ENTREPRISES & RISQUES · ASSURANCE CYBER
Assurance cyber : pourquoi votre multirisque et votre contrat cyber laissent des trous
Bonne nouvelle : souscrire une assurance cyber n’a jamais coûté aussi peu. Mauvaise nouvelle : la sinistralité explose — et surtout, être assuré ne suffit pas. Les contrats classiques laissent des trous que la plupart des dirigeants ne découvrent que le jour du sinistre.
Un marché favorable… mais trompeur
Selon l’étude LUCY 2026 de l’AMRAE, les tarifs de l’assurance cyber baissent, les franchises diminuent et les capacités augmentent. Dans le même temps, le montant total des sinistres atteint 83,2 M€ en 2025 (contre 54,5 M€ un an plus tôt) et les indemnisations versées aux ETI ont été multipliées par quatre. Deux leçons : c’est le bon moment pour se couvrir aux meilleures conditions, mais encore faut-il l’être pour les bons risques.
Protégé ne veut pas dire couvert
Beaucoup de dirigeants se croient à l’abri parce qu’ils ont un bon prestataire informatique. Ce travail réduit la probabilité d’une attaque, mais un extincteur réduit le risque d’incendie : il ne reconstruit pas le bâtiment. La sécurité technique agit en amont ; l’assurance finance les conséquences quand l’attaque passe malgré tout. Et elle passe : d’après l’ANSSI (Panorama 2025), les PME, TPE et ETI représentent près de la moitié (48 %) des victimes de rançongiciel, et le nombre d’attaques a doublé entre 2020 et 2025.
Le trou noir : une machine détruite par une cyberattaque
Imaginez une attaque qui rend vos automates ou vos équipements de production inutilisables — non en les cassant, mais en corrompant leur logiciel au point de les transformer en « briques » (les assureurs parlent de bricking). Qui paie le remplacement ?
Pas votre contrat cyber classique : il couvre l’immatériel (données, pertes d’exploitation) et exclut généralement les dommages matériels. Pas votre multirisque : elle indemnise des événements nommés (incendie, vol…) et intègre de plus en plus d’exclusions cyber. Pas votre bris de machine : il couvre la panne interne soudaine, pas l’attaque informatique.
Le piège : une machine détruite par une cyberattaque tombe dans un trou entre trois contrats. Pour une entreprise industrielle, agroalimentaire ou de BTP pilotée par informatique, la facture peut être colossale — et intégralement à sa charge. Les contrats cyber les plus avancés comblent cette faille en étendant le bricking aux machines et équipements de production.
Le cyber va toujours plus loin
Là où l’on se contentait d’indemniser une fuite de données, les meilleurs contrats couvrent désormais :
- La garantie « panne » / défaillance du système informatique : l’arrêt d’activité indemnisé même sans acte malveillant identifié.
- La cyberfraude élargie : fraude au président, faux virements, usurpation par e-mail, SMS, visio ou deepfake — même sans intrusion dans vos serveurs.
- La défaillance d’un prestataire non informatique : votre transporteur ou fournisseur paralysé par une attaque, et vos pertes d’exploitation prises en charge.
- La perte d’exploitation consécutive à une atteinte à l’e-réputation, et les frais pour restaurer votre image.
- Les honoraires d’un expert d’assuré que vous mandatez pour chiffrer vos pertes face à l’assureur.
- La couverture de l’intelligence artificielle, traitée dans le cadre commun de la garantie cyber, sans exclusion piégeuse.
Le socle d’un bon contrat cyber
Tout contrat sérieux repose sur cinq piliers : assistance et gestion de crise 24/7 ; restauration des systèmes et des données ; pertes d’exploitation ; responsabilité civile (dommages aux tiers, notification CNIL) ; cyber-extorsion.
La règle des 72 heures que beaucoup ignorent
Depuis avril 2023, la loi LOPMI conditionne toute indemnisation cyber au dépôt d’une plainte pénale dans les 72 heures suivant la découverte de l’attaque. On peut donc être parfaitement assuré et voir son indemnisation refusée faute d’avoir respecté ce délai — d’où l’importance d’une cellule d’assistance joignable immédiatement.
Combien ça coûte
Pour une TPE/PME, comptez en général de 800 à 4 500 € par an selon le chiffre d’affaires, le secteur et la maturité cyber — à mettre en regard d’un seul jour d’activité perdue, ou d’une ligne de production à remplacer. En contrepartie, les assureurs exigent un socle minimum : sauvegardes testées, antivirus/EDR, authentification à deux facteurs, mises à jour, politique de mots de passe.
Notre rôle : cartographier les trous entre vos contrats
Le vrai risque n’est pas de ne pas être assuré : c’est de croire qu’on l’est, et de découvrir le jour du sinistre que la machine détruite, la fraude au président ou l’arrêt d’un fournisseur tombaient dans un angle mort. C’est notre métier chez AEGIS Courtage : lire vos contrats existants, identifier les lacunes entre eux, et bâtir une protection cohérente sur l’ensemble de vos risques.
Faisons le point sur votre exposition — gratuitement. En 30 minutes, on identifie vos angles morts et on vérifie ce que couvrent (ou non) vos contrats actuels. Olivier Drouet — o.drouet@aegis-courtage.fr · 07 88 59 00 49.