Ces deux courbes ne peuvent pas continuer à diverger. Le marché cyber traverse une fenêtre tarifaire favorable qui se referme sous nos yeux, et le ratio sinistres sur primes des ETI a triplé en un an. C'est maintenant que se négocient les conditions des trois prochaines années.
L'étude LUCY de l'AMRAE, publiée en juin 2026 sur 20 996 polices et 1 251 sinistres, décrit un marché dont l'équilibre s'est dégradé en un seul exercice.
| Indicateur | 2024 | 2025 |
|---|---|---|
| Sinistres indemnisés sur le marché assuré | 54,5 M€ | 83,2 M€, soit une hausse de 53 % |
| Ratio sinistres sur primes des ETI | 13 % | 42 %, soit vingt-neuf points de plus |
| Nombre d'ETI assurées | 1 145 contrats | 2 002 contrats, une progression de 75 % |
| Primes des grandes entreprises | En baisse de 32 % en moyenne sur l'exercice 2025 | |
Un assureur qui consomme 42 % de ses cotisations en sinistres, contre 13 % l'année précédente, ne maintient pas ses tarifs très longtemps. La baisse des primes est la conséquence d'une concurrence forte sur un marché en conquête, pas d'une amélioration du risque. Ce n'est pas un argument pour souscrire dans l'urgence : c'est un argument pour négocier maintenant des conditions pluriannuelles, tant que le rapport de force le permet.
L'idée que les attaquants ne s'intéressent qu'aux grands groupes ne résiste pas aux chiffres officiels.
| Source | Constat |
|---|---|
| ANSSI, panorama de la cybermenace 2025 | Sur 1 366 incidents de sécurité confirmés, les TPE, PME et ETI concentrent 48 % des victimes de rançongiciels |
| ANSSI, même panorama | Les exfiltrations de données progressent de 51 %, passant de 130 à 196 cas recensés |
| CESIN, onzième baromètre annuel | 34 % des ETI touchées par au moins une cyberattaque significative en 2025 |
| CESIN, même baromètre | 81 % des organisations touchées constatent un impact direct sur leur activité |
Ce que ces chiffres disent, c'est que la question n'est plus de savoir si votre entreprise sera visée, mais ce qui se passe le jour où elle l'est : combien de temps la production s'arrête, qui prend en charge la remise en état, et qui parle à vos clients dont les données ont fuité.
Une mission cyber se déroule sur quatre à six semaines. Elle commence par votre exposition réelle, jamais par un questionnaire d'assureur.
Marge brute journalière, dépendance des sites à un système central, délai de reprise réaliste, sous-traitants critiques. C'est ce chiffre qui détermine le montant de garantie, et non un forfait proposé par un assureur.
Vous recevez une estimation chiffrée de votre perte d'exploitation en cas d'arrêt de trois, dix et trente jours.
Sauvegardes déconnectées, authentification renforcée, gestion des accès à privilèges, plan de reprise testé. Ces points ne relèvent pas seulement de la sécurité : ce sont les conditions d'accès au marché, et souvent des conditions de garantie.
Vous recevez la liste des exigences que vous ne remplissez pas encore, classées par effet sur votre prime et sur votre acceptation.
Montants par garantie, sous-limites, ces plafonds particuliers appliqués à certaines garanties, franchises, et délai de carence, ce nombre d'heures d'arrêt à dépasser avant que la perte d'exploitation ne soit indemnisée, périmètre géographique, prise en charge des sous-traitants. Le tarif d'appel n'a aucun sens sans ce document.
Vous recevez un cahier des charges que vous validez, et qui rendra les offres comparables entre elles.
Consultation, dépouillement à garanties strictement équivalentes, négociation. Sur ce marché plus que sur tout autre, deux contrats au même prix peuvent avoir des périmètres sans rapport.
Vous recevez une grille comparative des offres, sous-limite par sous-limite, avec notre recommandation argumentée.
Coordonnées de la cellule d'assistance affichées hors du système d'information, procédure de déclaration, articulation avec votre plan de continuité. Un contrat cyber dont personne ne connaît le numéro d'urgence le jour J perd l'essentiel de sa valeur.
Vous recevez une fiche réflexe d'une page pour votre direction, et un point annuel sur l'adéquation des garanties.
Le contrat cyber n'a pas le même centre de gravité à trente salariés et à cinq cents.
| Effectif | Ce que nous regardons en premier |
|---|---|
| Jusqu'à cinquante salariés | La qualité de la réponse à incident : délai d'intervention, numéro joignable la nuit, expertise technique et juridique incluse. Sans équipe interne, c'est le poste qui compte le plus |
| De cinquante à deux cent cinquante salariés | La perte d'exploitation et son délai de carence. C'est la ligne qui fait la différence entre un incident absorbé et un exercice entamé |
| Au-delà de deux cent cinquante salariés | L'articulation entre le contrat et vos obligations de gouvernance, et la cohérence des plafonds avec la valeur de vos données et de votre production |
| Activité qui traite des données de clients ou de patients | La responsabilité civile vis-à-vis des tiers dont les données sont compromises, souvent sous-dotée par rapport au reste du contrat |
Nous regardons votre contrat cyber actuel s'il existe, vos mesures de sécurité au regard des exigences du marché, et nous vous disons ce qui est assurable en l'état et à quelles conditions.
Demander mon audit gratuitDepuis la loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023, le versement d'une rançon par un assureur est encadré par le code des assurances.
