Pourquoi recourir à une assurance cyber pour limiter l’impact des cyberattaques ?

Entretien avec Arnaud Martin, vice-président du CESIN et directeur des risques opérationnels à la Caisse des Dépôts.

Les cyberattaques visant les collectivités restent nombreuses. Dans ce contexte, constatez-vous une montée en puissance de l’assurance cyber ?

Oui, très clairement. Même si nous ne disposons pas de statistiques détaillées spécifiquement pour les collectivités, les tendances observées sur le marché montrent une progression nette de l’assurance cyber, en particulier auprès des structures de taille moyenne.

Le dynamisme actuel du marché de l’assurance cyber se reflète notamment dans les chiffres de l'étude LUCY 2025 de l'AMRAE (Association pour le Management des Risques et des Assurances de l'Entreprise). Ses conclusions concernent les entreprises, mais peuvent être extrapolées pour les territoires. Entre 2024 et 2025, le nombre de petites entreprises couvertes par une assurance cyber est, par exemple, passé de 3 824 à 5 547, soit une progression de 45 %. On peut globalement estimer que les territoires petits et moyens commencent à souscrire à des cyber assurance, alors que le marché des agglomérations et grandes villes est déjà conquis.

Dans tous les cas, il y a une forte dynamique qui est portée par plusieurs facteurs. Le premier est évidemment la persistance de la menace. Les collectivités continuent d'être régulièrement touchées par des cyberattaques. Contrairement à une idée reçue, les attaquants ne ciblent pas uniquement les grandes villes ou les grandes administrations. Dans de nombreux cas, ils exploitent des vulnérabilités détectées automatiquement à grande échelle. Une commune de quelques milliers d'habitants peut donc être touchée au même titre qu'une organisation beaucoup plus importante.

Le deuxième facteur est réglementaire. Même si la transposition française de la directive européenne NIS 2 est encore attendue, les collectivités commencent à se préparer. Cette montée en maturité conduit naturellement les décideurs à s'intéresser davantage aux mécanismes de transfert de risque.

Enfin, le marché lui-même évolue. Les assureurs développent désormais des offres plus accessibles pour les structures moyennes et petites, avec des processus de souscription simplifiés et des contrats plus standardisés. Cette démocratisation contribue fortement à l'essor du marché.

Pourquoi une collectivité a-t-elle intérêt à souscrire une assurance cyber ?

L'intérêt va bien au-delà du simple remboursement financier. Nous identifions généralement trois bénéfices majeurs. Le premier intervient dès la phase de souscription. Pour obtenir une assurance, la collectivité doit répondre à des questionnaires, documenter son organisation et évaluer ses dispositifs de sécurité. Cette démarche constitue déjà un levier de sensibilisation et d'amélioration de la maturité cyber.

Le deuxième avantage apparaît lorsqu'une attaque survient. Une collectivité victime d'un rançongiciel ou d'une compromission majeure est souvent confrontée à une situation de sidération. Qui appeler ? Quelles démarches engager ? Comment gérer les aspects techniques, juridiques et organisationnels ? L'assureur apporte alors un accompagnement immédiat et met la collectivité en relation avec des spécialistes habitués à gérer ce type de crise.

Enfin, il y a évidemment la dimension financière. Les coûts de remédiation peuvent rapidement atteindre plusieurs dizaines de milliers d'euros : expertise forensique, restauration des systèmes, achat d'équipements, assistance juridique ou communication de crise. Pour une petite ou moyenne collectivité, ces dépenses peuvent représenter une charge très importante. L’assurance cyber permet d'absorber une partie significative de cet impact financier tout en accélérant le retour à la normale.

Concrètement, que couvre une assurance cyber ?

Les garanties varient selon les contrats, mais on retrouve généralement un socle commun. La première composante concerne l'indemnisation des dommages subis. L'assurance peut prendre en charge les frais liés à la gestion de l'incident, aux investigations techniques, à la remise en état des systèmes ou encore au remplacement de certains équipements informatiques.

La deuxième composante est l'assistance opérationnelle. C'est souvent l'élément le plus précieux pour les petites structures. Dès la déclaration de l'incident, l'assureur mobilise des experts capables d'intervenir rapidement. Cette capacité à disposer immédiatement d'interlocuteurs qualifiés permet d'éviter les erreurs de gestion de crise et de limiter l'aggravation de la situation.

Enfin, certains contrats intègrent également des prestations de renforcement de la sécurité après l'incident. L'objectif n'est pas seulement de remettre les systèmes en fonctionnement, mais aussi d'éviter qu'une attaque similaire ne se reproduise.

