Assurance cyber : pourquoi les TPE françaises décrochent
La réponse courte
La part des TPE et PME françaises couvertes par une assurance cyber dédiée est passée de 33,6 % à 27,6 % en un an, alors même que les petites entreprises sont devenues la première catégorie de victimes de rançongiciels en France. Ce recul n’est pas de l’insouciance : c’est le plus souvent une non-décision, prise faute de savoir contre quoi on cherche à se couvrir. Avant de comparer des primes, il vaut mieux regarder l’écart entre le risque que l’on craint et celui qui arrive vraiment.
En bref
- Public visé : dirigeants de TPE et PME, artisans et commerçants, associations employeuses ; formateurs et médiateurs numériques.
- Enjeu central : comprendre ce qu’une assurance cyber couvre réellement, et ce qu’aucune police ne remplacera jamais.
- Chiffre clé : 48 % des victimes de rançongiciel en France en 2025 sont des TPE, PME ou ETI, contre 37 % un an plus tôt (ANSSI).
- Temps de lecture : environ 8 minutes.
Il y a des statistiques qui décrivent un marché, et d’autres qui décrivent un état d’esprit. Celle-ci fait les deux. Selon l’édition 2026 du rapport du groupe Hiscox sur la gestion des cyber-risques, dont la presse spécialisée rendait compte le 15 septembre, la souscription d’une police cyber par les TPE et PME françaises a reculé de 33,6 % à 27,6 % en un an. Dans le même temps, la part de celles qui ne bénéficient d’aucune couverture cyber, sous quelque forme que ce soit, est passée de 39 % à 45 %.
Le décor, lui, va dans l’autre sens. Le Panorama de la cybermenace de l’ANSSI établit que le nombre d’attaques a doublé entre 2020 et 2025, et surtout que les petites structures sont passées au premier rang des victimes. Les entreprises se désassurent au moment précis où elles deviennent la cible principale.
Ce paradoxe mérite mieux qu’un haussement de sourcils. Il dit quelque chose d’assez juste sur la façon dont une petite entreprise arbitre, et il conduit à une question plus utile que celle de la prime.
1. Qui est visé, vraiment
Commençons par le point qui fait basculer la discussion dans presque tous les rendez-vous : l’idée d’être trop petit pour intéresser qui que ce soit. Les chiffres publics de l’ANSSI, repris par le ministère de l’Intérieur, la contredisent frontalement.
En 2025, 48 % des victimes d’attaque par rançongiciel recensées en France sont des TPE, des PME ou des entreprises de taille intermédiaire, contre 37 % l’année précédente. C’est désormais la première catégorie de victimes, devant les collectivités territoriales, qui passent de 17 % à 11 %, et les établissements de santé, qui montent de 4 % à 8 %.
Onze points de hausse en un an, ce n’est pas une dérive statistique, c’est un déplacement de cible. Il s’explique simplement : les grandes organisations se sont équipées, les petites beaucoup moins, et l’attaque s’est industrialisée au point que viser mille petites structures coûte désormais moins cher que d’en forcer une grande.
D’où viennent ces chiffres, et pourquoi c’est important
Les données de couverture proviennent d’un assureur, Hiscox, qui vend précisément le produit dont il constate le recul. L’étude, menée par le cabinet Wakefield Research auprès de 6 800 décideurs d’organisations de moins de 250 salariés dans dix pays, est sérieuse, mais elle a un intérêt à démontrer une sous-assurance. Nous la citons pour ce qu’elle mesure bien, la couverture et le coût des incidents, et nous croisons systématiquement le reste avec l’ANSSI, source publique et sans produit à vendre.
2. L’écart entre ce que l’on craint et ce qui arrive
C’est le résultat le plus instructif du rapport, et celui dont on parle le moins. Interrogés sur leur crainte principale, les dirigeants placent en tête l’atteinte à la réputation. Dans les faits, elle ne concerne que 19,8 % des entreprises attaquées.
La conséquence la plus fréquente est ailleurs : quatre entreprises françaises sur dix ayant subi une attaque déclarent avoir été victimes d’une fraude financière par détournement de paiement. Pas un vol de données spectaculaire, pas une rançon en cryptomonnaie : un virement parti au mauvais endroit.
