Depuis le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act) impose de nouvelles obligations de résilience numérique aux acteurs financiers. Beaucoup de dirigeants de PME, en tapant « cyber assurance PME DORA 2026 » dans un moteur de recherche, se demandent si ce texte les concerne directement. La réponse honnête, avant toute chose : dans l’immense majorité des cas, non. Mais cette question en cache une plus utile — celle de votre exposition réelle au risque cyber, et de la façon dont votre garantie dirigeant et votre couverture d’assurance actuelle y répondent, ou n’y répondent pas.
DORA : un règlement réservé au secteur financier
Le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025, s’adresse à un périmètre précis d’entités : établissements de crédit, entreprises d’investissement, établissements de paiement et de monnaie électronique, sociétés de gestion, entreprises d’assurance et de réassurance, intermédiaires d’assurance (à l’exception, selon les seuils rapportés par l’ACPR, des micro, petites et moyennes entreprises du courtage), ainsi que les prestataires informatiques désignés « critiques » pour ce secteur. Une PME généraliste — un cabinet de conseil, un commerce, une entreprise du bâtiment ou de la restauration — n’entre dans aucune de ces catégories et n’est donc pas directement soumise à DORA.
Ce que DORA impose à ceux qui y sont soumis donne toutefois une idée de la direction prise par la réglementation européenne : gestion structurée du risque informatique, notification des incidents majeurs aux autorités, tests réguliers de résilience et encadrement renforcé des prestataires informatiques tiers. Ce mouvement de fond touchera, tôt ou tard, un cercle plus large d’entreprises.
Votre PME est-elle concernée par une autre obligation cyber en 2026 ?
Deux cadres méritent d’être distingués de DORA. Le premier est le RGPD, qui s’applique à toute entreprise traitant des données personnelles, quelle que soit sa taille ou son secteur : en cas de violation de données présentant un risque pour les personnes concernées, une notification à la CNIL est requise en principe sous 72 heures, et une information des personnes elles-mêmes en cas de risque élevé.
Le second est la directive NIS2, dont le périmètre est lui aussi sectoriel et fondé sur des seuils de taille — elle vise des secteurs identifiés comme essentiels ou importants, pas les PME généralistes. Sa transposition en droit français n’était, à la date de rédaction de cet article, toujours pas définitivement adoptée : le texte reste en cours d’examen parlementaire. Une PME hors des secteurs concernés ne devrait donc pas, en l’état, se sentir directement visée par NIS2 — sous réserve de l’évolution du texte et de son périmètre définitif.
En clair : la plupart des PME françaises n’ont, à ce jour, aucune obligation légale spécifique de type DORA ou NIS2. Cela ne signifie pas que le risque cyber lui-même a disparu — seulement que la réponse à ce risque relève, pour l’instant, davantage d’une démarche volontaire que d’une contrainte réglementaire.
Ce que couvre réellement une cyber-assurance
C’est là qu’intervient la cyber-assurance, un produit commercial et non une obligation légale. Selon les polices, elle peut couvrir les frais de remise en état des systèmes et l’assistance technique après incident, la perte d’exploitation liée à une interruption d’activité, les frais de gestion de crise et de notification (y compris la communication auprès des clients), l’accompagnement juridique lié aux obligations RGPD, et parfois une prise en charge encadrée en cas de rançongiciel. Un point de vigilance revient fréquemment : plusieurs indemnisations ont été refusées lorsque les mesures de sécurité déclarées à la souscription (authentification renforcée, sauvegardes régulières, etc.) n’étaient pas réellement en place au moment du sinistre. La rigueur de la déclaration initiale conditionne donc directement la solidité de la garantie.
RC Dirigeants et cyber-risque : deux garanties, pas une seule
Une confusion fréquente mérite d’être clarifiée : une police responsabilité civile professionnelle ou une garantie dirigeant classique ne couvre pas, en règle générale, les conséquences opérationnelles d’une cyberattaque — remise en état des systèmes, perte d’exploitation, frais de notification. Elle vise avant tout la mise en cause personnelle du dirigeant pour une faute de gestion. La cyber-assurance, elle, répond aux conséquences concrètes de l’incident pour l’entreprise. Les deux garanties sont complémentaires, pas interchangeables : faire le point avec son courtier sur ce que couvre précisément chaque contrat, plutôt que de supposer qu’une police généraliste suffit, évite les mauvaises surprises au moment du sinistre.
Anticiper plutôt que subir
Que votre entreprise soit ou non concernée par DORA ou NIS2, le risque cyber, lui, ne fait pas de distinction de taille : une PME peut être la cible d’un rançongiciel, d’une fraude au virement ou d’une fuite de données au même titre qu’un grand groupe, avec des conséquences financières proportionnellement plus lourdes à absorber. Faire évaluer son exposition réelle avec un courtier indépendant, plutôt que de se fier à une réglementation qui ne s’applique pas encore à sa situation, reste la démarche la plus pragmatique en 2026.
Voir aussi : Courtier assurance entreprise à Paris 8 et assurance flotte automobile entreprise à Paris.
Foire aux questions
Ma PME est-elle soumise au règlement DORA ?
Dans la grande majorité des cas, non. DORA s’applique aux acteurs du secteur financier (banques, assurances, intermédiaires d’assurance au-delà de certains seuils, prestataires informatiques critiques pour ce secteur). Une PME généraliste, hors de ce périmètre, n’y est pas directement soumise.
La directive NIS2 s’applique-t-elle aux PME en France en 2026 ?
NIS2 vise des secteurs identifiés comme essentiels ou importants, avec des seuils de taille, et non les PME généralistes. Sa transposition en droit français n’était pas définitivement adoptée à la date de rédaction de cet article : la situation est donc à suivre, mais sans obligation nationale opposable à ce jour pour la plupart des PME.
Quelle est la différence entre RC Pro, RC Dirigeants et cyber-assurance ?
La RC Professionnelle couvre les dommages causés à des tiers dans le cadre de l’activité ; la RC Dirigeants (ou RC Mandataires Sociaux) couvre la mise en cause personnelle du dirigeant pour une faute de gestion. Ni l’une ni l’autre ne prend en charge, en règle générale, les conséquences opérationnelles d’une cyberattaque — c’est le rôle spécifique de la cyber-assurance.
Que se passe-t-il si mes mesures de sécurité déclarées n’étaient pas réellement en place lors d’un sinistre cyber ?
Plusieurs cas de refus d’indemnisation ont été rapportés lorsque les mesures de sécurité déclarées à la souscription (authentification renforcée, sauvegardes, etc.) n’étaient pas effectivement appliquées au moment de l’incident. Déclarer avec précision sa situation réelle, quitte à ajuster la garantie en conséquence, est essentiel pour que la police joue pleinement son rôle le jour venu.
Le RGPD impose-t-il une obligation cyber à toutes les PME ?
Oui, dans une certaine mesure : toute entreprise traitant des données personnelles doit notifier une violation de données présentant un risque à la CNIL, en principe sous 72 heures, et informer les personnes concernées en cas de risque élevé. Cette obligation existe indépendamment de DORA ou de NIS2.