Quarante pour cent des propriétaires de petites entreprises déclarent qu'une cyberattaque coûtant 100 000 , avec une simple indisponibilité coûtant 53 000 $ de l'heure — est exactement le genre de montant qui transforme une mauvaise semaine en fermeture définitive.
La cyberassurance occupe une place étrange pour la plupart des propriétaires : elle ressemble à une dépense de grande entreprise pour un problème de petite entreprise. En réalité, c'est l'un des rares produits d'assurance dont le prix est spécifiquement adapté au risque réel d'un cabinet de conseil de cinq personnes ou d'une boutique de commerce électronique de vingt personnes. Le problème, c'est que les polices sont déroutantes, que les primes varient du simple au décuple selon le courtier, et que les exclusions sont ce qui piège la plupart des propriétaires. Voici comment réfléchir à ce compromis : le coût réel d'une police, le coût réel de l'absence de police, et les petites lignes qui décident si un sinistre sera effectivement indemnisé.
Ce qu'une fuite coûte réellement à une petite entreprise
Les grands chiffres « coût moyen d'une fuite de données » que vous voyez dans les actualités — 4,44 millions de dollars dans le monde, plus de 10 millions de dollars aux États-Unis — sont faussés par les incidents en entreprise impliquant des millions de dossiers clients. Ce ne sont pas les chiffres qui comptent pour une entreprise d'une douzaine d'employés et de quelques fournisseurs.
Les chiffres les plus utiles pour une petite structure :
- 120 000 $ — coût total moyen de remédiation pour un incident de petite entreprise (enquête, remédiation, notification et nettoyage combinés).
- 53 000 $ par heure — coût moyen de l'indisponibilité pendant que les systèmes sont hors ligne, ce qui, pour une entreprise de vente au détail ou de services, peut dépasser la facture directe de remédiation en une seule journée ouvrable.
- 120 000 $ à 1,24 million de dollars — la fourchette que les recherches sur les fuites de données de Verizon rapportent selon la gravité de l'incident, ce qui signifie que les incidents « mineurs » peuvent encore atteindre six chiffres une fois les frais juridiques, d'expertise et de notification comptabilisés.
- 60 % — la part des petites entreprises qui ferment dans les six mois suivant une cyberattaque majeure, selon des enquêtes sectorielles largement citées. C'est le chiffre qui devrait recadrer la conversation : il ne s'agit pas vraiment d'un coût informatique, mais d'un risque de survie.
Les rançongiciels et la compromission de messagerie professionnelle (BEC) sont les deux types d'incidents les plus susceptibles de toucher spécifiquement une petite entreprise, et ils se comportent très différemment. Le rançongiciel est une attaque brutale et opportuniste : des scanners automatisés trouvent un port de bureau à distance exposé ou un serveur non patché, et toute entreprise est une cible, quelle que soit sa taille. La BEC est plus ciblée : un fraudeur se fait passer pour un fournisseur, un propriétaire, ou même le propriétaire par e-mail, et trompe quelqu'un de la comptabilité pour qu'il vire des fonds ou mette à jour ses coordonnées de dépôt direct. Le Centre de plainte pour les crimes sur Internet du FBI a attribué plus de 2,7 milliards de dollars de pertes déclarées à la BEC au cours d'une seule année récente, sur un total de 16,6 milliards de dollars de pertes cybercriminelles déclarées — et la BEC est exactement la catégorie pour laquelle la couverture de cyberassurance se complique, ce que nous verrons ci-dessous.
Ce que paie réellement une police
La cyberassurance se divise en deux moitiés, et comprendre cette division explique pourquoi les primes varient autant et pourquoi la police la moins chère est souvent la mauvaise.
La couverture premiers tiers paie les coûts directs de votre propre entreprise après un incident : enquête médico-légale pour comprendre ce qui s'est passé, restauration des données, réparation des systèmes, perte d'exploitation pendant l'indisponibilité, notification des clients et surveillance du crédit si des données personnelles ont été exposées, relations publiques de crise, et — si vous choisissez de payer — les demandes de rançon.
La couverture tiers paie lorsque quelqu'un d'autre vous poursuit parce que votre fuite a exposé ses données ou nui à son entreprise : frais de défense juridique, transactions, amendes et pénalités réglementaires (lorsqu'elles sont assurables), et le coût d'un client ou d'un fournisseur affirmant que votre négligence lui a causé un préjudice financier.
La plupart des polices pour petites entreprises regroupent les deux, mais l'équilibre change en fonction de ce que vous stockez réellement. Une entreprise qui détient des données de carte de paiement client, des informations de santé ou des numéros de sécurité sociale a besoin d'une forte couverture tiers, car c'est là que se concentrent les poursuites et l'exposition réglementaire. Une entreprise qui a surtout besoin de maintenir ses propres opérations — un entrepreneur, un petit fabricant, un cabinet professionnel avec une faible exposition aux données — s'appuie davantage sur la couverture premiers tiers : remettre les systèmes en état et couvrir la perte de revenus pendant l'indisponibilité.
Ce que ça coûte réellement en 2026
Les primes se sont stabilisées après plusieurs années de fortes hausses, et le marché est devenu nettement plus accessible pour les petites entreprises dotées de pratiques de sécurité raisonnables. Tarifs actuels pour une petite entreprise :
- Fourchette typique : environ 400 à 1 600 par mois.
