Les cyberattaques ne visent plus seulement les grands groupes : les TPE-PME sont désormais en première ligne. Alors que les assureurs s'organisent pour mieux les protéger, la majorité des petites entreprises restent sous-protégées et mal assurées. État de la menace, rôle de l'assurance cyber et obligation légale du dépôt de plainte en 72 heures : voici ce qu'un dirigeant doit savoir.
La cybermenace explose chez les TPE-PME
Le constat des pouvoirs publics est sans appel. Selon le rapport d'activité 2025 du dispositif national Cybermalveillance.gouv.fr, le pays a recensé plus de 500 000 victimes assistées en 2025, en hausse de 20 % par rapport à 2024. La plateforme publique a enregistré 5 millions de visiteurs en 2025, signe d'une demande d'aide en forte croissance.
Dans le détail, certaines menaces s'envolent. L'hameçonnage est la première menace tous publics confondus, avec une progression de +70 %, tandis que le piratage de comptes en ligne est la première menace pour les professionnels, en hausse de +45 %. Les attaques à visée financière flambent aussi : les fraudes au virement progressent de +170 %, la fraude au faux conseiller bancaire de +159 %, et les demandes d'assistance pour violations de données bondissent de +107 %.
Les petites structures paient un lourd tribut. Le baromètre de la maturité cyber des TPE-PME 2025, publié par Cybermalveillance.gouv.fr, établit que 16 % des entreprises interrogées déclarent avoir été victimes d'un ou plusieurs incidents au cours des 12 derniers mois. Et lorsqu'une attaque survient, 43 % des victimes l'attribuent à l'hameçonnage, contre 24 % en 2024, devant les failles de sécurité, citées par 18 % d'entre elles contre 14 % en 2024, et la consultation de sites internet vérolés, en cause dans 11 % des cas contre 5 % en 2024.
Un angle mort : la couverture cyber
Le paradoxe est saisissant. D'un côté, 58 % des TPE-PME pensent bénéficier d'un bon ou très bon niveau de protection, contre seulement 39 % en 2024. De l'autre, 44 % se pensent fortement exposées, en hausse de 6 points par rapport à 2024. Cette confiance se heurte à une réalité budgétaire : trois quarts des entreprises investissent moins de 2 000 € par an en cybersécurité, et seulement 15 % prévoient de faire évoluer ce budget à la hausse, soit 5 points de plus qu'en 2024.
Quand l'incident frappe, le réflexe d'aller chercher de l'aide n'est pas systématique : 31 % des TPE-PME se tournent vers Cybermalveillance.gouv.fr pour s'informer ou se faire aider. C'est dans ce contexte que la profession assurantielle monte au créneau. Le 25 juin 2026, France Assureurs a publié une nouvelle ressource pour renforcer la résilience des TPE-PME, en s'associant à la MalletteCyber PRO de Cybermalveillance.gouv.fr. Selon France Assureurs, l'assurance cyber apporte un accompagnement de crise, une mobilisation d'experts et la prise en charge de certains coûts techniques et financiers — une couverture qui complète, sans la remplacer, la responsabilité civile professionnelle classique, généralement muette sur le risque numérique.
Ce que ça change pour votre entreprise
Souscrire une assurance dédiée aux risques de votre activité ne suffit pas : encore faut-il en respecter les conditions. La loi d'orientation et de programmation du ministère de l'Intérieur (LOPMI) a introduit une règle déterminante. Le Code des assurances prévoit désormais que le versement d'une somme en application de la clause d'un contrat d'assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un système de traitement automatisé de données est subordonné au dépôt d'une plainte de la victime au plus tard soixante-douze heures après la connaissance de l'atteinte.
Attention au périmètre : cette obligation s'applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle. Autrement dit, un dirigeant qui tarde à porter plainte au-delà du délai légal s'expose à un refus d'indemnisation, même si son contrat couvre le sinistre. La bonne gestion de la déclaration de sinistre devient donc une priorité absolue dès la découverte de l'attaque.
- Dirigeants de TPE-PME : évaluez votre exposition réelle plutôt que votre sentiment de protection, et vérifiez si votre contrat adapté à votre métier et à votre statut intègre ou non une garantie cyber.
- Indépendants et professions libérales : la fuite de données clients engage votre responsabilité ; au-delà des données, une attaque peut paralyser vos équipements informatiques et vos locaux professionnels.
- Tous : en cas d'attaque, déposez plainte sous 72 heures pour préserver votre droit à indemnisation.
Perspectives : prévention et bons réflexes
L'assurance ne dispense pas de se protéger : elle la complète. Le décalage entre la perception de sécurité et le sous-investissement chronique constaté chez les petites entreprises montre qu'un effort de prévention reste indispensable. Sauvegardes régulières, authentification renforcée et sensibilisation des salariés au phishing constituent le socle minimal. Avant de souscrire, il est utile de comparer les garanties cyber selon votre secteur et votre niveau d'exposition, puis de mettre les offres du marché en concurrence. À mesure que la menace se professionnalise, la combinaison prévention + couverture assurantielle devient le réflexe de survie des TPE-PME françaises.
Questions fréquentes
Oui. Depuis la loi LOPMI, le Code des assurances prévoit que l'indemnisation d'une atteinte à un système de traitement automatisé de données est subordonnée au dépôt d'une plainte au plus tard soixante-douze heures après la connaissance de l'atteinte. Cette règle s'applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle.
Largement. Le baromètre 2025 de Cybermalveillance.gouv.fr indique que 16 % des entreprises interrogées déclarent avoir été victimes d'un ou plusieurs incidents au cours des 12 derniers mois. À l'échelle nationale, le dispositif a recensé plus de 500 000 victimes assistées en 2025, en hausse de 20 % par rapport à 2024.
Selon France Assureurs, l'assurance cyber offre un accompagnement de crise, une mobilisation d'experts et la prise en charge de certains coûts techniques et financiers. Elle complète la responsabilité civile professionnelle, qui ne couvre généralement pas le risque numérique. Les garanties précises varient d'un contrat à l'autre.
Sources officielles
- Cybermalveillance.gouv.fr — Rapport d'activité et état de la menace 2025
- Cybermalveillance.gouv.fr — Baromètre de la maturité cyber des TPE-PME 2025
- Légifrance — Code des assurances : assurance des risques de cyberattaques (loi LOPMI)
