Assurance cyber PME France, anticiper l'attaque avant la facture

Une cyberattaque réussie coûte en moyenne 59 000 € à une organisation française, rançon comprise, selon l'étude publiée par le cabinet Asterès pour le CRiP en juin 2023. La facture arrive avant la compréhension de l'enchaînement : rançon, arrêt de production, notification à la CNIL, restauration des serveurs, honoraires d'expertise. L'assurance cyber PME France répond à cette séquence, à condition que vous ayez respecté des obligations précises, dont un dépôt de plainte sous soixante-douze heures. Vous dirigez une structure de moins de 250 salariés et vous voulez savoir ce que le contrat paie réellement, ce qu'il laisse à votre charge, et à quel moment il cesse de vous couvrir. Ce dossier déroule la mécanique d'un sinistre heure par heure, reconstitue le coût d'une attaque sur dix ans, et confronte la cyber dédiée aux deux alternatives que votre courtier vous présentera.

À retenir :

• Les TPE, PME et ETI concentrent 48 % des victimes de rançongiciel traitées par l'ANSSI en 2025, contre 37 % en 2024.
• L'article L12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023, subordonne l'indemnisation au dépôt d'une plainte dans les soixante-douze heures suivant la connaissance de l'atteinte.
• Le coût moyen d'une cyberattaque réussie atteint 59 000 € en 2022, dont 25 600 € de coût direct hors rançon et 25 700 € de rançon moyenne (Asterès, 2023) : sur 347 000 attaques réussies contre des entreprises, 330 000 visaient des PME.
• La CNIL a traité 6 167 notifications de violation de données en 2025, en hausse de 9,5 % sur 2024, et un incident déclaré sur deux relève d'un piratage.
• La prime d'une assurance cyber PME France est déductible du résultat imposable au titre du BOI-BIC-CHG-40-20-20 et supporte la taxe sur les conventions d'assurance prévue à l'article 1001 du code général des impôts.

Qu'est-ce qu'une assurance cyber PME France et où s'arrête la couverture

L'assurance cyber PME France désigne un contrat d'assurance de dommages qui indemnise une entreprise des pertes consécutives à une atteinte à un système de traitement automatisé de données (STAD), l'expression juridique employée par les articles 323-1 à 323-3-1 du code pénal pour désigner l'intrusion, l'entrave et l'altération frauduleuse d'un système informatique. Une assurance cyber PME France ne protège pas votre informatique : elle finance les conséquences économiques et juridiques d'une attaque que vos défenses n'ont pas arrêtée.

Le périmètre se lit en trois blocs, et la confusion entre ces blocs explique la majorité des déceptions au moment du sinistre.

Les trois blocs de garanties d'un contrat cyber

Les dommages propres couvrent ce que l'attaque vous coûte à vous. La perte d'exploitation désigne la marge brute que vous n'encaissez pas pendant l'arrêt d'activité, calculée sur une période d'indemnisation définie au contrat. Les frais de reconstitution de données couvrent la remise en état des fichiers chiffrés ou détruits, poste dominant après un rançongiciel (logiciel qui chiffre vos données et exige un paiement pour la clé de déchiffrement). S'y ajoutent la décontamination des postes, le remplacement des matériels compromis et, lorsque la garantie est souscrite, la cyber-extorsion, qui finance la négociation et le paiement éventuel de la rançon.

La responsabilité civile intervient quand le dommage frappe des tiers : clients dont les données fuient, sous-traitants privés d'accès, salariés dont les bulletins de paie circulent. Elle prend en charge les réclamations, les frais de défense et les frais de notification imposés par le RGPD (Règlement général sur la protection des données). L'enjeu financier est documenté : la CNIL a rendu 259 décisions en 2025, dont 83 sanctions et 143 mises en demeure, pour 486 839 500 € d'amendes cumulées, et la sécurisation insuffisante des données personnelles figure parmi les trois principaux motifs de sanction de l'année, avec 14 organismes sanctionnés pour défaut de mesures de sécurité.

L'assistance de crise est la garantie la plus utilisée et la moins lue. Elle mobilise une cellule joignable 24 heures sur 24, un expert en analyse forensique qui reconstitue le déroulé de l'intrusion, un juriste chargé du dossier CNIL et, selon les contrats, une agence de communication. Sur ce point, une assurance cyber PME France vaut d'abord par la qualité de son réseau de prestataires, pas par le montant affiché en première page.

