Rapport Hiscox sur la gestion des cyber-risques
Recrudescence des cyberattaques et des entreprises moins assurées : le paradoxe cyber des PME françaises
Suite aux universités d’été Cyber & Cloud d’Hexatrust qui se sont tenues la semaine dernière, cette étude de l’assureur Hiscox nous rappelle que les PME françaises restent très peu assurées et qu’évidemment le risque n’est pas que technologique.
La souscription d’une police cyber par les TPE/PME françaises est en recul, passant de 33,6 % à 27,6 % en un an.
Une TPE/PME sur huit (12 %) déclare n’avoir aucune couverture cyber et ne pas envisager d’en souscrire, contre une sur onze (9 %) en 2025.
Seuls 69 % des assurés français disposent d’une couverture intégrant les risques liés à l’IA
Les PME françaises, consacrent en moyenne 29 700 € (32 686 $) par an à sa cyber-résilience, deux à trois fois moins que l’Espagne, l’Italie ou le Royaume-Uni.
Plus des deux tiers des entreprises françaises attaquées (66,8 %) subissent une interruption d’activité de moins d’une journée. La durée moyenne de l’ensemble des incidents atteint toutefois 24,5 heures, tirée à la hausse par les cas les plus sévères
Conduite par Wakefield Research auprès de 6 800 décideurs aux États-Unis, au Royaume-Uni et dans huit pays européens courant juin 2026, cette édition dresse un constat inattendu. Face à la recrudescence et à l’industrialisation des cyberattaques, les TPE/PME françaises réduisent leur couverture d’assurance cyber. Ce désengagement les expose à des conséquences financières, opérationnelles et humaines pouvant interrompre leur activité plus d’une journée.
De l’assurance cyber dédiée au tout-en-un, jusqu’au retrait total : un marché en recomposition
En un an, la proportion de TPE/PME françaises non couvertes contre le risque cyber est passée de 39 % à 45 %, soit une hausse de 6 points. Une tendance observée sur la plupart des marchés étudiés. Le Portugal enregistre le décrochage le plus sévère avec vingt-six points de moins en un an, suivi de l’Espagne et de l’Irlande à neuf points chacune. Toutes les entreprises n’en tirent pas les mêmes conclusions. Aux États-Unis et au Royaume-Uni, qui maintiennent les taux de couverture cyber les plus élevés, les entreprises ne renoncent pas à leur protection, elles la réorientent. Près d’une sur deux (50 %) opte pour une couverture multirisque globale intégrant le cyber dans un contrat unique. Avec 29 700 € (32 686 $) de dépenses annuelles moyennes consacrées à la cyber-résilience, les TPE/PME françaises investissent deux à trois fois moins que leurs homologues espagnoles, italiennes ou britanniques. Dans le même temps, la couverture assurantielle recule. En France, seules 55 % des entreprises indiquent bénéficier d’une couverture cyber, sous quelque forme que ce soit, et 12 % des TPE/PME n’en ont désormais plus aucune.
Pour autant, ce recul ne semble pas irréversible. Parmi les TPE/PME françaises non assurées, 33,1 % déclarent envisager de souscrire une police cyber dans les douze prochains mois, proportion la plus élevée de tous les pays étudiés. Le potentiel de rattrapage existe, à condition que les entreprises prennent conscience que la technologie ne suffit pas à elle seule à couvrir le risque cyber. Elle permet de le réduire, mais pas de l’éliminer complètement. L’assurance permet de transférer le risque résiduel.
Les coûts cachés des cyberattaques vont bien au-delà des pertes financières immédiates
Quatre entreprises françaises sur dix (40 %) ayant subi une cyberattaque ont été victimes d’une fraude financière par détournement de paiement, première conséquence réelle d’un incident, loin devant l’atteinte à la réputation (19,8 %) qu’elles redoutent pourtant le plus. Ce décalage tient en grande partie à la source des attaques. 26 % des incidents trouvent leur origine dans une erreur humaine, telle que le ciblage d’un employé par du phishing ou d’ingénierie sociale. Selon les pays interrogés près d’un incident sur quatre impliquerait un prestataire ou partenaire externe.
Des séquelles financières, humaines et opérationnelles sous-estimées :
Pour les PME françaises ayant subi une cyberattaque, l’impact financier moyen estimé sur les douze derniers mois s’élève à 50 489 $ (45 900 €), contre 51 619 $ pour l’ensemble des dix pays étudiés.
Si 66,8 % des incidents se soldent par une interruption de moins d’une journée, la durée moyenne s’établit à 24,5 heures, les cas les plus sévères tirant sensiblement la moyenne à la hausse. Durée moins importante en comparaison à l’Allemagne ou à l’Espagne qui vont dans 22 % et 20 % des cas jusqu’à 4-7 jours.
La quasi-totalité des TPE/PME françaises attaquées (96 %) reconnaissent que l’incident a pesé sur leur stratégie ou leur situation financière : retard de croissance (36 %), impact sur la valorisation (33 %), report des investissements technologiques (31 %).
37 % des collaborateurs d’entreprises attaquées déclarent un stress élevé, et plus d’un quart signalent une dégradation du climat de travail (27 %) et une hausse des arrêts maladie (25 %). [VB8] [an9] Un constat déjà identifié dans le rapport 2025 et qui perdure encore cette année.
Ces conséquences humaines et psychologiques sont les premières à survenir mais sont encore rarement intégrées dans les plans de crise.
L’intelligence artificielle, le risque de demain qui se joue aujourd’hui
Près d’un décideur français sur deux (49 %) identifie le data poisoning, une attaque visant à corrompre les données d’entraînement d’un modèle IA ou d’apprentissage automatique, comme la menace cyber émergente la plus grave à cinq ans. L’IA rend déjà les attaques plus sophistiquées notamment avec un phishing plus convaincant, ingénierie sociale plus ciblée, vulnérabilités plus difficiles à détecter. Seuls 69 % des assurés français disposent d’une couverture intégrant les risques liés à l’IA, contre 74 % en moyenne dans les autres pays européens étudiés, là où les États-Unis et le Royaume-Uni ont davantage anticipé cette évolution.
“Ce que cette édition révèle, c’est un malentendu répandu sur le rôle de l’assurance. Trop d’entreprises françaises pensent que leurs investissements techniques suffisent. Or une cyberattaque génère une onde de choc financière, juridique et opérationnelle que la technologie seule ne peut pas absorber. Se désengager de l’assurance cyber aujourd’hui, c’est prendre davantage de risques demain. La technologie protège les systèmes, l’assurance couvre le risque résiduel que les systèmes ne peuvent pas empêcher. C’est leur complémentarité qui fait la résilience intégrale.” déclare Victorine Bailleul, responsable de l’offre Cyber et Tech chez Hiscox.
