Le marché mondial de la cyber assurance a atteint 14 milliards de dollars en 2023 (Munich Re). Il devrait dépasser 22 milliards en 2025. Mais cette croissance masque une transformation structurelle : les assureurs ne proposent plus de couvertures standardisées. Ils exigent des preuves de conformité documentées, des plans de réponse aux incidents formalisés, et une gouvernance des risques tiers conforme à NIS2 et DORA. Pour les organisations qui considèrent encore la cyber assurance comme un filet de sécurité plutôt que comme un cadre d'exigences, le réveil est brutal. Dans cet article, vous découvrirez comment les critères de souscription ont évolué en 2026, quelles erreurs éliminent des organisations du marché de la couverture, et ce que les organisations bien couvertes font différemment.
Un marché qui ne couvre plus les mêmes risques qu'en 2022
NIS2 et DORA ont accéléré une transformation que le marché assurantiel amorçait déjà. Après deux années de pertes record — les ransomwares représentaient 75 % des sinistres cyber en 2023 selon Hiscox — les assureurs ont profondément révisé leurs grilles de souscription à partir de mi-2024. Le résultat n'est pas seulement une hausse de primes : c'est une sélection structurellement plus fine des risques.
La transformation se joue sur trois axes. D'abord, les questionnaires de souscription sont devenus des audits de maturité. AXA XL, Allianz Cyber et SCOR publient désormais des référentiels d'exigences qui cartographient directement les articles de NIS2 (Art. 21 — mesures de gestion des risques) et de DORA (Art. 5-14 — cadre de résilience ICT). Un assureur peut refuser une couverture si l'organisation ne peut pas démontrer un programme de gestion des risques tiers documenté.
Ensuite, les franchises et plafonds de couverture sont devenus conditionnels. Une organisation sans MFA généralisé sur les accès privilégiés verra sa franchise doubler ou tripler. Une organisation sans plan de réponse aux incidents testé dans les 12 derniers mois peut se voir appliquer une exclusion explicite sur les coûts de récupération ransomware — précisément le sinistre le plus fréquent.
Enfin, les exclusions se sont affinées. Les polices 2026 excluent désormais les incidents liés à des vulnérabilités connues non patchées (CVE avec score CVSS supérieur à 7 non corrigé sous 30 jours), aux tiers non qualifiés contractuellement, et aux configurations de sauvegarde non testées. Ces exclusions couvrent les vecteurs d'entrée des trois quarts des sinistres déclarés.
Ce que les assureurs exigent réellement en 2026
La demande des assureurs peut se résumer en cinq blocs de preuves — et aucun ne peut être produit à la dernière minute.
Gouvernance des risques formalisée. Un registre des risques actualisé, documenté, présenté au Comex au moins annuellement. NIS2 Art. 21 en constitue le cadre pour les entités dans scope. Sans ce document produit en moins de 48h à la demande de l'assureur, certaines polices ne peuvent pas être émises.
Gestion des tiers documentée. Sous l'influence de DORA (Art. 28 pour les entités financières), les assureurs demandent une liste des prestataires ICT critiques, leurs niveaux de service contractuels, et la preuve d'une évaluation de leur résilience. C'est précisément le périmètre que le TPRM est censé couvrir — et que beaucoup d'organisations n'ont pas encore formalisé.
Plans de réponse aux incidents testés. Un document de plan non testé est insuffisant. Les assureurs exigent la preuve d'exercices (tabletop, simulation d'incident) conduits dans les 12 mois précédant la souscription. DORA Art. 26 impose ces tests pour les entités financières — l'assurance ne fait qu'aligner ses exigences sur le cadre réglementaire.
Hygiène cyber démontrable. MFA sur les accès privilégiés, politique de gestion des correctifs (patch sous délai selon criticité CVSS), EDR déployé sur tous les endpoints, sauvegardes chiffrées et testées. Ces éléments sont devenus des prérequis, pas des facteurs différenciants.
Chaîne d'audit traçable. La capacité à produire une preuve documentée de ces éléments dans les 48h après un sinistre. C'est ici que les organisations sans plateforme GRC centralisée se retrouvent en difficulté — et parfois refusées de paiement sur la base d'une clause de manquement aux mesures préventives déclarées.
L'erreur classique : confondre couverture et programme
La confusion la plus fréquente consiste à traiter la cyber assurance comme un substitut au programme de sécurité. On souscrit une police, on coche la case « couvert contre les cyber-risques », et on reste structurellement vulnérable.
Cette logique s'est retournée. Les assureurs savent désormais précisément quelles organisations subiront un sinistre : ce sont celles dont le questionnaire de souscription révèle un programme de sécurité incomplet. La réponse des assureurs n'est pas de couvrir ces risques à un prix plus élevé — c'est de les exclure du marché ou d'appliquer des franchises si élevées que la couverture est de facto sans valeur.
L'erreur secondaire est de ne se préoccuper de la conformité qu'au moment du renouvellement annuel. Les organisations qui obtiennent les meilleures conditions maintiennent un programme de conformité documenté en continu, qui génère naturellement les preuves que l'assureur demande — parce que ces preuves sont aussi celles que l'ANSSI, un auditeur NIS2 ou un régulateur DORA demanderait lors d'un contrôle. La conformité continue n'est pas un surcoût de la cyber assurance. Elle en est la condition préalable.
Trois questions pour évaluer votre position
Avant votre prochain renouvellement de police, posez-vous ces trois questions.
Pouvez-vous produire en 48h un registre des risques actualisé, validé au niveau Comex ? Si la réponse est « en partie » ou « non », votre dossier de souscription est exposé — et votre prime ou vos exclusions en portent le coût dès la prochaine émission.
Disposez-vous d'un inventaire formalisé de vos prestataires ICT critiques, avec leurs SLA contractuels et la preuve d'une évaluation récente ? L'absence de réponse documentée à cette question déclenche systématiquement une hausse de franchise chez les principaux assureurs cyber du marché européen.
Pouvez-vous fournir la preuve d'un exercice de plan de réponse aux incidents conduit dans les 12 derniers mois ? Ce critère, absent des questionnaires de souscription il y a encore trois ans, est aujourd'hui systématiquement vérifié lors de toute nouvelle souscription ou renouvellement au-delà de 500 000 € de couverture.
Presidio centralise ces preuves en continu : registre des risques, suivi TPRM, chaîne d'audit immuable. Lire aussi notre analyse sur les 7 pièges au démarrage d'un programme TPRM, ou contacter notre équipe pour un entretien de cadrage adapté à votre contexte.
Conclusion
Le marché de la cyber assurance est en train de devenir un miroir de la maturité réglementaire des organisations. Celles qui investissent dans un programme GRC documenté, continu et auditable ne paient pas leur assurance cyber plus cher — elles paient moins, avec de meilleures conditions et moins d'exclusions. Celles qui traitent la conformité comme une case à cocher paient plus, ou ne trouvent plus de couverture adaptée à leur profil de risque réel. La convergence entre exigences réglementaires (NIS2, DORA) et exigences assurantielles n'est pas une coïncidence : c'est le marché qui produit les mêmes incitations que le régulateur. Les organisations qui l'ont compris ont pris une avance structurelle sur leurs concurrentes — en coûts, en résilience, et en crédibilité auprès de leurs propres parties prenantes.