Ce que la couverture ne prend pas en charge

Aucune assurance cyber PME France n'indemnise la mise à niveau de votre système d'information après l'attaque : vous récupérez l'état antérieur, pas un état amélioré. Les dommages corporels, la vétusté des équipements et les conséquences d'une vulnérabilité connue laissée sans correctif figurent parmi les exclusions récurrentes. Le détournement de fonds par usurpation d'identité, désigné dans les entreprises sous le nom de fraude au président, relève selon les assureurs de la garantie cyber ou d'une garantie fraude distincte : les deux architectures existent, et seule la lecture des conditions particulières tranche. Le plafond de garantie cyber fixe la limite absolue de l'engagement, tous postes confondus.

Combien coûte vraiment une cyberattaque pour une PME

Le chiffre qui manque à la plupart des pages traitant de l'assurance cyber PME France est le coût complet d'une attaque, arrêt d'activité inclus. Asterès l'estime à 59 000 € en moyenne par attaque réussie en 2022, somme qui se décompose en un coût direct de 25 600 € hors rançon, une rançon moyenne de 25 700 € et 12 % de pertes de productivité. Pour les grandes entreprises, le coût moyen hors rançon atteint 225 000 €. À l'échelle nationale, le cabinet chiffre à 2 milliards d'euros le coût des attaques réussies sur l'année, répartis entre 887 millions de coût direct, 888 millions de rançons versées et 252 millions de pertes de production, pour une moyenne de 1,8 attaque réussie par organisation et par an. L'estimation exclut les microentreprises de moins de 10 salariés.

La cible s'est déplacée vers les structures les moins outillées. Dans son Panorama de la cybermenace 2025, l'ANSSI indique avoir traité 3 586 événements de sécurité sur l'année, dont 1 366 incidents, et avoir enregistré 128 compromissions par rançongiciel. Les TPE, PME et ETI représentent 48 % des victimes de rançongiciel en 2025 contre 37 % en 2024, quand les collectivités territoriales reculent de 17 % à 11 %. Les exfiltrations de données suivent la même pente : 196 incidents signalés en 2025 contre 130 l'année précédente.

Le dispositif Cybermalveillance.gouv.fr confirme la tendance côté victimes assistées. Il a franchi le seuil de 500 000 victimes accompagnées en 2025, en hausse de 20 % sur 2024. Les demandes d'assistance liées aux violations de données bondissent de 107 % sur l'année, les signalements d'hameçonnage progressent de 70 %, et le piratage de compte arrive en tête des menaces touchant les professionnels avec une hausse de 45 %. Ces trois courbes décrivent précisément les sinistres que couvre une assurance cyber PME France : l'accès frauduleux, la fuite de données et la fraude qui en découle.

Le marché assurantiel suit cette progression du risque. France Assureurs recense 9,4 milliards d'euros de cotisations en dommages aux biens des professionnels en 2024, en hausse de 8,1 % sur 2023, dont 4,1 milliards relèvent des autres catégories de contrats parmi lesquelles le risque cyber, pour un ratio sinistres sur primes de 59 % sur l'ensemble du périmètre, en recul de 3 points. Du côté des contrats cyber eux-mêmes, la sixième édition de l'étude LUCY de l'AMRAE, fondée sur près de 21 000 polices et plus de 1 200 sinistres analysés, chiffre à 83,2 millions d'euros le montant total des sinistres 2025 contre 54,5 millions un an plus tôt, soit une hausse de 53 %, alors que les taux de prime reculaient jusqu'à 32 % sur les grandes entreprises. Une assurance cyber PME France se négocie donc dans un marché où les tarifs baissent et la sinistralité monte, configuration qui ne durera pas.

Les sept postes qui composent la facture

Ce tableau explique pourquoi une PME reconstitue mal son exposition et sous-dimensionne son assurance cyber PME France : elle anticipe la rançon, poste le plus visible, et ignore les six autres. La mécanique complète du scénario le plus fréquent est détaillée dans notre fiche sur le rançongiciel et sa prise en charge par l'assurance cyber.

Comment se déroule un sinistre cyber, des 72 premières heures à l'indemnisation

La chronologie d'un sinistre en assurance cyber PME France n'est pas négociable : deux délais légaux courent dès la découverte, et l'un des deux conditionne votre indemnité. Huit étapes structurent la séquence, de la détection au versement.

