Assurance cyber : les PME françaises se couvrent de moins en moins

Un baromètre qui confirme un décrochage

L’assureur spécialisé Hiscox a publié le 15 septembre 2026 la dixième édition de son rapport annuel sur la gestion du risque cyber, réalisé à partir d’une enquête menée par l’institut Wakefield Research du 5 au 17 juin 2026 auprès de 6 800 dirigeants et décideurs d’entreprises de moins de 250 salariés, dans dix pays dont la France. Une assurance cyber est un contrat qui couvre les conséquences d’une cyberattaque : frais de gestion de crise, perte d’exploitation liée à l’arrêt du système informatique, ou encore responsabilité civile en cas de données de tiers compromises.

Les résultats montrent un recul net de la couverture chez les TPE et PME françaises. La part de celles ayant souscrit une police cyber dédiée est passée de 33,6 % en 2025 à 27,6 % en 2026, selon ce baromètre. Dans le même temps, la proportion d’entreprises françaises de cette taille ne disposant d’aucune couverture cyber, sous quelque forme que ce soit, est passée de 39 % à 45 % sur la même période.

Un risque qui, lui, ne recule pas

Ce désengagement intervient alors que la menace reste concrète pour les petites structures. Toujours selon Hiscox, plus de deux entreprises françaises attaquées sur trois (66,8 %) subissent une interruption d’activité d’au moins une journée, et l’impact financier moyen d’une cyberattaque est estimé à 46 000 euros pour une PME française. Pour une structure de quelques salariés, un tel montant, cumulé à une interruption d’activité, peut représenter une charge difficile à absorber sans couverture dédiée.

Un cadre légal qui n’a pas changé

Ce recul de la souscription ne s’accompagne d’aucun assouplissement des règles d’indemnisation. Depuis l’entrée en vigueur, le 24 avril 2023, de l’article 5 de la loi d’orientation et de programmation du ministère de l’intérieur (LOPMI), l’indemnisation d’une cyberattaque par l’assureur est conditionnée au dépôt d’une plainte par l’entreprise victime, dans un délai de 72 heures à compter du moment où elle a identifié que son système ou ses données étaient compromis. Cette règle, d’ordre public, s’applique à tous les contrats d’assurance, même lorsqu’elle n’y est pas rappelée expressément. Sans ce dépôt de plainte dans les délais, l’assureur peut refuser l’indemnisation, quelle que soit l’étendue des garanties souscrites.

Ce que cela signifie pour votre entreprise

Ce baromètre rappelle que la couverture cyber n’est pas réservée aux grandes structures : une PME ou une TPE peut être visée au même titre qu’un grand groupe, et le coût d’une attaque, tel que mesuré par Hiscox, dépasse largement une franchise habituelle de contrat professionnel. Si vous dirigez une entreprise, le sujet mérite d’être posé lors de la révision annuelle de vos contrats professionnels, au même titre que votre responsabilité civile ou votre multirisque : quelles données traitez-vous, quel serait le coût d’un arrêt de votre activité informatique, et votre contrat actuel couvre-t-il ce risque ou seulement les dommages matériels classiques.

Le cabinet peut faire le point avec vous sur votre exposition et sur les garanties professionnelles adaptées à votre activité.