Assurance cyber des professionnels : prix 2026 et garanties

Prix cyber par métier en 2026

Le plafond choisi et l'effectif fixent l'essentiel du prix : environ 400 € par an pour un indépendant seul, puis 600 à 1 500 € pour 100 000 à 250 000 € garantis dans une structure de moins de 10 salariés. Votre effectif, la nature des fichiers que vous gardez, vos accès à distance chez les clients et vos protections font le reste de l'écart entre deux métiers.

Les 72 heures qui comptent : plainte, CNIL et clients

Une cyberattaque n'est indemnisée que si la victime a déposé plainte moins de 72 heures après avoir constaté l'atteinte : le Code des assurances l'exige depuis le 24 avril 2023 (article L12-10-1). La règle vise les entreprises et les professionnels attaqués dans leur activité, et elle s'applique aussi aux contrats signés avant cette date. Quand des données personnelles ont fuité, le RGPD ajoute ses propres délais :

• Vous êtes responsable du traitement, pour vos clients, vos patients ou vos salariés : vous déclarez la violation à la CNIL au plus vite, si possible sous 72 heures, sauf si la violation ne présente aucun risque pour les personnes (article 33). Si le risque est élevé, vous les prévenez aussi dans les meilleurs délais (article 34).
• Vous êtes sous-traitant, pour la paie, l'hébergement ou la maintenance d'un client : vous l'alertez sans attendre, et c'est lui qui décide de notifier. C'est la situation du consultant RH qui garde les exports de paie de ses clients, ou de l'éditeur de logiciel qui héberge leurs bases.
• Chaque violation se consigne dans votre registre interne, même quand aucune notification n'est due.

En 2025, 6 167 violations ont été notifiées à la CNIL, soit 9,5 % de plus en un an, et le piratage informatique explique environ la moitié d'entre elles. Le contrat cyber met un expert sur l'incident dès votre déclaration, finance l'analyse qui dit s'il faut notifier, puis les courriers aux personnes concernées : vous tenez les délais sans chercher seul un prestataire en pleine crise.

Faux RIB, rançon, arrêt d'activité : la garantie qui paie

Faux RIB, rançon et arrêt d'activité relèvent chacun d'une garantie distincte du contrat cyber, le plus souvent proposée en option.

• Le faux RIB : un courriel qui imite un fournisseur, un bailleur ou un client annonce de nouvelles coordonnées bancaires, et le virement part chez l'escroc. La somme détournée relève de l'option fraude au virement, souvent vendue à part et dotée de son propre plafond. Pour une agence de voyage qui règle ses prestataires ou un graphiste qui paie ses tirages à l'imprimeur, c'est la première option à ajouter.
• La rançon : un rançongiciel chiffre vos postes, et un groupe exige un paiement, parfois en menaçant de publier vos fichiers. L'option extorsion paie les spécialistes qui conduisent la crise et, selon le contrat, les frais liés à la demande, dans un plafond dédié. La plainte sous 72 heures conditionne là aussi le versement.
• L'arrêt d'activité : la perte d'exploitation compense le chiffre d'affaires ou la marge perdus pendant que vos outils sont à l'arrêt, au-delà d'une franchise comptée en heures, souvent située entre 8 et 24 heures. Un hôtel dont les réservations tombent un vendredi soir a intérêt à la choisir courte.

Le reste, experts, restauration des données et défense face à un client, figure dans le socle du contrat. Indiquez au devis le montant de vos virements les plus élevés et les heures où votre activité ne peut pas s'arrêter : les plafonds et la franchise se choisissent à partir de là.

Santé, identité, paie : les fichiers qui font monter le prix

Après le plafond, c'est la nature des fichiers que vous détenez qui pèse le plus sur le prix d'une assurance cyber. Une donnée de santé, au sens de la CNIL, renseigne sur l'état de santé d'une personne, physique ou mental, qu'il soit passé, présent ou futur : l'historique de délivrance d'une pharmacie, le dossier de tiers payant d'un opticien ou la demande d'assistance d'un voyageur à mobilité réduite dans une agence de voyage en sont. Quand leur fuite expose les personnes à un risque élevé, chacune doit être prévenue.

Trois autres familles de fichiers pèsent autant dans le questionnaire de l'assureur :

• Les pièces d'identité et justificatifs : passeports d'un voyage de groupe, dossiers de connaissance client d'un conseiller en gestion de patrimoine, avis d'imposition des candidats à une location.
• La paie et les coordonnées bancaires : un intrus dans le logiciel de paie d'un cabinet comptable peut remplacer le RIB des salariés d'un client avant le versement des salaires.
• Les candidatures : la CV-thèque d'un cabinet de recrutement réunit profils, comptes rendus d'entretien et prétentions salariales.

Dans ces métiers, demandez un plafond relevé et vérifiez que la responsabilité liée aux données vise aussi vos clients professionnels. L'assureur regarde ensuite vos protections : double authentification sur la messagerie et les comptes d'administration, sauvegardes déconnectées et testées, postes chiffrés. À taille égale, ces réponses peuvent faire varier la prime du simple au triple.