En cinq ans, l’assurance cyber a changé de nature. Longtemps vendue comme une option confortable réservée aux grands comptes, elle devient une composante attendue par les clients, exigée par la réglementation et scrutée en due diligence. Pour le courtier, la vraie question n’est plus de savoir s’il faut proposer du cyber, mais de savoir si sa compétence sur ce risque est lisible, industrialisée et défendable. C’est un révélateur de maturité, comme l’inflation de sinistres.
I. Cadrage technique : d’une garantie de niche à une couverture attendue
Le risque cyber n’est plus un sujet de spécialistes. Il s’est déplacé, massifié et réglementé, et ce triple mouvement transforme la place du cyber dans le portefeuille du courtier.
La menace descend vers les PME et les ETI. En 2025, l’ANSSI a traité 1 366 incidents de sécurité (niveau stable par rapport à 2024) et recensé 128 compromissions par rançongiciel, contre 141 en 2024. Le fait marquant n’est pas le volume, mais la cible : les TPE, PME et ETI représentent 48 % des victimes de rançongiciel en 2025, contre 37 % en 2024. Les exfiltrations de données signalées passent de 130 à 196, soit une hausse supérieure à 50 % en un an (ANSSI, Panorama de la cybermenace 2025, mars 2026).
Le marché de la couverture se structure. Le marché français de l’assurance cyber est estimé à 326 M€ de cotisations en 2025, dont 93% portés par les contrats cyber pur, c’est-à-dire les contrats dédiés, par opposition aux garanties cyber incluses dans d’autres polices. Le nombre de ces contrats progresse de 11 %, tandis que les cotisations reculent de 8 %, sous l’effet d’une meilleure prévention et d’une meilleure compréhension du risque par les assurés (France Assureurs, mars 2026). La souscription s’ouvre aux structures intermédiaires : l’étude LUCY de l’AMRAE relève une progression du nombre d’ETI et de PME assurées, accompagnée d’une baisse des franchises moyennes des ETI (de l’ordre de 218 000 € à 110 000 €), signe d’un marché qui se normalise (AMRAE, étude LUCY 2025).
La réglementation rend la couverture quasi incontournable. Depuis le 24 avril 2023, l’article 5 de la loi LOPMI (article L.12-10-1 du code des assurances) subordonne l’indemnisation d’une cyberattaque au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte. En parallèle, la directive NIS2, transposée par la loi dite Résilience (adoptée en première lecture au Sénat le 12 mars 2025, calendrier d’adoption définitive resté incertain à la mi-2026), étendrait le périmètre réglementé à environ 15 000 entités françaises réparties dans 18 secteurs, avec responsabilité personnelle du dirigeant et sanctions pouvant atteindre 10 M€ ou 2 % du chiffre d’affaires (dossier législatif du Sénat ; ANSSI).
De l’option à l’exigence : Trois moteurs font du cyber une exigence commerciale, pas une garantie confortable :
Figure 1 : les trois moteurs qui font passer le cyber du statut d’option à celui d’exigence commerciale. Sources : ANSSI (2025), loi LOPMI (2023), directive NIS2 / loi Résilience.
Le cyber est devenu un marqueur de crédibilité : offre, expertise, processus de souscription et de gestion. En M&A, les cabinets qui ont structuré cette compétence attirent des acquéreurs plus qualitatifs.
II. L’écart de maturité
Comme l’inflation de sinistres, la montée du cyber ne frappe pas uniformément : elle départage. Deux profils de cabinets se dessinent.
D’un côté, des courtiers qui ont fait du cyber une vraie ligne de métier : offre segmentée par taille et par secteur, questionnaire de souscription maîtrisé, partenariats avec des porteurs spécialisés, processus de gestion de crise rodé et capacité à accompagner l’assuré dans le dépôt de plainte sous 72 heures. De l’autre, des cabinets qui traitent encore le cyber comme une garantie annexe, souscrite au coup par coup, sans expertise interne ni discours structuré face au client.
Déplacement de la cible : Les petites et moyennes structures concentrent l’essentiel de la menace :
Figure 2 : Déplacement de la cible des rançongiciels vers les petites et moyennes structures.
Les cabinets les plus exposés
- Le Cyber vendu de façon opportuniste, sans offre lisible ni segmentation par profil de risque (TPE, PME, ETI, secteurs sensibles).
