Panorama du Marché de la CyberAssurance : Décryptage du Rapport LUCY 2025 et analyses complémentaires

1 - INTRODUCTION

2 - CAPACITÉS, FRANCHISES, TAUX DE PRIME

3 - ENTREPRISES ASSURÉES ET PRIMES SOUSCRITES

4 - SINISTRES, LOSS RATIOS, FRÉQUENCE, SÉVÉRITÉ

• SEGMENT GRANDES ENTREPRISES : RETOUR DE LA SINISTRALITÉ, ET PRESSIONS SUR LA RENTABILITÉ

• SEGMENT ENTREPRISES DE TAILLE INTERMÉDIAIRES (ETI) ET DE TAILLE MOYENNE : UNE EXPLOSION DE LA FRÉQUENCE, ET UNE CHUTE DRASTIQUE DE LA SÉVÉRITÉ

• SEGMENT PETITES ET MICRO-ENTREPRISES : UN CLAIR PROBLÈME DE DÉCLARATION

8 - SÉVÉRITÉ DES SINISTRES : UN RETOUR AUX PRÉOCCUPATIONS MAJEURES SUR 2024

9 - LIMITES DE L'ANALYSE

10 - CONCLUSION

La cinquième édition de l’étude LUCY (« Lumière sur la Cyberassurance »), publiée par l’AMRAE le 4 juin 2025, offre un panorama riche et actualisé du marché français de la cyberassurance, couvrant l’ensemble de l’année 2024 et le début de l’année 2025. S’appuyant sur les données consolidées de 14 124 polices d’assurance et 448 sinistres déclarés, l’étude mobilise un panel représentatif de courtiers majeurs (Aon, Marsh, WTW...), assureurs, agences de souscription et organisations professionnelles, positionnant le rapport LUCY comme une référence incontournable pour les acteurs du secteur. 

Dans un contexte de baisse générale des taux de prime, de progression des capacités et de montée en charge des petites structures, l’étude met en lumière les dynamiques contrastées qui traversent le marché. L’année 2024 marque ainsi une rupture avec les tendances du passé récent : alors que les années 2020 à 2022 avaient été marquées par un « hard market » (hausse des taux, contraction des garanties, sélectivité et exclusions accrues), le marché entre désormais dans une phase de « soft market », caractérisée par un assouplissement des conditions de souscription – pour les grands comptes et ETI majoritairement – et un élargissement commercial vers les PME/TPE. 

Au travers de cet article, nous proposons une analyse critique de cette évolution, en croisant les indicateurs techniques (primes, sinistres, capacités, franchises, taux de prime) avec les spécificités par segment d’entreprises. Nous souhaitons également mettre en évidence les logiques différenciées de souscription selon la taille des structures (grandes entreprises, ETI, PME, micro), tout en soulignant l’émergence de deux groupes distincts au sein du marché : d’un côté, les grandes entreprises et ETI, formant un segment mature et structuré, aux comportements assurantiels stabilisés ; de l’autre, les PME et micro-entreprises, en forte dynamique mais encore en phase de montée en maturité. Ce clivage structurel, visible à travers l’analyse des primes, sinistres, capacités et franchises ci-après, est désormais une clé de lecture essentielle pour comprendre les nouvelles logiques d’équilibre technique et les trajectoires différenciées de développement du marché cyber en France. 

À travers cette grille de lecture, il s’agira de décrypter la réalité opérationnelle du marché cyber en France, entre maturité croissante, pressions concurrentielles et défis émergents. 

Un assouplissement du marché et une polarisation des comportements de souscription

La 4ᵉ édition de l’étude LUCY de l’AMRAE (parue en mai 2024) présentait un marché français de la cyberassurance en 2023 en forte reprise, mais encore fragile, l’édition 2025 du rapport quant à elle souligne un assouplissement marqué des conditions de souscription et de tarification en cyberassurance assouplies au cours de l’année 2024 par rapport aux années précédentes comme l’illustre la figure 1 ci-après. 

