Cyberassurance : aux États-Unis, les sinistres absorbent 53 % des primes malgré la baisse des tarifs

Les assureurs américains ont reversé 53 % de leurs primes cyber en indemnités et en frais de défense en 2025, contre 48,7 % un an plus tôt. La NAIC (National Association of Insurance Commissioners, l'association des commissaires aux assurances des États américains) a publié ces chiffres le mercredi 21 octobre 2026 dans son rapport annuel sur le marché de la cyberassurance. Il s'agit de la deuxième hausse annuelle consécutive de ce ratio. Les tarifs, eux, ont reculé pour le huitième trimestre d'affilée au premier trimestre 2026.

Le marché français présente le même écart entre les prix et le risque. En 2025, les sinistres cyber indemnisés en France ont progressé de 53 % pour atteindre 83,2 millions d'euros, alors que le volume de primes a reculé pour la troisième année consécutive. Pour les dirigeants de PME et d'ETI qui renouvellent leur contrat, cette période d'offre abondante coexiste avec une sinistralité en hausse.

Le marché américain en 2025 : 9,46 milliards de dollars de primes

Les primes cyber émises aux États-Unis ont atteint environ 9,46 milliards de dollars en 2025, en hausse de 3,5 %. Le marché sort ainsi de sa première contraction, enregistrée en 2024 avec une baisse de 7,11 % à 9,14 milliards de dollars. Les assureurs domiciliés aux États-Unis ont écrit 7,46 milliards de dollars, contre 2,75 milliards en 2020, soit une croissance annuelle moyenne de 22 %. Les assureurs étrangers autorisés sur le marché américain des risques spéciaux ont apporté environ 2 milliards de dollars.

Le nombre de contrats en vigueur chez les assureurs américains a bondi de 33 %, à 5,84 millions. Les déclarations de sinistres ont augmenté de 20 %, à 56 323, soit plus de six fois le niveau de 2017. Chubb arrive en tête des groupes avec 629 millions de dollars de primes, devant Beazley (571 millions) et Travelers (544 millions).

La répartition entre extensions, polices autonomes et contrats en excédent

La progression du nombre de polices vient surtout des extensions cyber (une garantie cyber ajoutée à un autre contrat d'assurance professionnelle, avec des plafonds plus bas qu'une police dédiée). Leur nombre a augmenté de 53,8 % en 2025. Elles représentent 62,8 % des contrats mais 3,9 % des primes. Les polices cyber autonomes ont progressé de 13,6 % et concentrent 63,7 % des primes, tandis que les contrats en excédent de plafond ont reculé de 45,3 %.

La dégradation se concentre sur les polices autonomes, dont le ratio de sinistres et frais de défense gagne environ huit points, à 57 %. Celui des contrats en excédent s'améliore légèrement, à 52 %. Sur les extensions, il passe de 10,2 % à 19,1 %.

Le poids d'un transfert de portefeuille dans la hausse des primes

Le courtier Aon, qui a exploité les mêmes données réglementaires, attribue environ 60 % de la hausse des primes de 2025 au rapatriement, par un grand assureur, de ses affaires américaines vers son bilan domestique. Le même cabinet calcule que la prime acquise par contrat a baissé de 8 % sur l'année.

Fraude au virement et grands comptes : la nouvelle structure des sinistres

Les compromissions de messagerie professionnelle (un fraudeur se fait passer pour un dirigeant ou un fournisseur afin d'obtenir un virement) représentent environ la moitié des sinistres cyber de Travelers. L'assureur a enregistré une hausse de 57 % de leur fréquence entre le premier semestre 2025 et le premier semestre 2026. Leur coût moyen a progressé d'environ 30 % depuis 2023.

