Un recul des polices dédiées alors que le risque s'accroît
La dixième édition du rapport annuel de l'assureur Hiscox, publiée le 15 septembre 2026, met en évidence une tendance préoccupante : la part des TPE et PME françaises qui souscrivent une police d'assurance cyber dédiée a diminué significativement en un an, passant de 33,6 % à 27,6 %. Dans le même temps, la proportion d'entreprises sans aucune protection déclarée a augmenté, de 39 % à 45 %.
L'enquête, réalisée par Wakefield Research entre le 5 et le 17 juin 2026, porte sur 6 800 responsables de la stratégie de cybersécurité d'organisations de moins de 250 salariés dans dix pays, dont la France. Ces chiffres plaident pour une vigilance accrue : les TPE-PME sont exposées à des incidents plus fréquents et plus coûteux, alors que leurs budgets de cybersécurité restent contraints et que les assureurs ont durci leurs exigences depuis 2021.
Des explications multiples et un signal d'alarme
Plusieurs facteurs expliquent ce recul. D'un côté, certains dirigeants estiment que des investissements techniques suffisent à couvrir le risque ; de l'autre, l'augmentation du coût et du niveau d'exigence des contrats depuis plusieurs années peut dissuader les petites structures. Victorine Bailleul, responsable de l'offre Cyber et Tech chez Hiscox, résume ce diagnostic en pointant un malentendu sur le rôle de l'assurance :
« Trop d’entreprises françaises pensent que leurs investissements techniques suffisent »
Ce rappel doit être mis en perspective : Hiscox est lui-même acteur sur le marché de l'assurance cyber, ce qui rend sa prise de parole à la fois utile et partielle. Les données de marché publiées par des courtiers indiquent une croissance du marché global — signe que l'activité existe — mais l'enquête révèle un clivage entre une offre qui se développe et une adoption inégale par les petites structures.
Conséquences pour les salariés, les dirigeants et les clients
- Pour les dirigeants : la baisse de recours à la police dédiée oblige à vérifier les garanties effectives des contrats multirisques et à mesurer l'impact financier et juridique d'un incident.
- Pour les salariés : une entreprise non assurée peut rencontrer des difficultés à maintenir l'activité, avec des risques d'interruption de salaire ou de pertes d'emploi en cas d'attaque majeure.
- Pour les clients : la confiance peut être ébranlée si la protection des données n'est pas assurée ou si l'entreprise ne peut honorer ses engagements après un sinistre.
Données clés
| Indicateur | Valeur |
|---|---|
| Part de TPE/PME avec police cyber dédiée (2025 → 2026) | 33,6 % → 27,6 % |
| Part sans aucune protection déclarée (2025 → 2026) | 39 % → 45 % |
| Entreprises déclarant une couverture sous quelque forme | 55 % |
Ce que cela signifie pour le marché de l'assurance
Les assureurs ont resserré leurs conditions depuis 2021, augmentant franchises et exclusions, ce qui pèse sur l'attractivité des contrats pour de petites structures aux moyens limités. Parallèlement, la croissance de l'offre observée par les courtiers souligne un marché où l'offre existe, mais dont la pénétration reste bâti sur des logiques hétérogènes : contrats dédiés, clauses dans des multirisques, ou absence de couverture.
Pour les TPE et PME, la décision de s'assurer ne relève plus seulement d'une question de prix : elle implique d'évaluer précisément les scénarios d'exposition, la portée des garanties et les obligations imposées par la police (prévention, sauvegarde des données, procédures). À défaut, l'onde de choc d'une cyberattaque peut dépasser ce que la technique seule absorbe, et mettre en danger la pérennité de l'entreprise.
En conclusion, l'enquête Hiscox signale un décalage inquiétant entre l'augmentation des menaces et la stratégie de couverture des plus petites entreprises françaises. La combinaison d'une prévention insuffisante, de budgets limités et de contrats plus exigeants crée une zone de vulnérabilité qui appelle des réponses opérationnelles et, possiblement, réglementaires ou sectorielles.
