Assurance cyber : le marché se durcit, les PME non préparées seront bientôt inassurables

Votre assurance cyber vous protège-t-elle vraiment ? Pas forcément. Les assureurs exigent désormais des dispositifs techniques précis avant de signer un contrat, et refusent d’indemniser les entreprises qui ne les respectent pas. Sans préparation ni information, vous pouvez payer une prime chaque année sans pour autant jamais toucher un centime.

Dans 48 % des attaques par ransomwares , les victimes étaient des PME, TPE et ETI en France en 2025, devant les collectivités territoriales et les établissements de santé. Pourtant, une grande majorité de PME n’a toujours pas souscrit de contrat cyber. Et parmi celles qui en ont un, beaucoup ignorent qu’une prime versée chaque année ne garantit pas d’être indemnisé. Un assureur peut refuser toute prise en charge si votre système d’information ne respecte pas les exigences techniques inscrites dans votre contrat. D’autant que les règles se sont considérablement durcies depuis 2022 . Les taux de prime continuent de baisser pour les grandes entreprises en 2025, tandis que les PME voient les leurs augmenter . Les assureurs jugent les petites structures trop vulnérables, et certaines sont désormais inassurables. Voici ce que vous devez anticiper.

Bitdefender La solution tout-en-un pour protéger votre entreprise Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !

Quand vous demandez une cyber-assurance, votre assureur vérifie d’abord votre niveau de sécurité réel. Il vous soumet un questionnaire de cybersécurité détaillé, puis contrôle quatre dispositifs techniques. Sans eux, il refuse le contrat ou réduit la couverture au point de la rendre inutile.

Il s’agit de la double authentification . Quand vous vous connectez à un outil, vous devez valider votre identité par un second moyen, un code reçu par SMS ou une application dédiée, en plus de votre mot de passe. Les assureurs exigent ce mécanisme sur vos messageries professionnelles, votre VPN et vos consoles d’administration. Sans MFA sur ces accès, de nombreux assureurs refusent la couverture.

Une sauvegarde, c’est une copie de vos données. Les assureurs contrôlent que vos copies sont régulières, testées (vérifiez que vous pouvez effectivement les restaurer) et physiquement déconnectées de votre réseau. L’ANSSI préconise la règle « 3-2-1 » : au minimum trois copies, sur deux supports différents, dont une conservée hors ligne . Si un ransomware chiffre votre réseau, une sauvegarde connectée à ce même réseau sera chiffrée avec lui.

Un antivirus classique repère uniquement les menaces déjà répertoriées. Les assureurs exigent désormais au minimum un EDR, un logiciel qui surveille en temps réel le comportement de vos postes de travail et détecte les anomalies, même inconnues, idéalement couplé à un SoC, une équipe ou un service qui analyse ces alertes 24h/24.