« Ce qui surprend le plus les gens, quand je leur parle des sinistres récents par rapport à ceux d'il y a trois ou cinq ans, c'est le volume considérable de fraudes financières et de compromissions de messagerie professionnelle que nous constatons. »

Christine Mapes, directrice cyber et juriste chez Travelers, lors du NetDiligence Cyber Risk Summit de Philadelphie

Dans le portefeuille de Chubb, le coût moyen d'un sinistre pour les sociétés réalisant au moins 1 milliard de dollars de chiffre d'affaires a atteint environ 4,4 millions de dollars, contre 2,2 millions en 2024, avec une fréquence en baisse de 15 à 10 sinistres pour 100 contrats. Chez les petites et moyennes entreprises, le coût moyen a reculé de 215 000 à 142 000 dollars.

D'un contrat à l'autre, l'ingénierie sociale et la fraude au virement sont exclues de la police cyber, plafonnées par une sous-limite ou renvoyées vers un contrat fraude distinct. À l'échelle mondiale, l'assurance couvre environ 1 % des pertes économiques liées aux cyberattaques.

L'étude LUCY 2026 sur le marché français

L'étude LUCY 2026 (Lumière sur la cyberassurance) de l'AMRAE (Association pour le management des risques et des assurances de l'entreprise) agrège les portefeuilles de douze courtiers, soit 20 996 contrats et 1 251 sinistres. Le volume de primes est passé de 328 millions d'euros en 2023 à 317 millions en 2024, puis à 306 millions en 2025. Entre 2024 et 2025, le nombre de sinistres indemnisés a bondi de 448 à 1 251 et leur montant de 54,5 à 83,2 millions d'euros. Rapporté aux primes, le montant indemnisé représente 27,2 % en 2025.

Les grandes entreprises (chiffre d'affaires supérieur à 1 milliard d'euros) ont obtenu une baisse moyenne de 32 % de leur taux de prime, la plus forte jamais observée par l'étude. Elles ont porté leur capacité moyenne achetée de 42 à 50 millions d'euros tout en réduisant leur budget d'environ 14 %. Leur ratio sinistres à primes reste à 22 %.

Les ETI (entreprises de taille intermédiaire) concentrent la dégradation. Leur nombre de sinistres est passé de 100 à 248 et leurs indemnisations de 6,8 à 28,8 millions d'euros. Le nombre d'ETI assurées a progressé de 1 145 à 2 002. Leur taux de prime a baissé de 23 %. Une ETI type achète 4,2 millions d'euros de couverture, avec une franchise de 91 000 euros, pour une prime annuelle de 34 000 euros. Une entreprise de taille moyenne souscrit en moyenne 1,4 million d'euros de garantie pour 5 000 euros de prime.

Philippe Cotelle, administrateur de l'AMRAE et pilote de l'étude, relie la hausse du nombre de sinistres au recul des franchises : « La baisse des franchises accroît mécaniquement la sensibilité aux sinistres ». L'Agence nationale de la sécurité des systèmes d'information (ANSSI) prépare de son côté une certification destinée aux PME.

« L'enjeu pour l'ANSSI est désormais d'accompagner plus largement les entreprises, en particulier les PME. »

Gaëtan Poncelin de Raucourt, sous-directeur stratégie de l'ANSSI

Les failles PHP du 21 octobre et le risque d'accumulation

Le jour même de la publication du rapport américain, le CERT-FR, centre gouvernemental de veille et de réponse aux attaques informatiques, a émis une alerte sur deux vulnérabilités critiques du langage PHP, très répandu sur les serveurs web. Les failles CVE-2026-109618 et CVE-2026-109619 permettent l'exécution de code arbitraire à distance. L'éditeur a publié les correctifs le 21 octobre (versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12). Les branches 5.x, 7.x, 8.0 et 8.1 ne reçoivent plus de mises à jour.

