Assurance cyber pour TPE en 2026 : faut-il s'assurer contre le piratage ?

Votre courtier vous a proposé une garantie cyber lors du dernier renouvellement. Une trentaine d'euros par mois, quelques lignes dans le contrat, et cette question qui reste : est-ce une vraie protection ou une case de plus sur la facture ?

Cet article répond sans détour. Vous y trouverez ce que couvre réellement une assurance cyber pour TPE, ce qu'aucun contrat ne couvre jamais, la règle légale des 72 heures qui peut annuler votre indemnisation sans que vous le sachiez, les prix pratiqués en 2026, et surtout l'ordre dans lequel s'y prendre — parce qu'une assurance souscrite avant les mesures de base est un mauvais investissement.

La menace n'est plus théorique, même pour une entreprise de trois personnes

Commençons par des chiffres officiels plutôt que par des slogans. Le rapport d'activité 2025 de Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, fait état de 504 810 demandes d'assistance sur l'année, en hausse de 20 % par rapport à 2024. C'est la première fois que le seuil des 500 000 victimes accompagnées est franchi.

Le détail est plus parlant encore : les demandes émanant d'entreprises et d'associations ont augmenté de 73 % en un an. Le rançongiciel — ce logiciel qui chiffre vos fichiers et réclame un paiement pour les rendre — représente 8,1 % des demandes, avec environ 2 700 signalements, dont 1 691 provenant d'entreprises.

De son côté, le baromètre France Num 2025, mené auprès de plus de 11 000 entreprises, indique que plus d'un tiers des TPE et PME interrogées ont déjà connu un incident de cybersécurité. Autrement dit, la question n'est plus « est-ce que cela arrive aux petites structures », mais « qu'est-ce qui se passe le jour où cela m'arrive ».

Ce qu'une TPE risque concrètement

Le mot « cyberattaque » évoque des films et des multinationales. Pour un artisan, un commerçant ou un cabinet, la réalité prend quatre formes beaucoup plus prosaïques.

• Le rançongiciel. Un salarié ouvre une pièce jointe, et tous les fichiers de l'entreprise deviennent illisibles. Devis, factures, fichier clients, photos de chantiers. Sans sauvegarde exploitable, l'activité s'arrête plusieurs jours.
• La fraude au virement. Un faux e-mail d'un fournisseur habituel annonce un changement de coordonnées bancaires. Le virement part. C'est l'attaque la plus coûteuse pour une petite entreprise, et elle ne demande aucune prouesse technique.
• Le piratage du site internet. Votre site se met à rediriger vers des pages douteuses ou à envoyer du spam. Google le signale comme dangereux, et votre visibilité s'effondre en quelques jours.
• Le vol de données clients. Fichier de contacts, données de commande, coordonnées. En plus du préjudice commercial, vous avez une obligation de notification à la CNIL sous 72 heures si les personnes sont exposées à un risque.

Le coût réel n'est presque jamais la rançon : c'est l'arrêt d'activité, les journées d'un prestataire pour tout remettre d'aplomb, les clients perdus et le temps que vous n'avez pas passé à travailler. Nos sept actions simples de protection pour TPE et PME couvrent le volet prévention de ces quatre scénarios.

Assurance cyber TPE : ce que couvre vraiment un contrat

Un contrat cyber correct comporte deux volets qu'il ne faut pas confondre.

L'assistance, qui intervient le jour J. C'est souvent le plus utile pour une petite structure : une hotline joignable, un expert technique qui prend la main pour contenir l'attaque, restaurer les systèmes et analyser ce qui s'est passé. Seul face à un rançongiciel, un dirigeant de TPE perd un temps précieux à chercher qui appeler.

L'indemnisation, qui intervient ensuite. Elle couvre généralement les frais d'expertise informatique, les frais juridiques, la notification aux personnes concernées, la reconstitution des données, la perte d'exploitation liée à l'arrêt d'activité, et selon les contrats, la responsabilité civile si des tiers sont lésés.

Vérifiez trois lignes avant de signer : le plafond global (100 000 € est un ordre de grandeur courant pour une TPE), la franchise, et surtout le délai de carence de la garantie perte d'exploitation — certains contrats n'indemnisent qu'à partir de 24 ou 48 heures d'arrêt, ce qui exclut la majorité des incidents courants.

