{"id":2284,"date":"2026-09-10T17:17:20","date_gmt":"2026-09-10T17:17:20","guid":{"rendered":"https:\/\/mamassur.com\/cyber-assurance-pme-dora-2026\/"},"modified":"2026-09-10T17:19:01","modified_gmt":"2026-09-10T17:19:01","slug":"cyber-assurance-pme-dora-2026","status":"publish","type":"post","link":"https:\/\/mamassur.com\/en\/cyber-assurance-pme-dora-2026\/","title":{"rendered":"DORA et Cyber-Assurance pour PME : Ce Qui S’applique Vraiment en 2026"},"content":{"rendered":"

Depuis le 17 janvier 2025, le r\u00e8glement europ\u00e9en DORA (Digital Operational Resilience Act) impose de nouvelles obligations de r\u00e9silience num\u00e9rique aux acteurs financiers. Beaucoup de dirigeants de PME, en tapant \u00ab cyber assurance PME DORA 2026 \u00bb dans un moteur de recherche, se demandent si ce texte les concerne directement. La r\u00e9ponse honn\u00eate, avant toute chose : dans l’immense majorit\u00e9 des cas, non. Mais cette question en cache une plus utile \u2014 celle de votre exposition r\u00e9elle au risque cyber, et de la fa\u00e7on dont votre garantie dirigeant et votre couverture d’assurance actuelle y r\u00e9pondent, ou n’y r\u00e9pondent pas.<\/p>\n

\"Pictogramme<\/p>\n

DORA : un r\u00e8glement r\u00e9serv\u00e9 au secteur financier<\/h2>\n

Le r\u00e8glement (UE) 2022\/2554, applicable depuis le 17 janvier 2025, s’adresse \u00e0 un p\u00e9rim\u00e8tre pr\u00e9cis d’entit\u00e9s : \u00e9tablissements de cr\u00e9dit, entreprises d’investissement, \u00e9tablissements de paiement et de monnaie \u00e9lectronique, soci\u00e9t\u00e9s de gestion, entreprises d’assurance et de r\u00e9assurance, interm\u00e9diaires d’assurance (\u00e0 l’exception, selon les seuils rapport\u00e9s par l’ACPR, des micro, petites et moyennes entreprises du courtage), ainsi que les prestataires informatiques d\u00e9sign\u00e9s \u00ab critiques \u00bb pour ce secteur. Une PME g\u00e9n\u00e9raliste \u2014 un cabinet de conseil, un commerce, une entreprise du b\u00e2timent ou de la restauration \u2014 n’entre dans aucune de ces cat\u00e9gories et n’est donc pas directement soumise \u00e0 DORA.<\/p>\n

Ce que DORA impose \u00e0 ceux qui y sont soumis donne toutefois une id\u00e9e de la direction prise par la r\u00e9glementation europ\u00e9enne : gestion structur\u00e9e du risque informatique, notification des incidents majeurs aux autorit\u00e9s, tests r\u00e9guliers de r\u00e9silience et encadrement renforc\u00e9 des prestataires informatiques tiers. Ce mouvement de fond touchera, t\u00f4t ou tard, un cercle plus large d’entreprises.<\/p>\n

Votre PME est-elle concern\u00e9e par une autre obligation cyber en 2026 ?<\/h2>\n

Deux cadres m\u00e9ritent d’\u00eatre distingu\u00e9s de DORA. Le premier est le RGPD, qui s’applique \u00e0 toute entreprise traitant des donn\u00e9es personnelles, quelle que soit sa taille ou son secteur : en cas de violation de donn\u00e9es pr\u00e9sentant un risque pour les personnes concern\u00e9es, une notification \u00e0 la CNIL est requise en principe sous 72 heures, et une information des personnes elles-m\u00eames en cas de risque \u00e9lev\u00e9.<\/p>\n

