97 000€ par incident cyber : ce que doit couvrir votre assurance PME
Quatre-vingt-dix-sept mille euros. C'est l'ordre de grandeur de ce que peut coûter un incident cyber significatif, avec perte d'exploitation, à une PME en France. Cette valeur est une estimation de notre cabinet, pas une moyenne de marché : les estimations publiques varient fortement selon le périmètre retenu, de quelques milliers d'euros pour un incident mineur à plusieurs centaines de milliers pour une attaque majeure. Les TPE et PME restent d'ailleurs les premières cibles, comme le rappelle l'étude de maturité cyber des TPE-PME 2025 de cybermalveillance.gouv.fr. Ce montant agrège la perte financière directe, la perte d'exploitation pendant l'arrêt forcé, et les frais de gestion de crise : assistance, notification des tiers, frais juridiques.
Ce que la majorité des dirigeants ignorent : leur contrat d'assurance PME actuel ne couvre qu'une fraction de ce montant. Dans certains cas, il ne couvre rien du tout. Non par négligence, mais parce que les risques financiers liés au cyber n'entrent tout simplement pas dans le périmètre des contrats classiques.
Une couverture qui protège vos serveurs mais pas votre trésorerie
Les PME qui traitent des volumes de transactions élevés présentent une exposition cyber particulièrement forte. Commandes fournisseurs passées par email, paiements acheteurs, bons de livraison numérisés, accès aux ERP de gestion de stock : chaque outil connecté est un point d'entrée potentiel pour un fraudeur.
Pourtant, la grande majorité des dirigeants abordent le sujet sous l'angle informatique : antivirus, sauvegardes automatiques, pare-feu. Ces mesures protègent vos données. Elles ne protègent pas votre trésorerie.
La fraude au virement bancaire, le faux ordre de virement (FOVI), l'ingénierie sociale ciblant un comptable ou un acheteur : ce sont des risques financiers, pas informatiques. Et les polices d'assurance PME classiques, responsabilité civile professionnelle comme multirisque professionnelle, ne couvrent pas ce type de sinistre.
Résultat concret : une PME qui subit une fraude fournisseur de 80 000€ se retrouve souvent seule à absorber la perte. Son contrat actuel indemnise la restauration du serveur. Le virement sorti du compte ne revient pas.
Dans le secteur agroalimentaire, où les marges nettes sont souvent étroites (de l'ordre de quelques pour cent du chiffre d'affaires selon les contrats que nous auditons) et où les flux de paiement représentent plusieurs millions d'euros par mois, cette lacune n'est pas un détail. C'est un risque de bilan. Lors de nos audits de contrats d'assurance PME agroalimentaire, nous retrouvons systématiquement cette configuration : une couverture cyber qui existe, mais qui ne couvre pas les risques réels de l'activité.
Ce qui se passe si cette lacune n'est pas corrigée
À 97 000€ de perte, un incident cyber significatif représente, d'après notre estimation, environ 2 à 3 mois de marge nette pour une PME de 25 M€ de chiffre d'affaires dans le secteur agroalimentaire (sur la base d'une marge nette de l'ordre de 2% du chiffre d'affaires, hypothèse de travail propre à notre cabinet). Une trésorerie qui ne se reconstitue pas en une saison.
Pour un dirigeant engagé dans la gestion patrimoine dirigeant et la préparation à la transmission de son entreprise, cette perte a une double conséquence. Financière immédiate : le bilan de l'année du sinistre est dégradé. Patrimoniale ensuite : la valorisation de l'entreprise à la cession intègre les résultats des trois à cinq dernières années. Un exercice fortement impacté pèse directement sur le multiple de valorisation et, in fine, sur ce que vous emportez réellement de la vente.
La question n'est pas de savoir si votre PME peut être ciblée. Elle l'est peut-être déjà. La question est de savoir si votre contrat vous protège des pertes financières qui suivent. Dans la grande majorité des PME que nous auditons, la réponse est non.
Ce qu'une cyber assurance PME agroalimentaire doit vraiment couvrir
Une cyber assurance bien calibrée ne se limite pas à la restauration des données ou au paiement d'une rançon. Elle couvre trois périmètres distincts, que votre contrat actuel ignore probablement.
La perte financière directe. La garantie fraude transactionnelle doit être explicitement incluse, avec un plafond calibré à votre volume de flux mensuels. Si vous traitez 2 M€ de virements par mois et que votre plafond fraude est à 25 000€, vous avez un contrat qui couvre 1,25% du risque réel. C'est aussi la garantie la plus souvent absente ou plafonnée à des montants sans rapport avec l'exposition effective.