On se protège contre ce que l’on imagine, et on est frappé par ce qui est banal.
Cet écart a une conséquence pratique immédiate. Le détournement de paiement ne se règle pas par un contrat d’assurance, mais par une procédure écrite qui tient en cinq lignes : aucun changement de coordonnées bancaires d’un fournisseur n’est appliqué sans un appel de vérification à un numéro déjà connu, jamais à celui figurant dans le courriel de demande. C’est gratuit, cela prend une heure à écrire, et cela traite la première cause de perte financière constatée.
Le rapport ajoute que 26 % des incidents proviennent d’une erreur humaine, et que près d’un incident sur quatre impliquerait un prestataire ou un partenaire externe. L’ANSSI confirme de son côté que la multiplication des attaques par la chaîne d’approvisionnement constitue un risque majeur : en compromettant un prestataire ou un logiciel largement utilisé, un attaquant touche des dizaines de victimes qu’il n’a jamais visées directement.
3. Ce qu’une assurance cyber fait, et ce qu’elle ne fera jamais
Une bonne part du malentendu vient du mot lui-même. Une assurance ne protège pas : elle indemnise, et elle assiste. La nuance décide de l’ordre dans lequel on dépense.
| Ce qu’une police cyber apporte en général | Ce qu’elle ne remplace pas |
|---|---|
| Une assistance technique en urgence, souvent 24 h sur 24 | Une sauvegarde qui fonctionne, seule chose qui redémarre l’activité |
| La prise en charge des frais de remise en état | Le temps perdu, les commandes annulées, les clients partis |
| L’accompagnement juridique et la notification à la CNIL | Le registre et les durées de conservation, à tenir en amont |
| Une indemnisation des pertes d’exploitation, sous conditions | Les prérequis exigés au contrat : double authentification, sauvegardes, mises à jour |
| Une couverture de la responsabilité envers les tiers | La procédure de vérification des changements de RIB |
La colonne de droite mérite d’être lue deux fois. Les prérequis que l’assureur exigera pour accepter un dossier, ou pour ne pas réduire son indemnisation, sont exactement les mesures qu’il faut prendre de toute façon. Autrement dit, on ne peut pas acheter une assurance à la place de la sécurité : il faut la sécurité pour obtenir l’assurance. C’est décevant quand on cherchait un raccourci, mais c’est une bonne nouvelle pour le budget, parce que ces mesures-là sont pour la plupart gratuites.
4. La question du budget, posée dans le bon sens
Le rapport avance deux montants qui, mis côte à côte, valent une démonstration. Les TPE et PME françaises consacrent en moyenne 29 700 euros par an à leur cyber-résilience, soit deux à trois fois moins que leurs homologues espagnoles, italiennes ou britanniques. Et l’impact moyen d’une cyberattaque est évalué à 45 900 euros sur l’ensemble des dix pays étudiés.
La tentation serait d’en conclure qu’il faut dépenser davantage. Ce serait aller vite. Pour une entreprise de cinq personnes, ces moyennes agrègent des structures de 200 salariés et n’ont pas grand sens prises littéralement. La question utile n’est pas le montant, c’est l’ordre : est-ce que ce que je dépense déjà est dirigé contre le risque qui me menace réellement ?
Beaucoup de petites entreprises paient chaque année un antivirus, parfois deux, et n’ont pas activé la double authentification sur leur messagerie professionnelle. Nous avions relevé cet écart dans notre article sur les fuites de données de l’été : les TPE et PME françaises sont équipées à 84 % d’un antivirus, mais seulement 26 % d’entre elles utilisent une double authentification. Elles sont protégées contre la menace d’hier.
Trois outils publics et gratuits, avant tout devis
L’ANSSI met à disposition cyberdépart, un diagnostic cyber en ligne pensé pour les petites structures, accessible depuis la plateforme MesServicesCyber. Le dispositif 17 Cyber oriente en cas d’incident, et il existe des contacts cyber de proximité mobilisables au niveau local. Faire le diagnostic avant de demander un devis change la conversation : on sait ce que l’on achète, et ce que l’on n’a pas besoin d’acheter.