Le second est la directive NIS2, dont le p\u00e9rim\u00e8tre est lui aussi sectoriel et fond\u00e9 sur des seuils de taille \u2014 elle vise des secteurs identifi\u00e9s comme essentiels ou importants, pas les PME g\u00e9n\u00e9ralistes. Sa transposition en droit fran\u00e7ais n’\u00e9tait, \u00e0 la date de r\u00e9daction de cet article, toujours pas d\u00e9finitivement adopt\u00e9e : le texte reste en cours d’examen parlementaire. Une PME hors des secteurs concern\u00e9s ne devrait donc pas, en l’\u00e9tat, se sentir directement vis\u00e9e par NIS2 \u2014 sous r\u00e9serve de l’\u00e9volution du texte et de son p\u00e9rim\u00e8tre d\u00e9finitif.<\/p>\n

En clair : la plupart des PME fran\u00e7aises n’ont, \u00e0 ce jour, aucune obligation l\u00e9gale sp\u00e9cifique de type DORA ou NIS2. Cela ne signifie pas que le risque cyber lui-m\u00eame a disparu \u2014 seulement que la r\u00e9ponse \u00e0 ce risque rel\u00e8ve, pour l’instant, davantage d’une d\u00e9marche volontaire que d’une contrainte r\u00e9glementaire.<\/p>\n

Ce que couvre r\u00e9ellement une cyber-assurance<\/h2>\n

C’est l\u00e0 qu’intervient la cyber-assurance, un produit commercial et non une obligation l\u00e9gale. Selon les polices, elle peut couvrir les frais de remise en \u00e9tat des syst\u00e8mes et l’assistance technique apr\u00e8s incident, la perte d’exploitation li\u00e9e \u00e0 une interruption d’activit\u00e9, les frais de gestion de crise et de notification (y compris la communication aupr\u00e8s des clients), l’accompagnement juridique li\u00e9 aux obligations RGPD, et parfois une prise en charge encadr\u00e9e en cas de ran\u00e7ongiciel. Un point de vigilance revient fr\u00e9quemment : plusieurs indemnisations ont \u00e9t\u00e9 refus\u00e9es lorsque les mesures de s\u00e9curit\u00e9 d\u00e9clar\u00e9es \u00e0 la souscription (authentification renforc\u00e9e, sauvegardes r\u00e9guli\u00e8res, etc.) n’\u00e9taient pas r\u00e9ellement en place au moment du sinistre. La rigueur de la d\u00e9claration initiale conditionne donc directement la solidit\u00e9 de la garantie.<\/p>\n

RC Dirigeants et cyber-risque : deux garanties, pas une seule<\/h2>\n

Une confusion fr\u00e9quente m\u00e9rite d’\u00eatre clarifi\u00e9e : une police responsabilit\u00e9 civile professionnelle<\/a> ou une garantie dirigeant classique ne couvre pas, en r\u00e8gle g\u00e9n\u00e9rale, les cons\u00e9quences op\u00e9rationnelles d’une cyberattaque \u2014 remise en \u00e9tat des syst\u00e8mes, perte d’exploitation, frais de notification. Elle vise avant tout la mise en cause personnelle du dirigeant pour une faute de gestion. La cyber-assurance, elle, r\u00e9pond aux cons\u00e9quences concr\u00e8tes de l’incident pour l’entreprise. Les deux garanties sont compl\u00e9mentaires, pas interchangeables : faire le point avec son courtier sur ce que couvre pr\u00e9cis\u00e9ment chaque contrat, plut\u00f4t que de supposer qu’une police g\u00e9n\u00e9raliste suffit, \u00e9vite les mauvaises surprises au moment du sinistre.<\/p>\n

Anticiper plut\u00f4t que subir<\/h2>\n

Que votre entreprise soit ou non concern\u00e9e par DORA ou NIS2, le risque cyber, lui, ne fait pas de distinction de taille : une PME peut \u00eatre la cible d’un ran\u00e7ongiciel, d’une fraude au virement ou d’une fuite de donn\u00e9es au m\u00eame titre qu’un grand groupe, avec des cons\u00e9quences financi\u00e8res proportionnellement plus lourdes \u00e0 absorber. Faire \u00e9valuer son exposition r\u00e9elle avec un courtier ind\u00e9pendant, plut\u00f4t que de se fier \u00e0 une r\u00e9glementation qui ne s’applique pas encore \u00e0 sa situation, reste la d\u00e9marche la plus pragmatique en 2026.<\/p>\n

Voir aussi :<\/strong> Courtier assurance entreprise \u00e0 Paris 8<\/a> et assurance flotte automobile entreprise \u00e0 Paris<\/a>.<\/p>\n