Ce qu'aucune assurance cyber ne couvre

Un contrat n'est pas un filet universel. Sortent presque toujours du champ :

• La négligence caractérisée. Absence totale de sauvegarde, logiciels obsolètes non mis à jour depuis des années, mot de passe unique partagé par toute l'équipe : l'assureur peut réduire ou refuser sa prise en charge.
• Les fautes intentionnelles d'un dirigeant ou d'un salarié agissant sciemment.
• Les pertes de chiffre d'affaires futures que vous estimez sans pouvoir les documenter comptablement.
• Le préjudice d'image au sens large, difficilement chiffrable et rarement couvert.
• Les amendes administratives prononcées par une autorité comme la CNIL, que le droit français ne permet généralement pas d'assurer.

Cette dernière ligne mérite d'être soulignée : on ne s'assure pas contre sa propre non-conformité. C'est une raison de plus de traiter la prévention avant l'assurance.

La règle des 72 heures qui peut annuler votre indemnisation

C'est le point le moins connu des dirigeants, et le plus lourd de conséquences. Depuis le 24 avril 2023, l'article L. 12-10-1 du Code des assurances, issu de la loi d'orientation et de programmation du ministère de l'Intérieur, conditionne le versement de toute indemnité au titre d'une cyberattaque au dépôt d'une plainte dans les 72 heures suivant le moment où vous avez eu connaissance de l'atteinte.

Trois précisions pratiques. Premièrement, le délai court à partir de la découverte, pas de l'attaque : si vous vous en apercevez le lundi matin pour une intrusion du vendredi soir, l'horloge démarre le lundi. Deuxièmement, la règle s'applique aux personnes morales et aux professionnels, pas aux particuliers. Troisièmement, elle vaut quelle que soit la nature de l'indemnisation demandée.

Concrètement, préparez la procédure avant d'en avoir besoin : notez le commissariat ou la brigade de gendarmerie dont vous dépendez, sachez que la plainte peut être déposée par un représentant légal, et gardez la trace horodatée du moment où vous avez constaté l'incident. Un week-end de trois jours peut suffire à faire tomber le délai.

Combien coûte une assurance cyber pour une TPE en 2026

Les tarifs se sont nettement démocratisés. Les offres pour très petites structures démarrent autour de 15 € par mois avec des garanties de base et un plafond de l'ordre de 100 000 €. Pour une entreprise réalisant entre 500 000 € et 2 millions d'euros de chiffre d'affaires, la fourchette courante se situe entre 35 et 120 € par mois. Un budget annuel de 500 à 2 000 € couvre la grande majorité des TPE.

Trois facteurs font varier la prime : votre chiffre d'affaires, le volume de données personnelles que vous manipulez, et votre niveau de protection déclaré. Ce dernier point est intéressant, parce qu'il fonctionne dans les deux sens : les mesures qui font baisser la prime sont exactement celles qui évitent le sinistre.

Pour mettre ce montant en perspective, comparez-le à ce que coûte une remise en état. Deux à trois jours d'intervention d'un prestataire, plus une semaine d'activité ralentie, dépassent largement la prime annuelle. Notre offre de maintenance de site WordPress couvre pour sa part le volet préventif — mises à jour, surveillance, sauvegardes — à un tarif qui figure sur notre page tarifs.

Les prérequis que l'assureur va exiger — et qui vous protègent déjà

Au moment de la souscription, on vous demandera de déclarer un certain nombre de mesures. Mentir n'a aucun intérêt : la fausse déclaration se paie au moment du sinistre. Autant les mettre en place, elles sont à la portée de n'importe quelle TPE.

1. Des sauvegardes automatiques et testées. Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde. La méthode de référence est détaillée dans notre article sur le plan 3-2-1 anti-rançongiciel.
2. La double authentification sur la messagerie, la banque en ligne et l'administration du site. C'est la mesure qui bloque le plus d'attaques pour le moins d'efforts.
3. Les mises à jour du site, des postes et des logiciels métier, appliquées régulièrement et non une fois tous les trois ans.
4. Un gestionnaire de mots de passe pour l'équipe, à la place du fichier Excel ou du carnet près de l'écran.
5. Une procédure de vérification des virements : tout changement de coordonnées bancaires d'un fournisseur se confirme par téléphone, au numéro connu, jamais à celui indiqué dans l'e-mail.