Une faille de cette ampleur relève du risque d'accumulation : un seul incident, comme une panne de nuage informatique ou une faille dans un logiciel très diffusé, déclenche des sinistres chez de nombreux assurés en même temps. Trois fournisseurs détiennent plus de 60 % de l'infrastructure mondiale de nuage informatique. Chacun a subi une panne significative en 2025. Les assureurs ont placé plus de 1,3 milliard de dollars d'obligations catastrophe cyber la même année pour transférer une partie de ce risque aux investisseurs.

Les clauses à vérifier dans un contrat cyber en France

Depuis le 24 avril 2023, l'article L. 12-10-1 du Code des assurances, issu de la loi LOPMI (loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023), subordonne toute indemnisation d'une atteinte à un système informatique au dépôt d'une plainte au plus tard 72 heures après sa découverte. La règle vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle.

Trois points du contrat déterminent l'indemnisation d'une entreprise après un incident :

• La fraude au virement : garantie incluse, plafonnée par une sous-limite ou renvoyée vers un contrat fraude distinct.
• La franchise : son montant fixe le seuil à partir duquel l'assureur intervient. Sa baisse explique une partie de la hausse des sinistres indemnisés en France.
• La perte d'exploitation : la durée d'interruption couverte et le délai de carence avant indemnisation.

Les garanties de la cyber assurance pour les professionnels comprennent la gestion de crise, la restauration des systèmes, la perte d'exploitation, la responsabilité civile pour les données de tiers et la fraude au président. Avec un taux de prime en recul de 23 % pour les ETI en 2025, le renouvellement offre l'occasion de vérifier les franchises et les sous-limites du contrat.

Les échéances à surveiller

La transposition française de la directive NIS 2 (directive européenne qui étend les obligations de cybersécurité à des milliers d'entreprises) reste en suspens. Le 6 octobre 2026, la conférence des présidents de l'Assemblée nationale a retiré le projet de loi Résilience de l'ordre du jour des séances des 7 et 9 octobre, sans fixer de nouvelle date. Le Sénat avait adopté le texte le 12 mars 2025.

L'AMRAE organise le 24 novembre 2026 une rencontre intitulée « Maîtriser les risques cyber : de l'analyse au financement ». Côté américain, l'agence de notation AM Best maintient une perspective stable sur le segment. L'agence estime que la combinaison de prix en baisse et de pertes en hausse met à l'épreuve l'adéquation des tarifs.

Sources

• NAIC, « 2026 Report on the Cybersecurity Insurance Market », 21 octobre 2026 : content.naic.org
• Business Insurance, « U.S. cyber premiums rebound, policy numbers surge: NAIC », 21 octobre 2026 : www.businessinsurance.com
• Cyber Insurance News, « U.S. Cyber Insurance Market: Losses Rise As Prices Fall », octobre 2026 : cyberinsurancenews.org
• Aon, « U.S. Cyber Market Update: 2025 U.S. Cyber Insurance Profits and Performance », août 2026 : assets.aon.com
• Insurance Journal, « AI Accelerates Cyber Threat Landscape, Poses New Risks for Insurers and Businesses », 20 octobre 2026 : www.insurancejournal.com
• AMRAE, « LUCY : Lumière sur la cyberassurance, édition 2026 » : www.amrae.fr
• Planète CSCA, « Cyberassurance en France : un marché en détente sous tension selon l'étude LUCY 2026 », juin 2026 : www.planetecsca.fr
• CERT-FR, alerte CERTFR-2026-ALE-014, « Multiples vulnérabilités dans PHP », 21 octobre 2026 : www.cert.ssi.gouv.fr
• Next, « 21 octobre 2026 : retour en détail sur cette journée noire pour la cybersécurité », 22 octobre 2026 : next.ink
• Code des assurances, article L. 12-10-1, issu de la loi n° 2023-22 du 24 janvier 2023 : www.legifrance.gouv.fr
• Leto, « NIS 2 : l'Assemblée nationale reporte de nouveau l'examen du projet de loi Résilience, sans nouvelle date », octobre 2026 : www.leto.legal