45 % des petites et moyennes entreprises françaises naviguent aujourd'hui sans aucune couverture contre les risques cyber. C'est six points de plus qu'il y a un an. Dans le même temps, une attaque coûte en moyenne 45 900 euros et provoque des dégâts qui vont bien au-delà de l'informatique : stress des salariés, retards de croissance, report d'investissements.
Un constat régulièr de ce paradoxe sur le terrain : les dirigeants de TPE et PME savent que le risque existe, mais l'assurance cyber disparaît progressivement de leurs priorités. Pourtant, quand une attaque survient, les conséquences touchent toute l'entreprise, parfois durablement.
L'assurance cyber, un produit encore méconnu
Contrairement à l'assurance incendie ou responsabilité civile, la cyberassurance reste un produit relativement récent dans le paysage français. Elle vise à couvrir les pertes financières liées à une cyberattaque : interruption d'activité, frais de remise en état des systèmes, gestion de crise, parfois même accompagnement juridique ou en communication.
Certaines entreprises bénéficient d'une couverture partielle intégrée dans leur contrat multirisque, mais ces garanties sont souvent limitées. Une police dédiée offre une protection plus étendue, adaptée aux réalités numériques actuelles. Le problème est que seulement 27,6 % des PME françaises en disposent aujourd'hui, contre 33,6 % l'année précédente.
Pourquoi ce recul ?
Plusieurs facteurs expliquent cette tendance. D'abord, le coût des primes a augmenté ces dernières années, à mesure que les assureurs ont pris conscience de l'ampleur réelle des sinistres. Ensuite, les conditions d'accès se sont durcies : certaines compagnies exigent désormais un niveau minimal de sécurité avant d'accepter de couvrir une entreprise.
Parallèlement, je constate que beaucoup de dirigeants sous-estiment encore le risque. Ils pensent que leur structure est trop petite pour intéresser les pirates, ou qu'une bonne sauvegarde suffit. Or les chiffres montrent autre chose : les attaques touchent toutes les tailles d'entreprises, et les conséquences vont bien au-delà de la simple restauration technique. Gardez en tête que parfois vous n'êtes pas une cible mais votre simple présence en ligne vous rend ciblable. Les attaquants essaient de rentrer par des millions de portes chaque année, et l'une d'elles peut ouvrir votre entreprise.
Quand une attaque survient, les dégâts ne se limitent jamais à l'informatique. Voici ce que vivent concrètement les entreprises françaises touchées :
- 40 % subissent une fraude financière, souvent via un détournement de paiement : un fournisseur usurpé, un virement intercepté, des coordonnées bancaires modifiées dans un email
- L'activité s'arrête en moyenne 24,5 heures. Même si deux tiers des incidents durent moins d'une journée, certaines attaques paralysent l'entreprise plusieurs jours
- 96 % des victimes constatent un impact stratégique ou financier : retard de croissance, report de projets, difficultés à rassurer clients et partenaires
- 37 % des salariés déclarent un stress élevé après l'incident. Un quart des entreprises observent une hausse des arrêts maladie, 27 % une dégradation du climat de travail
Ce dernier point est rarement anticipé dans les plans de continuité. Pourtant, une équipe déstabilisée met du temps à retrouver son rythme habituel, et cela aussi a un coût.
Les nouvelles menaces compliquent encore la donne
L'intelligence artificielle ajoute une couche de complexité. Près d'un décideur français sur deux identifie l'empoisonnement de données comme une menace majeure à cinq ans. Cette technique consiste à corrompre les données utilisées pour entraîner un modèle d'IA, ce qui peut fausser ses résultats ou ses recommandations.
L'IA facilite aussi des attaques classiques : création de faux emails ultra-crédibles, personnalisation fine des tentatives d'escroquerie, automatisation de certaines étapes d'intrusion. Les machines peuvent désormais mener des attaques entièrement automatisées, à une vitesse que les défenses traditionnelles peinent à suivre. Résultat : seulement 69 % des entreprises assurées déclarent que leur contrat couvre les risques liés à l'IA. Pour les autres, c'est un angle mort potentiellement coûteux.