En 2024, la capacité souscrite moyenne (plafond d’indemnisation) a progressé de 23 % toutes catégories confondues, tirée notamment par les micro-entreprises (+65 %), les petites entreprises (+42 %), les entreprises de taille moyenne (+22 %) (comme on peut le voir dans le Tableau 1 ci-après). Ces hausses témoignent d’une volonté des courtiers et assureurs d’élargir leur empreinte commerciale vers les segments historiquement moins couverts (PME/TPE), sans pour autant sur-tarifer (le taux de prime moyen ayant baissé en 2024, comme on peut le constater sur la figure 1 ci-dessus). À l’inverse, les ETI ont vu leur capacité baisser de 6 %, un phénomène contre-intuitif dans un marché en expansion. Les grandes entreprises, de leur côté, affichent une hausse de capacité plus mesurée (+8 %), combinée à une forte baisse de leur franchise moyenne (-15 %).

Ces évolutions révèlent une polarisation marquée du marché, justifiant le regroupement analytique suivant que nous utiliserons par la suite pour la capacité, taux de prime et les franchises :

• Grandes entreprises + ETI : elles représentent un segment mature, structuré, avec une gestion stratégique des arbitrages entre capacité, taux de prime et franchise ;
• PME + Micro-entreprises, en forte progression quantitative, mais dans une phase de montée en charge assurantielle.

Ce clivage est confirmé par l’analyse des franchises : les grandes entreprises et ETI voient leurs franchises respectivement baisser de -15 % et -50 %, tandis que les petites entreprises et micro-entreprises enregistrent une hausse spectaculaire de leurs franchises moyennes (+231 % et +174 %) historiquement bas. Cette évolution asymétrique révèle que si les grands comptes cherchent à sécuriser plus avec moins, les plus petits profils acceptent plus de rétention pour accéder à une capacité désormais plus élevée.

Le taux de prime annuel moyen, quant à lui, recule dans presque toutes les catégories, la pression tarifaire est généralisée : forte baisse pour les grandes entreprises (-19,8 %) et les ETI (-8,7 %), repli modéré pour les petites structures, et hausse isolée pour les entreprises de taille moyenne (+2,7 %) comme nous pouvons le constater dans le tableau 1 ci-dessous.

La tendance actuelle du marché acte l’entrée du secteur de la cyber assurance en France dans une phase de « soft market », marquée par une baisse généralisée des taux de prime, une augmentation des capacités et une réduction des franchises. Ce retournement de tendance s’inscrit pleinement dans les cycles historiques du marché de l’assurance, alternant phases « hard market » (restriction de capacité, hausses tarifaires, durcissement des conditions) et « soft market » (assouplissement de l’offre, concurrence accrue).

Un effet volume des primes, ou une réelle démocratisation de l’assurance cyber ?

[1] NDLR : Il est à noter que la figure 2 ci-dessus comporte un pic durant l’année 2021 pour les micro-entreprises qui n’était pas présent dans le rapport LUCY 2024. Dans ce dernier, environ 400 micro-entreprises étaient recensées pour 2024, ce qui allait à l’encontre directe de la data du rapport de 2 ans avant. En effet, dans le Rapport LUCY 2022 (sur les années 2021 et avant) étaient recensées pour 2021 quelques 10000 micro-entreprises assurées, ce qui est déjà plus réaliste lorsque l’on regarde la progression. Dans les faits, cette discrépance ne change rien à notre analyse.

Cette poussée confirme un élargissement du marché vers les segments intermédiaires, avec un double moteur : d’un côté une prise de conscience accrue des risques dans ces segments et de l’autre un effort commercial renforcé des courtiers et assureurs.

Cependant, cette dynamique de volume masque des évolutions opposées sur le plan financier (comme l’indiquent la figure 3 ci-dessus et le Tableau 2 ci-après). Le volume total de primes souscrites recule de 3 %, passant de 328 M€ en 2023 à 317 M€ en 2024, signe que l’effet de la baisse des taux moyens de prime et des franchises, d’augmentation de la capacité est bien réel. Ce recul n’est cependant pas réparti équitablement : les grandes entreprises voient leur contribution chuter de 263 M€ à 238 M€ (-9 %) malgré une hausse du nombre de contrats (+5 %), ce qui conduit mécaniquement pour ces dernières à une baisse de la prime unitaire moyenne de 14 % (de 939 K€ à 808 K€).

Même phénomène chez les ETI, pour lesquelles la prime unitaire passe de 55 729 € à 47 678 € (-14,5 %) alors que le nombre d’entreprises assurées bondit de 868 à 1 145 (+31,9%). Cette évolution fait écho au clivage mis en évidence plus haut lors de l’analyse des capacités, franchises et taux moyen de souscription. On retrouve ici la même segmentation que précédemment : la figure 4 qui suit met clairement en évidence une baisse des primes unitaires sur le segment des grands comptes et ETI, tandis qu’elles augmentent nettement pour les PME et micro-entreprises.

