Assurance cybersecurite en 2026 : primes, lacunes de couverture et exclusion de guerre

Un marche qui ne trouve pas son plancher

L’assurance cybersecurite devait etre simple : les organisations paient des primes, et en cas de cyberattaque, l’assureur couvre les couts — reponse aux incidents, frais juridiques, amendes reglementaires, interruption d’activite et notification de violation de donnees. Le modele fonctionnait tant que les cyberattaques restaient peu frequentes et les pertes maitrisables.

Puis les ransomwares sont arrives.

Entre 2019 et 2023, les pertes liees aux ransomwares ont explose. Les assureurs ont rembourse des sinistres catastrophiques — 40 millions de dollars pour CNA Financial (2021), 11 millions pour JBS Foods (2021) et un cout total estime a 2,457 milliards de dollars pour UnitedHealth Group a la suite de la violation de Change Healthcare (2024). Pendant les annees les plus critiques de 2020 et 2021, certains assureurs ont vu leurs ratios de sinistres depasser les 100 %, ce qui signifie qu’ils payaient davantage en sinistres qu’ils ne percevaient en primes. A l’echelle du secteur, les ratios de sinistres ont atteint 72 % en 2020 et 65 % en 2021, avant que les mesures de redressement ne les ramenent a 43 % en 2022.

Le marche a reagi par trois ajustements simultanes : les primes ont flambe (augmentations annuelles moyennes d’environ 70 % entre 2020 et 2022, selon Howden), la couverture s’est retrecies (nouvelles exclusions pour des types d’attaques specifiques) et les exigences de souscription se sont durcies (les assureurs exigeant la preuve de controles de securite specifiques avant de delivrer les polices). Apres un pic a la mi-2022, les tarifs se sont assouplis — baissant de 27 % d’ici 2025 grace a l’amelioration de la rentabilite et a l’intensification de la concurrence. Mais le paysage reste fondamentalement different de celui d’il y a cinq ans.

Le marche mondial de la cyberassurance a atteint environ 15,3 milliards de dollars de primes en 2024, selon Munich Re, avec des estimations pour 2025 allant de 16,3 milliards (Munich Re) a 16,6 milliards de dollars (Swiss Re). S&P Global Ratings projette que les primes pourraient atteindre 23 milliards de dollars d’ici 2026, portees par une combinaison de hausses tarifaires et de nouveaux acheteurs entrant sur le marche. L’Amerique du Nord represente 69 % des primes mondiales, tandis que l’Europe en represente 21 % avec le taux de croissance le plus rapide. Munich Re prevoit que le marche mondial doublera d’ici 2030, avec un taux de croissance annuel moyen superieur a 10 %.

Mais cette croissance est tiree par les hausses de primes et l’elargissement des obligations d’achat, et non par la satisfaction des clients. La relation entre assureurs et assures reste tendue, les deux parties incertaines quant a la perennite du modele actuel.

---

Fonctionnement de la souscription en cyberassurance en 2026

L’epoque ou il suffisait de remplir un simple questionnaire pour obtenir une police est revolue. La souscription moderne en cyberassurance est une evaluation technique rigoureuse.

Le processus de candidature

Les assureurs exigent desormais une documentation technique detaillee : diagrammes d’architecture reseau, inventaire des outils de securite, processus de gestion des vulnerabilites, plans de reponse aux incidents, procedures de sauvegarde et de restauration, ainsi que des preuves de controles de securite. Certains assureurs effectuent un scan externe actif de l’infrastructure exposee sur Internet du candidat pour verifier independamment les declarations.

