Dans une TPE, il n’y a personne pour gérer une crise informatique. C’est votre dirigeant qui découvre l’écran de rançon, un vendredi soir, sans savoir qui appeler. Cette réalité change complètement ce qu’il faut acheter.
Une couverture calibrée pour une petite structure
Nous cherchons le contrat adapté à votre taille, pas le plus gros. Étude gratuite sous 48 heures.
Pourquoi les TPE sont devenues des cibles
Parce qu’elles sont rentables à attaquer. Les attaques sont largement automatisées : les opérateurs ne choisissent pas leurs victimes, ils balayent internet à la recherche de failles connues et frappent ce qui cède.
Une TPE combine souvent trois faiblesses : pas d’informaticien dédié, des sauvegardes jamais testées, et des accès distants ouverts depuis le télétravail. Le résultat est un taux de réussite élevé pour un effort quasi nul de l’attaquant.
De plus en plus d’incidents en TPE ne viennent pas d’un courriel piégé mais du compte d’un prestataire informatique compromis, qui dispose d’un accès permanent à vos machines. Demandez à votre infogérant si ses propres accès sont protégés par une authentification multifacteur. La réponse est instructive.
Ce qui est vraiment utile dans un contrat TPE
L’assistance passe devant tout le reste. Quand vous n’avez personne en interne, la valeur du contrat se mesure à la rapidité avec laquelle un expert prend la main.
- Une cellule de crise joignable en permanence, qui déclenche l’intervention sans validation administrative préalable.
- Les frais de réponse à incident, c’est-à-dire les experts qui viennent nettoyer et remettre en route.
- La reconstitution des données, ressaisie manuelle incluse si possible, car c’est souvent là que part le temps.
- Les frais de notification dès que vous détenez un fichier clients conséquent.
La perte d’exploitation compte moins pour une activité de service qui peut tourner dégradée quelques jours. Elle devient centrale dès qu’il y a de la production, de la logistique ou de la vente en ligne.
Cabinet indépendant près de Rennes, nous accompagnons beaucoup de structures de moins de dix personnes. Le réflexe de vendre le contrat le plus large ne sert ni votre budget ni votre protection réelle.
Ce pour quoi vous ne devez pas payer
Un plafond d’un million d’euros, d’abord. Une TPE de six personnes ne mobilisera jamais une telle somme, et ce chiffre sert surtout à justifier la prime.
Ensuite, les garanties d’image et d’e-réputation, presque toujours plafonnées à des montants symboliques. Enfin, les doublons avec vos contrats existants : les dommages aux matériels recoupent souvent votre multirisque professionnelle, et la protection juridique peut déjà figurer ailleurs. Faites l’inventaire avant d’ajouter.
| Garantie | TPE de services | TPE avec production ou vente en ligne |
|---|---|---|
| Assistance 24 heures sur 24 | Priorité absolue | Priorité absolue |
| Frais de réponse à incident | Indispensable | Indispensable |
| Reconstitution des données | Indispensable | Indispensable |
| Perte d’exploitation | Secondaire | Indispensable, franchise en heures à surveiller |
| Frais de notification | Selon volume de données | Indispensable |
| Plafond au-delà de 500 000 € | Superflu | À discuter selon le chiffre d’affaires |
| Garantie e-réputation | Superflu | Superflu |
Arbitrages recommandés pour des structures de moins de dix salariés, sur la base des dossiers traités en 2026. À ajuster selon votre dépendance réelle au numérique.
Payer pour ce qui vous protège, pas pour le reste
Nous taillons la couverture à votre exposition réelle et retirons les doublons avec vos contrats existants.
Le budget réaliste et comment le tenir
Comptez 600 à 1 500 euros par an pour un plafond de 100 000 à 250 000 euros, sur un dossier présentant un niveau de sécurité acceptable. Sans authentification multifacteur, ce budget explose ou le dossier est refusé.
Le moyen le plus sûr de tenir ce budget n’est pas de réduire les garanties. C’est d’activer le second facteur d’authentification sur votre messagerie et vos accès distants avant de demander vos devis. La mesure est gratuite ou presque sur la plupart des outils que vous utilisez déjà.
La situation. Un cabinet d’architecture de 7 personnes près de Rennes, toutes les maquettes sur un serveur local et une sauvegarde sur un disque resté branché.
L’incident. Chiffrement du serveur un jeudi. Le disque de sauvegarde, connecté au réseau, est chiffré lui aussi.
Le dénouement. Trois semaines de reprise, dont dix jours de ressaisie. La ligne qui a compté dans le contrat n’était pas le plafond mais la reconstitution des données et l’assistance, qui a fourni les experts dès le vendredi matin.
Les trois choses à faire avant de souscrire
Elles prennent une demi-journée et changent radicalement votre dossier.
