Alors que les cyberattaques se professionnalisent, les TPE et PME françaises se détournent de l’assurance cyber. Selon la dernière édition du rapport Hiscox sur la gestion des cyber-risques, la part des entreprises françaises ayant souscrit une police dédiée est tombée de 33,6 % à 27,6 % en un an. Dans le même temps, la proportion de TPE/PME sans aucune couverture cyber, sous quelque forme que ce soit, est passée de 39 % à 45 %. Au total, 55 % des entreprises françaises déclarent aujourd’hui disposer d’une couverture cyber, tandis que 12 % disent n’en avoir aucune et ne pas envisager d’en souscrire, contre 9 % en 2025.

La France n’est pas un cas isolé : la tendance touche la plupart des marchés étudiés. Le recul est particulièrement marqué au Portugal, avec 26 points de baisse en un an, puis en Espagne et en Irlande, à -9 points chacune. Mais la situation diffère aux États-Unis et au Royaume-Uni, où les taux de couverture restent les plus élevés : la baisse des polices dédiées y reflète surtout un basculement vers des contrats multirisques globaux. Près d’une entreprise sur deux, soit 50 %, y intègre désormais le cyber dans une assurance unique plutôt que dans une police spécifique.

Le niveau d’investissement reste lui aussi préoccupant. Les TPE/PME françaises consacrent en moyenne 29 700 € par an à leur cyber-résilience, soit deux à trois fois moins que leurs homologues espagnoles, italiennes ou britanniques. Le tableau n’est toutefois pas entièrement négatif : parmi les entreprises françaises non assurées, 33,1 % envisagent de souscrire une police cyber dans les douze prochains mois, la proportion la plus élevée parmi les pays étudiés.

Sur le terrain, la facture des cyberattaques est lourde. Quatre entreprises françaises sur dix ayant subi une attaque déclarent avoir été victimes d’une fraude financière par détournement de paiement, la conséquence la plus fréquente. L’atteinte à la réputation, pourtant première crainte des dirigeants, arrive loin derrière à 19,8 %. Ce décalage s’explique en partie par l’origine des incidents : 26 % proviennent d’une erreur humaine, comme du phishing ou de l’ingénierie sociale visant un salarié, et près d’un incident sur quatre implique un prestataire ou un partenaire externe.

L’impact financier moyen d’une cyberattaque subie par une PME française au cours des douze derniers mois est estimé à 45 900 €, sur l’ensemble des dix pays étudiés. En matière d’interruption d’activité, 66,8 % des incidents durent moins d’une journée, mais la moyenne grimpe à 24,5 heures en raison des cas les plus graves. Cette durée reste néanmoins inférieure à celle observée en Allemagne et en Espagne, où 22 % et 20 % des incidents, respectivement, s’étendent sur quatre à sept jours.

Au-delà des pertes comptables, les effets se diffusent dans toute l’entreprise. 96 % des TPE/PME françaises touchées reconnaissent un impact sur leur stratégie ou leur situation financière : retard de croissance pour 36 %, baisse de valorisation pour 33 %, et report d’investissements technologiques pour 31 %. Les équipes sont également affectées : 37 % des salariés concernés font état d’un stress élevé, 27 % d’une dégradation du climat de travail et 25 % d’une hausse des arrêts maladie.

Le rapport souligne enfin un angle mort croissant autour de l’intelligence artificielle. Près d’un décideur français sur deux, 49 %, considère le data poisoning — la corruption des données d’entraînement d’un modèle d’IA — comme la menace cyber émergente la plus grave à cinq ans. Pourtant, seuls 69 % des assurés français disposent d’une police intégrant les risques liés à l’IA, contre 74 % en moyenne dans les autres pays européens étudiés. Les États-Unis et le Royaume-Uni apparaissent, là encore, plus avancés sur ce sujet.

L’étude Hiscox 2026, réalisée par Wakefield Research, a interrogé 6 800 décideurs en cybersécurité responsables de la stratégie cyber dans des organisations de moins de 250 salariés, dans dix pays — États-Unis, Royaume-Uni, France, Allemagne, Espagne, Irlande, Portugal, Italie, Pays-Bas et Belgique — entre le 5 et le 17 juin 2026.

Pendant que les attaques s’intensifient, la souscription d’assurance cyber recule.

C’est le paradoxe que met en lumière la dernière édition du rapport* du groupe d’assurances Hiscox sur la gestion des cyber-risques. Alors que les cyberattaques s’industrialisent, la souscription d’une police cyber par les TPE/PME françaises recule, passant de 33,6 % à 27,6 % en un an.