Controles de securite obligatoires

La plupart des assureurs en 2026 exigent les elements suivants comme conditions de couverture :

• Authentification multifacteur (MFA) sur tous les acces distants, la messagerie et les comptes privilegies — c’est non negociable ; les candidatures sans MFA sont automatiquement refusees
• Detection et reponse aux menaces sur les terminaux (EDR) deploye sur tous les postes — l’antivirus traditionnel ne suffit plus
• Application reguliere des correctifs avec preuve d’un programme formel de gestion des vulnerabilites
• Securite de la messagerie incluant des controles anti-hameconnage, l’application de DMARC et une formation de sensibilisation a la securite
• Sauvegarde et restauration incluant des sauvegardes hors ligne/immuables testees regulierement — c’est le controle le plus important pour la resilience face aux ransomwares
• Segmentation du reseau empechant le mouvement lateral entre les systemes
• Gestion des acces privilegies pour les comptes administrateurs
• Plan de reponse aux incidents teste (exercices sur table) au cours des 12 derniers mois

Le non-respect de ces controles pendant la periode de la police peut annuler la couverture — de maniere analogue a la police d’assurance habitation qui exige des detecteurs de fumee fonctionnels.

Calcul des primes

Les primes sont calculees en fonction de :

• Taille de l’entreprise (chiffre d’affaires, nombre d’employes, volume de donnees)
• Secteur d’activite (la sante et les services financiers paient les primes les plus elevees en raison de l’exposition reglementaire et de l’attractivite pour les attaquants)
• Posture de securite (les organisations disposant de controles solides beneficient de primes reduites ; celles presentant des lacunes paient plus ou sont refusees)
• Historique des sinistres (les incidents precedents entrainent des primes plus elevees ou des restrictions de couverture)
• Limites et franchises (des limites de couverture plus elevees et des franchises plus basses augmentent les primes)

Une entreprise de taille moyenne (100 a 500 millions de dollars de chiffre d’affaires) paie generalement entre 100 000 et 500 000 dollars par an pour une couverture cyberassurance de 5 a 10 millions de dollars. Les grandes entreprises paient entre 1 et 5 millions de dollars ou plus pour des limites superieures. Selon le rapport IBM Cost of a Data Breach 2025, le cout moyen mondial d’une violation a baisse a 4,44 millions de dollars, tandis que le cout moyen pour les entreprises americaines a atteint un record de 10,22 millions de dollars — des chiffres qui eclairent le choix des limites de couverture.

---

Ce que la cyberassurance couvre (et ce qu’elle ne couvre pas)

Couverture type

Couverture de premiere partie (pertes subies par l’assure) :

• Couts de reponse aux incidents : investigation forensique, conseil juridique, communication de crise, couts de notification
• Interruption d’activite : perte de revenus et depenses supplementaires pendant l’arret des systemes
• Restauration des donnees : couts de restauration des systemes et des donnees a partir des sauvegardes
• Paiements de rancon : couverts par certaines polices (voir ci-dessous pour les reserves)
• Amendes et penalites reglementaires : couvertes dans les juridictions ou l’assurance des amendes est legale

Couverture de tiers (reclamations d’autrui) :

• Responsabilite en cas de violation de donnees : reclamations de personnes dont les donnees ont ete compromises
• Defense reglementaire : frais juridiques de defense contre les actions reglementaires
• Responsabilite mediatique : reclamations liees au contenu publie par l’organisation (diffamation, droits d’auteur)

Les exclusions qui comptent

Guerre et attaques etatiques : L’exclusion la plus controversee de la cyberassurance. En aout 2022, la Lloyd’s Market Association a publie le bulletin de marche Y5381, exigeant que toutes les polices de cyberassurance autonomes sur le marche de Lloyd’s incluent des exclusions pour les cyberattaques parrainaient par des Etats, avec effet au 31 mars 2023. Le defi : l’attribution des cyberattaques a des Etats-nations est difficile, contestee et prend souvent des mois, voire des annees. Lorsque NotPetya (attribue au groupe russe Sandworm, une unite du GRU) a cause plus de 10 milliards de dollars de dommages mondiaux en 2017, les assureurs ont tente d’invoquer les exclusions de guerre pour refuser les sinistres. Merck a obtenu un jugement historique de 1,4 milliard de dollars lorsque le tribunal superieur du New Jersey a statue en janvier 2022 — confirme par la cour d’appel en mai 2023 — que l’exclusion de guerre, redigee pour les conflits militaires conventionnels, ne s’appliquait pas a une cyberattaque. L’affaire a ete reglee en janvier 2024, juste avant que la Cour supreme du New Jersey ne soit saisie.