Cette analyse met en lumière que le recul apparent de la pénétration du marché dans les entreprises de grandes tailles et ETI masque en réalité une réduction budgétaire par contrat, rendue possible par la baisse généralisée des taux de prime (-19,8 % chez les grandes entreprises, -8,7 % chez les ETI). L’effet volume cache donc une information importante : l’entrée de nombreuses entreprises à faible budget individuel tire vers le bas la moyenne unitaire, sans nécessairement traduire une couverture plus étendue ou plus robuste. Cet effet est d’autant plus présent sur le segment des Grandes entreprises + ETI (+25% nombre d’entreprises assurées, -25% sur la prime unitaire) que lorsqu’on le compare avec les PME + Micro (+3% nombre d’entreprises assurées, +45% sur la prime unitaire).

Cette baisse de budget sur les grandes entreprises et ETI avait déjà été constatée et évoquée dans les différents baromètres (notamment celui de la CESIN) en 2024 et 2023, où on pouvait déjà constater une croissance de l’assurance cyber ainsi que de la volonté de s’assurer par rapport au risque. Cependant, le constat était également que les budgets pour tout le segment IT/Data/Cyber/IA restaient stables, alors que la grande majorité des entreprises sondées souhaitaient et/ou commençaient à investir dans l’IA. Ces deux facteurs expliquent ainsi la diminution en moyenne des budgets alloués à l’assurance et aux protections relatives au cyber.

Pour le segment PME + micro-entreprises c’est l’exact inverse, et ces dernières affichent une hausse modeste voire négative du nombre d’assurés (+3 % pour les petites entreprises, -3 % pour les Micro), mais pour qui le volume de prime explose (+26 % et +39 % respectivement). La conséquence est remarquable sur la prime unitaire : +23 % pour les petites entreprises, +44 % pour les Micro. Cette évolution prouve que ces acteurs sont non seulement plus enclins à s’assurer, mais prêts à payer davantage pour des garanties perçues comme stratégiques. Cela est lié à plusieurs facteurs : exigences réglementaires (Loi LOPMI, directive NIS2, réglementation DORA), pression des clients grands comptes via les chaînes d’approvisionnement ou une professionnalisation croissante des TPE-PME en matière de cybersécurité.

Il faut également souligner l’évolution très singulière des entreprises de taille moyenne (10 à 50 M€ de CA), qui combinent une croissance équilibrée du nombre d’assurés (+33 %), du volume de primes (+66 %) et de la prime unitaire (+25 %). Ce segment constitue aujourd’hui un levier stratégique pour les courtiers et assureurs, qui semblent y avoir trouvé un équilibre entre volumes accessibles et rentabilité.

Contrairement aux grands comptes qui compressent leurs budgets, ou aux petites et micro-entreprises qui exigent des efforts de sensibilisation, les entreprises moyennes et ETI constituent le point d’inflexion du marché de demain.

Un retour de la sévérité, qui renforce le clivage entre les segments assurantiels

En 2024, pour ce qui est de la sinistralité globale, le Loss Ratio (Sinistres/Primes) remonte à 17 % après un point bas à 12 % en 2023, retrouvant ainsi un niveau proche de celui de 2022 (22 %). Cette évolution est clairement illustrée par la figure 5 ci-après.

Le marché français de la cyberassurance enregistre cependant une évolution paradoxale de sa sinistralité (voir Tableau 3) : le nombre total de sinistres a diminué (-27 %), passant de 615 à 448, alors que le montant total indemnisé est en nette croissance, avec une augmentation de 43 %, atteignant 54,5 M€.

Conséquence directe, le sinistre moyen global double quasiment, passant de 61 962 € à 121 718 €. Cette apparente contradiction (moins de sinistres mais plus de dégâts) traduit comme évoqué dans le rapport LUCY un retour de la sévérité, mais ce retour mérite d’être fortement nuancé segment par segment.

En effet, ce sont les grandes entreprises et les ETI qui sont directement responsables de l’essentiel de la hausse du montant total des indemnisations (+51 %), contrairement aux PME et micro-entreprises, pour lesquelles le montant global d’indemnisation a chuté de 13 % malgré une hausse notable de leur sinistre moyen (+58 %).

