attaque significative baisse depuis 2019, ce qui traduit une meilleure protection en amont. Mais cette baisse s’accompagne d’une hausse de la gravité des attaques qui aboutissent malgré tout.

Une PME peut-elle survivre financièrement à une cyberattaque sans assurance ? 

Cela dépend fortement de la gravité de l’attaque et de la trésorerie disponible. C’est précisément l’écart de couverture entre PME et grands groupes qui explique pourquoi l’impact d’une cyberattaque est souvent proportionnellement plus lourd pour une petite structure. 

Faut-il faire appel à Cybermalveillance.gouv.fr même si l’attaque semble mineure ? 

Oui. Le dispositif oriente vers des prestataires qualifiés et aide à qualifier objectivement l’ampleur réelle de l’incident, ce qui évite deux écueils symétriques : sous-réagir face à une attaque plus grave qu’il n’y paraît, ou engager des frais disproportionnés face à un incident mineur.