La cyberassurance perd du terrain auprès des petites et moyennes entreprises françaises. Selon le dernier rapport sur la cybersécurité de l'assureur Hiscox, réalisé par Wakefield Research auprès de 6 800 décideurs aux États-Unis, au Royaume-Uni et dans huit pays européens en juin 2026, la part des TPE/PME françaises disposant d'une police cyber dédiée est passée de 33,6 % à 27,6 % en un an. Plus largement, 45 % des entreprises françaises interrogées déclarent ne disposer d'aucune couverture contre le risque cyber, contre 39 % en 2025. Parmi elles, 12 % ne sont pas assurées et n'envisagent pas de souscrire de couverture, contre 9 % un an auparavant.

Cette baisse intervient alors que les cyberattaques continuent d'avoir des conséquences importantes sur l'activité des entreprises. Elle intervient également dans un contexte où les dépenses consacrées à la cyber-résilience restent limitées. Les TPE/PME françaises déclarent consacrer en moyenne 29 700 euros par an à ce poste.

45 % des entreprises sans couverture

Le recul de l'assurance cyber ne signifie toutefois pas que les entreprises françaises ont totalement abandonné la couverture du risque. En incluant les contrats multirisques intégrant une protection cyber, 55 % des TPE/PME déclarent bénéficier d'une forme de couverture. Le marché dispose par ailleurs d'un potentiel de reprise. Parmi les entreprises françaises actuellement non assurées, 33,1 % indiquent envisager de souscrire une police cyber au cours des douze prochains mois.

Reste que l'écart entre les investissements de prévention et le niveau de risque demeure important. Les entreprises doivent en effet composer avec des attaques qui peuvent affecter à la fois leurs systèmes informatiques, leur trésorerie et leur fonctionnement quotidien.

Une cyberattaque coûte en moyenne 45 900€

Pour les PME françaises ayant subi une cyberattaque, l'impact financier moyen sur les douze derniers mois atteint 50 489 dollars, soit environ 45 900 euros. La fraude financière liée au détournement de paiement arrive en tête des conséquences effectivement constatées : elle concerne 40 % des entreprises françaises victimes d'une attaque. L'atteinte à la réputation constitue pour sa part la principale conséquence redoutée, citée par 19,8 % des répondants. L'erreur humaine reste également un vecteur important. Elle serait impliquée dans 26 % des incidents, notamment à travers le phishing ou les techniques d'ingénierie sociale. Les prestataires et partenaires externes constituent eux aussi un point de fragilité : à l'échelle des pays étudiés, près d'un incident sur quatre les impliquerait.

Les attaques ont également un impact direct sur la continuité d'activité. En France, 66,8 % des incidents entraînent une interruption de moins d'une journée. La durée moyenne atteint toutefois 24,5 heures lorsque l'ensemble des incidents est pris en compte, les attaques les plus sévères faisant fortement progresser cette moyenne. L'impact dépasse le seul arrêt temporaire de la production ou des services. Selon Hiscox, 96 % des TPE/PME françaises ayant subi une attaque estiment que l'incident a eu des conséquences sur leur stratégie ou leur situation financière. Un retard de croissance est ainsi cité dans 36 % des cas, devant un impact sur la valorisation de l'entreprise (33 %) et le report d'investissements technologiques (31 %).

Le facteur humain reste sous-estimé

Les conséquences d'une attaque ne sont pas uniquement financières. Elles touchent également les salariés. Dans les entreprises françaises victimes d'un incident, 37 % des collaborateurs déclarent un niveau de stress élevé. Une dégradation du climat de travail est rapportée dans 27 % des cas, tandis que 25 % des entreprises constatent une hausse des arrêts maladie. Ces effets restent toutefois difficiles à mesurer et sont encore rarement intégrés dans les plans de gestion de crise au même niveau que les pertes financières ou les interruptions de service.

À ces menaces s'ajoutent désormais celles liées à l'IA. Près d'un décideur français sur deux (49 %) considère le data poisoning comme la menace cyber émergente la plus importante à horizon de cinq ans. Cette technique consiste notamment à manipuler les données utilisées pour entraîner un modèle d'IA ou d'apprentissage automatique. L'IA peut également renforcer des techniques d'attaque déjà connues, en facilitant la création de campagnes de phishing plus crédibles ou en permettant de personnaliser davantage les opérations d'ingénierie sociale. La couverture assurantielle ne semble pas encore totalement suivre cette évolution. Seuls 69 % des assurés français déclarent disposer d'une couverture intégrant les risques liés à l'IA. Pour Victorine Bailleul, responsable de l'offre Cyber et Tech chez Hiscox, les entreprises doivent considérer l'assurance comme un complément aux dispositifs techniques. « La technologie protège les systèmes, l'assurance couvre le risque résiduel que les systèmes ne peuvent pas empêcher », estime-t-elle.