Les primes cyber baissent parce que la concurrence entre assureurs a rouvert un marché favorable aux acheteurs après la période de tension. Les sinistres, eux, montent en nombre et en montant : l’écart entre ce que les assureurs encaissent et ce qu’ils indemnisent se resserre. Le ratio sinistres/primes est passé de 12 % à 17 % en 2024 selon l’AMRAE. La baisse des tarifs ressemble donc moins à un risque qui recule qu’à une fenêtre de négociation dont rien ne garantit la durée. Elle vaut d’être exploitée, mais sur le périmètre de la couverture plutôt que sur le seul prix.
Deux courbes qui divergent
Côté prix, le mouvement est net pour les grandes entreprises. Le taux de prime annuel moyen est passé de 2,37 % à 1,90 % en 2024, soit environ -18 %. En 2025, la baisse moyenne atteint -32 %, la plus forte jamais observée sur ce marché selon l’étude LUCY 2026 de l’AMRAE. Les ETI suivent : -10 % en 2024, puis -23 % en 2025. Le volume global de primes collectées recule lui aussi, à 317 M€ en 2024 contre 328 M€ en 2023, sur le périmètre couvert par l’étude LUCY.
Côté sinistres, la trajectoire est inverse. Les montants indemnisés sont passés de 38 M€ en 2023 à 55 M€ en 2024 (+43 %), puis à 83,2 M€ en 2025 contre 54,5 M€ l’année précédente (+53 %), sur 1 251 sinistres analysés. Le léger écart sur le chiffre de 2024 (55 M€ dans une étude, 54,5 M€ dans l’autre) tient vraisemblablement à l’arrondi ou au périmètre : lisez ces valeurs comme des ordres de grandeur. France Assureurs relève de son côté une hausse de 35 % de la fréquence des sinistres cyber entre 2024 et 2025.
Comment les deux peuvent coexister
Trois éléments se combinent. D’abord, le ratio sinistres/primes reste modéré en valeur absolue : 17 % en 2024 laisse une marge confortable à l’assureur, même si le chiffre remonte depuis 12 %. Un marché dont la marge technique est large attire des acteurs et pousse à la baisse des taux, c’est la mécanique classique d’un marché concurrentiel.
Ensuite, la sinistralité est concentrée. Chez les grandes entreprises, l’AMRAE comptait 51 sinistres en 2024 contre 28 en 2023, dont deux supérieurs à 10 M€. Quand quelques cas lourds pèsent autant dans le total, une année peut sembler clémente pour l’assureur tout en cachant une volatilité réelle. Un seul sinistre de cette taille pèse déjà lourd dans un portefeuille.
Enfin, la baisse des primes et la hausse des sinistres n’ont pas la même temporalité. Les tarifs se fixent à chaque renouvellement, en fonction de la concurrence du moment et de l’appétit de chaque assureur. Les sinistres, eux, arrivent au rythme des attaques et des erreurs, avec un décalage de déclaration et d’indemnisation. Le marché peut donc rester « mou » côté prix pendant que les résultats techniques se dégradent progressivement. Ce décalage est précisément ce qui rend l’écart fragile.
Ce que la recherche permet d’affirmer, et ce qu’elle ne permet pas
Les données constatent la divergence, de façon cohérente d’une source à l’autre. Elles ne disent pas où vont les tarifs. Aucune des études citées ne prévoit si les primes continueront de baisser, se stabiliseront ou remonteront. Le marché américain donne une indication de contexte : première baisse annuelle de son histoire en 2024 (-7,1 %, à 9,14 Mds$ de primes directes écrites selon la NAIC), mais les assureurs y ont reversé 53 % de leurs primes cyber en indemnités et frais de défense en 2025, contre 48,7 % en 2024. La sinistralité pèse donc davantage sur les résultats, sans que cela dise ce que feront les prix français.
Deux facteurs peuvent faire basculer vite le marché : un événement systémique et une accumulation de sinistres lourds. L’incident CrowdStrike de juillet 2024, qui a touché 8,5 millions de systèmes, a généré selon la NAIC entre 400 M$ et 1,5 Md$ de pertes assurées estimées. Ce type d’épisode peut dégrader brutalement des résultats et modifier les conditions de souscription pour tout le monde.