La perte d'exploitation pendant l'arrêt. Quand votre ERP est bloqué, vos commandes s'arrêtent. Chaque jour d'indisponibilité a un coût mesurable en marge brute perdue. Une cyber assurance PME adaptée couvre cette perte pendant la durée d'arrêt effectif, généralement plafonnée à 30, 90 ou 180 jours selon le contrat. Dans l'agroalimentaire, où les EDI fournisseurs et les systèmes de commande sont interconnectés, le délai de reprise réelle peut être sensiblement supérieur au délai de restauration informatique.
Les frais de gestion de crise. Investigation forensique pour identifier l'origine de la faille, frais d'avocat, communication de crise, notification des clients ou fournisseurs concernés, reconstitution des données : ces postes s'accumulent rapidement dans les premières semaines suivant un incident. Les meilleurs contrats cyber les couvrent dès le premier euro, avec une cellule de crise disponible 24h/24 dès la déclaration du sinistre.
Pour aller plus loin sur les fondamentaux de la couverture assurance perte d'exploitation et ses interactions avec la garantie cyber, notre équipe peut vous accompagner.
Les quatre exclusions qui vident un contrat cyber de sa substance
Lors de nos audits de contrats auprès de PME, nous identifions quatre exclusions récurrentes qui fragilisent massivement la couverture réelle.
L'exclusion des pertes liées à la fraude humaine. Beaucoup de contrats couvrent les attaques techniques, ransomware, phishing automatisé, intrusion dans les systèmes, mais excluent explicitement les fraudes reposant sur la manipulation d'un employé. Or, c'est précisément le vecteur le plus utilisé dans les PME du secteur agroalimentaire : un email frauduleux imitant un fournisseur régulier, une fausse facture avec changement de coordonnées bancaires, un appel téléphonique simulant un prestataire informatique. Si votre contrat exclut "les actes frauduleux commis par manipulation d'un tiers", il ne couvre pas les fraudes les plus courantes à Rungis.
L'exclusion de la responsabilité envers des tiers. Si votre système est compromis et que la faille affecte un client ou un fournisseur, données exposées ou commandes falsifiées, votre responsabilité civile professionnelle standard ne couvre pas cette exposition en contexte cyber. Une garantie RC cyber dédiée doit être explicitement incluse.
Le plafond de garantie sous-dimensionné. Un plafond de 50 000€ sur un sinistre significatif de 97 000€, c'est une assurance qui couvre à peine la moitié du risque réel. Le calibrage du plafond en fonction de votre exposition transactionnelle est l'un des points les plus sous-estimés à la souscription. Un dirigeant qui réduit sa prime de 30% en divisant son plafond par deux fait une économie qui lui coûtera très cher en cas de sinistre.
La durée d'indemnisation perte d'exploitation insuffisante. Trois ou six mois de couverture pour une activité qui met 8 à 12 mois à retrouver son rythme normal : c'est le même type d'erreur que sur la perte d'exploitation classique. La restauration informatique peut ne prendre que quelques semaines, mais la reprise complète de l'activité est bien plus longue. La durée d'indemnisation doit couvrir le temps de reprise réelle, pas le temps de remise en état du serveur.
Évaluer votre exposition réelle avant de choisir une couverture
L'exposition cyber d'une PME se mesure à travers quatre facteurs concrets, qui déterminent directement le niveau de couverture nécessaire.
Le volume transactionnel mensuel. Pour une PME de 25 M€ de chiffre d'affaires dans l'agroalimentaire, les flux de paiement représentent en moyenne 2 à 2,5 M€ par mois. C'est la surface d'exposition financière maximale à un incident de fraude. La couverture doit être calibrée proportionnellement à ce volume.
Le niveau de digitalisation des achats. Un ERP connecté aux systèmes fournisseurs, des commandes passées par email, une gestion documentaire partagée : chaque outil numérique est un point d'entrée supplémentaire. La digitalisation des processus d'achat dans le secteur agroalimentaire a progressé depuis 2020. L'exposition cyber a suivi la même trajectoire.
La maturité des procédures internes. Une PME dotée d'une procédure formalisée de double validation des virements et d'une liste blanche de coordonnées bancaires fournisseurs présente une exposition inférieure à celle qui traite les demandes de changement de RIB par simple retour d'email. Ces procédures influencent directement les conditions de souscription et le niveau de prime.
L'ancienneté du contrat en vigueur. Un contrat souscrit avant 2020 couvre rarement les risques actuels. Le marché de la cyber assurance a évolué massivement ces cinq dernières années en réponse à l'explosion des sinistres. Un contrat ancien peut contenir des définitions du risque cyber qui ne correspondent plus à la réalité des attaques actuelles. L'Agence Nationale de la Sécurité des Systèmes d'Information publie chaque année un panorama de la cybermenace qui illustre cette évolution et confirme que les PME, TPE et ETI restent les premières cibles.