1. Heure 0, isolement. Vous déconnectez les machines atteintes du réseau sans les éteindre, pour préserver la mémoire vive que l'expert forensique analysera.
2. Heure 1, déclaration à l'assureur. L'appel à la cellule de crise ouvre le dossier et déclenche la prise en charge des prestataires agréés, condition de leur remboursement dans la plupart des contrats.
3. Heure 4, qualification technique. L'expert identifie le vecteur d'entrée, l'étendue du chiffrement et l'existence d'une exfiltration, qui détermine si le RGPD s'applique.
4. Heure 24, dépôt de plainte. La plainte auprès du commissariat, de la gendarmerie ou du procureur conditionne le versement de l'indemnité au titre de l'article L12-10-1 du code des assurances.
5. Heure 48, notification à la CNIL. Dès lors que la violation présente un risque pour les droits et libertés des personnes, le formulaire en ligne de la CNIL est déposé sans attendre la fin de l'analyse technique.
6. Jour 3, information des personnes concernées. L'article 34 du RGPD l'impose lorsque le risque est élevé, et les frais correspondants relèvent de la garantie du contrat.
7. Semaine 1, reprise d'activité. La perte d'exploitation commence à courir sur la période d'indemnisation contractuelle, décomptée en jours ouvrés à partir de la franchise temporelle définie au contrat.
8. Mois 1 à 6, expertise et règlement. L'assureur mandate un expert comptable pour chiffrer la marge perdue, puis règle après application de la franchise et des sous-limites.

Les deux délais de soixante-douze heures qu'il ne faut pas confondre

Deux obligations distinctes courent en parallèle après la découverte d'une attaque, et elles n'ont ni le même destinataire ni la même sanction. Le premier délai est assurantiel. L'article L12-10-1 du code des assurances, créé par l'article 5 de la loi LOPMI du 24 janvier 2023 et applicable depuis le 24 avril 2023, dispose que le versement d'une somme destinée à indemniser un assuré des pertes causées par une atteinte à un système de traitement automatisé de données « est subordonné au dépôt d'une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l'atteinte par la victime ». Le texte s'applique uniquement aux personnes morales et aux personnes physiques agissant dans le cadre de leur activité professionnelle, et il vaut pour toute atteinte, avec ou sans demande de rançon. Le second délai est réglementaire : la notification d'une violation de données à la CNIL intervient dans les meilleurs délais, une première notification sous soixante-douze heures étant attendue et tout dépassement devant être justifié.

Manquer le premier délai vous prive d'indemnité, quelle que soit la qualité de votre assurance cyber PME France. Manquer le second vous expose à une sanction administrative. Le détail des cas traités figure dans notre analyse de la notification à la CNIL après un sinistre cyber.

Quel cadre réglementaire encadre l'assurance cyber PME France

Quatre autorités interviennent sur le sujet, et confondre leurs rôles fait perdre du temps au moment du sinistre. Chacune agit sur un segment précis de la chaîne.

L'ACPR (Autorité de contrôle prudentiel et de résolution), adossée à la Banque de France, supervise les assureurs et contrôle les pratiques commerciales des distributeurs, dont les courtiers. C'est elle qui veille à la solvabilité de la compagnie qui porte votre risque et au respect du devoir de conseil au moment de la vente. L'AMF (Autorité des marchés financiers) n'intervient pas sur un contrat de dommages : sa compétence porte sur les placements financiers, ce qui explique qu'une assurance cyber PME France relève du seul contrôle de l'ACPR. La CNIL intervient en aval, sur la violation de données, avec le pouvoir de sanction rappelé plus haut. La DGFiP, à travers le BOFiP (Bulletin officiel des finances publiques), fixe le traitement fiscal de la prime et de l'indemnité.

Trois textes structurent par ailleurs votre obligation. Le RGPD impose depuis 2018 des mesures de sécurité adaptées et la notification des violations. La loi LOPMI du 24 janvier 2023 conditionne l'indemnisation au dépôt de plainte. La directive NIS 2, dont la transposition française est portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, étendra, selon le périmètre annoncé par les travaux de transposition, les obligations de gestion du risque à plus de 15 000 entités contre quelques centaines sous le régime précédent, avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Le calendrier parlementaire de ce texte reste ouvert à la date de publication de ce dossier, ce qui n'exonère de rien : les donneurs d'ordre anticipent déjà les exigences en les répercutant dans leurs appels d'offres. Vérifiez enfin que votre intermédiaire est immatriculé au registre de l'ORIAS, condition légale de l'exercice du courtage en assurance.