- Absence de processus de gestion des sinistres cyber : aucun protocole d’assistance, aucun accompagnement du client sur l’obligation de plainte sous 72 heures, aucune relation établie avec des experts en réponse à un incident.
- Questionnaires de souscription mal maîtrisés, d’où des taux de refus élevés, des primes mal calibrées et un risque de contentieux sur les exclusions.
- Aucune anticipation de NIS2 : le cabinet ne sait pas dire à ses clients s’ils sont dans le périmètre, ni transformer cette contrainte en conversation commerciale.
- Dépendance à un homme-clé pour l’expertise cyber, sans documentation ni relais : une compétence non transférable, donc non valorisable.
III. De la contrainte au repositionnement
La bonne lecture n’est pas défensive. La montée du cyber crée une demande structurelle pour des services à forte valeur ajoutée, précisément ceux qui élèvent la rétention et qui échappent à la pression des comparateurs et des bancassureurs.
Les missions à structurer
- Diagnostic d’exposition cyber et cartographie du périmètre NIS2 du client : un point d’entrée à forte valeur, qui légitime le courtier comme référent et non comme simple distributeurs de contrats.
- Structuration d’une offre cyber segmentée (TPE, PME, ETI, secteurs réglementés), avec un discours clair sur les garanties, les exclusions et les mécanismes d’assistance.
- Accompagnement de la gestion de crise : protocole de réponse à incident, appui au dépôt de plainte sous 72 heures, mise en relation avec des experts, suivi de l’indemnisation. C’est le moment où le courtier démontre sa valeur.
- Conseil en prévention (sensibilisation, hygiène numérique, sauvegardes), qui améliore le profil de risque de l’assuré, facilite la souscription et renforce la position de négociation face aux porteurs.
- Rapport cyber périodique pour les clients ETI et PME multi-sites : exposition, incidents, conformité NIS2. Un mécanisme de fidélisation qui rend l’arbitrage coûteux pour le client.
Avant / Après
Avant : un cabinet qui vend le cyber quand le client le demande, sans expertise différenciante, exposé au refus de souscription comme au litige sur les exclusions.
Après : un cabinet qui pilote le risque cyber de ses clients, transforme NIS2 en argument commercial et fait de la gestion de crise un moment de preuve. Une ligne de métier récurrente, hors de la pression des comparateurs, et un portefeuille plus défendable.
Déplacement de la cible : Part des victimes de rançongiciel par type d’organisation, 2024 vs 2025 :
Figure 3 : La part des TPE, PME et ETI parmi les victimes passe de 37 % à 48 % entre 2024 et 2025. Source : ANSSI, Panorama de la cybermenace 2025.
IV. La lecture M&A
Pour un acquéreur, la compétence cyber d’un cabinet est devenue un point de contrôle à part entière. Elle dit deux choses : la capacité du cabinet à capter une demande en croissance, et sa maturité opérationnelle sur un risque techniquement exigeant.
Les questions qu’un acquéreur posera
- Quelle est la part du cyber dans le portefeuille, sa croissance, et sa répartition par taille et par secteur de clients ?
- L’expertise cyber est-elle documentée et transférable, ou concentrée sur un ou deux hommes-clés ?
- Quels sont les taux de refus de souscription, la sinistralité cyber observée et la qualité des questionnaires utilisés ?
- Existe-t-il un processus de gestion de crise et d’accompagnement au dépôt de plainte sous 72 heures, ou le sujet est-il traité au cas par cas ?
- Le cabinet a-t-il cartographié l’exposition NIS2 de sa base clients, et en a-t-il fait un levier de développement ?
Le cabinet qui répond de façon chiffrée, sourcée et défendable déplace la conversation du prix vers la trajectoire. À l’inverse, un cabinet dont la compétence cyber repose sur une personne non intégrable subit une décote, non pas parce que l’activité est mauvaise, mais parce que le risque d’exécution se transfère à l’acquéreur.
