Cyber-assurance pour TPE/PME : pourquoi (et combien ça coûte)

Les grands comptes ont massivement investi en cybersécurité depuis 2017. Les attaquants se sont reportés sur les TPE/PME : moins protégées, souvent connectées à de plus grands donneurs d'ordre (supply chain attacks), avec des trésoreries permettant de payer des rançons modestes (10 à 50 k€).

Selon l'ANSSI et le baromètre CESIN 2025, 43 % des cyberattaques visent des structures de moins de 250 salariés. 60 % des PME victimes d'une attaque sévère déposent le bilan dans les 18 mois.

Ransomware : chiffrement de l'ensemble des données + demande de rançon. Coût total moyen (rançon + remédiation + perte d'exploitation) : 120 k€ pour une PME française en 2024.

Fraude au président / fraude au virement : ingénierie sociale poussant à un virement frauduleux. Préjudice médian : 35 k€, jusqu'à plusieurs centaines de milliers d'euros.

Fuite de données personnelles : exfiltration de bases clients. Coût RGPD (notification, communication, sanction CNIL potentielle, perte de confiance) : 40 à 200 k€.

Indisponibilité prolongée : un site e-commerce bloqué 5 jours en pleine saison peut perdre 30 à 50 % de son CA mensuel.

Frais de remédiation : intervention experts cyber, restauration des systèmes, audit post-incident. Plafond minimum 100 k€.

Pertes d'exploitation : indemnisation du CA perdu pendant l'indisponibilité. Période de carence courte (24-48h max).

Cyber-rançon : prise en charge de la négociation et, dans certains cas, du paiement. Sujet délicat, à valider avec votre courtier.

Responsabilité civile cyber : couverture vis-à-vis des tiers (clients dont les données ont fuité, partenaires impactés).

Frais RGPD : notification CNIL, communication aux personnes concernées, défense en cas de procédure CNIL, sanctions assurables si la loi locale l'autorise.

Cellule de crise 24/7 : ligne dédiée, intervention immédiate experts forensic + juridique + communication.

Pour une TPE (CA < 1 M€) avec mesures de sécurité de base : 500 à 1 500 €/an pour 250 k€ de capital garanti.

Pour une PME (1 à 10 M€ CA) : 1 500 à 5 000 €/an pour 500 k€ à 1 M€ de capital.

PME exposées (e-commerce, fintech, santé, données sensibles) : 5 000 à 15 000 €/an pour 1 à 3 M€.

Le ratio coût/exposition est imbattable : 0,1 à 0,3 % du CA pour une couverture qui peut sauver l'entreprise.

Depuis 2023, les assureurs exigent un socle de mesures avant de couvrir : sauvegardes régulières testées, MFA (authentification multifacteur) sur les accès admin et messagerie, antivirus EDR à jour, plan de continuité documenté, sensibilisation collaborateurs.

Sans ces prérequis, la souscription est refusée ou conditionnée à des exclusions importantes (notamment le ransomware). C'est devenu un outil indirect d'élévation du niveau de cybersécurité des PME.