Cette évolution met une fois de plus en lumière le clivage désormais structurant du marché, mais qui sur la partie sinistre (fréquences/sinistralité/Loss Ratio) met en lumière non pas deux groupes comme sur la souscription, mais bien trois :

• Le segment des grandes entreprises, à la fois plus mature et exposé, dont la sinistralité est en forte croissance sur la dernière année (+86% de montant indemnisés), quasi-totalement expliquée par l’explosion de la fréquence (+82%), puisque le nombre d’entreprises assurées est stable.
• Les ETI et Moyennes entreprises, qui observent toutes deux une explosion du nombre de sinistres indemnisés
• Le segment des PME et micro-entreprises, en développement rapide mais dont la sinistralité reste contenue.

Sur ce segment, l’explication de l’explosion de la fréquence se constate d’un côté via la diminution des budgets mentionnée plus haut, et de l’autre via un changement de la conjoncture géopolitique mondiale, avec notamment une augmentation des attaques provenant de l’international[2],[3] (Chine, Russie, Iran) et une recrudescence de l’activité des groupes étatiques (tels que Sandworm en Russie) notamment expliquée par un ralentissement du conflit Russo-Ukrainien.[4]

Conséquence directe, le Loss Ratio des grandes entreprises passe de 9% en 2023 à 18% en 2024. Cette hausse (et l’effet volume associé) explique à elle seule la hausse du Loss Ratio global de 12 à 17% entre 2023 et 2024. Un effet localisé donc, qui n’est pas du tout le même sur les autres catégories d’entreprises.

Ce segment enregistre une augmentation de 211% du nombre de sinistres (passant de 76 à 236) alors que le montant indemnisé total est relativement stable (-16%). Conséquences directes, la valeur du sinistre moyen est divisée par quatre (-73%, passant de 151k à 41k€), et la fréquence augmente de 134% (passant de 3,3% à 7,7%). Ainsi, le Loss Ratio est en nette baisse sur ce segment (20% en 2023, 14% en 2024). Cette baisse du Loss Ratio est à nuancer cependant par le contexte géopolitique et économique exposé dans la section sur les Grandes Entreprises qui se fait ressentir également sur ce segment. C’est toutefois une baisse qui est très positive et encourageante, car provenant également d’une nette augmentation du nombre d’entreprises souscrites, ainsi qu’une meilleure détection et déclaration des petits sinistres grâce à des dispositifs plus matures telle que EDR (Endpoint Detection & Response) et SOC (Security Operations Center). En outre, cette baisse est caractéristique d’un segment en plein gain de maturité par rapport au risque, et qui tend à déclarer ses incidents sans pour autant exploser les coûts assurantiels. Que cela soit par les récentes mises en vigueur réglementaires mentionnées plus haut ou par pure probité de la part de ces acteurs, c’est un signal encourageant puisqu’on on assiste à une montée en puissance saine, où l’augmentation des primes est compensée par une sinistralité relativement contenue.

De leur côté, les petites entreprises voient leur nombre de sinistres baisser de 32 %, tandis que leur sinistre moyen augmente légèrement (+8 %). Mais ce sont surtout les micro-entreprises qui attirent l’attention : -87 % de sinistres déclarés et -89 % de montant indemnisé entre 2023 et 2024. La fréquence passe de 4,8 % à 0,7 % et le Loss Ratio – qui était pourtant de 48% en 2023 – chute à 4% sur les Micro entreprises.

Sur le segment d’une manière globale, cette évolution est également observable, avec le Loss Ratio qui chute de 27 points (37% vers 10%), chute qui est l’effet combiné d’une nette augmentation des primes (unitaires et totales souscrites à +45% et +49% respectivement), ainsi que d’une chute majeure de la fréquence (divisée par trois avec -68%), et de la sévérité (avec -59% de montant moyen total, et -49% sur le sinistre moyen).