Activez l’authentification multifacteur sur la messagerie, le VPN et les comptes administrateurs. Débranchez physiquement une sauvegarde du réseau, ou passez sur une sauvegarde immuable, puis testez une restauration complète et gardez-en la trace écrite. Enfin, listez qui appeler en cas d’incident, dans l’ordre, avec les numéros : votre infogérant, votre assureur, et vous.
Ces trois actions améliorent votre tarif, votre acceptation et votre survie réelle. Elles recoupent aussi ce que demandera la réglementation si votre activité entre un jour dans le champ de NIS2, sujet que nous traitons dans notre article sur le périmètre de la directive.
« NIS 2 rentrera en vigueur en France dès lors que l’ensemble des textes de transposition, loi, décrets et arrêtés, auront été promulgués. »
ANSSI, documentation officielle MonEspaceNIS2, cyber.gouv.fr, 2025
Et si le budget ne passe pas ?
Alors commencez par la protection, pas par l’assurance. Une TPE qui n’a ni authentification multifacteur ni sauvegarde déconnectée n’est de toute façon pas assurable à un tarif acceptable.
Le service public cybermalveillance.gouv.fr propose un diagnostic gratuit et une mise en relation avec des prestataires référencés. C’est le point de départ le plus rentable quand le budget est nul. Revenez vers l’assurance ensuite, avec un dossier présentable : vous paierez moins cher et vous serez accepté. Notre checklist des mesures liste les actions dans l’ordre d’efficacité.
Copie de données qui ne peut être ni modifiée ni supprimée pendant une durée définie, même par un administrateur. C’est la réponse technique au chiffrement des sauvegardes par un rançongiciel. Source : recommandations de l’ANSSI.
« Le nombre d’entités régulées passe d’environ 500 sous NIS1 à environ 15 000 sous NIS2, réparties sur dix-huit secteurs. »
Synthèse des travaux parlementaires sur le projet de loi résilience, Sénat, 2025
Si vous ne faites qu’une chose cette semaine, débranchez une sauvegarde du réseau et testez sa restauration. Cette action coûte zéro euro, prend deux heures, et c’est la seule qui vous permet de dire non à une demande de rançon. Nous la vérifions dans chaque étude menée depuis notre page assurance cyber entreprise.
Cabinet indépendant près de Rennes, nous travaillons beaucoup avec des structures de moins de dix personnes.
- Couverture taillée à votre exposition, sans plafond inutile
- Vérification des doublons avec vos contrats existants
- Test écrit du dispositif d’assistance de chaque assureur
Une étude cyber gratuite, sous 48 heures
Comparatif garanties, plafonds et assistance calibré pour une petite structure, sans engagement.
Questions fréquentes
Une TPE de 5 personnes a-t-elle vraiment besoin d’une assurance cyber ?
Si votre activité s’arrête quand l’informatique s’arrête, oui. Les attaques étant largement automatisées, votre taille ne vous protège pas. Ce qui change, c’est le calibrage : plafond modéré, priorité absolue à l’assistance.
Combien coûte une assurance cyber pour une TPE ?
De 600 à 1 500 euros par an pour un plafond de 100 000 à 250 000 euros, sur un dossier avec authentification multifacteur et sauvegardes correctes. Sans ces mesures, le tarif sort de la fourchette ou le dossier est refusé.
Ma multirisque professionnelle ne suffit-elle pas ?
Rarement. Les extensions cyber des multirisques affichent des plafonds faibles, excluent souvent la perte d’exploitation et ne comportent pas d’assistance de crise. Elles rassurent plus qu’elles ne protègent, ce qui est problématique quand vous n’avez personne en interne.
Quel plafond choisir quand on est une petite structure ?
100 000 à 250 000 euros couvrent la grande majorité des sinistres de TPE. Au-delà, vous payez surtout un chiffre rassurant. Mieux vaut investir cette différence dans la qualité de l’assistance et dans la reconstitution des données.
Mon prestataire informatique me couvre-t-il ?
Sa responsabilité civile professionnelle couvre ses fautes à lui, pas votre perte d’exploitation ni la reconstitution de vos données. Et son contrat limite généralement sa responsabilité à quelques mois de prestation. Ce n’est pas une couverture cyber.
Que faire si je n’ai pas le budget ?
Commencez par la protection : authentification multifacteur, sauvegarde déconnectée et testée, liste des numéros à appeler. Le service public cybermalveillance.gouv.fr propose un diagnostic gratuit. Revenez ensuite vers l’assurance avec un dossier présentable.
Suis-je assurable si j’ai déjà subi une attaque ?
Oui, mais le dossier se prépare. L’assureur voudra savoir ce qui a été corrigé depuis, avec des preuves. Un antécédent bien documenté et suivi de mesures concrètes se défend beaucoup mieux qu’un dossier vierge mais flou.
Expert en Responsabilité Civile Professionnelle
Courtier spécialisé en RC Pro et en assurance cyber, Nicolas accompagne les indépendants, professions libérales et dirigeants d’entreprises dans la protection de leur activité.