Combien coûte une cyberattaque pour une PME ?

02/10/2026 Par : Fortalicia
Accueil Articles blog Combien coûte une cyberattaque pour une PME ?

Une cyberattaque est un risque financier qui dépasse presque toujours l’estimation initiale d’un dirigeant, bien au-delà du seul incident technique. Entre les frais immédiats, la perte d’exploitation et les sanctions éventuelles, le coût réel se construit sur plusieurs mois, bien au-delà des premiers jours.

L’essentiel
  • En 2025, le montant moyen d’un sinistre cyber indemnisé s’élevait à environ 23 000 € pour une entreprise de taille moyenne et 116 000 € pour une ETI, en hausse de 53 % sur un an tous segments confondus (AMRAE, étude LUCY, édition 2026).
  • Une cyberattaque engage des coûts directs immédiats (expertise technique, restauration, frais juridiques), bien avant que la perte d’exploitation ne se chiffre.
  • La perte d’exploitation, liée à l’arrêt de production ou à l’indisponibilité d’un service, reste souvent le poste de dépense le plus lourd, et le plus difficile à anticiper.
  • Une fuite de données personnelles expose à une sanction RGPD pouvant atteindre 4 % du chiffre d’affaires mondial ou 20 millions d’euros, selon le montant le plus élevé.
  • Les dommages immatériels (réputation, compétitivité) ne figurent sur aucune facture mais pèsent sur plusieurs mois, parfois plusieurs années.
Les coûts directs et immédiats

Deux personnes en discussion autour d'un document professionnel

Dès les premières heures d’une attaque, l’entreprise engage des dépenses imprévues et non budgétées :

  • Frais d’expertise : des spécialistes doivent identifier la faille exploitée et nettoyer les systèmes avant toute restauration.
  • Restauration des données : récupérer et réinstaller les sauvegardes saines demande du temps, parfois du matériel de remplacement.
  • Frais juridiques : un conseil devient souvent nécessaire pour gérer les notifications légales et le dépôt de plainte.
La perte d’exploitation, le poste le plus lourd

Les coûts directs sont rarement les plus élevés. La perte d’exploitation, c’est-à-dire l’activité non réalisée pendant l’arrêt du système, dépasse fréquemment les frais techniques :

  • Arrêt de production : des machines ou des logiciels bloqués signifient une production interrompue, sans chiffre d’affaires en contrepartie.
  • Ventes perdues : un site marchand indisponible ou des commerciaux privés d’accès à leurs devis stoppent immédiatement une partie du chiffre d’affaires.
  • Salaires maintenus : les employés continuent d’être rémunérés même lorsqu’ils ne peuvent plus travailler normalement à cause de la panne.

Exemple :
une entreprise de services dont le portail client reste indisponible plusieurs jours voit une partie de ses clients se tourner, au moins temporairement, vers un concurrent disponible.

Selon l’étude LUCY de l’AMRAE, portant sur plus de 1 250 sinistres cyber indemnisés en France en 2025, le montant total des sinistres a bondi de 53 % sur un an, atteignant 83,2 millions d’euros contre 54,5 millions en 2024, une hausse tirée principalement par les ETI, dont le montant des sinistres a quadruplé.

Personne travaillant sur un ordinateur portable dans un bureau

Sanctions et responsabilités

Le piratage peut entraîner des conséquences réglementaires distinctes du coût technique de l’incident :

  • Sanctions RGPD : en cas de manquement caractérisé à la protection des données personnelles, la CNIL peut infliger une amende pouvant atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, selon le montant le plus élevé.
  • Responsabilité civile : des clients ou partenaires dont les données ont été compromises via l’entreprise attaquée peuvent engager sa responsabilité et réclamer des dommages et intérêts.

Point de vigilance :
une fuite de données personnelles ouvre une obligation de notification à la CNIL sous 72 heures, indépendamment de la question de la restauration technique du système.

Les dommages immatériels et durables

Certains coûts ne figurent sur aucune facture mais pèsent durablement sur l’activité :

  • Atteinte à la réputation : la perte de confiance de clients ou de partenaires peut entraîner des résiliations de contrats, parfois plusieurs mois après l’incident.
  • Perte de compétitivité : le vol de secrets industriels ou de fichiers clients profite directement à des concurrents, sans qu’il soit toujours possible d’en mesurer l’ampleur exacte.
Prévenir et transférer le risque, deux réponses complémentaires

Face à un risque dont le montant final reste difficile à prévoir à l’avance, deux leviers se complètent plutôt qu’ils ne s’excluent : réduire la probabilité qu’une attaque réussisse (audit, supervision continue), et transférer une partie de l’impact financier résiduel à un contrat d’assurance cyber qui prend en charge la gestion de crise, les frais juridiques et une partie de la perte d’exploitation.

FORTALICIA articule ces deux réponses dans un même dispositif : un audit et une supervision 24/7 pour réduire le risque qu’un incident survienne, et une assurance cyber pour absorber ce qui reste malgré tout, le jour où la protection cède.

Personne signant un document contractuel avec un stylo

Chiffrer l’exposition réelle avant qu’elle ne se matérialise

Les données de sinistralité AMRAE montrent une hausse marquée du coût des cyberattaques en 2025, tous segments confondus, ce qui rend l’estimation à froid plus pertinente qu’une évaluation après coup. FORTALICIA propose de réduire ce risque en amont et d’en transférer une partie à travers une assurance cyber adaptée à la taille réelle de l’entreprise. Contactez nos experts pour évaluer votre exposition réelle.

Questions fréquentes

Une petite structure risque-t-elle le même coût qu’une grande entreprise ?
Le montant absolu diffère selon la taille, mais le poids relatif du coût sur la trésorerie est souvent plus lourd pour une petite structure, qui dispose de réserves financières plus limitées pour absorber un arrêt d’activité.

Quel est le poste de coût le plus imprévisible ?
La perte d’exploitation, car elle dépend directement de la durée de l’indisponibilité et de la capacité de l’entreprise à maintenir son activité par d’autres moyens pendant l’incident.

Une assurance cyber couvre-t-elle l’ensemble de ces coûts ?
Pas intégralement : un contrat d’assurance cyber couvre généralement la gestion de crise, les frais juridiques et une partie de la perte d’exploitation, selon des plafonds et des exclusions propres à chaque contrat, à vérifier avant souscription.

Sources