Cette chute brutale de la sinistralité peut difficilement s’expliquer par une réelle disparition du risque. Comme nous avons pu le voir lors des sections sur la Prime/Capacité/Franchise, le secteur des Petites & Micro-entreprises est dans une dynamique assez différente des autres. Là où les Grandes entreprises, les ETI – et dans une certaine mesure les moyennes entreprises – rentrent dans un « soft market », les Petites et Micro-entreprises continuent ainsi d’avoir un « hard market » pour elles seules, signe caractéristique du manque de maturité de ces acteurs par rapport au risque cyber, ainsi que d’une aversion au risque des assureurs lorsqu’il s’agit de les couvrir. En outre, cette évolution pourrait également être expliquée par une sous-déclaration des sinistres (que cela soit à cause des processus de notification ou par la volonté des assurés eux-mêmes), conséquence directe des contrats d’assurance de ces dernières années qui ont évolué dans la période post-COVID vers de plus en plus d’exclusions, et restrictions dans leurs garanties.

Comme le montre la figure 7 ci-après, l’analyse de la distribution du montant des sinistres cyber par taille révèle une dégradation significative de la sévérité du risque en 2024 par rapport à 2023. Alors que l'année 2023 avait marqué un point bas historique avec l’absence totale de montants payés pour les sinistres XXL (10-40M€) et une réduction drastique des montants pour les incidents XL à seulement 15 millions d'euros, l'année 2024 témoigne d'un retour préoccupant des sinistres de grande ampleur avec 21 millions d'euros consacrés aux sinistres XXL. Cette résurgence des montants liés aux incidents majeurs, bien qu’inférieure aux niveaux catastrophiques de 2020 (135 M€) et 2021 (92 M€), marque une rupture nette avec la tendance d’amélioration observée depuis 2022. La comparaison avec 2019, année de référence pré-pandémique où aucun montant n’était alloué aux sinistres XXL, souligne l’installation durable d’un niveau de risque financier élevé dans le paysage cyber. Il convient de noter que selon le rapport LUCY 2025, ces sinistres XXL concernent uniquement le segment des grandes entreprises, révélant une vulnérabilité persistante de cette catégorie d’assurés face aux cyberattaques de grande envergure. Cette évolution indique que malgré les efforts de prévention et de sensibilisation déployés entre 2022 et 2023, le risque cyber conserve sa capacité à générer des pertes exceptionnelles, et confirme la nécessité pour les assureurs de maintenir une vigilance constante et des réserves adaptées face à l’évolution volatile de cette classe de risques.

Bien que le rapport LUCY 2025 constitue une source précieuse et structurante pour la compréhension du marché de la cyberassurance en France, il présente néanmoins certaines limites méthodologiques et zones d’imprécision qu’il convient de signaler.

D’une part, l’étude repose exclusivement sur les portefeuilles de courtiers partenaires partenaire de l’AMRAE, ce qui biaise la représentativité sur certaines catégories d’assurés. L’AMRAE elle-même reconnaît que l’interface établie via les courtiers permet une bonne fiabilité pour les grandes entreprises, ETI et entreprises de taille moyenne, mais est néanmoins moins précise pour les petites entreprises et micro-entreprises qui n’utilisent pas systématiquement les services de courtage. En effet, nombre de TPE/PME souscrivent leur couverture cyber directement auprès d’assureurs ou via des agents généraux, en dehors du périmètre couvert par l’étude. Les collectivités publiques sont également exclues de l’analyse, bien qu’elles soient concernées par des obligations réglementaires croissantes (NIS2, LOPMI).

D’autre part, certaines irrégularités statistiques ou écarts entre les données synthétiques et les calculs bruts apparaissent dans le rapport. Par exemple, des variations entre les agrégats de primes et sinistres et les ratios S/P annoncés, ou encore des incohérences dans les fréquences de sinistre publiées par segment, interrogent sur le traitement statistique appliqué. Ces points ne remettent pas en cause la qualité globale du rapport, mais soulignent la nécessité d’effectuer ses propres retraitements à partir des données brutes. C’est d’ailleurs l’approche adoptée dans le présent article, dont les chiffres et les graphiques s’appuient directement sur l’ensemble des tableaux et séries publiés dans les différents rapports LUCY, recalculés et recoupés selon une méthodologie homogène.

AMRAE, Lumière sur la Cyberassurance, Rapport LUCY Edition 2025

AMRAE, Lumière sur la Cyberassurance, Rapport LUCY Edition 2024

AMRAE, Lumière sur la Cyberassurance, Rapport LUCY Edition 2023

AMRAE, Lumière sur la Cyberassurance, Rapport LUCY Edition 2022

AMRAE, Lumière sur la Cyberassurance, Rapport LUCY Edition 2021