Assurance startup : les 5 contrats à souscrire (et dans quel ordre) après la création

L'assurance startup se construit en cinq contrats, dans un ordre précis : la responsabilité civile professionnelle dès le premier client, la multirisque dès les premiers bureaux, la prévoyance et la mutuelle dès le premier salarié, la RC dirigeants au moment de la levée de fonds, puis la cyber dès que vous hébergez des données clients. Seule la protection sociale des salariés est légalement obligatoire, mais tous finissent par être exigés par quelqu'un : un grand compte, un bailleur, un investisseur ou une banque. Le budget va de 1 500 euros par an en pré-seed à 15 000 euros ou plus après une série A.

Quelle assurance startup est réellement obligatoire à la création ?

Pour une SAS qui édite un logiciel ou vend un service non réglementé, la loi n'impose aucune assurance de responsabilité. Les obligations portent sur les salariés. Dès la première embauche, vous devez proposer une complémentaire santé collective financée au moins à 50 % par l'employeur, avec un panier de soins minimum, en application de la loi du 14 juin 2013 (articles L911-7 et D911-1 du Code de la sécurité sociale, en vigueur depuis le 1er janvier 2016). Dès le premier cadre, la convention collective nationale du 14 mars 1947, reprise par l'accord national interprofessionnel du 17 novembre 2017, impose une cotisation de prévoyance de 1,50 % de la tranche de salaire jusqu'au plafond de la sécurité sociale (4 005 euros par mois en 2026), à la charge exclusive de l'employeur et affectée en priorité à la garantie décès. Un employeur qui l'oublie et perd un cadre doit verser à ses ayants droit trois fois le plafond annuel, soit 144 180 euros en 2026.

Le reste dépend de qui vous fait face. Le bailleur exige une assurance des risques locatifs (article 1733 du Code civil : présomption de responsabilité du locataire en cas d'incendie). Le grand compte exige une attestation de RC professionnelle. L'investisseur exige une RC dirigeants, et souvent une assurance homme clé, avant de virer les fonds.

Dans quel ordre souscrire les cinq contrats d'une startup ?

L'ordre suit les événements de la vie de l'entreprise, pas un catalogue. Budgets observés chez les courtiers et comparateurs français en 2026 (aucune statistique officielle par stade).

Une RC Pro se souscrit en quelques jours ; une RC dirigeants ou une cyber demandent un questionnaire et deux à trois semaines, d'où l'intérêt d'anticiper.

Pourquoi la RC professionnelle vient-elle en premier ?

C'est la première pièce que vos clients demandent. La responsabilité civile professionnelle indemnise les dommages causés à vos clients ou à des tiers par une erreur dans votre prestation ou votre produit : un bug qui corrompt les données d'un client, une indisponibilité qui lui fait perdre une journée de ventes. La RC exploitation, souvent dans le même contrat, couvre les dommages de la vie courante (un visiteur blessé, un dégât chez le voisin).

Pour une startup tech, trois points changent tout. Les dommages immatériels non consécutifs, c'est-à-dire les pertes financières subies par le client sans dommage matériel préalable (le cas typique du logiciel), doivent être explicitement garantis, et pas en sous-limite symbolique. Le plafond doit être au moins égal au chiffre d'affaires, et en pratique aligné sur ce que demandent vos contrats : 1 à 2 millions d'euros par sinistre pour un grand compte français, davantage aux États-Unis. Enfin, l'activité déclarée doit correspondre à ce que vous faites vraiment ; un pivot non déclaré est le premier motif de refus de garantie.

Que demandent vraiment les investisseurs avant une levée de fonds ?

Deux choses, rarement négociables une fois la term sheet signée. D'abord une RC dirigeants, appelée aussi RCMS (responsabilité civile des mandataires sociaux) ou D&O, qui protège le patrimoine personnel des fondateurs et des administrateurs, y compris les représentants du fonds au board, en cas de faute de gestion, de manquement aux obligations légales ou de procédure collective. Des plafonds de 500 000 à 2 millions d'euros sont fréquents pour les TPE-PME ; les fonds demandent généralement 1 à 2 millions dès la série A, davantage si la société recrute vite ou s'internationalise.