Ces obligations expliquent la sévérité croissante des questionnaires de souscription, sujet traité aussi sous l'angle des sanctions RGPD couvertes par la garantie cyber.

Quelles conditions d'audit préalable conditionnent votre indemnisation

Une assurance cyber PME France ne se souscrit pas sur déclaratif simple. L'assureur évalue votre niveau de sécurité par questionnaire de souscription, et cette évaluation devient la base du contrat. Les réponses que vous donnez engagent la garantie : une mesure déclarée présente et absente le jour du sinistre fragilise votre indemnisation, au titre des obligations de déclaration exacte du risque prévues par le code des assurances.

Cinq exigences reviennent dans les questionnaires d'assurance cyber PME France. L'authentification multifacteur (validation d'une connexion par un second facteur, application ou clé physique) sur les accès distants et la messagerie. Les sauvegardes selon le principe 3-2-1 : trois copies, deux supports, une copie hors ligne ou immuable. Une solution de détection sur les postes de travail, de type EDR (Endpoint Detection and Response). Une politique de correctifs documentée avec un délai maximal d'application. Une action de sensibilisation des salariés, le vecteur humain restant la première porte d'entrée.

Cette exigence n'est pas une lubie d'assureur, elle traduit l'économie du segment. L'étude LUCY de l'AMRAE mesure un ratio sinistres sur primes de 22 % sur les grands comptes, segment où le modèle reste rentable, tandis que le montant total des sinistres du marché progressait de 53 % en 2025 : la rentabilité du segment PME repose donc entièrement sur la prévention. « Il faut les accompagner dans leurs démarches de prévention », résumait Philippe Cotelle, président de la commission cyber de l'AMRAE, à la publication des travaux de l'association sur le segment PME. Autrement dit, votre prime et votre éligibilité dépendent de mesures que vous pouvez mettre en place avant de solliciter le marché. La check-list complète est développée dans notre fiche sur l'audit préalable cyber, et le traitement réservé au clic malheureux d'un collaborateur dans celle consacrée au phishing d'un salarié.

Cyber dédiée, extension multirisque ou responsabilité civile professionnelle, quel arbitrage

Trois solutions se disputent votre budget sous l'étiquette d'assurance cyber PME France, et elles ne couvrent pas le même risque. Quatre critères les séparent : le périmètre des garanties, le plafond et la capacité disponible, l'assistance de crise, et la prise en charge de la cyber-extorsion.

La lecture pratique tient en trois phrases. Sous 500 000 € de chiffre d'affaires et sans données personnelles sensibles, l'extension de votre multirisque professionnelle constitue un premier filet à condition d'en connaître la sous-limite. Entre 500 000 € et 10 millions d'euros de chiffre d'affaires, la police dédiée devient l'option cohérente, parce qu'elle seule apporte l'assistance de crise et la garantie des frais réglementaires. La responsabilité civile professionnelle seule ne remplace jamais une assurance cyber PME France : elle ignore par construction votre propre perte d'exploitation.

Les offres dédiées du marché se comparent sur pièces plutôt que sur plaquettes. Nos analyses détaillées d'AXA Cyber et de Hiscox CyberClear reprennent garantie par garantie ce que chaque contrat engage, et notre comparatif des assurances cyber pour PME met les périmètres en vis-à-vis.

Quelle fiscalité s'applique à votre assurance cyber PME France

La fiscalité d'une assurance cyber PME France se lit en quatre moments : la souscription, la vie du contrat, le sinistre, et la sortie. Aucun de ces moments ne comporte de régime dérogatoire, ce qui rend le calcul simple pour un dirigeant.

À la souscription, la prime supporte la taxe sur les conventions d'assurance. Le BOFiP rappelle que le tarif de cette taxe varie selon le type de contrat et que les différents tarifs sont énumérés à l'article 1001 du code général des impôts. Demandez le montant taxe comprise sur le devis : une prime annoncée hors taxe ne reflète pas votre décaissement réel, et l'écart change le classement de deux offres proches.

