Assurance cyber PME en France : garanties, exclusions, prix

Une assurance cyber, pour une PME française, se lit dans trois papiers et une loi. Les papiers disent ce que l’assureur paie. La loi LOPMI ajoute une condition que beaucoup découvrent le jour du sinistre : porter plainte dans les 72 heures.

Cette page parle du contrat : garanties, exclusions, amende CNIL, prix publiés, et ce qui se passe quand la fuite vient d’un outil d’IA. Le formulaire à remplir avant la signature a sa propre page : que répondre sur l’IA dans le questionnaire.

Ce que couvre une assurance cyber : les garanties d’un contrat PME

Nous avons lu, le 8 novembre 2026, deux documents d’information publics : le DIPA d’AXA pour Cyber Secure et l’IPID d’Hiscox pour CyberClear. Ils servent d’exemples parce qu’ils sont en ligne, pas parce que nous les conseillons. Ce résumé normalisé de deux pages est la première pièce à demander.

Les postes se ressemblent d’un contrat à l’autre. Ce qui change, c’est leur statut : acquis d’office ou vendu en option. Deux devis au même prix peuvent ainsi couvrir des choses très différentes.

Le poste qui me ferait hésiter, c’est la responsabilité civile : optionnelle chez AXA, incluse chez Hiscox. Pour une PME qui tient des fichiers clients, c’est elle qui joue quand un client réclame réparation après une sortie de ses données.

Référence 967415 : le DIPA, les conditions générales et les particulières

« 967415 » n’est pas un montant en euros. C’est la référence des conditions générales auxquelles se rattache le DIPA d’AXA Cyber Secure, comme l’indique la dernière ligne du document. Chaque assureur a ses propres références.

Le DIPA résume, les conditions générales définissent, les conditions particulières chiffrent. Chez AXA, la franchise est « définie aux Conditions particulières » : sans elles, impossible de savoir ce qui reste à votre charge. Signer sur la foi du seul résumé, je ne le ferais pas.

Les obligations du contrat, comme l’antivirus et le pare-feu « activés en permanence », se tiennent mieux quand elles sont écrites dans une charte informatique connue des équipes.

Exclusions de l’assurance cyber : ce qui reste à votre charge

Les deux résumés excluent les dommages matériels et corporels. Le reste varie, et certaines exclusions visent l’entreprise entière plutôt qu’un sinistre : chez AXA, une filiale immatriculée hors de l’Espace économique européen suffit à sortir du contrat.

Chez Hiscox, la reconstitution des données n’est pas payée sans procédure de sauvegarde au moins mensuelle, et une rançon versée avant toute déclaration ne l’est pas non plus. Payer d’abord et appeler l’assureur ensuite, c’est perdre la garantie.

Une troisième exclusion Hiscox me paraît sous-estimée : les sinistres résultant d’une collecte ou d’un traitement illégal de données personnelles. Un fichier client confié à un outil d’IA retenu sans examen RGPD pourrait s’en approcher. C’est une question à poser par écrit, pas une certitude.

Amende CNIL : l’assurance cyber la prend-elle en charge ?

Les frais autour d’une violation de données, oui, le plus souvent : AXA indemnise la notification à la CNIL et aux personnes, Hiscox ajoute un centre d’appel et la surveillance d’identité. L’amende elle-même relève d’une autre logique.

Hiscox couvre les « amendes et pénalités légalement assurables », ce qui renvoie au droit sans trancher. En 2022, un rapport de la DG Trésor proposait un principe général d’inassurabilité des sanctions administratives. L’article 5 de la LOPMI, voté ensuite, ne traite que de la plainte.

Tant que la question n’est pas tranchée, je ne bâtirais aucun budget sur la prise en charge d’une sanction de la CNIL. Le contrat sert plutôt à payer les avocats, les experts et les courriers aux personnes. Et la violation se notifie dans les délais, indemnité ou pas.

LOPMI et article L12-10-1 : la plainte sous 72 heures

L’article 5 de la loi du 24 janvier 2023 a créé l’article L. 12-10-1 du code des assurances. Une indemnité pour une atteinte à un système de traitement automatisé de données, au sens des articles 323-1 à 323-3-1 du code pénal, est subordonnée au dépôt d’une plainte.

Le texte fixe le délai « au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime ». Pas à partir de l’attaque : la DG Trésor le lit comme le constat des dommages, et une attaque ancienne découverte aujourd’hui ouvre un délai qui commence aujourd’hui.

Seuls les professionnels sont visés, sociétés comme indépendants. Détail rassurant relevé par la DG Trésor : la garantie d’assistance d’urgence se déclenche sans attendre la plainte. Appeler l’assisteur en premier n’est donc pas un faux pas.