Ce que cela change pour votre renouvellement
Le premier réflexe raisonnable est de profiter de la fenêtre : si votre contrat arrive à échéance ou si vous n’êtes pas encore couvert, le rapport de force est plus favorable qu’il ne l’a été ces dernières années. Mais les moyennes de marché ne s’appliquent pas mécaniquement à votre cas. Les -32 % des grandes entreprises ou les -23 % des ETI décrivent des moyennes, pas ce que vous obtiendrez. Votre sinistralité propre, la qualité de votre prévention et votre taille déterminent la part de la baisse que vous pouvez capter.
Un point d’attention concerne les profils plus fragiles. Une entreprise ayant subi un sinistre récent, ou dont la maturité cyber est faible, peut ne pas bénéficier de la baisse moyenne et rencontrer des conditions plus strictes. Pour elle, documenter les mesures de prévention en place pèse davantage dans la négociation que le tarif de référence du marché.
Le prix seul ne dit rien de ce que vous achetez. Une prime plus basse peut s’accompagner d’un plafond réduit, d’exclusions élargies ou d’une franchise plus lourde. Comparer deux offres sur le tarif sans comparer leur périmètre est le moyen le plus sûr de se tromper. Quatre points méritent d’être vérifiés ligne à ligne :
- Les plafonds : par sinistre et par année, et leur adéquation avec ce que coûterait réellement une interruption d’activité chez vous.
- Les exclusions : celles qui touchent les événements systémiques, les défauts de mise à jour ou de sauvegarde, et les actes d’un tiers prestataire.
- La franchise et les délais de carence : une franchise élevée ou une période d’attente longue pour l’indemnisation des pertes d’exploitation change la valeur réelle du contrat.
- Les garanties adaptées à votre menace principale : fraude au virement, intrusion, rançongiciel ou panne d’un fournisseur.
Quel sinistre redouter pour choisir les garanties
La menace la plus médiatisée n’est pas forcément la plus fréquente. Aux États-Unis, selon Coalition (un assureur, donc une source du secteur), 60 % des sinistres cyber de 2024 provenaient de la compromission de messagerie professionnelle et de la fraude aux virements, et non de rançongiciels. Ce périmètre est américain et ne se transpose pas tel quel à la France, mais il invite à vérifier un point précis : votre contrat couvre-t-il la fraude au virement et l’usurpation d’identité de dirigeant, et à quelles conditions (procédures de double validation exigées, plafond spécifique) ? Ces garanties sont parfois sous-limitées ou conditionnées, ce qui échappe à une lecture centrée sur le seul rançongiciel.
Le cas des entreprises de taille moyenne
La hausse la plus brutale apparaît chez les entreprises de taille moyenne : +353 % du nombre de sinistres et +92 % du montant global indemnisé en 2024, selon l’AMRAE. La prudence s’impose avec ces pourcentages, car la recherche ne donne pas les volumes absolus et une base de départ faible gonfle mécaniquement la hausse. Le signal reste utile : ces entreprises sont de plus en plus souvent touchées et de plus en plus souvent indemnisées, ce qui les place dans une situation différente des grands comptes. Leur marge de négociation sur le prix est probablement plus étroite que celle des grandes entreprises, d’où l’intérêt de concentrer l’effort sur le périmètre de garanties plutôt que sur la dernière fraction de prime.
Une démarche raisonnable
Si votre échéance approche, ouvrez la discussion maintenant plutôt que d’attendre un signe de retournement qu’aucune donnée ne permet d’anticiper. Demandez des offres comparables garantie par garantie, faites chiffrer vos scénarios de perte (arrêt d’activité, fraude, restauration des données) pour juger si les plafonds sont suffisants, et vérifiez que la baisse de prime ne s’obtient pas par un retrait discret de couverture. Une baisse acquise sur un contrat de qualité vaut mieux qu’une économie supplémentaire sur un contrat qui ne paiera pas le sinistre qui vous menace le plus.
Gardez aussi à l’esprit que le contexte assurantiel plus large se durcit par endroits : les mécanismes qui poussent les tarifs de vos autres contrats à la hausse en 2027 rappellent qu’un marché favorable à l’acheteur sur une branche n’est pas acquis durablement sur les autres.