Foire aux questions<\/h2>\n
\nMa PME est-elle soumise au r\u00e8glement DORA ?<\/summary>\n

Dans la grande majorit\u00e9 des cas, non. DORA s’applique aux acteurs du secteur financier (banques, assurances, interm\u00e9diaires d’assurance au-del\u00e0 de certains seuils, prestataires informatiques critiques pour ce secteur). Une PME g\u00e9n\u00e9raliste, hors de ce p\u00e9rim\u00e8tre, n’y est pas directement soumise.<\/p>\n<\/details>\n

\nLa directive NIS2 s’applique-t-elle aux PME en France en 2026 ?<\/summary>\n

NIS2 vise des secteurs identifi\u00e9s comme essentiels ou importants, avec des seuils de taille, et non les PME g\u00e9n\u00e9ralistes. Sa transposition en droit fran\u00e7ais n’\u00e9tait pas d\u00e9finitivement adopt\u00e9e \u00e0 la date de r\u00e9daction de cet article : la situation est donc \u00e0 suivre, mais sans obligation nationale opposable \u00e0 ce jour pour la plupart des PME.<\/p>\n<\/details>\n

\nQuelle est la diff\u00e9rence entre RC Pro, RC Dirigeants et cyber-assurance ?<\/summary>\n

La RC Professionnelle couvre les dommages caus\u00e9s \u00e0 des tiers dans le cadre de l’activit\u00e9 ; la RC Dirigeants (ou RC Mandataires Sociaux) couvre la mise en cause personnelle du dirigeant pour une faute de gestion. Ni l’une ni l’autre ne prend en charge, en r\u00e8gle g\u00e9n\u00e9rale, les cons\u00e9quences op\u00e9rationnelles d’une cyberattaque \u2014 c’est le r\u00f4le sp\u00e9cifique de la cyber-assurance.<\/p>\n<\/details>\n

\nQue se passe-t-il si mes mesures de s\u00e9curit\u00e9 d\u00e9clar\u00e9es n’\u00e9taient pas r\u00e9ellement en place lors d’un sinistre cyber ?<\/summary>\n

Plusieurs cas de refus d’indemnisation ont \u00e9t\u00e9 rapport\u00e9s lorsque les mesures de s\u00e9curit\u00e9 d\u00e9clar\u00e9es \u00e0 la souscription (authentification renforc\u00e9e, sauvegardes, etc.) n’\u00e9taient pas effectivement appliqu\u00e9es au moment de l’incident. D\u00e9clarer avec pr\u00e9cision sa situation r\u00e9elle, quitte \u00e0 ajuster la garantie en cons\u00e9quence, est essentiel pour que la police joue pleinement son r\u00f4le le jour venu.<\/p>\n<\/details>\n

\nLe RGPD impose-t-il une obligation cyber \u00e0 toutes les PME ?<\/summary>\n

Oui, dans une certaine mesure : toute entreprise traitant des donn\u00e9es personnelles doit notifier une violation de donn\u00e9es pr\u00e9sentant un risque \u00e0 la CNIL, en principe sous 72 heures, et informer les personnes concern\u00e9es en cas de risque \u00e9lev\u00e9. Cette obligation existe ind\u00e9pendamment de DORA ou de NIS2.<\/p>\n<\/details>","protected":false},"excerpt":{"rendered":"

