Une prime cyber n’est pas un prix catalogue. C’est le résultat d’une négociation fondée sur ce que vous déclarez. Si vous acceptez le premier devis sans avoir travaillé votre dossier, vous payez la prime de l’incertitude.
Obtenir un vrai prix sur votre profil
Nous interrogeons plusieurs compagnies sur le même cahier des charges et vous remettons un comparatif chiffré. Gratuit, sous 48 heures.
Les fourchettes observées sur le marché
Voici les ordres de grandeur constatés en 2026 sur le marché français pour des entreprises présentant un niveau de sécurité jugé correct par les assureurs. Ce sont des repères de négociation, pas un barème.
| Profil | Plafond usuel | Prime annuelle indicative |
|---|---|---|
| TPE, moins de 10 salariés, peu de données | 100 000 à 250 000 € | 600 à 1 500 € |
| PME, 10 à 50 salariés | 250 000 à 500 000 € | 1 500 à 4 000 € |
| PME, 50 à 250 salariés | 500 000 à 1 M€ | 4 000 à 12 000 € |
| ETI ou activité très dépendante du numérique | 1 à 5 M€ | 12 000 € et au-delà |
Ordres de grandeur observés sur le marché français en 2026 pour des dossiers acceptables. Un dossier sans authentification multifacteur sort de ces fourchettes, quand il n’est pas refusé.
Montant maximal que l’assureur versera au titre d’une année d’assurance, tous sinistres confondus. Il se sous-divise souvent en sous-plafonds par garantie, par exemple sur la rançon ou la perte d’exploitation. C’est le sous-plafond qui compte, pas le chiffre affiché en couverture. Source : France Assureurs.
Les six critères qui font le prix
Trois vous échappent, trois sont entre vos mains. C’est sur ces derniers que se joue l’écart entre un devis correct et un devis punitif.
- Votre secteur, qui détermine la sensibilité des données traitées. Santé et finance coûtent plus cher.
- Votre chiffre d’affaires, proxy de l’exposition. Moins déterminant qu’on ne le croit.
- Votre sinistralité passée, y compris les incidents non indemnisés mais déclarés.
- Votre niveau de sécurité déclaré, de loin le premier levier.
- La franchise choisie, en euros et surtout en heures d’interruption.
- Le plafond et les sous-plafonds retenus par garantie.
Certains acteurs affichent un tarif après trois questions. Ce prix n’engage rien : il sera révisé à la hausse dès l’étude réelle, ou pire, il tiendra jusqu’au sinistre où l’assureur découvrira l’écart entre votre déclaratif implicite et votre réalité. Un vrai devis cyber suppose un questionnaire de sécurité renseigné.
Cabinet indépendant près de Rennes, nous présentons votre dossier à plusieurs compagnies sur un cahier des charges identique. Un même profil reçoit régulièrement des écarts de prime du simple au double selon l’appétit du moment de chaque assureur.
Le levier que personne n’active
Déployer l’authentification multifacteur avant de demander vos devis. C’est la mesure qui pèse le plus lourd dans la décision d’un assureur, et l’une des moins coûteuses à mettre en place.
Le raisonnement de l’assureur est simple : la majorité des intrusions ordinaires commencent par un identifiant volé. Un second facteur casse cette chaîne. Sans lui, l’assureur considère que le sinistre est probable, et il facture cette probabilité. Ou il refuse.
La situation. Un cabinet d’expertise comptable de 35 personnes en Ille-et-Vilaine demande une couverture à 500 000 euros.
L’incident. Première consultation : un refus, deux propositions à 7 200 et 9 400 euros. Le questionnaire indiquait une authentification multifacteur absente sur l’accès distant.
Le dénouement. Après déploiement du second facteur et d’une sauvegarde déconnectée, en six semaines, la meilleure offre retombée à 3 100 euros. Le coût des mesures a été absorbé dès la première année.
Faire chiffrer avant et après vos correctifs
Nous mesurons ce que chaque mesure vous fait gagner sur la prime, avant que vous n’engagiez la dépense.
Pourquoi la franchise se compte en heures
Sur la perte d’exploitation, la franchise ne s’exprime pas en euros mais en durée d’interruption. La garantie ne se déclenche qu’au-delà d’un seuil, fréquemment situé entre 8 et 24 heures.
Ce détail pèse plus que le plafond pour beaucoup d’activités. Une entreprise dont l’arrêt coûte 15 000 euros par jour et dont la franchise est fixée à 24 heures perd 15 000 euros avant le premier euro d’indemnisation. Accepter une franchise en heures plus longue fait baisser la prime, mais transfère le risque sur votre trésorerie.
