Assurance cyber : combien ça coûte pour une PME en 2026 ?

Le prix d'une assurance cyber pour une PME française se situe, en 2026, entre 1 000 et 3 000 euros par an pour une entreprise de 10 à 50 salariés, et entre 3 000 et 10 000 euros par an de 50 à 250 salariés, pour un plafond de 500 000 à 2 millions d'euros. Ces ordres de grandeur rejoignent les primes moyennes que l'on déduit de l'étude LUCY de l'AMRAE : environ 1 600 euros pour une petite entreprise assurée en 2025, un peu plus de 5 000 euros pour une entreprise moyenne. À taille égale, l'écart entre deux devis tient d'abord à votre niveau de sécurité démontré, puis à votre secteur, votre franchise et votre plafond.

Combien coûte une assurance cyber selon le chiffre d'affaires ?

Les assureurs tarifent d'abord sur le chiffre d'affaires et l'effectif, qui mesurent la surface à protéger et les pertes d'exploitation possibles. L'étude LUCY 2026 de l'AMRAE, qui compile les données des grands courtiers français, publie les primes et le nombre d'entreprises assurées par segment pour 2025, dont on déduit une prime moyenne.

Les fourchettes de marché sont des ordres de grandeur observés sur les offres PME en 2026 et dépendent des garanties incluses.

Pourquoi deux PME de même taille paient-elles des primes très différentes ?

Parce que la prime cyber est une fonction de votre maturité démontrée, pas seulement de votre taille. Le questionnaire de souscription, c'est-à-dire le formulaire d'une à quatre pages dans lequel l'assureur vous demande de décrire vos mesures de sécurité, décide de trois choses : s'il accepte de coter, à quel prix, et avec quelles exclusions. Un même dossier, présenté avec des preuves datées, peut coûter 30 à 40 % de moins que présenté avec des cases cochées sans justificatif. Exemple anonymisé : un éditeur SaaS de 45 salariés et 6 millions d'euros de chiffre d'affaires, MFA généralisée, EDR, sauvegardes immuables et plan de réponse, paie environ 3 200 euros pour 2 millions de plafond, perte d'exploitation incluse ; le même dossier sans EDR avait été coté 4 600 euros l'année précédente.

Le secteur pèse aussi. Une entreprise qui traite des données de santé, des paiements ou qui héberge les données de ses clients (SaaS, fintech, e-santé) est classée parmi les activités les plus exposées, où le tarif peut être 1,5 à 2 fois supérieur à celui d'un industriel sans données sensibles. Enfin, un sinistre déclaré dans les trois dernières années ferme certaines portes et renchérit les autres.

Quel est l'impact du MFA, de l'EDR et des sauvegardes sur la prime ?

Trois mesures conditionnent l'accès au marché avant même de parler de prix. L'authentification multifacteur (MFA) impose, en plus du mot de passe, une seconde preuve d'identité : code temporaire, clé physique ou validation sur téléphone. Elle neutralise la plupart des intrusions par identifiants volés, ce qui compte quand le piratage de compte représente 21 % des demandes d'assistance des professionnels en 2025 selon Cybermalveillance.gouv.fr, en hausse de 52 %. Sans MFA sur la messagerie, les accès distants et les comptes administrateurs, la majorité des assureurs refusent de coter ou excluent les sinistres liés à une compromission de compte.

L'EDR (Endpoint Detection and Response) est un logiciel déployé sur chaque poste et serveur qui surveille les comportements anormaux plutôt que des signatures de virus connus, et isole automatiquement une machine compromise. Les sauvegardes hors ligne ou immuables sont des copies de vos données déconnectées du réseau ou verrouillées en écriture pour une durée définie, la seule garantie de redémarrer sans payer.

Aucune mesure isolée ne « vaut » un pourcentage fixe : l'assureur note un profil global, et un MFA absent annule le bénéfice d'un EDR présent.

La prime cyber n'est pas le prix d'un produit, c'est le prix de ce que vous n'avez pas encore prouvé à l'assureur.

Que couvre réellement la prime que vous payez ?