Depuis le 17 janvier 2025, le r\u00e8glement europ\u00e9en DORA (Digital Operational Resilience Act) impose de nouvelles obligations de r\u00e9silience num\u00e9rique aux acteurs financiers. Beaucoup de dirigeants de PME, en tapant \u00ab cyber assurance PME DORA 2026 \u00bb dans un moteur de recherche, se demandent si ce texte les concerne directement. La r\u00e9ponse honn\u00eate, avant toute chose : dans l’immense majorit\u00e9 des cas, non. Mais cette question en cache une plus utile \u2014 celle de votre exposition r\u00e9elle au risque cyber, et de la fa\u00e7on dont votre garantie dirigeant et votre couverture d’assurance actuelle y r\u00e9pondent, ou n’y r\u00e9pondent pas. DORA : un r\u00e8glement r\u00e9serv\u00e9 au secteur financier Le r\u00e8glement (UE) 2022\/2554, applicable depuis le 17 janvier 2025, s’adresse \u00e0 un p\u00e9rim\u00e8tre pr\u00e9cis d’entit\u00e9s : \u00e9tablissements de cr\u00e9dit, entreprises d’investissement, \u00e9tablissements de paiement et de monnaie \u00e9lectronique, soci\u00e9t\u00e9s de gestion, entreprises d’assurance et de r\u00e9assurance, interm\u00e9diaires d’assurance (\u00e0 l’exception, selon les seuils rapport\u00e9s par l’ACPR, des micro, petites et moyennes entreprises du courtage), ainsi que les prestataires informatiques d\u00e9sign\u00e9s \u00ab critiques \u00bb pour ce secteur. Une PME g\u00e9n\u00e9raliste \u2014 un cabinet de conseil, un commerce, une entreprise du b\u00e2timent ou de la restauration \u2014 n’entre dans aucune de ces cat\u00e9gories et n’est donc pas directement soumise \u00e0 DORA. Ce que DORA impose \u00e0 ceux qui y sont soumis donne toutefois une id\u00e9e de la direction prise par la r\u00e9glementation europ\u00e9enne : gestion structur\u00e9e du risque informatique, notification des incidents majeurs aux autorit\u00e9s, tests r\u00e9guliers de r\u00e9silience et encadrement renforc\u00e9 des prestataires informatiques tiers. Ce mouvement de fond touchera, t\u00f4t ou tard, un cercle plus large d’entreprises. Votre PME est-elle concern\u00e9e par une autre obligation cyber en 2026 ? Deux cadres m\u00e9ritent d’\u00eatre distingu\u00e9s de DORA. Le premier est le RGPD, qui s’applique \u00e0 toute entreprise traitant des donn\u00e9es personnelles, quelle que soit sa taille ou son secteur : en cas de violation de donn\u00e9es pr\u00e9sentant un risque pour les personnes concern\u00e9es, une notification \u00e0 la CNIL est requise en principe sous 72 heures, et une information des personnes elles-m\u00eames en cas de risque \u00e9lev\u00e9. Le second est la directive NIS2, dont le p\u00e9rim\u00e8tre est lui aussi sectoriel et fond\u00e9 sur des seuils de taille \u2014 elle vise des secteurs identifi\u00e9s comme essentiels ou importants, pas les PME g\u00e9n\u00e9ralistes. Sa transposition en droit fran\u00e7ais n’\u00e9tait, \u00e0 la date de r\u00e9daction de cet article, toujours pas d\u00e9finitivement adopt\u00e9e : le texte reste en cours d’examen parlementaire. Une PME hors des secteurs concern\u00e9s ne devrait donc pas, en l’\u00e9tat, se sentir directement vis\u00e9e par NIS2 \u2014 sous r\u00e9serve de l’\u00e9volution du texte et de son p\u00e9rim\u00e8tre d\u00e9finitif. En clair : la plupart des PME fran\u00e7aises n’ont, \u00e0 ce jour, aucune obligation l\u00e9gale sp\u00e9cifique de type DORA ou NIS2. Cela ne signifie pas que le risque cyber lui-m\u00eame a disparu \u2014 seulement que la r\u00e9ponse \u00e0 ce risque rel\u00e8ve, pour l’instant, davantage d’une d\u00e9marche volontaire que d’une contrainte r\u00e9glementaire. Ce que couvre r\u00e9ellement une cyber-assurance C’est l\u00e0 qu’intervient la cyber-assurance, un produit commercial et non une obligation l\u00e9gale. Selon les polices, elle peut couvrir les frais de remise en \u00e9tat des syst\u00e8mes et l’assistance technique apr\u00e8s incident, la perte d’exploitation li\u00e9e \u00e0 une interruption d’activit\u00e9, les frais de gestion de crise et de notification (y compris la communication aupr\u00e8s des clients), l’accompagnement juridique li\u00e9 aux obligations RGPD, et parfois une prise en charge encadr\u00e9e en cas de ran\u00e7ongiciel. Un point de vigilance revient fr\u00e9quemment : plusieurs indemnisations ont \u00e9t\u00e9 refus\u00e9es lorsque les mesures de s\u00e9curit\u00e9 d\u00e9clar\u00e9es \u00e0 la souscription (authentification renforc\u00e9e, sauvegardes r\u00e9guli\u00e8res, etc.) n’\u00e9taient pas r\u00e9ellement en place au moment du sinistre. La rigueur de la d\u00e9claration initiale conditionne donc directement la solidit\u00e9 de la garantie. RC Dirigeants et cyber-risque : deux garanties, pas une seule Une confusion fr\u00e9quente m\u00e9rite d’\u00eatre clarifi\u00e9e : une police responsabilit\u00e9 civile professionnelle ou une garantie dirigeant classique ne couvre pas, en r\u00e8gle g\u00e9n\u00e9rale, les cons\u00e9quences op\u00e9rationnelles d’une cyberattaque \u2014 remise en \u00e9tat des syst\u00e8mes, perte d’exploitation, frais de notification. Elle vise avant tout la mise en cause personnelle du dirigeant pour une faute de gestion. La cyber-assurance, elle, r\u00e9pond aux cons\u00e9quences concr\u00e8tes de l’incident pour l’entreprise. Les deux garanties sont compl\u00e9mentaires, pas interchangeables : faire le point avec son courtier sur ce que couvre pr\u00e9cis\u00e9ment chaque contrat, plut\u00f4t que de supposer qu’une police g\u00e9n\u00e9raliste suffit, \u00e9vite les mauvaises surprises au moment du sinistre. Anticiper plut\u00f4t que subir Que votre entreprise soit ou non concern\u00e9e par DORA ou NIS2, le risque cyber, lui, ne fait pas de distinction de taille : une PME peut \u00eatre la cible d’un ran\u00e7ongiciel, d’une fraude au virement ou d’une fuite de donn\u00e9es au m\u00eame titre qu’un grand groupe, avec des cons\u00e9quences financi\u00e8res proportionnellement plus lourdes \u00e0 absorber. Faire \u00e9valuer son exposition r\u00e9elle avec un courtier ind\u00e9pendant, plut\u00f4t que de se fier \u00e0 une r\u00e9glementation qui ne s’applique pas encore \u00e0 sa situation, reste la d\u00e9marche la plus pragmatique en 2026. Voir aussi : Courtier assurance entreprise \u00e0 Paris 8 et assurance flotte automobile entreprise \u00e0 Paris. Foire aux questions Ma PME est-elle soumise au r\u00e8glement DORA ? Dans la grande majorit\u00e9 des cas, non. DORA s’applique aux acteurs du secteur financier (banques, assurances, interm\u00e9diaires d’assurance au-del\u00e0 de certains seuils, prestataires informatiques critiques pour ce secteur). Une PME g\u00e9n\u00e9raliste, hors de ce p\u00e9rim\u00e8tre, n’y est pas directement soumise. La directive NIS2 s’applique-t-elle aux PME en France en 2026 ? NIS2 vise des secteurs identifi\u00e9s comme essentiels ou importants, avec des seuils de taille, et non les PME g\u00e9n\u00e9ralistes. Sa transposition en droit fran\u00e7ais n’\u00e9tait pas d\u00e9finitivement adopt\u00e9e \u00e0 la date de r\u00e9daction de cet article : la situation est donc \u00e0 suivre, mais sans obligation nationale opposable \u00e0 ce jour pour la plupart des PME. Quelle est la diff\u00e9rence entre RC Pro, RC Dirigeants et cyber-assurance ? La RC Professionnelle couvre les dommages caus\u00e9s \u00e0 des tiers dans le cadre de l’activit\u00e9 ; la RC Dirigeants (ou RC Mandataires Sociaux) couvre la mise en cause personnelle du dirigeant pour une faute de gestion.<\/p>","protected":false},"author":1,"featured_media":2282,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"default","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2284","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-infos"],"_links":{"self":[{"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/posts\/2284","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/comments?post=2284"}],"version-history":[{"count":2,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/posts\/2284\/revisions"}],"predecessor-version":[{"id":2286,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/posts\/2284\/revisions\/2286"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/media\/2282"}],"wp:attachment":[{"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/media?parent=2284"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/categories?post=2284"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mamassur.com\/en\/wp-json\/wp\/v2\/tags?post=2284"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}