Combien coûte une cyberattaque pour une entreprise ?
Un lundi matin, plus un seul poste ne démarre. Les factures ne partent plus, le téléphone sonne dans le vide, et la première question n’a rien de technique : combien cela va-t-il coûter ? Selon IBM, une violation de données coûte en moyenne 4,99 millions de dollars dans le monde en 2026, en hausse de 12 % sur un an. Entre les chiffres publiés, les délais légaux qui courent dès la découverte et les parades qui permettent de ne pas payer deux fois, voici ce que coûte vraiment une attaque.
Combien coûte une cyberattaque pour une entreprise en France ?
Aucune facture ne ressemble à une autre, mais les études donnent des ordres de grandeur. L’édition 2026 du rapport « Cost of a Data Breach » d’IBM, publiée le 29 juillet 2026 et fondée sur 602 organisations, chiffre une violation de données à 4,99 millions de dollars en moyenne dans le monde. Côté français, l’édition 2025 du même rapport évaluait la facture moyenne à 3,59 millions d’euros par entreprise, en baisse de 7 % sur un an. Une partie de cette addition peut se transférer avec une cyber assurance, mais son poids varie beaucoup d’un cas à l’autre.
Ce montant additionne les frais de détection, de notification et de réponse, les pertes d’exploitation et les amendes éventuelles. Il s’agit d’une moyenne de violations de données, pas du prix d’une attaque précise : un rançongiciel, une fraude au virement ou un piratage de messagerie ne produisent pas la même addition. Quelques repères aident à situer l’ordre de grandeur :
- 4,99 millions de dollars : coût moyen mondial d’une violation de données en 2026 (IBM) ;
- 3,59 millions d’euros : coût moyen en France dans l’édition 2025 (IBM) ;
- 5,11 millions d’euros : coût moyen dans l’industrie pharmaceutique française en 2025, contre 4,65 millions dans les services financiers et 4,45 millions dans l’énergie ;
- 6 millions de dollars : coût moyen d’une violation malveillante qui s’appuie sur l’IA en 2026, soit environ 1 million au-dessus de la moyenne ;
- 5,65 millions de dollars contre 4,32 millions : coût moyen selon que l’identification et le confinement dépassent ou non 200 jours (IBM 2026).
Ces moyennes pèsent lourd, mais elles masquent des réalités très différentes. L’étude LUCY de l’Amrae, publiée le 2 juin 2026, recense 1 251 sinistres cyber indemnisés en 2025, contre 448 un an plus tôt, avec un seul sinistre au-dessus de 10 millions d’euros : ce sont surtout les petits sinistres, sous 300 000 €, qui se multiplient. La facture n’atteint donc pas toujours des millions, et pour savoir quelle part un contrat prend réellement en charge, il faut en examiner les plafonds et les franchises.
Quels coûts cachés une cyberattaque ajoute-t-elle à la facture ?
Le temps joue contre l’entreprise. Toujours selon IBM, le cycle complet d’une violation, de l’identification au confinement, atteint 247 jours en 2026, en hausse de 2,5 %, la première en cinq ans. Au-delà de 200 jours, le coût moyen grimpe à 5,65 millions de dollars, contre 4,32 millions en dessous de ce seuil.
L’arrêt de l’activité constitue souvent le poste le plus lourd, sans jamais apparaître sur une facture. Dans son panorama de la cybermenace 2025, publié le 11 mars 2026, l’ANSSI évoque des services restés à l’arrêt pendant plusieurs semaines et rappelle la nécessité d’un plan de continuité et de reprise d’activité. L’agence a traité 1 366 incidents avérés en 2025 et recensé 128 attaques par rançongiciel.
L’image de l’entreprise encaisse aussi le choc. D’après IBM, les attaquants jouent surtout sur la réputation de la marque (41 % des cas), devant les données des employés (35 %) et la propriété intellectuelle (31 %). Les incidents de type rançongiciel sont passés de 34 % à 39 % des organisations interrogées en un an.
Les attaques du quotidien coûtent cher elles aussi. Dans son rapport d’activité 2025, Cybermalveillance.gouv.fr relève une hausse de 73 % des demandes d’assistance des entreprises et associations. Le piratage de compte arrive en tête des menaces, avec 21 % des parcours d’assistance, et la fraude au virement entre dans le trio de tête.
Quelles obligations et quelles sanctions après une cyberattaque ?