Le contexte de marché récompense la qualité. Selon les fourchettes de valorisation couramment publiées dans la presse spécialisée, les portefeuilles de courtage se valorisent classiquement entre 1,5 et 3 fois les commissions récurrentes annuelles selon leur qualité, avec des pointes au-delà de 3 fois pour les portefeuilles les plus fidélisés et les plus spécialisés (santé collective, risques affinitaires, cyber). L’appétit des investisseurs pour la consolidation du courtage reste soutenu en France et en Europe continentale (PwC France, 2026) : en 2025, Ardian a acquis environ 50 % de Diot-Siaci dans le cadre d’un deal valorisé à 4 Md€. Ce sont les dossiers qualitatifs, et une compétence cyber lisible en fait partie, qui captent la prime.
V. Les trajectoires stratégiques
Face à cette montée en puissance, trois trajectoires s’offrent au dirigeant indépendant. Aucune n’est universellement bonne : le choix dépend de la taille du cabinet, du profil du portefeuille et de l’horizon du dirigeant.
Les petites et moyennes structures concentrent l’essentiel de la menace :
Figure 3 : les trois trajectoires rationnelles pour un dirigeant de cabinet indépendant face à la montée du risque cyber.
VI. Le rôle de Triactis
Triactis est un cabinet M&A boutique spécialisé sur les verticales courtage en assurance, conseil en gestion de patrimoine et expertise comptable. Notre positionnement est exclusivement orienté vente : nous accompagnons des dirigeants de cabinets indépendants dans la structuration d’opérations confidentielles, qualitatives et calibrées sur la trajectoire réelle de l’entreprise.
Ce que Triactis peut apporter
- Une lecture de la compétence cyber du cabinet comme actif valorisable : lisibilité de l’offre, expertise, processus de souscription et de gestion, anticipation de NIS2.
- Une structuration confidentielle de l’opération, calibrée selon le profil du cédant et l’horizon de transmission.
- Un accès qualifié à un panel d’acquéreurs sélectionnés, sans mise en marché diffuse.
- Une négociation orientée valeur défendable plutôt que prix d’affichage, intégrant compléments de prix, garantie de passif et réinvestissement.
- Un accompagnement post-transaction sur la phase d’intégration, période où se matérialise effectivement la valeur.
Le cyber peut devenir un vrai levier de différenciation. Triactis accompagne les cabinets qui veulent transformer cette montée en puissance en création de valeur (cession, fusion, adossement).
Synthèse :
- Le cyber n’est plus une option : la menace se déplace vers les PME et les ETI, la réglementation (LOPMI, NIS2) contraint, et le marché B2B l’exige par effet cascade.
- Il départage les cabinets selon leur maturité : offre lisible, maîtrise de la souscription, processus de gestion de crise, anticipation de NIS2.
- Pour un acquéreur, la compétence cyber est un point de due diligence : croissance de la ligne, transférabilité de l’expertise, sinistralité, exposition NIS2 de la base clients.
- Trois trajectoires rationnelles : investir seul, se rapprocher, s’adosser. Le bon choix dépend de la taille, du timing et des objectifs du dirigeant.
Conclusion :
La bascule du cyber, d’une garantie optionnelle vers une exigence commerciale, n’est pas un sujet technique de plus : c’est un révélateur de modèle. Elle ne menace pas les cabinets qui ont structuré cette compétence, elle les renforce et les rend plus visibles auprès des acquéreurs les plus qualitatifs. Elle expose en revanche ceux qui continuent de traiter le cyber comme un accessoire.
La fenêtre de consolidation reste ouverte, mais elle ne le restera pas indéfiniment : les cabinets qui structurent leur compétence cyber aujourd’hui captent la prime ; ceux qui attendent la subissent. Triactis aide à structurer l’opération, cession, fusion ou adossement, qui sécurise à la fois la trajectoire de l’entreprise et la valeur du travail accompli par le dirigeant.
Sources :
- ANSSI : CERT-FR, Panorama de la cybermenace 2025 (mars 2026).
- France Assureurs, Bilan annuel 2025 de l’assurance française (mars 2026).
- AMRAE, étude LUCY (LUmière sur la CYberassurance), édition 2025.
- Loi n° 2023-22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur (LOPMI), article 5 ; code des assurances, article L.12-10-1.
- Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (loi Résilience, transposition de NIS2, REC et DORA) : dossier législatif du Sénat.
- PwC France, Tendances et perspectives pour le secteur des services financiers : 2026 outlook (mars 2026).
- L’Argus de l’assurance et La Tribune de l’assurance : fourchettes de valorisation des portefeuilles de courtage (presse spécialisée, 2025-2026).