Pendant la vie du contrat, la prime réduit votre résultat imposable. Le BOFiP énonce au paragraphe 20 du BOI-BIC-CHG-40-20-20 que « les primes d'assurances payées pour couvrir l'entreprise contre les risques subis par les divers éléments de son actif constituent des charges d'exploitation déductibles », et au paragraphe 30 que les primes destinées à couvrir la responsabilité civile de l'exploitant constituent également des charges professionnelles déductibles. La déduction se rattache à l'exercice au cours duquel la prime est due, non à celui du paiement.

Au moment du sinistre, l'indemnité entre dans le résultat de l'exercice en contrepartie des charges qu'elle compense. Une indemnité de perte d'exploitation vient donc en produit imposable, face aux charges maintenues pendant l'arrêt. Une indemnité affectée à la reconstitution de données neutralise la charge de restauration comptabilisée en face. Le résultat net de l'opération est proche de zéro lorsque l'indemnisation est complète, et négatif à hauteur de la franchise et des sous-limites lorsqu'elle ne l'est pas.

À la sortie, deux points méritent votre attention. Les contrats souscrits pour les besoins d'une activité professionnelle restent hors du champ de la résiliation infra-annuelle ouverte aux particuliers, ce qui impose de respecter le préavis contractuel à l'échéance. En cas de cession de votre entreprise, la clause de transfert du contrat et la reprise du passé inconnu, qui détermine la couverture d'une compromission antérieure encore non détectée, sont les deux stipulations à faire vérifier avant la signature.

Trois scénarios chiffrés et le coût réel sur dix ans

Les scénarios ci-dessous sont reconstitués à partir des coûts moyens publiés par Asterès en 2023 et des délais observés dans les rapports de l'ANSSI. Ils ne reproduisent aucun dossier client identifiable, conformément au RGPD, et les primes retenues sont posées en hypothèse de travail : aucun barème public ne consolide les tarifs de l'assurance cyber PME France par taille d'entreprise.

Une PME de négoce, 18 salariés, 4,2 M€ de chiffre d'affaires, région lyonnaise, subit le chiffrement de son serveur de gestion un vendredi soir. Six jours ouvrés d'arrêt de facturation, restauration depuis une sauvegarde hors ligne datant de la veille. Perte d'exploitation 42 000 €, restauration et expertise forensique 21 000 €, surcoûts d'exploitation et communication 15 000 €. Coût total 78 000 €, franchise 5 000 €, indemnité versée 73 000 €. Plainte déposée le lendemain de la découverte.

Un cabinet libéral, 6 salariés, 780 000 € d'honoraires, Bordeaux, découvre l'exfiltration de sa base clients après le phishing d'une assistante. Aucun chiffrement, aucune rançon, mais une violation de données à notifier. Notification CNIL et information de 3 400 personnes concernées 12 000 €, accompagnement juridique RGPD 6 000 €, gestion de l'e-réputation 4 000 €. Coût total 22 000 €, franchise 2 500 €, indemnité versée 19 500 €.

Une TPE du bâtiment, 9 salariés, 1,4 M€ de chiffre d'affaires, Nantes, découvre l'attaque un vendredi et dépose plainte le mercredi suivant, cinq jours plus tard. Coût constaté 34 000 €. Indemnité versée : zéro. Le délai de soixante-douze heures fixé par l'article L12-10-1 du code des assurances n'a pas été respecté, et la garantie ne joue pas. Ce cas est le plus fréquent des refus évitables.

Le coût réel sur dix ans

Ce solde est la vraie mesure d'utilité d'une assurance cyber PME France, loin des comparaisons de prime brute. Le même calcul, si l'une des deux plaintes est déposée hors du délai de soixante-douze heures, ramène les indemnités à 73 000 € et le solde net à + 41 000 €. Le respect d'un délai de trois jours pèse ici 73 000 €, soit vingt-trois années de prime. La leçon vaut mieux que n'importe quel argument commercial : dans une assurance cyber PME France, la procédure a plus de valeur que le plafond.

Les six pièges fréquents et les cinq questions pour décider

Les refus d'indemnisation en assurance cyber PME France tiennent rarement à une mauvaise foi de l'assureur. Ils tiennent à six clauses que les dirigeants lisent après le sinistre.