Deux exemples concrets
Importateur agroalimentaire, CA 28 M€. Le contrat cyber en vigueur coûtait 4 200€ de prime annuelle. Il plafonnait la garantie fraude à 25 000€ et excluait explicitement "les actes frauduleux commis par manipulation d'un tiers interne ou externe à l'entreprise". En pratique, cette formulation rendait le contrat inopérant face aux fraudes transactionnelles les plus courantes. Après audit et renégociation, la prime a augmenté de 1 400€ par an. Le plafond fraude est passé à 200 000€. Les exclusions liées à l'ingénierie sociale ont été supprimées du contrat.
Grossiste en produits surgelés, CA 18 M€. La couverture perte d'exploitation était plafonnée à 3 mois. Lors d'une simulation d'incident, la restauration informatique du système a pris environ 45 jours, mais la reprise complète et normale des commandes a nécessité 8 mois. Correction : durée d'indemnisation portée à 12 mois, pour une surprime de 680€ annuels. Le coût d'un sinistre réel sur cette durée manquante aurait représenté 640 000€ de marge brute non couverte.
Dans les deux cas, le coût de correction du contrat était inférieur à 1 500€ par an. La différence de couverture en cas de sinistre : plusieurs centaines de milliers d'euros. Ces deux exemples sont propres à des dossiers réels : ils sont donnés à titre d'illustration, ne sont pas représentatifs et ne préjugent d'aucun résultat garanti.
Pour une approche globale incluant votre transmission entreprise familiale et la sécurisation de votre patrimoine, notre équipe vous accompagne à chaque étape.
Questions fréquentes sur la cyber assurance PME
Ma responsabilité civile professionnelle ne couvre-t-elle pas déjà ce type de sinistre ?
Non. La RC professionnelle couvre votre responsabilité envers des tiers pour des faits générateurs liés à votre activité. Elle n'a pas vocation à couvrir vos propres pertes financières (fonds sortis du compte) ni votre perte d'exploitation liée à un blocage informatique. Ces risques nécessitent une garantie cyber dédiée avec des clauses spécifiques à ce type de sinistre.
Quel plafond de garantie prévoir pour une PME de 20 à 30 M€ de chiffre d'affaires ?
Le plafond minimum que nous recommandons pour ce profil est de 150 000€ sur la garantie fraude transactionnelle, avec une durée d'indemnisation perte d'exploitation d'au moins 12 mois calculée sur votre marge brute réelle. Ces chiffres doivent être ajustés à votre volume de flux mensuels et à votre niveau de digitalisation des achats.
Un contrat cyber protège-t-il aussi contre la fraude fournisseur ?
Cela dépend des clauses. La fraude fournisseur, c'est-à-dire le changement frauduleux de coordonnées bancaires d'un fournisseur existant, doit être explicitement incluse dans le périmètre de la garantie fraude. Certains contrats l'excluent, d'autres la plafonnent séparément. C'est l'un des premiers points que nous vérifions lors d'un audit de contrat.
Une PME de taille modeste est-elle vraiment une cible pour les fraudeurs ?
Oui. Les fraudeurs ciblent les PME précisément parce qu'elles présentent des flux financiers significatifs avec des procédures de contrôle souvent moins formalisées que les grandes entreprises. Une PME de 25 M€ de chiffre d'affaires qui traite 2 M€ de virements par mois, sans procédure de double validation, est une cible plus accessible qu'une ETI avec des contrôles à plusieurs niveaux. La taille n'est pas le critère : c'est le rapport entre la valeur des flux et la robustesse des procédures.
Comment savoir si mon contrat actuel est adapté à mon activité ?
Le moyen le plus direct est un audit de vos contrats d'assurance en vigueur. Chez Trigone Patrimoine, cet audit est gratuit et sans engagement. Il couvre la lecture de vos conditions générales et particulières, l'identification des exclusions qui fragilisent votre couverture réelle, et une comparaison avec les offres du marché adaptées à votre exposition actuelle. Comptez une heure pour en sortir avec une vision claire de votre situation.
Votre contrat cyber couvre-t-il vraiment un sinistre à 97 000€ ?
La réponse à cette question tient en une heure d'audit. Chez Trigone Patrimoine, nous lisons vos conditions générales, nous identifions les exclusions, et nous vous présentons les ajustements nécessaires pour que votre couverture soit calibrée à votre exposition réelle.
Cette démarche s'inscrit dans une approche de protection globale des actifs que vous avez bâtis. Un contrat cyber inadapté n'est pas seulement un risque financier immédiat. C'est une variable qui peut peser sur la valorisation de votre entreprise le jour où vous choisirez de transmettre.
Prenez rendez-vous directement :
Thierry Petit : +33 (0)1 79 36 35 33
Présent à Rungis (513 rue de la Tour, 94550) et à Neuilly-sur-Seine (24 rue Pierret, 92200).
