Cyber-assurance des ETI en 2026 : pourquoi votre prime baisse pendant que le risque explose
Primes des grandes entreprises en baisse de 32 %, indemnisations versées aux ETI multipliées par quatre : le marché de la cyber-assurance vit un effet ciseaux inédit, que l'échéance NIS 2 vient encore accentuer. La fenêtre ne durera pas : voici comment souscrire ou renégocier au bon moment, en faisant servir chaque euro de conformité deux fois. Avec ce décryptage, Accent Conseil étend son accompagnement aux risques IARD, aux côtés de la protection sociale.
Le paradoxe de 2026 : un marché cyber qui baisse ses prix
Tout devrait pousser les tarifs cyber vers le haut : attaques plus nombreuses, exigences réglementaires qui s'empilent, sinistres médiatisés. C'est l'inverse qui se produit. La 6e édition de l'étude LUCY de l'AMRAE, publiée le 9 juin 2026 sur l'exercice 2025, décrit un marché installé en soft market : capacités en hausse, nouveaux porteurs de risque, concurrence frontale sur les renouvellements. Résultat, les grandes entreprises ont vu leurs primes baisser de 32 % en moyenne en 2025.
Cette détente rebat les cartes de la cyber-assurance des PME et ETI, longtemps restées à l'écart du marché. En un an, le nombre d'ETI assurées a bondi de 1 145 à 2 002 contrats, soit une progression de 75 %. Des garanties jugées inaccessibles en marché dur se négocient aujourd'hui à des conditions nettement plus favorables.
Le second versant du ciseau se referme pourtant déjà. Les sinistres indemnisés sur le marché assuré sont passés de 54,5 M€ en 2024 à 83,2 M€ en 2025, soit +53 %, une hausse principalement portée par les ETI. L'étude, fondée sur 20 996 polices et 1 251 sinistres, photographie un marché qui paie de plus en plus en encaissant de moins en moins.
L'effet ciseaux du marché cyber en 2025
Source : AMRAE, étude LUCY 6e édition, juin 2026 (données de l'exercice 2025).
Aucun marché assurantiel ne finance durablement une telle divergence. Quand la sinistralité rattrape la prime, le cycle se retourne : hausses tarifaires, franchises relevées, sous-limites resserrées, questionnaires durcis. Les entreprises qui verrouillent leurs conditions maintenant aborderont la phase dure en position de force. Les autres la subiront.
La sinistralité des ETI décroche
Le chiffre pivot de l'étude LUCY tient en deux pourcentages : le rapport sinistres à primes (S/P) des ETI, la part des cotisations consommée par les sinistres, est passé de 13 % en 2024 à 42 % en 2025. Dans le même temps, les indemnisations versées aux ETI ont été multipliées par quatre. Ce segment, hier très rentable pour les assureurs, devient le principal moteur de la dégradation du marché : le signal type d'un durcissement des conditions de souscription.
Cette dégradation reflète un déplacement de la menace, documenté par le Panorama de la cybermenace 2025 de l'ANSSI. Sur 1 366 incidents de sécurité confirmés en 2025, les PME, TPE et ETI concentrent 48 % des victimes de rançongiciels, loin devant les collectivités (11 %) et la santé (8 %). Les attaquants industrialisent leurs opérations et visent les organisations de maturité intermédiaire : suffisamment solides pour payer, moins défendues que les grands groupes.
Les modes opératoires suivent la même pente, avec des exfiltrations de données en progression de +51 % (196 cas contre 130) et trois vecteurs dominants : équipements de bordure compromis (VPN, pare-feu), outils légitimes d'administration détournés, attaques par la chaîne d'approvisionnement via un prestataire ou un éditeur. Trois portes d'entrée qui frappent de plein fouet des ETI aux systèmes largement externalisés.
Les directions le confirment : selon le 11e baromètre du CESIN, réalisé avec OpinionWay auprès de 397 RSSI, 34 % des ETI ont subi au moins une cyberattaque significative en 2025, contre 50 % des grandes entreprises. Et quand l'attaque aboutit, elle frappe le compte de résultat : 81 % des organisations touchées déclarent un impact direct sur l'activité.
ETI : la sinistralité décroche
Sources : AMRAE, étude LUCY 2026 (données 2025) ; CESIN, 11e baromètre réalisé avec OpinionWay auprès de 397 RSSI.
NIS 2 : en retard côté loi, déjà là côté assureurs
À ce marché mouvant s'ajoute l'échéance réglementaire. La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, devait être transposée au plus tard le 17 octobre 2024. La France a manqué le rendez-vous : adoptée par le Sénat en mars 2025, votée en commission spéciale à l'Assemblée nationale en septembre 2025, la loi Résilience attend toujours son examen en séance publique, désormais espéré à l'automne 2026. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, avec l'Irlande, l'Espagne et les Pays-Bas, en demandant des sanctions financières pour non-transposition.