Une assurance cyber PME regroupe cinq blocs. Les frais propres de gestion d'incident : investigation, restauration, assistance juridique, notification aux personnes concernées et à la CNIL. La perte d'exploitation, c'est-à-dire la marge brute non réalisée pendant l'arrêt et les frais supplémentaires de reprise. L'extorsion : négociation et, selon les contrats, remboursement de la rançon. La responsabilité civile envers les tiers touchés par votre incident. Enfin, souvent en option, la fraude par ingénierie sociale, comme le faux ordre de virement, qui pèse 13,5 % des demandes d'assistance des professionnels en 2025, en hausse de 93 %.

Deux devis au même prix peuvent donc couvrir des choses très différentes : un contrat à 1 800 euros sans perte d'exploitation ni fraude ne vaut pas un contrat à 2 400 euros qui les inclut. Si vous êtes éditeur, notre article sur la responsabilité liée aux erreurs de code détaille la frontière avec la RC Pro.

Comment la franchise et le plafond modifient-ils le tarif ?

La franchise est la part du sinistre que vous gardez à votre charge. Passer de 1 000 à 5 000 euros de franchise réduit la prime d'environ 15 % chez plusieurs acteurs du marché PME ; monter à 15 000 euros la réduit d'environ 25 %. L'arbitrage tient en une question : quelle somme votre trésorerie absorbe-t-elle sans douleur ?

Le plafond, à l'inverse, coûte peu à la marge : multiplier la capacité par cinq, de 100 000 à 500 000 euros, augmente la prime de 50 à 66 %, pas de 400 %. Sous-assurer le plafond pour économiser quelques centaines d'euros est rarement rationnel.

Les prix de l'assurance cyber vont-ils baisser ou monter en 2026 ?

Les deux, selon votre segment. LUCY 2026 relève une baisse des taux de prime moyens de 32 % pour les grandes entreprises et de 23 % pour les ETI en 2025, dans un marché de 306 millions d'euros de primes, en repli de 3 %. Le nombre d'entreprises assurées a bondi de 49 % (de 14 124 à 20 996 polices), porté par les PME. Mais les sinistres indemnisés sont passés de 54,5 à 83,2 millions d'euros, et le ratio sinistres sur primes des ETI de 13 % à 42 %.

Cette dégradation est le signal à surveiller. Le Panorama de la cybermenace 2025 de l'ANSSI indique que TPE, PME et ETI représentaient 37 % des victimes de rançongiciel traitées. Les entreprises bien protégées continueront de profiter d'un marché concurrentiel ; celles qui arrivent au renouvellement sans MFA ni EDR verront leur prime grimper ou leur contrat non renouvelé. Les autres leviers pour contenir la hausse sont ceux de vos contrats classiques, nous en avons listé dix.

Questions fréquentes

Quel est le prix minimum d'une assurance cyber pour une PME ?

Pour une entreprise de 10 à 49 salariés, rarement moins de 1 000 euros par an en 2026 pour un contrat complet (frais propres, perte d'exploitation, responsabilité tiers, plafond d'au moins 500 000 euros). Les offres à quelques dizaines d'euros par mois visent les très petites structures et plafonnent souvent à 100 000 euros.

L'assurance cyber est-elle obligatoire en 2026 ?

Non, aucune loi ne l'impose. En revanche, NIS2, DORA et surtout les contrats de vos grands clients exigent de plus en plus une couverture cyber avec un plafond minimum. Nous détaillons ces exigences dans notre article sur NIS2 et DORA pour les PME.

Peut-on assurer une PME qui n'a pas de MFA ?

Difficilement. La plupart des assureurs refusent la cotation ou excluent les sinistres liés à une compromission de compte. Déployer le MFA sur la messagerie, les accès distants et les comptes administrateurs prend quelques jours et débloque immédiatement plusieurs offres.

La rançon est-elle remboursée par l'assurance cyber ?

Certains contrats la couvrent, sous réserve du dépôt de plainte dans les 72 heures imposé par la loi LOPMI de 2023. Les assureurs privilégient la restauration à partir des sauvegardes et beaucoup limitent ou excluent cette garantie pour les entreprises sans sauvegardes hors ligne.

Chez Lesto, nous traitons votre dossier cyber comme un dossier de souscription à préparer, pas comme un formulaire à remplir : nous auditons vos mesures réelles (MFA, EDR, sauvegardes, plan de réponse), consultons en moyenne neuf assureurs et vous disons quelle mesure débloque quelle économie, avec une analyse rendue en 72 heures. Vous voulez savoir combien votre prime devrait valoir ? Découvrez notre offre d'assurance cyber et demandez votre analyse.