Ensuite une assurance homme clé sur les fondateurs, qui verse un capital à la société en cas de décès ou d'invalidité d'un dirigeant indispensable. Les pactes d'associés incluent de plus en plus une clause key man, et certains fonds conditionnent le versement des fonds à la souscription. La due diligence porte aussi sur l'existant : attestations, activité déclarée conforme au pitch, plafonds cohérents avec les contrats clients signés ; notre guide de l'audit d'assurance avant levée de fonds liste les points contrôlés.

Un investisseur ne vous demande pas une RC dirigeants parce qu'il doute de vous, mais parce qu'il va s'asseoir à votre board et engager sa propre responsabilité à côté de la vôtre.

Quand une startup doit-elle souscrire une assurance cyber ?

Dès qu'elle héberge ou traite des données pour ses clients, donc dès le premier contrat pour un SaaS. L'assurance cyber couvre trois blocs : vos frais propres après un incident (investigation, restauration, notification CNIL, gestion de crise), votre perte d'exploitation pendant l'arrêt, et votre responsabilité envers les tiers dont les données ont fuité ou dont le service a été interrompu. Pour un SaaS, un rançongiciel arrête votre plateforme, donc celle de tous vos clients.

Les assureurs conditionnent la garantie à des prérequis techniques : authentification multifacteur sur les accès distants et les comptes administrateurs, sauvegardes hors ligne testées, détection sur les postes (EDR). Une équipe technique qui les met en place au démarrage paie moins cher ; les clients régulés (banques sous DORA, entités NIS2) répercutent d'ailleurs ces exigences dans leurs contrats de sous-traitance.

Que demandent les grands comptes et les banques ?

Les grands comptes demandent une attestation de RC professionnelle avec un plafond et des garanties nommées (dommages immatériels, atteinte aux données), et de plus en plus une attestation cyber. Un décalage entre l'attestation (activités, plafonds, franchises) et les clauses du contrat client (pénalités SLA, indemnisation forfaitaire) est fréquent et se corrige en amont.

Les banques, pour un prêt, regardent d'abord la prévoyance et l'assurance homme clé sur le dirigeant, dont elles peuvent exiger la délégation de bénéfice.

Combien coûte l'assurance d'une startup selon son stade ?

En pré-seed (deux fondateurs, un premier client, un coworking), trois contrats suffisent (RC Pro, multirisque légère, mutuelle) pour 1 500 à 3 000 euros par an. En seed, avec cinq à dix salariés et des premiers grands comptes, la cyber et une RC dirigeants d'entrée de gamme portent le budget entre 4 000 et 8 000 euros. Après une série A (vingt à cinquante salariés, plafonds RC Pro et cyber relevés à 2 millions d'euros, RCMS à 2 millions, homme clé sur les fondateurs), le budget se situe entre 10 000 et 20 000 euros par an, soit en général moins de 0,5 % du chiffre d'affaires. Fintech, healthtech et deeptech coûtent plus cher que le SaaS B2B.

Questions fréquentes

Une startup sans salarié doit-elle s'assurer ?

Aucune assurance n'est légalement obligatoire pour une SAS non réglementée sans salarié. En pratique, le premier contrat client ou le premier bail déclenche l'exigence. Une RC Pro dès la création coûte 200 à 300 euros par an et évite de bloquer une signature.

La RC dirigeants est-elle utile si je suis seul actionnaire ?

Moins urgente, mais pas inutile : la responsabilité personnelle du dirigeant peut être recherchée par l'Urssaf, le fisc, un salarié ou un liquidateur. Le vrai déclencheur est l'entrée d'investisseurs au board, qui l'exigent presque toujours.

Peut-on regrouper toutes les assurances d'une startup dans un seul contrat ?

Partiellement. RC Pro, RC exploitation et multirisque se combinent souvent dans un même contrat. La RC dirigeants, la cyber, la prévoyance et l'homme clé restent des contrats distincts, chez des assureurs parfois différents.

Quel plafond de RC Pro pour signer avec un grand compte ?

La plupart des grands comptes français demandent 1 à 2 millions d'euros par sinistre, avec une garantie explicite des dommages immatériels non consécutifs. Lisez la clause d'assurance avant de répondre à l'appel d'offres.

Chez Lesto, nous accompagnons les startups et scale-ups tech de la première RC Pro au programme post-série A : nous lisons vos contrats clients et votre pacte d'associés, construisons les cinq contrats dans le bon ordre et consultons en moyenne neuf assureurs. Vous levez des fonds ou signez votre premier grand compte ? Découvrez notre offre pour les SaaS et la tech et demandez une analyse en 72 heures.