Risque cyber : un défi pour l’assurabilité et la stabilité financière

Le rapport 2025 de l’ENISA recense 4 900 incidents significatifs entre juillet 2024 et juin 2025. Il souligne un environnement de menaces en pleine évolution, caractérisé par une exploitation rapide des vulnérabilités et une complexité croissante dans le suivi des adversaires.
Le hameçonnage constitue 60 % des vecteurs d’intrusion, confirmant le rôle central des mécanismes d’ingénierie sociale. Les attaques par déni de service (DDoS) sont les plus fréquentes, mais les intrusions (notamment par rançongiciel) concentrent les impacts les plus graves, qu’il s’agisse d’interruptions d’activité, de fuites de données ou d’exfiltration stratégique d’informations. 
La cybercriminalité s’est industrialisée. Les modèles de type ransomware-as-a-service, phishing-as-a-service ou malware-as-a-service structurent un véritable écosystème économique. Certains acteurs entretiennent des proximités avec des États. Le risque est donc à la fois financier, stratégique et géopolitique. 

La France apparaît particulièrement exposée : deuxième pays au monde le plus ciblé par les attaques DdoS en 2023, premier pays de l’Union européenne visé par des groupes hacktivistes en 2024. Des attaques liées à la Russie ont ciblé des entités gouvernementales, diplomatiques, les secteurs de la défense ainsi que des infrastructures numériques. 
La question dépasse largement la sphère privée : elle engage directement la souveraineté.

Du point de vue actuariel, le cyber présente plusieurs caractéristiques atypiques. Il s’agit d’un risque récent, évoluant très rapidement, pour lequel les bases de données restent lacunaires et hétérogènes. Sa modélisation suppose une compréhension fine des comportements humains, tant du côté des usagers que des acteurs malveillants. Or ces comportements s’adaptent en permanence. 
Mais l’enjeu central est ailleurs : le cyber comporte une composante systémique. Les chaînes d’approvisionnement numériques, la dépendance à des prestataires communs, les infrastructures cloud partagées ou les mises à jour logicielles simultanées créent des « points de défaillance uniques ». Une seule vulnérabilité peut générer une accumulation de sinistres, voire une « pandémie cyber ». 
Dans ces conditions, la mutualisation assurantielle est mise à l’épreuve. L’assurance repose sur une diversification des risques ; la corrélation extrême en fragilise le fondement. 
Le secteur financier en offre une illustration particulièrement sensible : numérisation intensive, interconnexions multiples, dépendance à des prestataires TIC critiques. Une attaque majeure pourrait perturber des services essentiels (paiements, conservation de titres, infrastructures de marché) et produire des effets de contagion macro-financiers, voire une perte de confiance assimilable à un « cyber-run ». 

En France, le marché de l’assurance cyber connaît une montée en maturité, mais demeure fragile. En 2024, le montant des sinistres indemnisés a progressé de 43 % par rapport à 2023, avec deux sinistres supérieurs à 10 millions d’euros chacun. La couverture progresse chez les entreprises de taille moyenne (+33 %), mais reste très faible chez les petites entreprises (moins de 5 %). 
Avec une diversification du risque cyber qui est difficile, la robustesse des portefeuilles d’assurance peut être mise à rude épreuve, notamment dans le cas d’accumulation de chocs corrélés. Mais le rôle de l’assurance cyber ne se cantonne pas aux compensations financières des sinistres : par la diffusion de normes de sécurité, les exigences d’hygiène numérique, l’incitation à la prévention, elle joue un rôle structurant essentiel.  Elle devient un vecteur d’élévation collective du niveau de protection.   

La souveraineté numérique ne se réduit pas à la production technologique ou à la localisation des données. Elle suppose une capacité d’absorption des chocs, une maîtrise des interdépendances et une continuité des services essentiels. 
Le risque cyber révèle un déséquilibre : nos économies sont interconnectées plus vite que nos mécanismes de protection ne s’adaptent. Anticiper les nouvelles formes de menaces numériques est crucial. La question stratégique n’est donc pas seulement celle de la protection technique, mais celle de la résilience systémique. 
Rendre le numérique durablement assurable constitue l’un des tests les plus exigeants de cette souveraineté à bâtir.