Depuis lors, les assureurs ont reecrit les exclusions de guerre avec un langage specifique au cyberespace. Les quatre clauses modeles de Lloyd’s excluent les attaques « directement ou indirectement causees par une guerre » ou les « operations cybernetiques de represailles entre Etats designes », et exigent une base d’attribution robuste convenue entre les parties. Le probleme pratique demeure : si votre organisation est frappee par une attaque attribuee a un groupe de menaces russe ou chinois, l’assureur paiera-t-il ? La reponse depend du langage specifique de la police, du niveau de confiance dans l’attribution, et potentiellement d’annees de contentieux.

Restrictions sur les paiements de rancon : Certains assureurs ont completement cesse de couvrir les paiements de rancon. D’autres les couvrent mais exigent que l’assure obtienne une autorisation juridique pour s’assurer que le paiement ne viole pas les sanctions — payer un groupe de ransomware lie a une entite sanctionnee comme le Lazarus Group de Coree du Nord viole les reglementations OFAC americaines et peut entrainer des sanctions penales. La France a adopte la loi LOPMI en janvier 2023 (effective en avril 2023), qui autorise les assureurs a couvrir les paiements de rancon uniquement si la victime depose plainte aupres des autorites competentes dans les 72 heures suivant la connaissance de l’attaque. Parallelement, les donnees IBM 2025 montrent que 63 % des organisations refusent desormais de payer les demandes de rancon, contre 59 % l’annee precedente.

Defaillance d’infrastructure : La plupart des polices excluent les pertes dues a la defaillance d’infrastructures tierces (fournisseurs cloud, dorsale Internet, reseau electrique) sauf si la defaillance a ete causee par une cyberattaque. La panne mondiale de CrowdStrike en juillet 2024 — une mise a jour defectueuse du Falcon Sensor qui a plante 8,5 millions d’appareils Windows dans le monde — a mis cette limite a l’epreuve. Les pertes economiques totales ont ete estimees a plus de 10 milliards de dollars, les seules entreprises du Fortune 500 perdant environ 5,4 milliards. Cependant, les pertes assurees etaient bien inferieures — entre 300 millions et 1,5 milliard de dollars selon les estimations de Guy Carpenter, CyberCube et Parametrix — car seulement 10 a 20 % des pertes etaient couvertes par les polices d’assurance. De nombreux assureurs ont soutenu que la panne etait un defaut logiciel et non une cyberattaque, et donc exclue.

Vulnerabilites connues : Si une organisation est victime d’une violation via une vulnerabilite connue et non corrigee pendant une periode prolongee, les assureurs peuvent refuser le sinistre pour negligence.

---

Le probleme du risque systemique

La cyberassurance fait face a un defi unique parmi les branches d’assurance : le risque systemique — la possibilite qu’un seul evenement cause des pertes correlees chez de nombreux assures simultanement.

En assurance de biens, un ouragan en Floride ne provoque pas d’incendies en Californie. Les pertes sont geographiquement non correlees, ce qui permet aux assureurs de diversifier les risques entre les regions. En cyberassurance, une seule vulnerabilite dans un logiciel largement utilise (Log4j, MOVEit, Microsoft Exchange) peut provoquer des violations simultanees dans des milliers d’organisations a travers le monde. Une attaque reussie contre un grand fournisseur cloud pourrait affecter des millions d’organisations simultanement.

Ce risque systemique rend la modelisation actuarielle traditionnelle (basee sur des evenements independants et non correles) peu fiable. Les assureurs ne peuvent predire avec precision la frequence et la gravite des pertes lorsqu’un seul evenement peut declencher des sinistres sur l’ensemble de leur portefeuille.

La panne de CrowdStrike en juillet 2024 en a ete un apercu : une seule mise a jour defectueuse a provoque une interruption d’activite mondiale affectant simultanement compagnies aeriennes, hopitaux, banques et agences gouvernementales. Une attaque deliberee d’envergure comparable serait bien plus couteuse et souleverait des questions d’attribution declenchant des litiges sur les exclusions de guerre.

