Combien coûte vraiment une cyberattaque pour une PME en 2026 ? Chiffres et postes de coût
📌 En bref (TL;DR)
Le coût moyen d'une cyberattaque pour une PME française est estimé entre 50 000 € et 500 000 €, dont seulement 10 à 20 % correspondent à la rançon. Les principaux postes : perte d'exploitation (30-40 %), expertise et reconstruction (20-30 %), RGPD et notifications (10-15 %), image et clients perdus (10-20 %).
Pourquoi le coût réel est largement sous-estimé
Quand on parle de cyberattaque, beaucoup de dirigeants ne pensent qu'à la rançon. Or, selon le baromètre CESIN 2025 et les données de l'ANSSI, la rançon ne représente en moyenne que 15 % du coût total d'une attaque. La majorité du coût provient de l'arrêt d'activité, de la reconstruction et des conséquences juridiques.
Les 6 postes de coût d'une cyberattaque
1. Perte d'exploitation (30-40 % du coût total)
Une PME victime d'un ransomware est en moyenne arrêtée 21 jours. Pour une entreprise faisant 5 M€ de CA, cela représente environ 290 000 € de CA non réalisé, sans compter les charges fixes qui continuent.
2. Expertise technique et reconstruction (20-30 %)
- Forensic / investigation : 15 000 à 60 000 €
- Reconstruction du SI : 20 000 à 200 000 €
- Renforcement post-incident (EDR, segmentation) : 10 000 à 50 000 €
3. Rançon (10-20 %)
La rançon moyenne demandée à une PME française était de 89 000 € en 2025 (source : Coveware). Payer ne garantit pas la récupération des données et expose à de futures attaques.
🛡️ Obtenez votre devis cyber en 90 s
Vous voulez chiffrer votre couverture ?
Cyberutik est courtier ORIAS, partenaire STOÏK. Formules dès 49 €/mois.
4. RGPD, CNIL et notifications (10-15 %)
- Notification CNIL sous 72h obligatoire en cas de violation de données
- Information individuelle des personnes concernées
- Sanctions CNIL : jusqu'à 4 % du CA mondial
- Conseils juridiques : 5 000 à 30 000 €
5. Perte d'image et clients (10-20 %)
Selon Forrester, 31 % des clients changent de fournisseur après une fuite de données les concernant. La perte de chiffre d'affaires sur 12-24 mois est souvent supérieure à la rançon elle-même.
6. Coûts cachés (5-10 %)
- Heures supplémentaires des équipes internes
- Communication de crise et relations presse
- Augmentation des primes d'assurance post-sinistre
- Burn-out et turn-over des équipes IT
Exemple chiffré : PME industrielle de 80 salariés (12 M€ CA)
| Poste | Montant |
|---|---|
| Perte d'exploitation (18 jours) | 180 000 € |
| Expertise et reconstruction | 95 000 € |
| Rançon payée (partielle) | 45 000 € |
| RGPD, juridique, notifications | 28 000 € |
| Communication et clients perdus | 52 000 € |
| Total | 400 000 € |
Combien une assurance cyber aurait pris en charge ?
Avec une assurance cyber adaptée à 1 M€ de plafond (prime annuelle ≈ 2 500 €), 90 % de ces 400 000 € auraient été couverts. ROI immédiat dès le premier sinistre.
FAQ — Coût cyber PME
Quel est le coût moyen d'une cyberattaque pour une TPE ?
Entre 18 000 et 80 000 € selon Stoïk et Anozr Way (2025).
Combien coûte une assurance cyber pour 1 M€ de couverture ?
Entre 1 500 et 4 500 € par an pour une PME de moins de 50 salariés.
🛡️
Que couvre une assurance cyber ?
Ransomware, phishing, fraude au président, RGPD, perte d'exploitation : découvrez le détail des garanties pour votre PME.