Plus largement, la part des TPE/PME françaises ne bénéficiant d’aucune couverture cyber, sous quelque forme que ce soit, est passée de 39 % à 45 % sur la même période. Résultat : seules 55 % des entreprises françaises déclarent aujourd’hui disposer d’une couverture cyber, et 12 % d’entre elles  affirment n’en avoir aucune et ne pas envisager d’en souscrire une, contre une sur onze (9 %) en 2025.

La France n’est pas un cas isolé : la tendance touche la plupart des marchés étudiés.

Le Portugal enregistre le décrochage le plus sévère, avec 26 points de moins en un an, suivi de l’Espagne et de l’Irlande, à 9 points chacune.

Mais toutes les entreprises ne réagissent pas de la même façon face à la menace. Aux États-Unis et au Royaume-Uni, qui conservent les taux de couverture les plus élevés, la baisse de la souscription dédiée ne traduit pas un recul de la couverture, mais une réorientation : près d’une entreprise sur deux (50 %) y opte désormais pour une couverture multirisque globale, intégrant le cyber dans un contrat unique plutôt qu’une police dédiée.

Autre indicateur qui interroge : le budget. Les TPE/PME françaises consacrent en moyenne 29 700 € par an à leur cyber-résilience, soit deux à trois fois moins que leurs homologues espagnoles, italiennes ou britanniques.

Le tableau n’est toutefois pas totalement sombre. Parmi les TPE/PME françaises non assurées, 33,1 % déclarent envisager de souscrire une police cyber dans les douze prochains mois. C’est la proportion la plus élevée de tous les pays étudiés.

La facture  » cyberattaque »pèse lourd

Quatre entreprises françaises sur dix (40 %) ayant subi une attaque déclarent avoir été victimes d’une fraude financière par détournement de paiement ; c’est la conséquence la plus fréquente, loin devant l’atteinte à la réputation (19,8 %), qui reste pourtant la crainte numéro un des dirigeants.

Un décalage qui s’explique en partie par l’origine des attaques. 26 % des incidents proviennent d’une erreur humaine, comme un employé ciblé par du phishing ou de l’ingénierie sociale, et près d’un incident sur quatre impliquerait un prestataire ou un partenaire externe.

Sur le plan financier, l’impact moyen estimé pour une PME française victime d’une cyberattaque au cours des douze derniers mois s’élève à 45 900 €, en moyenne, pour l’ensemble des dix pays étudiés.

Côté durée, si 66,8 % des incidents se soldent par une interruption d’activité de moins d’une journée, la durée moyenne de l’ensemble des incidents atteint 24,5 heures, tirée vers le haut par les cas les plus sévères. Une durée toutefois moins importante qu’en Allemagne ou en Espagne, où 22 % et 20 % des incidents s’étirent respectivement sur 4 à 7 jours.

Mais le vrai coût d’une cyberattaque dépasse largement le bilan comptable.

La quasi-totalité des TPE/PME françaises touchées (96 %) reconnaissent un impact sur leur stratégie ou leur situation financière : retard de croissance (36 %), impact sur la valorisation (33 %), investissements technologiques reportés (31 %).

Et l’onde de choc touche aussi les équipes. 37 % des collaborateurs d’entreprises attaquées rapportent un stress élevé, plus d’un quart signalent une dégradation du climat de travail (27 %) et une hausse des arrêts maladie (25 %).  Un constat déjà identifié dans l’édition 2025 du rapport et qui persiste.

L’IA, prochain champ de bataille et angle mort de la couverture

Le rapport pointe une inquiétude montante : près d’un décideur français sur deux (49 %) identifie le data poisoning  (attaque visant à corrompre les données d’entraînement d’un modèle d’IA)  comme la menace cyber émergente la plus grave à cinq ans.

Face à ce risque, la couverture reste pourtant lacunaire.Seuls 69 % des assurés français disposent d’une police intégrant les risques liés à l’IA, contre 74 % en moyenne dans les autres pays européens étudiés. Les États-Unis et le Royaume-Uni ont davantage anticipé cette évolution.

*Rapport Hiscox sur la gestion des cyber-risques, édition 2026.

Etude réalisée par le cabinet Wakefield Research, qui a interrogé 6 800 décideurs en cybersécurité en charge de la stratégie cybersécurité dans des organisations de moins de 250 salariés, dans dix pays (États-Unis, Royaume-Uni, France, Allemagne, Espagne, Irlande, Portugal, Italie, Pays-Bas et Belgique), entre le 5 et le 17 juin 2026,

The post Les TPE et PME françaises tournent le dos à l’assurance cyber appeared first on Silicon.fr.