Reponses au risque systemique :

• Obligations catastrophe (cat bonds) : Le marche des obligations catastrophe a atteint 25,6 milliards de dollars d’emissions totales en 2025, en hausse de 45 % par rapport a 2024. Les cat bonds cyber se developpent rapidement — au seul quatrieme trimestre 2025, 450 millions de dollars de nouvelle reassurance cyber ont ete places via des cat bonds, dont le PoleStar Re Ltd. (Series 2026-1) de Beazley a 300 millions de dollars, le plus important cat bond cyber a ce jour. Le marche murit, la prime d’innovation initiale pour les cat bonds cyber s’etant largement erodee.
• Programmes de garantie gouvernementale : Les Etats-Unis explorent un mecanisme federal de soutien a la cyberassurance similaire au TRIA (Terrorism Risk Insurance Act). En janvier 2026, la commission des services financiers de la Chambre des representants a fait avancer le projet H.R. 7128, qui prolongerait le TRIA jusqu’en 2034. Un rapport distinct recommande d’associer un mecanisme de soutien cyber au renouvellement du TRIA. Cependant, l’evaluation par le Departement du Tresor des mecanismes federaux de reponse appropries reste en cours — en avril 2025, le Tresor n’avait pas communique au Congres un calendrier pour ses conclusions.
• Mutualisation des risques : Des pools sectoriels (services financiers, sante) qui repartissent le risque entre les participants
• Limites agregees : Les assureurs plafonnent les remboursements totaux par evenement pour l’ensemble des assures

---

La boucle de retroaction de la conformite

Un benefice inattendu mais significatif de la cyberassurance est son effet sur la posture de securite. Parce que les assureurs exigent des controles de securite specifiques comme conditions de couverture, la cyberassurance est devenue de facto un cadre de conformite securitaire.

Les organisations qui pourraient resister a des depenses en MFA, EDR ou infrastructures de sauvegarde pour des raisons de securite abstraites mettront en oeuvre ces controles lorsque leur demande d’assurance sera refusee sans eux. Le marche de l’assurance stimule l’amelioration de la securite plus rapidement que la reglementation dans de nombreux secteurs.

Cela cree une boucle de retroaction positive : de meilleurs controles de securite conduisent a moins d’incidents, qui produisent moins de sinistres, qui permettent des primes plus basses, qui rendent la couverture accessible a davantage d’organisations, ce qui permet aux assureurs d’exiger plus de controles, ameliorant ainsi la posture de securite a l’echelle du marche.

Certains RSSI rapportent que l’obtention de l’approbation de la cyberassurance a ete plus efficace pour obtenir un budget d’investissement en securite que n’importe quelle analyse de rentabilite interne. Quand le directeur financier entend « nous ne pouvons pas obtenir de cyberassurance sans cela », le budget se materialise.

L’environnement reglementaire europeen renforce cette dynamique. Bien que NIS2 (echeance de conformite en octobre 2026) et DORA (en vigueur depuis janvier 2025) n’imposent pas explicitement la cyberassurance, leurs exigences de securite globales recoupent largement les demandes de souscription des assureurs. Les organisations se preparant a la conformite reglementaire europeenne se retrouvent simultanement a satisfaire les prerequis d’assurance.

---

---

Sources

• Munich Re — Cyber Insurance Risks and Trends 2025
• Swiss Re — Reality Check on Cyber Insurance Market
• S&P Global Ratings — Cyber Insurance Market Outlook 2026
• Howden — 2025 Cyber Insurance Report
• Lloyd’s of London — Market Bulletin Y5381: Cyber War Exclusions
• Marsh — Global Insurance Market Index
• IBM — Cost of a Data Breach Report 2025
• WTW — Insurance Marketplace Realities 2026: Cyber Risk
• Coalition — Cyber Claims Report 2025
• Merck v. Ace American Insurance — NotPetya Ruling and Settlement
• OFAC — Ransomware Payment Advisory
• GAO — TRIA Considerations for Reauthorization
• Artemis — Cyber Catastrophe Bond Market
• France LOPMI Law — Cyber Insurance Reporting Requirements