En revanche, il faut rester attentif aux exclusions. Certaines assurances couvrent les pertes d'exploitation, d'autres non. Certaines imposent des plafonds ou des franchises spécifiques. Comme toujours en matière d'assurance, les détails du contrat sont déterminants.

Le coût constitue-t-il encore un frein pour les collectivités ?

Aujourd'hui, ce n'est plus nécessairement le cas. Nous observons même une volonté assez forte des assureurs de conquérir ce segment de marché.

Les offres destinées aux petites et moyennes structures sont généralement standardisées et industrialisées. Elles reposent sur des modèles statistiques relativement simples, basés notamment sur le nombre d'utilisateurs, le nombre de postes de travail, les serveurs ou les applications exploitées.

Cette standardisation permet de proposer des tarifs relativement accessibles. Les montants restent évidemment proportionnels à la taille de la structure et aux garanties souhaitées. Une petite commune ne paiera pas le même prix qu'une métropole, tout simplement parce que les risques et les montants potentiellement indemnisables sont différents.

A titre d’exemple, pour une petite collectivité de 5000 habitants, il en coûte quelques milliers d’euros (lire notre REX sur la commune de Fumel, dont l’assurance revient à 2000 euros par an avec une prise en charge 100% du coût d’une cyberattaque survenue en 2025, soit plus de 45 000 euros, NDLR)

Pour les grandes organisations, la logique est totalement différente. Les contrats sont négociés sur mesure, avec des niveaux de couverture pouvant atteindre plusieurs dizaines de millions d'euros et parfois plusieurs assureurs intervenant simultanément sur différentes tranches de risque.

Pour les collectivités de taille modeste, nous sommes aujourd'hui dans une phase où les prix restent attractifs. Cette situation contribue largement à la progression rapide des souscriptions observée ces dernières années.

Quels conseils donneriez-vous à une collectivité qui souhaite négocier son contrat ?

Le premier conseil consiste à comparer plusieurs offres plutôt qu'à se focaliser uniquement sur le montant de la prime. Les garanties peuvent sembler proches mais certaines différences apparaissent rapidement lorsqu'on analyse les plafonds d'indemnisation, les franchises ou les exclusions.

Le deuxième point est d'examiner très attentivement les conditions d'intervention en cas de crise. Qui intervient ? Dans quels délais ? Quels types d'experts sont mobilisés ? Quels frais sont réellement couverts ? Pour une petite collectivité dépourvue d'équipe cybersécurité, cet accompagnement peut avoir autant de valeur que l'indemnisation elle-même.

Le troisième conseil est d'anticiper une évolution probable du marché. Les données récentes montrent une dégradation du ratio entre les sinistres et les primes perçues par les assureurs. Si cette tendance se confirme, il est possible que les contrats deviennent plus exigeants dans les années à venir, avec davantage de clauses ou des tarifs en hausse.

Enfin, il faut considérer l'assurance comme un complément et non comme un substitut à la cybersécurité. Une collectivité qui améliore son niveau de protection, réalise des sauvegardes fiables et formalise ses procédures de gestion de crise sera non seulement mieux protégée, mais également mieux positionnée lors des discussions avec son assureur.

L’assurance cyber est-elle appelée à devenir aussi indispensable qu'une assurance contre les risques naturels ?

Je le pense. Les cyberattaques constituent désormais un risque structurel auquel toutes les organisations sont exposées.

Pour les collectivités, le sujet ne dépend plus réellement de la localisation géographique ou de la notoriété. Ce qui attire les attaquants, ce sont les vulnérabilités exploitables. Une petite commune peut être touchée exactement de la même manière qu'une grande ville lorsqu'elle apparaît dans les résultats d'un balayage automatisé d'Internet.

Par ailleurs, l'écosystème criminel se professionnalise. Certains groupes découvrent les vulnérabilités, d'autres les exploitent, d'autres encore revendent les données dérobées. Nous assistons à une véritable spécialisation des rôles, qui augmente l'efficacité globale des attaques.

Dans ce contexte, les collectivités doivent continuer à renforcer leur hygiène numérique, à se préparer aux crises et à s'équiper de solutions de protection adaptées. L’assurance cyber s'inscrit naturellement dans cette démarche globale de gestion du risque. Comme pour les risques naturels ou les autres risques majeurs, il ne s'agit pas d'empêcher totalement l'événement de se produire, mais de limiter au maximum ses conséquences lorsqu'il survient.

C'est pourquoi nous pouvons raisonnablement penser que l’assurance cyber va continuer à se démocratiser dans les années à venir, à condition que le marché conserve un équilibre économique permettant de maintenir des offres accessibles aux collectivités.