« Le nombre d’entités régulées passe d’environ 500 sous NIS1 à environ 15 000 sous NIS2, réparties sur dix-huit secteurs. »
Synthèse des travaux parlementaires sur le projet de loi résilience, Sénat, 2025
Quel plafond viser sans surpayer
Partez du coût d’une journée d’arrêt, pas d’un pourcentage de chiffre d’affaires. Multipliez-le par une durée de reprise réaliste, souvent 10 à 20 jours pour une PME sans plan de continuité testé, puis ajoutez les frais de réponse à incident et de reconstitution des données.
Ce calcul donne un plafond utile, généralement plus bas que ce que l’on vous proposera spontanément, et surtout mieux réparti entre les sous-plafonds. Payer pour 2 millions de plafond global quand la rançon est sous-plafonnée à 50 000 euros n’a pas de sens. Notre analyse du coût réel d’une cyberattaque donne les repères chiffrés.
Comment faire baisser la note
Quatre actions, classées par rapport effet sur effort.
Déployez l’authentification multifacteur, testez une restauration de sauvegarde et gardez-en la preuve écrite, documentez une procédure d’incident, puis mettez plusieurs assureurs en concurrence sur un dossier identique. Les trois premières améliorent votre profil, la quatrième révèle l’écart de marché. Faites-les dans cet ordre, jamais l’inverse.
« NIS 2 rentrera en vigueur en France dès lors que l’ensemble des textes de transposition, loi, décrets et arrêtés, auront été promulgués. »
ANSSI, documentation officielle MonEspaceNIS2, cyber.gouv.fr, 2025
Ne renouvelez jamais un contrat cyber à l’identique sans redemander le marché. Ce segment bouge vite : un assureur qui refusait votre profil il y a dix-huit mois peut être redevenu appétent, et inversement. Nous refaisons le tour à chaque échéance pour nos clients, depuis notre page assurance cyber entreprise.
Cabinet indépendant multi-compagnies près de Rennes, nous travaillons le dossier avant de demander un prix.
- Cadrage du coût réel d’une journée d’arrêt chez vous
- Optimisation du déclaratif avant consultation
- Mise en concurrence et négociation des sous-plafonds
Une étude cyber gratuite, sous 48 heures
Comparatif chiffré garanties, plafonds, sous-plafonds et franchises sur votre profil réel.
Questions fréquentes
Combien coûte une assurance cyber pour une TPE ?
Comptez 600 à 1 500 euros par an pour un plafond de 100 000 à 250 000 euros, sur un dossier présentant un niveau de sécurité acceptable. Sans authentification multifacteur, le tarif sort de cette fourchette ou le dossier est refusé.
Le chiffre d’affaires détermine-t-il le prix ?
Il compte, mais moins que le niveau de sécurité déclaré. Deux entreprises au même chiffre d’affaires peuvent recevoir des primes du simple au triple selon leurs mesures techniques. C’est ce qui rend ce marché négociable.
Peut-on obtenir un devis cyber en ligne en trois minutes ?
Un ordre de grandeur, oui. Un vrai devis, non : il suppose un questionnaire de sécurité renseigné. Un prix affiché sans ce travail sera révisé à l’étude, ou pire, contesté au moment du sinistre.
Quel plafond choisir pour une PME ?
Partez du coût d’une journée d’arrêt multiplié par une durée de reprise réaliste, souvent 10 à 20 jours, puis ajoutez les frais de réponse à incident. Le résultat est généralement plus bas que ce qu’on vous proposera spontanément, et mieux réparti.
La franchise cyber se négocie-t-elle ?
Oui, en montant comme en durée. Sur la perte d’exploitation, elle s’exprime en heures d’interruption, souvent entre 8 et 24 heures. Réduire ce seuil coûte cher mais change tout pour une activité qui perd de l’argent dès la première demi-journée.
Une assurance cyber est-elle déductible ?
La prime constitue une charge d’exploitation déductible du résultat imposable, comme les autres assurances professionnelles. Votre expert-comptable confirmera le traitement exact selon votre régime.
Faut-il assurer la rançon ?
La question mérite un vrai débat interne. Beaucoup de contrats la couvrent avec un sous-plafond et un accord préalable obligatoire de l’assureur. Vérifiez surtout ce sous-plafond : un plafond global élevé avec une rançon limitée à 50 000 euros ne vous protège pas sur ce poste.
Expert en Responsabilité Civile Professionnelle
Courtier spécialisé en RC Pro et en assurance cyber, Nicolas accompagne les indépendants, professions libérales et dirigeants d’entreprises dans la protection de leur activité.