Une attaque qui touche des données personnelles déclenche des obligations légales immédiates. Le RGPD impose de notifier la violation à la CNIL au plus tard 72 heures après en avoir pris connaissance dès qu’elle présente un risque pour les personnes concernées, comme le détaille la CNIL sur sa page consacrée aux violations de données. Même sans risque, l’incident doit être consigné dans un registre interne.
Le défaut de notification expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux obligations de sécurité vont plus loin, avec un plafond de 20 millions d’euros ou 4 %.
Un second délai concerne l’assurance. Depuis la loi du 24 janvier 2023, l’article L12-10-1 du Code des assurances subordonne le versement d’une indemnité cyber au dépôt d’une plainte par la victime, au plus tard 72 heures après la connaissance de l’atteinte. Le tableau rapproche les deux échéances.
| Obligation | Délai | Risque en cas de manquement |
|---|---|---|
| notifier la violation à la CNIL | 72 heures après la prise de connaissance | amende jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial |
| déposer plainte pour être indemnisé par l’assurance cyber | 72 heures après la connaissance de l’atteinte | indemnité non versée |
Les deux échéances courent sans attendre la fin de l’enquête technique : la CNIL accepte une notification initiale, complétée ensuite. Décider à l’avance qui dépose plainte, qui remplit le téléservice de la CNIL et qui prévient l’assureur évite de perdre des heures précieuses.
Comment limiter la facture d’une cyberattaque avant qu’elle arrive ?
Selon l’ANSSI, dix règles d’or suffisent à protéger de la majorité des risques numériques. Parmi elles figurent l’application des mises à jour dès qu’elles sont proposées, l’authentification à double facteur et le principe du moindre privilège, qui limite chaque utilisateur aux permissions dont il a besoin.
Les sauvegardes déconnectées méritent une attention particulière. L’ANSSI conseille des copies régulières sur des supports distincts, dont une partie non connectée au réseau, parce qu’un rançongiciel peut atteindre aussi les sauvegardes accessibles. Payer la rançon n’est pas une solution : les autorités déconseillent le paiement, qui ne garantit pas la récupération des données.
Les erreurs humaines pèsent plus qu’on ne l’imagine. En France, elles représentaient 13 % des incidents étudiés par IBM en 2025, pour un coût moyen de 3,52 millions d’euros, ce qui justifie des formations régulières et des exercices de simulation d’hameçonnage.
La détection rapide change aussi la note. En 2026, IBM estime que les entreprises qui recourent à l’IA et à l’automatisation dans leurs opérations de sécurité réduisent le coût d’une violation de près de 2 millions de dollars, alors qu’un quart des organisations ne les a pas encore adoptées. Dans l’édition 2025, les entreprises françaises très équipées détectaient et contenaient les incidents 88 jours plus vite.
Avoir les bons contacts sous la main compte autant que les outils. Le service public 17Cyber, porté par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, oriente les victimes de cybermalveillance dès les premières heures.
Une assurance cyber suffit-elle à absorber la facture d’une cyberattaque ?
L’assurance cyber progresse, mais le marché reste fragile. Selon l’étude LUCY 2026 de l’Amrae, les entreprises ont souscrit 306 millions d’euros de primes en 2025, contre 317 millions en 2024 et 328 millions en 2023, alors que les sinistres indemnisés ont bondi de 179 %. Le nombre d’ETI assurées a augmenté de 75 % et celui des entreprises de taille moyenne de 97 %.
Le ratio entre sinistres et primes atteint 27 %, en hausse de 10 points. Le président de la commission cyber de l’Amrae compare la situation à celle de quelqu’un qui chute d’un immeuble en se répétant « jusqu’ici, tout va bien », et prévient qu’un ou deux sinistres majeurs suffiraient à déstabiliser le marché.
Pour juger un contrat, trois lignes comptent : les plafonds et les franchises, la perte d’exploitation, parfois proposée en option, et une assistance de gestion de crise joignable à toute heure. Une assurance indemnise une partie des dégâts ; elle ne remplace ni les sauvegardes ni la formation des équipes.
Entre prévention, assurance et trésorerie de précaution, chaque euro dépensé a un coût d’opportunité, le même raisonnement que dans ces décisions d’entreprise où ignorer le coût d’opportunité coûte cher. Le but n’est pas de tout protéger au maximum, mais de savoir quelle part du risque l’entreprise garde, et laquelle elle confie à un assureur.
