Assurance cyber PME : prix, couverture et limites en 2026

Une assurance cyber prend en charge les conséquences financières d'une cyberattaque : gestion de crise, restauration des données, pertes d'exploitation, réclamations de tiers. Pour une PME de 10 à 249 salariés, la prime annuelle se situe le plus souvent entre 1 000 et 10 000 €, selon les fourchettes publiées par le courtier Lesto en septembre 2026. Elle ne protège pas votre système d'information pour autant, et les assureurs exigent désormais un niveau de sécurité minimal avant de vous couvrir.

Ce guide est écrit par un prestataire de sécurité informatique, pas par un assureur. Il explique ce que couvre un contrat, ce qu'il coûte et ce qu'il ne fera jamais à votre place.

Qu'est-ce qu'une assurance cyber et que couvre-t-elle ?

Une assurance cyber est un contrat qui indemnise l'entreprise, et parfois ses clients, après une attaque informatique ou une fuite de données. Les garanties varient d'un assureur à l'autre, mais on retrouve le plus souvent :

• La gestion de crise : intervention d'experts techniques, conseil juridique, communication, notification des personnes concernées et de la CNIL.
• La restauration : reconstitution des données et remise en état des systèmes.
• Les pertes d'exploitation : le chiffre d'affaires perdu pendant l'arrêt de l'activité.
• La responsabilité civile : les réclamations d'un client ou d'un partenaire dont les données ont été exposées.
• Selon les contrats, la fraude au virement : souvent en option, à vérifier ligne à ligne.

Une condition s'applique à tous les contrats depuis la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur (dite LOPMI) : pour être indemnisée des pertes causées par une cyberattaque, l'entreprise doit porter plainte dans les 72 heures qui suivent la découverte de l'attaque (article L12-10-1 du Code des assurances). Ce délai se prépare avant l'incident, dans votre procédure de gestion de crise.

Lisez aussi les exclusions : elles portent souvent sur l'absence de mises à jour de sécurité ou de sauvegardes, et sur le sort des sanctions administratives.

Combien coûte une assurance cyber pour une PME en 2026 ?

Il n'existe pas de prix public : chaque assureur fixe sa prime après un questionnaire sur votre entreprise et votre sécurité. Le courtier Lesto a publié en septembre 2026 des fourchettes annuelles indicatives selon la taille :

• Moins de 10 salariés : 300 à 800 € par an.
• 10 à 49 salariés : 1 000 à 3 000 € par an.
• 50 à 249 salariés : 3 000 à 10 000 € par an.
• ETI de 250 salariés et plus : à partir de 15 000 € par an.

Deux PME de même taille peuvent payer des primes très différentes. Selon le même courtier, le montant dépend surtout de la sécurité que l'entreprise peut prouver, de son secteur (des données sensibles coûtent plus cher à assurer), des sinistres des trois dernières années, et du niveau de franchise et de plafond choisi.

Ces fourchettes sont celles d'un courtier. IT Systèmes ne vend pas d'assurance : notre rôle est de vous aider à présenter une sécurité solide, et à l'avoir réellement.

Les PME françaises baissent la garde sur l'assurance cyber

Le rapport annuel de l'assureur Hiscox sur la gestion des cyber-risques (Cyber Readiness Report 2026, enquête Wakefield Research menée en juin 2026 auprès de 6 800 décideurs dans dix pays) montre un recul net en France :

• 27,6 % des TPE et PME françaises ont une police d'assurance cyber dédiée, contre 33,6 % un an plus tôt.
• 45 % n'ont aucune couverture cyber.
• Une cyberattaque coûte en moyenne environ 46 000 € à une PME française touchée.
• Les PME françaises consacrent en moyenne 29 700 € par an à leur cyber-résilience.

Moins d'entreprises assurées pour un coût moyen d'attaque qui reste élevé : pour une PME, une attaque non couverte se paie directement sur la trésorerie.

Sources : Le Monde Informatique (15 septembre 2026) et ChannelNews (16 septembre 2026), qui relaient les chiffres français du rapport Hiscox.

L'assurance ne remplace pas la protection technique

Une police cyber rembourse une partie des dégâts. Elle n'empêche pas l'attaque et ne remet pas un serveur en marche. Elle se mérite aussi : en 2026, les assureurs posent des conditions techniques avant de couvrir. Le courtier Lesto cite notamment :

• L'authentification multifacteur sur la messagerie, l'accès à distance (VPN) et les comptes administrateurs, exigée presque systématiquement.
• Un EDR ou un service MDR sur tout le parc (logiciel qui détecte et bloque les comportements malveillants sur les postes et serveurs), attendu dès 50 salariés.
• Des sauvegardes hors ligne testées, condition des garanties liées aux rançongiciels.

Par où commencer

Avant de remplir le questionnaire d'un assureur, faites le point sur ces mesures. Le Diag cyber d'IT Systèmes, un forfait de 1 000 €, évalue votre niveau de sécurité actuel ; il ne remplace pas un audit de sécurité complet. Pour mettre en place les protections elles-mêmes, voir notre offre de prestataire en sécurité informatique, et pour la surveillance continue, notre SOC managé. IT Systèmes est certifié ISO 27001 pour ses activités de conseil, projets, sécurité et infogérance.

Pour aller plus loin : notre expertise en cybersécurité et conformité et notre panorama des acteurs de la cybersécurité pour les PME et ETI.

Questions fréquentes

Quel est le tarif d'une assurance cyber ?

Selon les fourchettes publiées par le courtier Lesto en septembre 2026 : de 300 à 800 € par an pour une entreprise de moins de 10 salariés, de 1 000 à 3 000 € de 10 à 49 salariés et de 3 000 à 10 000 € de 50 à 249 salariés. Le prix final dépend de la sécurité en place, du secteur, des sinistres passés, de la franchise et du plafond.

Quels sont les risques cyber pour les PME ?

Les plus courants sont le rançongiciel qui bloque l'activité, la fraude au virement, la compromission de la messagerie et la fuite de données clients. D'après le rapport Hiscox 2026, une cyberattaque coûte en moyenne environ 46 000 € à une PME française touchée.

Qu'est-ce que l'assurance cyber ?

C'est un contrat qui prend en charge les conséquences financières d'une cyberattaque : gestion de crise, restauration des données, pertes d'exploitation et réclamations de tiers. Depuis la loi du 24 janvier 2023, l'indemnisation suppose une plainte déposée dans les 72 heures suivant la découverte de l'attaque.

Faut-il une assurance cyber si on a déjà une protection technique ?

Les deux se complètent. La protection technique réduit le risque d'attaque et ses conséquences, l'assurance finance ce qui reste. Une sécurité solide est d'ailleurs souvent la condition pour être assuré à un prix raisonnable.