Directive NIS2, DORA, CRA : faut-il vraiment souscrire une assurance cyber cette année ?

Face à la montée continue des cyberattaques et à la numérisation croissante des services, les législateurs européens ont profondément renforcé le cadre réglementaire en matière de cybersécurité. En 2025, plusieurs textes majeurs comme la directive nis2 et le règlement dora imposent aux entreprises de nombreux devoirs en matière de résilience et de gestion du risque. Pourtant, aucune de ces régulations n’impose aujourd’hui de souscrire une assurance cyber.

Ce point mérite d’être clarifié, car si l’obligation assurantielle n’est pas explicite, la pression réglementaire et opérationnelle pousse fortement les entreprises à s’en doter. Voici les enjeux, les textes applicables, et les risques encourus en cas d’absence de couverture.

Pas d’obligation générale, mais une pression croissante

Aucune règle européenne ne rend obligatoire la souscription d’une assurance cyber pour toutes les entreprises. Cependant, certaines catégories d’organisations sont soumises à des exigences renforcées, qui rendent cette assurance difficile à contourner en pratique.

Directive nis2 : la résilience cyber exigée, pas assurée

Depuis son entrée en vigueur en 2025, la directive nis2 impose des obligations strictes en matière de cybersécurité aux entités dites essentielles ou importantes. Cela concerne les secteurs comme l’énergie, les transports, la santé ou les infrastructures numériques.

Parmi les principales mesures :

• Obligation de gestion structurée des risques informatiques
• Déclaration obligatoire des incidents majeurs dans un délai de 24 heures
• Mise en œuvre de plans de continuité
• Sanctions financières pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial

La directive ne prévoit pas l’obligation de souscrire une assurance cyber, mais elle exige une démonstration claire de la gestion des risques. Dans ce contexte, la souscription d’une assurance peut être exigée par certains partenaires ou imposée contractuellement.

Dora : la résilience numérique devient une obligation pour la finance

Le règlement dora (digital operational resilience act), applicable depuis janvier 2025, impose un cadre strict à tous les acteurs financiers européens, y compris banques, compagnies d’assurance, fintechs et leurs prestataires critiques.

Parmi les exigences majeures :

• Cartographie précise des systèmes d’information critiques
• Plans de continuité et de reprise testés régulièrement
• Surveillance renforcée des prestataires IT
• Signalement obligatoire des incidents dans des délais courts

L’assurance cyber n’est pas obligatoire selon le texte, mais son absence peut être interprétée comme une faiblesse dans la gestion du risque. En cas d’incident, les régulateurs peuvent estimer que l’entreprise n’a pas pris toutes les mesures nécessaires, ce qui peut entraîner des sanctions administratives, financières, voire la suspension d’agrément.

Autres textes applicables : cyber resilience act, norme iso, influence américaine

Le cyber resilience act (cra)

Ce règlement vise la sécurité des produits numériques (logiciels, objets connectés, etc.). Il impose :

• Des exigences de sécurité dès la conception des produits
• Des mises à jour obligatoires pendant tout le cycle de vie
• La correction rapide des failles

Aucune obligation assurantielle n’est incluse, mais le renforcement de la responsabilité des fabricants pourrait indirectement conduire à rechercher une couverture assurantielle.

La norme iso 27001:2022

En 2025, la certification iso 27001 devient un standard de fait pour prouver une gestion structurée des risques d’information. Elle est souvent exigée dans les appels d’offres ou les relations commerciales. L’assurance cyber, sans être une exigence formelle, s’intègre souvent dans cette logique de conformité globale.

Les standards américains

Le circia, en vigueur aux états-unis, impose des déclarations d’incidents sous 72 heures. Les standards du nist influencent de plus en plus les pratiques européennes. Pour rester compétitives à l’échelle mondiale, les entreprises européennes ont tout intérêt à aligner leurs pratiques sur ces référentiels, qui incluent le transfert du risque via l’assurance.

Entreprises non assurées : quels risques concrets en 2025 ?

Même sans obligation explicite, les conséquences d’une absence d’assurance cyber peuvent être sévères.

Pertes financières majeures

Une cyberattaque peut engendrer :

• Des pertes directes (rançon, vol de fonds, destruction de données)
• Des pertes indirectes (interruption d’activité, perte de clients, frais de restauration)
  ces éléments ne sont pas couverts par une rc pro classique.

Atteinte à la réputation

Un incident mal géré, une communication défaillante ou un défaut de couverture peut faire fuir clients, partenaires et investisseurs.

Non-conformité perçue

Dans les secteurs régulés, ne pas souscrire d’assurance peut être interprété comme un défaut de gestion du risque, en particulier en cas de contrôle ou d’audit.

Risque de faillite

Près de deux tiers des petites entreprises victimes d’une cyberattaque grave ferment dans l’année. Faute d’assurance, elles ne disposent d’aucun soutien financier pour encaisser le choc.

Une gestion du risque désormais collective

L’un des points les plus structurants des textes comme dora est l’extension de la responsabilité aux fournisseurs externes. Une attaque sur un prestataire cloud peut engager directement la responsabilité de l’entreprise cliente. Cela pousse les organisations à imposer des standards élevés à leurs sous-traitants, y compris des exigences en matière d’assurance cyber.

La chaîne de sous-traitance devient une zone de vulnérabilité critique. L’assurance peut alors servir à couvrir les risques générés en dehors du périmètre direct de l’entreprise.

Faut-il anticiper une obligation future ?

Même si aucune loi européenne n’impose encore une assurance cyber de manière uniforme, tout indique que cette mesure pourrait devenir une exigence sectorielle ou contractuelle dans les années à venir. La tendance réglementaire est claire :

• Plus de responsabilité sur les dirigeants
• Plus de documentation exigée
• Plus de transparence sur les incidents
• Plus de contrôles sur les tiers

Dans ce contexte, disposer d’une assurance devient un levier de conformité, mais aussi un outil de négociation commerciale.

Souscrire une assurance cyber reste aujourd’hui un choix, mais ignorer cette option revient à assumer seul des risques financiers et réputationnels considérables. La directive nis2 et le règlement dora n’imposent pas explicitement cette assurance, mais leurs exigences en matière de résilience et de gestion des risques créent une pression forte : démontrer sa capacité à absorber un incident sans transfert de risque devient de plus en plus complexe. Dans un environnement où les attaques se multiplient, où la responsabilité s’étend aux prestataires tiers et où les sanctions peuvent atteindre des niveaux record, l’assurance cyber apparaît comme le complément naturel des dispositifs techniques et organisationnels. Anticiper cette évolution, c’est non seulement protéger son activité, mais aussi renforcer la confiance des clients, partenaires et investisseurs dans la solidité de son dispositif de cybersécurité.