Ces cinq points valent aussi contre les fraudes plus élaborées, comme celles décrites dans notre article sur les arnaques au président et les deepfakes.

Assurance ou prévention : le bon ordre

Poser la question « faut-il une assurance cyber ? » avant d'avoir traité les bases, c'est acheter un airbag pour une voiture sans freins. L'ordre qui a du sens pour une TPE tient en trois étapes.

D'abord, les mesures gratuites ou presque. Double authentification, sauvegardes automatiques, mises à jour, procédure virement. Coût : quelques heures. Effet : la très grande majorité des attaques courantes deviennent inopérantes.

Ensuite, la maintenance du site et des outils. Un site laissé sans surveillance finit par être compromis, et il sert alors de porte d'entrée. C'est un poste de quelques dizaines d'euros par mois, pas un luxe.

Enfin, l'assurance, pour ce qui reste : le sinistre grave, celui qui immobilise l'activité une semaine et demande une expertise que vous ne pouvez pas assurer seul. À ce stade, la prime est justifiée et l'assureur vous accorde de meilleures conditions.

Une TPE sans données clients sensibles, sans vente en ligne et avec des sauvegardes solides peut légitimement s'en passer. Un cabinet qui manipule des données personnelles, un commerce qui encaisse en ligne ou une entreprise dont l'activité s'arrête net sans informatique a, elle, tout intérêt à se couvrir.

Questions fréquentes

L'assurance cyber est-elle obligatoire pour une TPE ?

Non, aucune obligation légale générale n'impose de souscrire une assurance cyber en France. Certains donneurs d'ordre ou marchés publics peuvent en exiger une dans leur cahier des charges, et certaines directives européennes renforcent les obligations de sécurité de certains secteurs, mais l'assurance elle-même reste facultative.

Mon contrat multirisque professionnel me couvre-t-il déjà ?

Rarement, et jamais complètement. Beaucoup de multirisques comportent une extension cyber symbolique, avec un plafond de quelques milliers d'euros et sans assistance technique. Demandez à votre assureur une attestation précisant le plafond, la franchise et la présence ou non d'une hotline d'intervention : la réponse est souvent instructive.

Faut-il payer la rançon en cas de rançongiciel ?

Les autorités le déconseillent formellement : le paiement ne garantit ni la restitution des données ni l'absence de nouvelle attaque, et il finance directement les groupes criminels. Une sauvegarde hors ligne récente rend d'ailleurs la question sans objet, ce qui est le meilleur argument pour en avoir une.

Que faire dans l'heure qui suit la découverte d'une attaque ?

Isolez les machines concernées du réseau sans les éteindre, notez l'heure exacte de la découverte, prévenez votre assureur et votre prestataire informatique, et engagez le dépôt de plainte pour tenir le délai de 72 heures. Le dispositif public Cybermalveillance.gouv.fr propose un parcours d'assistance gratuit qui oriente vers des prestataires référencés.

Un site vitrine simple présente-t-il un vrai risque ?

Oui, mais différent. Un site vitrine ne stocke pas de données bancaires, en revanche il peut être détourné pour héberger des pages frauduleuses ou envoyer du spam, ce qui détruit votre référencement et fait afficher un avertissement de sécurité aux visiteurs. Les mises à jour régulières suffisent à écarter l'essentiel de ce risque.

Ce qu'il faut retenir

Une assurance cyber pour TPE a du sens à partir du moment où votre activité s'arrête sans informatique, ou si vous manipulez des données de clients. Elle ne remplace pas les mesures de base : elle prend le relais quand celles-ci ont été débordées. Et quel que soit votre contrat, retenez le chiffre 72 : sans plainte dans ce délai, l'indemnisation peut vous être refusée.

Si vous voulez commencer par le plus rentable, faites vérifier l'état de votre site et de vos sauvegardes. Notre équipe le fait dans le cadre d'un devis gratuit, et nous vous dirons franchement si une assurance se justifie dans votre situation ou si les mesures de base suffisent. Vous pouvez aussi nous écrire directement pour un avis rapide sur un contrat qu'on vous propose.