5. L’angle mort qui arrive : l’intelligence artificielle
Deux signaux convergent, et ils méritent d’être notés sans dramatisation. Du côté de la menace, l’ANSSI observe que l’IA générative est de plus en plus utilisée dans les campagnes d’hameçonnage, avec des messages frauduleux dont le taux de clic atteint jusqu’à trois fois celui des courriels classiques. La vieille méthode de détection, chercher les fautes d’orthographe et les formules maladroites, ne fonctionne plus.
Du côté de la couverture, le rapport Hiscox relève que près d’un décideur français sur deux identifie la corruption des données d’entraînement d’un modèle d’IA comme la menace émergente la plus grave à cinq ans, alors que seuls 69 % des assurés français disposent d’une police intégrant les risques liés à l’IA, contre 74 % en moyenne dans les autres pays européens étudiés.
Pour une TPE, la conclusion pratique est modeste mais réelle : si vous renouvelez un contrat cette année, la question à poser à votre courtier tient en une phrase. Les incidents liés à l’usage d’outils d’IA dans l’entreprise sont-ils couverts, et à quelles conditions ?
6. Cinq décisions, dans cet ordre
Rien de ce qui suit ne suppose d’avoir tranché la question de l’assurance. Les quatre premiers points sont gratuits, et ils conditionnent le cinquième.
- Écrire la procédure de changement de coordonnées bancaires. Cinq lignes, affichées près du poste qui règle les factures. C’est la réponse directe à la première cause de perte financière constatée.
- Activer la double authentification, en commençant par la messagerie professionnelle, puis la banque, puis les outils métier. En préférant une application ou une clé physique à un code envoyé par SMS.
- Tester une restauration de sauvegarde et noter la date du test. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie, et c’est la seule chose qui remet l’activité en marche après un rançongiciel.
- Regarder du côté de vos prestataires. L’ANSSI recommande d’intégrer aux contrats fournisseurs une clause de notification d’incident en moins de 24 heures et un droit d’audit annuel. À lire aussi dans l’autre sens : vos propres clients vous le demanderont, et c’est déjà l’effet cascade de la directive NIS 2.
- Alors, et alors seulement, examiner une police cyber en comparant les exclusions et les prérequis, pas seulement le prix. Un tiers des TPE et PME françaises non assurées déclarent envisager de souscrire dans les douze mois, la proportion la plus élevée des dix pays étudiés : le sujet n’est pas rejeté, il est repoussé.
Deux réflexes en cas d’attaque
Ne payez pas de rançon : rien ne garantit la restitution des données, et le paiement finance la campagne suivante. Et déposez plainte auprès d’un commissariat ou d’une gendarmerie. Beaucoup de dirigeants y renoncent par gêne ou par manque de temps ; c’est pourtant souvent une condition de l’indemnisation, et c’est ce qui permet aux statistiques ci-dessus d’exister.
À retenir
- Les TPE, PME et ETI sont devenues la première catégorie de victimes de rançongiciels en France : 48 % en 2025, contre 37 % un an plus tôt.
- La couverture recule pourtant : 27,6 % de polices cyber dédiées contre 33,6 % un an avant, et 45 % des petites entreprises sans aucune couverture.
- La crainte numéro un des dirigeants est la réputation ; la réalité numéro un est la fraude au virement, qui touche quatre entreprises attaquées sur dix.
- Une assurance indemnise, elle ne protège pas : les prérequis qu’elle exige sont les mesures à prendre de toute façon, et elles sont pour l’essentiel gratuites.
- Diagnostic gratuit avec cyberdépart, orientation avec 17 Cyber, et dépôt de plainte systématique en cas d’incident.
Le recul de la couverture n’est probablement pas un choix assumé. C’est ce qui arrive quand un sujet reste trop longtemps en bas de la pile : il ne se décide pas, il expire. La bonne nouvelle, c’est que les quatre premières décisions de la liste ci-dessus ne coûtent rien d’autre qu’une demi-journée, et qu’elles valent, prises ensemble, bien plus qu’une ligne supplémentaire au budget des assurances.
Num Compagny accompagne les TPE et PME dans la mise en sécurité de leurs accès et de leurs sauvegardes, et propose des formations courtes en cybersécurité et en usages numériques professionnels. Pour en savoir plus, consultez notre offre de formation professionnelle.