1. Le délai de plainte. Soixante-douze heures après la connaissance de l'atteinte, sans exception ni prorogation, au titre de l'article L12-10-1 du code des assurances.
2. La franchise temporelle. La perte d'exploitation ne court qu'après un nombre de jours ouvrés défini au contrat, ce qui annule toute indemnité pour un arrêt plus bref que cette franchise. Le mécanisme est détaillé dans notre fiche sur la franchise cyber.
3. Le plafond par sinistre et par période d'assurance. Deux attaques la même année se partagent la même enveloppe annuelle, pas deux plafonds distincts.
4. Les sous-limites internes. Cyber-extorsion, e-réputation et frais réglementaires portent des montants inférieurs au plafond principal, quand ils ne sont pas exclus.
5. La vulnérabilité connue non corrigée. Un correctif publié et non appliqué dans le délai de votre propre politique de correctifs ouvre la voie à l'exclusion.
6. La déclaration inexacte du niveau de sécurité. Une mesure cochée au questionnaire et absente le jour de l'attaque fragilise la garantie sur le fondement des obligations de déclaration du risque.

Cinq questions pour décider

1. Quel chiffre d'affaires réalisez-vous ? Sous 500 000 €, l'extension de votre multirisque professionnelle constitue un premier niveau ; au-delà, la police dédiée devient cohérente.
2. Combien de jours d'arrêt tenez-vous ? Chiffrez votre marge brute journalière : c'est l'assiette réelle de votre perte d'exploitation, et le paramètre qui dimensionne le plafond.
3. Traitez-vous des données personnelles sensibles ? Données de santé, données bancaires ou fichiers de plus de 1 000 personnes déplacent le risque vers le volet réglementaire et les frais de notification.
4. Vos cinq prérequis techniques sont-ils en place ? Authentification multifacteur, sauvegarde hors ligne, détection sur les postes, politique de correctifs, sensibilisation : leur absence renchérit la prime ou ferme l'accès au marché.
5. Vos clients vous l'imposent-ils ? Les donneurs d'ordre publics et industriels exigent de plus en plus une attestation cyber, et la transposition française de la directive NIS 2 étendra les obligations de gestion du risque à plus de 15 000 entités contre quelques centaines aujourd'hui, avec des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Le calibrage de la garantie sur votre effectif est traité séparément dans notre fiche ajuster sa garantie cyber à son effectif, et le volet réputationnel dans celle consacrée à l'atteinte à l'e-réputation.

FAQ : assurance cyber PME France

L'assurance cyber PME France est-elle obligatoire ?

Non. Aucun texte n'impose la souscription d'une assurance cyber PME France. L'obligation porte sur la sécurité des données, pas sur l'assurance : le RGPD impose des mesures techniques adaptées, et la CNIL a sanctionné 83 fois en 2025 pour un total de 486 839 500 €. La contrainte vient donc des donneurs d'ordre, qui exigent une attestation, et de la transposition à venir de la directive NIS 2.

Que se passe-t-il si je dépose plainte après soixante-douze heures ?

L'indemnité n'est pas due. L'article L12-10-1 du code des assurances subordonne le versement au dépôt d'une plainte au plus tard soixante-douze heures après la connaissance de l'atteinte par la victime. Le délai court à compter de la connaissance, non de la date de l'attaque. Déposez la plainte avant d'avoir le rapport d'expertise complet : le procès-verbal se complète ensuite.

L'assurance cyber rembourse-t-elle la rançon ?

Le versement au titre de la garantie cyber-extorsion reste licite en France, et l'article L12-10-1 du code des assurances le subordonne au dépôt de plainte sous soixante-douze heures. Cette garantie est optionnelle dans une assurance cyber PME France et porte une sous-limite inférieure au plafond du contrat. Aucun barème public ne consolide ces sous-limites : faites préciser le montant par écrit avant de signer.

Les amendes de la CNIL sont-elles couvertes ?

Le contrat prend en charge les frais de défense devant la CNIL et les frais de notification, qui constituent l'essentiel du coût administratif. La prise en charge de l'amende elle-même dépend du droit applicable et de la rédaction du contrat : en France, l'assurabilité des sanctions administratives à caractère punitif est discutée, et de nombreux contrats l'excluent ou la réservent aux juridictions qui l'autorisent. Exigez une réponse écrite sur ce point.

Puis-je résilier mon contrat cyber en cours d'année ?

La résiliation infra-annuelle ouverte aux particuliers ne s'applique pas aux contrats souscrits pour les besoins d'une activité professionnelle. Vous restez tenu par le préavis contractuel, dont la durée figure aux conditions générales de votre contrat. Vérifiez également la clause de reprise du passé inconnu du nouveau contrat avant de résilier l'ancien : un changement mal séquencé crée un trou de garantie sur les compromissions non encore détectées.