L'indemnisation d'une rançon versée à la suite d'une extorsion commise au moyen d'une atteinte à un système de traitement automatisé de données est subordonnée au dépôt d'une plainte par la victime, dans les soixante-douze heures suivant la connaissance de l'infraction. Sans plainte dans ce délai, la garantie ne joue pas.
Cette condition change la conduite à tenir dans les premières heures d'une crise. Elle suppose que la direction sache, avant l'incident, qu'il faut déposer plainte immédiatement, et que quelqu'un soit désigné pour le faire pendant que les équipes techniques sont mobilisées ailleurs. C'est exactement le genre de point que nous inscrivons dans la fiche réflexe remise en fin de mission.
Précision utile : payer une rançon n'est jamais une recommandation, et la position des autorités françaises reste constante sur ce point. Il s'agit ici de savoir ce que votre contrat prévoit, pas de préjuger de la décision.
La directive européenne sur la sécurité des réseaux et des systèmes d'information élargit considérablement le nombre d'entreprises soumises à des obligations de cybersécurité, et fait peser une responsabilité sur les organes de direction.
| Catégorie | Seuils indicatifs | Sanctions prévues par la directive |
|---|---|---|
| Entité essentielle | Au moins 250 salariés, ou plus de 50 M€ de chiffre d'affaires et 43 M€ de bilan | Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial |
| Entité importante | Au moins 50 salariés, ou plus de 10 M€ de chiffre d'affaires et de bilan | Jusqu'à 7 M€ ou 1,4 % du chiffre d'affaires mondial |
Les amendes administratives ne sont en principe pas assurables en France. Aucun contrat cyber ne prendra en charge une sanction prononcée au titre de NIS 2 : l'assurance couvre les conséquences d'une attaque, pas les conséquences d'un défaut de conformité. Ce sont deux chantiers distincts, et confondre les deux est la façon la plus sûre de découvrir un trou au mauvais moment.
La transposition française n'est pas achevée. Nous suivons le texte de près et nous en tenons l'état d'avancement à jour dans notre analyse de ce que NIS 2 change pour la responsabilité des dirigeants, ainsi que dans notre point de marché sur la cyber-assurance des ETI en 2026.
Nous visons trois ans fermes quand le marché le permet, avec une seule clause de revoyure, portant sur le délai de carence de la perte d'exploitation. L'intérêt d'un engagement pluriannuel est double : il fige un tarif obtenu dans une fenêtre favorable, et il évite de repasser chaque année un questionnaire de sécurité de plus en plus exigeant. En contrepartie, l'assureur attend un engagement de progrès sur deux ou trois mesures, que nous définissons avec votre direction informatique.
Les chiffres officiels sont sans ambiguïté. Le panorama de la cybermenace 2025 de l'ANSSI recense 1 366 incidents de sécurité confirmés, dont 48 % des victimes de rançongiciels sont des TPE, PME et ETI. Le onzième baromètre du CESIN indique que 34 % des ETI déclarent avoir été touchées par au moins une attaque significative en 2025, et que 81 % des organisations touchées constatent un impact direct sur leur activité. La taille protège de moins en moins, parce que les attaques sont largement automatisées.
Vous appelez le numéro d'urgence du contrat, disponible en continu, qui déclenche l'intervention des experts techniques et juridiques. En parallèle, une personne désignée à l'avance dépose plainte : en cas d'extorsion, l'indemnisation d'une rançon suppose une plainte dans les soixante-douze heures suivant la connaissance de l'infraction. Nous arrêtons ces deux réflexes avec vous avant l'incident, pas pendant. C'est l'objet de la fiche que nous remettons en fin de mission, avec les numéros et le nom de la personne qui dépose.
Le délai de déclaration figure aux conditions générales et se compte souvent en jours, parfois en heures pour la mise en oeuvre de la cellule de crise. Un retard ne fait pas tomber la garantie automatiquement, mais l'assureur peut opposer le préjudice que ce retard lui a causé, par exemple des frais de reconstitution alourdis faute d'intervention rapide. C'est la raison pour laquelle nous mettons le numéro d'urgence et le nom de la personne habilitée à déclarer dans la fiche que vous affichez, et pas dans un classeur.
Ne rien approximer. Une déclaration inexacte fragilise la garantie au moment où vous en avez besoin. Nous déclarons l'état réel, nous identifions les deux ou trois mesures qui débloquent le plus de capacité chez les assureurs, et nous les présentons comme un plan daté. Nous plaçons mieux un risque en progression assumée qu'un risque présenté comme parfait.
Il est financé par une commission assise sur la cotisation, ou par des honoraires lorsque la mission comprend un travail de préparation du dossier de souscription qui dépasse le placement. Sur ce risque, le second cas n'est pas rare : monter un dossier crédible auprès des assureurs demande du temps, et ce temps se retrouve dans le prix que nous obtenons.
Cadre légal : article L. 12-10-1 du code des assurances, issu de la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur ; directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité, articles 3, 20, 32 et 34 ; projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, en cours d'examen.
Données de marché : AMRAE, étude LUCY « Lumière sur la cyberassurance », sixième édition, juin 2026, portant sur 20 996 polices et 1 251 sinistres de l'exercice 2025 ; ANSSI, panorama de la cybermenace 2025, publié en mars 2026 ; CESIN, onzième baromètre annuel de la cybersécurité des entreprises françaises, réalisé avec OpinionWay auprès de 397 responsables de la sécurité des systèmes d'information.
Pour aller plus loin : nos analyses sur la cyber-assurance des ETI en 2026 et sur NIS 2 et la responsabilité des dirigeants. Voir aussi notre page protection sociale du dirigeant.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil, RCS Bobigny 509 765 343. Courtier en assurance immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