Ce retard ne change rien au changement d'échelle, déjà acté. Là où NIS 1 encadrait quelques centaines d'opérateurs, NIS 2 concernera environ 15 000 entités françaises réparties dans 18 secteurs, classées en deux statuts : entités essentielles (EE) et entités importantes (EI). Le rattachement croise taille et criticité du secteur : schématiquement, les grandes entités des secteurs hautement critiques relèveraient du statut essentiel, les autres entités visées du statut important.
NIS 2 : deux statuts, deux niveaux de sanction
Entité essentielle (EE)
Grande entité d'un secteur hautement critique : au moins 250 salariés, ou plus de 50 M€ de chiffre d'affaires et de 43 M€ de bilan. Sanctions prévues par la directive : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial.
Entité importante (EI)
Dès le seuil d'entité moyenne : au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan. Sanctions prévues par la directive : jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires mondial.
Source : directive (UE) 2022/2555 du 14 décembre 2022, articles 3 et 34. Barèmes et périmètre exacts à confirmer dans la loi française de transposition.
La directive responsabilise aussi les organes de direction, appelés à superviser activement la gestion du risque cyber et à se former : une exposition administrative nouvelle pour les dirigeants, qui ne bouleverse pas pour autant les régimes classiques de responsabilité civile et pénale du droit des sociétés. Quant aux obligations opérationnelles fines, comme la notification des incidents sous 24 puis 72 heures, elles dépendraient des décrets d'application à venir.
Reste le point que beaucoup de DAF sous-estiment : n'attendez pas la loi, votre assureur n'attend pas. Les questionnaires de souscription exigent déjà les mesures que NIS 2 rendra obligatoires : authentification multifacteur, sauvegardes déconnectées et testées, plans de continuité et de reprise éprouvés, gestion des correctifs, analyse de risque structurée, surveillance des prestataires. Se mettre en conformité NIS 2, c'est donc mécaniquement améliorer son dossier d'assurance cyber : accès facilité aux capacités, franchise réduite, prime optimisée.
« La mise en application des mesures de base de NIS 2 permettrait déjà de protéger une grande partie des entités françaises. »
ANSSI, Panorama de la cybermenace 2025
Quatre leviers que nous activons avec nos clients ETI
La fenêtre actuelle ne restera pas ouverte longtemps. Quatre leviers permettent d'en tirer parti avant le retournement du cycle.
Auditer l'exposition réelle avant de parler tarif
Secteur, dépendance aux prestataires critiques, données détenues, scénarios d'interruption : l'exposition d'une ETI ne se lit pas dans un standard de marché. L'audit identifie les scénarios majorants et chiffre la perte d'exploitation potentielle qui servira de socle au programme.
Mettre en concurrence pendant le soft market
Capacités abondantes, nouveaux entrants, appétit retrouvé des porteurs de risque : les conditions 2026 permettent de négocier ce qui était figé en marché dur. Prime, franchises, sous-limites rançongiciel, périmètre des garanties : tout se rediscute. Avec un S/P ETI à 42 %, la fenêtre commence à se refermer : l'appel d'offres se lance maintenant.
Aligner conformité NIS 2 et dossier de souscription
MFA, sauvegardes hors ligne, PCA et PRA testés, gestion des tiers : le chantier NIS 2 et le questionnaire assureur se recouvrent très largement. Structurée une seule fois, la démarche finance simultanément conformité réglementaire et profil de souscription. C'est l'euro qui sert deux fois.
Calibrer le programme sur la sinistralité réelle
Capacité totale, franchises par scénario, sous-limites, services de crise : un programme cyber se dimensionne sur les scénarios chiffrés de l'audit, pas sur une plaquette commerciale. Objectif : ni sur-assurance qui alourdit le budget, ni trou de garantie découvert au premier sinistre.
Ce chantier s'inscrit dans le pilotage d'ensemble des risques et des budgets assurance de l'entreprise, au même titre que la maîtrise de la hausse des régimes de santé et de prévoyance collective. La cyber-assurance cesse d'être un sujet de DSI : elle entre dans l'arbitrage budgétaire global du DAF.
Audit gratuit
Votre couverture cyber est-elle calibrée sur votre exposition réelle ?
Nos experts analysent votre exposition, valorisent vos mesures NIS 2 dans le dossier de souscription et mettent le marché en concurrence pendant que les conditions restent favorables. Découvrez l'accompagnement assurance cyber d'Accent Conseil et repartez avec un plan d'action chiffré.
Auditez votre couverture en 30 minQuestions fréquentes
Cyber-assurance en 2026 : les questions que posent DAF et dirigeants
Qu'est-ce que le soft market cyber et combien de temps va-t-il durer ?
Un soft market désigne la phase du cycle assurantiel où les capacités disponibles dépassent la demande : la concurrence entre porteurs de risque fait baisser les primes et assouplit les conditions de souscription. Le marché cyber y est entré après la phase dure de 2020-2022 ; en 2025, les grandes entreprises ont obtenu en moyenne 32 % de baisse sur leurs primes (étude LUCY, AMRAE). Personne ne peut dater le retournement avec certitude, mais un indicateur avancé existe : le rapport sinistres à primes. Celui des ETI est passé de 13 % à 42 % en un an, et ce type de dégradation précède historiquement un durcissement des conditions. La recommandation opérationnelle : souscrire ou renégocier pendant la fenêtre actuelle, plutôt que d'attendre un hypothétique point bas.