- Fourchette plus large : les entreprises dans les catégories à plus haut risque (technologie, santé, services financiers, toute personne stockant des données clients importantes) peuvent voir leurs primes dépasser 2 000 à 5 000 $ par an, tandis que les entreprises de services et de vente au détail à faible risque se situent souvent en bas de la fourchette.
- Les principaux facteurs de coût : le secteur (les entreprises technologiques et informatiques paient environ 88 % de plus que la moyenne nationale ; les entreprises de loisirs et à faible exposition aux données paient environ 38 % de moins), le volume et la sensibilité des données que vous stockez, votre chiffre d'affaires, et — de plus en plus — votre capacité à démontrer des contrôles de sécurité de base comme l'authentification multifacteur (MFA), la protection des points d'accès et les sauvegardes régulières.
Ce dernier point compte davantage à chaque cycle de renouvellement. Les assureurs ont resserré leur souscription après des années de pertes liées aux rançongiciels, et la MFA est passée d'une question « agréable à avoir » sur le formulaire de demande à une exigence ferme pour la couverture chez la plupart des assureurs. Si vous ne pouvez pas cocher cette case, attendez-vous soit à une prime plus élevée, soit à une exclusion de couverture pour cette lacune, soit à un refus pur et simple de la demande.
Où les sinistres sont réellement refusés
La prime est la partie facile. La partie qui détermine si la police vous aidera réellement lorsque vous en avez besoin, ce sont les exclusions et les sous-limites — et c'est là que de nombreux propriétaires de petites entreprises découvrent, en pleine crise, que leur « police d'un million de dollars » ne couvre pas la perte qu'ils viennent de subir.
Sous-limites pour l'ingénierie sociale et la BEC. C'est la lacune la plus courante. De nombreuses polices plafonnent discrètement les indemnités pour les pertes liées à l'ingénierie sociale et aux fraudes par virement — le scénario BEC exact décrit ci-dessus — entre 25 000 et 50 000 sur un compte fournisseur factice, une police avec une sous-limite d'ingénierie sociale de 25 000 restants vous-même. Renseignez-vous spécifiquement sur cette sous-limite avant d'acheter ; elle est rarement mise en évidence dans un résumé de devis.
Exigences de vérification par rappel. Certaines avenants pour l'ingénierie sociale n'indemnisent que si votre entreprise avait déjà mis en place un processus de rappel ou de double vérification pour modifier les coordonnées de paiement — ce qui signifie que le sinistre peut être refusé non pas parce que la fraude n'était pas couverte en principe, mais parce que vous ne pouvez pas prouver que vous avez suivi la procédure de vérification requise au moment des faits.
Exigences de contrôles de sécurité. Si votre demande indiquait que vous aviez activé la MFA et qu'un audit après l'incident montre que ce n'était pas le cas, les assureurs peuvent refuser le sinistre pour fausse déclaration. C'est la catégorie de refus de sinistre qui connaît la croissance la plus rapide à mesure que la souscription se resserre.
Retards de déclaration. La plupart des polices exigent de notifier l'assureur dans un délai défini (souvent 30 à 60 jours) après la découverte d'un incident. Attendre de voir si le problème « se résout de lui-même » avant d'appeler son assureur est un moyen courant — et totalement évitable — de perdre sa couverture.
Amendes réglementaires et exclusions pour actes de guerre. Toutes les pénalités réglementaires ne sont pas assurables selon la juridiction, et la plupart des polices excluent les pertes liées à des cyberincidents parrainés par un État ou « actes de guerre », une catégorie que les assureurs définissent de plus en plus largement depuis 2022.
La conclusion pratique : ne comparez pas seulement les primes entre les devis. Comparez la sous-limite d'ingénierie sociale, les contrôles de sécurité spécifiques requis pour maintenir la police en vigueur et le délai de déclaration d'incident. Une police moins chère avec une sous-limite de fraude de 25 000 si la BEC est votre exposition réaliste.
Décider si vous en avez besoin
La cyberassurance est la plus pertinente lorsqu'au moins un de ces éléments s'applique à votre entreprise : vous stockez des données de paiement ou personnelles de clients, vous gérez des virements ou des modifications de paiement par e-mail, vous perdriez un revenu significatif ne serait-ce qu'après un jour ou deux d'indisponibilité, ou une dépense imprévue de 100 000 $ menacerait réellement l'entreprise. Pour une grande partie des petites entreprises, c'est la plupart de la liste.
Si vous décidez d'acheter, budgétez-la comme vous le feriez pour tout autre coût d'exploitation fixe — et si vous décidez de vous en passer, traitez les dépenses de prévention (MFA, sauvegardes, formation des employés à la vérification des virements) comme l'alternative d'auto-assurance, car elles ne coûtent qu'une fraction de ce que coûte la remédiation, qu'une police soit en place ou non.
Gardez votre risque visible dans vos livres
Que vous ayez une police ou non, les entreprises qui se remettent le plus rapidement d'un cyberincident sont celles qui peuvent immédiatement répondre à la question « combien cela nous a-t-il coûté, et qu'est-ce qui est couvert ? » Cela commence par des registres financiers propres et à jour — connaître votre trésorerie, vos dettes fournisseurs et exactement quelles transactions ont eu lieu avant et après un incident. Beancount.io vous offre une comptabilité en texte brut et versionnée avec une piste d'audit complète, de sorte que si vous devez un jour documenter une perte pour une réclamation d'assurance ou simplement comprendre l'impact, les chiffres sont déjà là. Commencez gratuitement et gardez vos registres financiers aussi vérifiables que vos journaux de sécurité devraient l'être.