Une extension cyber de ma multirisque professionnelle suffit-elle ?

Elle suffit pour les frais informatiques d'un incident limité, pas pour une crise. L'extension porte une sous-limite exprimée en part du plafond principal, et l'assistance de crise ainsi que les frais réglementaires y sont réduits ou absents. Au-delà de 500 000 € de chiffre d'affaires, ou dès que vous traitez des données personnelles en volume, une assurance cyber PME France dédiée apporte la capacité et la cellule de crise que l'extension n'offre pas.

Comment France Épargne accompagne les PME sur le risque cyber

France Épargne est un courtier indépendant immatriculé à l'ORIAS sous le numéro 23001687, actif depuis 2020, sans lien capitalistique avec un assureur. Sur une assurance cyber PME France, l'intervention se décompose en trois temps.

Audit d'exposition et arbitrage des garanties. Le chiffrage de votre marge brute journalière et l'inventaire de vos données personnelles fixent le plafond utile, avant toute mise en concurrence. Plus de 25 assureurs partenaires sont comparés sur pièces, dont Generali, Swiss Life, April, MMA, MetLife et Malakoff Humanis.

Négociation du contrat et des conditions d'indemnisation. Les points travaillés ligne par ligne sont la franchise temporelle, la période d'indemnisation de la perte d'exploitation, les sous-limites de cyber-extorsion et la reprise du passé inconnu. Un conseiller dédié suit votre dossier, sans plateau téléphonique, avec un engagement de réponse sous six heures.

Coordination en cas de sinistre. L'accompagnement porte sur les deux délais qui décident de tout : le dépôt de plainte dans les soixante-douze heures exigé par l'article L12-10-1 du code des assurances, et la notification à la CNIL.

Demandez votre bilan patrimonial gratuit pour faire le point sur votre exposition professionnelle et la couverture qui la protège. Un conseiller dédié répond sous six heures. Pour replacer le risque cyber dans l'ensemble de vos obligations, notre dossier sur l'assurance professionnelle en France présente les huit familles de garanties d'un dirigeant.

Conclusion

Le risque cyber a changé de cible : 48 % des victimes de rançongiciel traitées par l'ANSSI en 2025 sont des TPE, PME et ETI, contre 37 % un an plus tôt, et le coût moyen d'une attaque réussie atteint 59 000 €, rançon comprise, selon Asterès. Face à cette facture, le contrat ne vaut que par trois paramètres que vous maîtrisez avant le sinistre : le plafond calé sur votre marge brute journalière, les cinq prérequis techniques qui conditionnent votre éligibilité, et la procédure des soixante-douze heures.

Une assurance cyber PME France bien construite se juge donc sur la lecture des conditions particulières, pas sur le montant en couverture de plaquette. Chiffrez votre exposition, corrigez vos prérequis, puis mettez le marché en concurrence sur un cahier des charges écrit. Pour affiner l'arbitrage selon votre niveau d'exposition, notre analyse de la meilleure cyber assurance selon votre profil prolonge ce dossier.

À lire également :

• Comparatif des assurances cyber pour PME
• Assurance professionnelle en France, la vue d'ensemble

Sources :

• Panorama de la cybermenace 2025 : ANSSI, 2026
• Panorama de la cybermenace 2025, synthèse des enseignements : ministère de l'Intérieur, 2026
• Rapport d'activité et état de la menace 2025 : Cybermalveillance.gouv.fr, 2026
• Article L12-10-1 du code des assurances : Légifrance, 2023
• Notifier une violation de données personnelles : CNIL, 2025
• Rapport annuel et bilan des sanctions 2025 : CNIL, 2026
• Le coût des cyberattaques réussies en France : Asterès pour le CRiP, 2023
• Étude LUCY, lumière sur la cyberassurance : AMRAE, 2026
• Le marché de la cyberassurance française et le segment PME : AMRAE, 2023
• BOI-BIC-CHG-40-20-20, primes d'assurance déductibles : BOFiP, DGFiP, 2013
• Taxe sur les conventions d'assurances, tarif et assiette : BOFiP, DGFiP, 2019
• L'assurance de dommages aux biens des professionnels en 2024 : France Assureurs, 2025
• Transposition de la directive NIS 2 en France : veille réglementaire NIS 2, 2026
• Registre unique des intermédiaires en assurance : ORIAS, 2026