Mon ETI est-elle concernée par NIS 2 ?
Très probablement, si votre secteur figure parmi les 18 secteurs visés par la directive (énergie, transports, santé, infrastructures numériques, industrie manufacturière, agroalimentaire, gestion des déchets, notamment). Les seuils sont bas : une entité « moyenne » au sens de NIS 2 compte au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires et de total de bilan ; une « grande » entité au moins 250 salariés, ou plus de 50 M€ de chiffre d'affaires et plus de 43 M€ de bilan. Une ETI de 250 à 5 000 salariés dépasse mécaniquement ces seuils : si son secteur est visé, elle sera classée entité essentielle ou entité importante. Environ 15 000 entités françaises sont concernées au total. L'ANSSI propose un test d'auto-évaluation sur son service MonEspaceNIS2.
La loi NIS 2 est-elle déjà applicable en France ?
Non, pas encore en droit français. La directive (UE) 2022/2555 devait être transposée avant le 17 octobre 2024. Le texte de transposition, la loi Résilience, a été adopté par le Sénat en mars 2025 puis voté en commission spéciale à l'Assemblée nationale en septembre 2025 ; son examen en séance publique est désormais espéré à l'automne 2026. Ce retard a valu à la France une saisine de la Cour de justice de l'UE par la Commission européenne le 8 juillet 2026, avec demande de sanctions financières. Les obligations opérationnelles précises, comme les délais de notification des incidents, dépendront de la loi et de ses décrets d'application. Attendre serait pourtant une erreur de calcul : les questionnaires des assureurs cyber exigent dès aujourd'hui l'essentiel des mesures prévues par la directive.
Quelles mesures de sécurité exigent les assureurs cyber en 2026 ?
Les questionnaires d'assurance cyber entreprise convergent en 2026 vers un socle stable : authentification multifacteur généralisée, en particulier sur les accès distants et les comptes d'administration, sauvegardes régulières déconnectées du réseau et testées en restauration, plan de continuité et de reprise d'activité documentés et éprouvés, politique de gestion des correctifs, cloisonnement des accès à privilèges et surveillance des prestataires critiques. Une analyse de risque structurée, du type EBIOS RM, renforce le dossier. L'absence de MFA ou de sauvegardes isolées se traduit au mieux par une franchise majorée, au pire par un refus d'assurer. Ce socle recoupe très largement les mesures de base attendues au titre de NIS 2 : chaque mesure déployée sert donc à la fois la conformité et la souscription.
Que couvre concrètement une assurance cyber pour une ETI ?
Un contrat cyber pour ETI s'articule autour de trois blocs. Les services de réponse à incident d'abord : assistance 24/7, investigation technique, gestion de crise et communication, souvent la valeur la plus décisive dans les premières 48 heures. Les dommages subis par l'entreprise ensuite : pertes d'exploitation liées à l'interruption des systèmes, frais de reconstitution des données et de restauration, frais supplémentaires d'exploitation et, selon les contrats et le cadre applicable, couverture de l'extorsion. La responsabilité civile enfin : dommages causés aux tiers, frais de défense, conséquences d'une violation de données personnelles, dont les frais de notification. La vigilance porte moins sur la liste des garanties que sur les sous-limites, les franchises et les exclusions, qui font l'écart réel entre deux contrats.
Pourquoi passer par un courtier pour souscrire une cyber-assurance ?
Parce que le marché cyber reste jeune, technique et hétérogène : deux contrats affichant la même capacité peuvent différer du tout au tout sur les sous-limites rançongiciel, les exclusions ou les services de crise. Un courtier spécialisé traduit l'exposition réelle de l'entreprise, secteur, dépendances, sinistralité, en cahier des charges assurable, valorise les mesures de sécurité déjà déployées dans le dossier de souscription, met plusieurs porteurs de risque en concurrence et négocie les conditions pendant que le cycle reste favorable. Il assiste ensuite l'entreprise en cas de sinistre, au moment où chaque heure compte. Accent Conseil accompagne les ETI dans cette démarche, de l'audit d'exposition à la souscription.
Sources
Marché : AMRAE, étude LUCY, Lumière sur la cyberassurance, 6e édition, publiée le 9 juin 2026 sur les données de l'exercice 2025 (20 996 polices et 1 251 sinistres analysés) : évolution des primes, des capacités et de la sinistralité par segment d'entreprises.
Menace : ANSSI, Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, publié en mars 2026 (incidents traités, profils de victimes, vecteurs d'attaque) ; CESIN, 11e baromètre annuel de la cybersécurité des entreprises françaises, réalisé avec OpinionWay auprès de 397 RSSI (2026).
Cadre réglementaire : directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2) ; Légifrance, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ; ANSSI, MonEspaceNIS2, avancement de la transposition de la directive NIS 2.