Où porter plainte après une cyberattaque : commissariat, procureur, 17Cyber

Selon la FAQ de la DG Trésor, la plainte se dépose dans une brigade de gendarmerie, un commissariat ou par courrier au procureur de la République. La plainte en ligne ne vaut que pour certaines infractions ciblées.

Pour une PME, le recommandé avec accusé de réception me semble le plus sûr : il date la plainte, et c’est cette date que l’assureur regardera. Avant, le 17 ou 17Cyber, porté par la police, la gendarmerie et cybermalveillance.gouv.fr, aide à qualifier l’attaque, sans remplacer la plainte.

Pour la remise en état, cybermalveillance.gouv.fr tient un annuaire de prestataires, dont ceux labellisés ExpertCyber après un audit d’AFNOR Certification. Dans son baromètre 2025, seules 7 % des TPE-PME citent 17Cyber parmi leurs interlocuteurs.

Prix d’une assurance cyber pour une TPE ou une PME en 2025

Des primes moyennes par taille d’entreprise, nous n’en avons trouvé que chez l’Amrae, l’association des gestionnaires de risques d’entreprise, qui ne vend pas de contrat. Sa sixième étude LUCY, éditée en 2026, porte sur 20 996 polices placées en 2025 chez douze courtiers et un assureur.

L’étude prévient que ses chiffres sont moins précis sur les plus petites entreprises : une PME qui souscrit chez son agent général n’y figure pas. Je m’en servirais pour repérer un devis anormal, jamais pour deviner le mien.

France Assureurs chiffre, de son côté, une attaque contre une PME de 15 salariés et 3 M€ de chiffre d’affaires entre 45 000 et plus de 170 000 euros. Si un courtier vous accompagne, il manipule aussi vos données : voyez ce que le RGPD attend d’un cabinet de courtage.

Fuite de données par une IA : ce que votre contrat cyber en dit

Nous avons cherché « intelligence artificielle » dans le DIPA d’AXA, l’IPID d’Hiscox et la fiche de France Assureurs : aucune occurrence. L’étude LUCY ne l’évoque que comme un accélérateur des attaques. Aucun de ces textes ne couvre ni n’exclut l’IA nommément.

Tout se joue donc sur la définition de l’événement. AXA garantit les « actes de malveillance informatique » : une salariée qui colle un fichier client dans un assistant n’attaque personne. France Assureurs conseille justement de vérifier si l’origine accidentelle est couverte.

Pour la CNIL, une perte de confidentialité accidentelle reste une violation de données. Vous pouvez donc avoir les obligations sans l’indemnité. Ce scénario m’inquiète plus que le rançongiciel, parce qu’il ne demande ni pirate ni rançon. Ce que l’éditeur garde de vos saisies varie d’un outil à l’autre.

Avant de signer l’assurance cyber : la plainte prête, les données clients masquées

S’il ne fallait écrire qu’une chose ce soir, ce serait le nom de la personne qui porte plainte, son mandat signé et l’adresse du procureur compétent. Ça ne coûte rien et ça protège l’indemnité, quel que soit le contrat.

Pour la fuite qui ne ressemble pas à une attaque, l’assurance aide peu : mieux vaut qu’elle n’arrive pas. Nonimo remplace sur votre poste les noms de clients, le SIRET et l’IBAN par des étiquettes avant que le texte parte vers un assistant d’IA.

Le même remplacement vaut pour le NIR d’un salarié ou d’un patient, qu’aucun contrat cyber ne remettra dans sa boîte une fois parti.

Sources

• Loi n° 2023-22 du 24 janvier 2023, article 5 (Légifrance) : création de l’article L. 12-10-1, plainte « au plus tard soixante-douze heures après la connaissance de l’atteinte », entrée en vigueur à trois mois.
• Entreprendre Service Public, plainte sous 72 heures après une cyberattaque : application depuis le 24 avril 2023 et aux contrats en cours.
• DG Trésor, FAQ sur l’article L. 12-10-1 : point de départ du délai, lieux de plainte, recommandé, assistance d’urgence sans plainte.
• DG Trésor, rapport sur le développement de l’assurance du risque cyber : proposition d’inassurabilité des sanctions administratives.
• AXA France IARD, DIPA Cyber Secure : garanties, exclusions, délais, conditions générales référence 967415.
• Hiscox, IPID CyberClear : garanties, options plafonnées, amendes légalement assurables, exclusions.
• France Assureurs, fiche assurance cyber TPE/PME, mai 2026 : coût d’une attaque pour une PME de 15 salariés, points à vérifier.
• Amrae, LUCY 2026 : 6e édition : primes, couvertures, franchises moyennes et sinistres de 2025 par chiffre d’affaires.
• CNIL, notifier une violation de données personnelles : violation accidentelle ou illicite, 72 heures après la constatation.
• Cybermalveillance.gouv.fr, baromètre TPE-PME 2025 (OpinionWay) : 7 % des TPE-PME citent 17Cyber.

Consulté le 8 novembre 2026.