NIS2 et assurance cyber : être conforme suffit-il pour être assuré ?

Réponse courte

Non. La directive NIS2 n’impose pas de souscrire une assurance cyber et sa mise en œuvre ne garantit ni l’obtention d’un contrat, ni l’indemnisation d’un sinistre. En revanche, les mesures de gouvernance, de prévention et de traçabilité prévues par NIS2 peuvent améliorer la qualité du risque présenté à l’assureur. L’entreprise doit articuler réduction du risque, preuve de sa maîtrise et transfert à l’assurance de la part résiduelle.

À retenir

• ✓NIS2 ne rend pas l’assurance cyber obligatoire et ne garantit pas l’assurabilité.
• ✓Les mesures NIS2 facilitent la prévention, la traçabilité et la présentation du risque à l’assureur.
• ✓Une conformité déclarée doit être soutenue par des preuves datées, testées et cohérentes avec le questionnaire de souscription.
• ✓Les délais NIS2 et le dépôt de plainte sous 72 heures prévu par le Code des assurances sont deux démarches distinctes.

NIS2 et l’assurance cyber poursuivent des objectifs différents. La première organise la gouvernance, la prévention, la résilience et la notification. La seconde transfère une partie des conséquences financières résiduelles et peut donner accès à des experts en situation de crise. Les deux démarches sont plus efficaces lorsqu’elles s’appuient sur un même pilotage et un même dossier de preuves.

Pour l’entreprise, l’enjeu consiste à articuler trois démarches complémentaires :

1. réduire le risque cyber ;
2. démontrer que ce risque est effectivement piloté ;
3. transférer à l’assurance la part résiduelle qui ne peut pas être éliminée.

Ce que NIS2 change pour les entreprises

La directive européenne NIS2 renforce les obligations de cybersécurité applicables aux entités essentielles et importantes de 18 secteurs. Elle place notamment la cybersécurité au niveau de la gouvernance de l’organisation. Les organes de direction doivent approuver les mesures de gestion des risques, suivre leur mise en œuvre et disposer d’une formation suffisante pour exercer cette responsabilité.

Parmi les mesures prévues figurent notamment :

• l’analyse des risques et les politiques de sécurité ;
• la gestion et la notification des incidents ;
• la continuité d’activité, les sauvegardes et la reprise ;
• la sécurité de la chaîne d’approvisionnement ;
• la gestion des vulnérabilités ;
• l’évaluation de l’efficacité des mesures de sécurité ;
• la sensibilisation et la formation ;
• la cryptographie et le chiffrement lorsque leur emploi est approprié ;
• la gestion des accès et des actifs ;
• l’authentification multifacteur ou continue lorsque la situation le justifie.

En France, la transposition nationale reste en cours au 11 août 2026. Le 8 juillet 2026, la Commission européenne a annoncé saisir la Cour de justice de l’Union européenne, la France n’ayant pas notifié une transposition complète. L’ANSSI invite néanmoins les futures entités essentielles et importantes à se préparer dès maintenant et met à disposition le Référentiel Cyber France, ou ReCyF.

NIS2 rend-elle l’assurance cyber obligatoire ?

Non. NIS2 impose une démarche de gestion des risques, mais elle ne crée pas d’obligation générale de souscrire une assurance cyber. L’assurance ne remplace aucune mesure de sécurité. Elle intervient après la prévention, pour accompagner l’organisation et absorber certaines conséquences d’un incident dans les limites du contrat.

Selon la couverture souscrite, le contrat peut notamment prévoir :

• l’intervention d’experts en réponse à incident ;
• l’investigation numérique et la gestion de crise ;
• des frais juridiques et de défense ;
• la restauration des systèmes et des données ;
• les frais supplémentaires d’exploitation ;
• certaines pertes d’exploitation ;
• certaines conséquences relevant de la responsabilité civile ;
• parfois, sous conditions ou en option, certaines fraudes informatiques.

Les garanties, franchises, plafonds, exclusions, délais de déclaration et prestataires autorisés varient fortement. Il faut donc lire le contrat comme un dispositif précis, et non comme une garantie générale contre toutes les conséquences d’un incident.

Pourquoi NIS2 peut améliorer l’assurabilité

Lorsqu’il étudie un risque cyber, l’assureur ne regarde pas uniquement les logiciels installés. Il cherche à comprendre si l’organisation connaît son exposition, attribue les responsabilités, protège ses actifs critiques et sait réagir.

• Actifs et services critiques identifiés
• Sauvegardes isolées et restaurations testées
• Accès sensibles protégés par une authentification forte
• Vulnérabilités et correctifs suivis
• Fournisseurs critiques évalués
• Continuité, reprise et gestion de crise exercées
• Responsabilités clairement attribuées
• Décisions et contrôles prouvés

Ces éléments recoupent de nombreuses questions de souscription. Une entreprise capable de fournir des réponses documentées présente un risque plus lisible. Cette transparence peut faciliter l’étude du dossier et la négociation, sans garantir un tarif ou une couverture particulière.

La conformité déclarée ne suffit pas : il faut pouvoir la prouver

Après un sinistre, l’assureur peut vérifier si les informations communiquées lors de la souscription étaient exactes et si les obligations prévues au contrat ont été respectées. Une réponse positive dans un questionnaire, non étayée par des éléments vérifiables, peut créer une difficulté.

L’organisation doit conserver une trace exploitable de ses actions :

• décisions et validations de la direction ;
• cartographies des risques ;
• politiques et procédures applicables ;
• tests de sauvegarde et de restauration ;
• exercices de gestion de crise ;
• revues des droits d’accès ;
• actions de sensibilisation ;
• audits et plans de remédiation ;
• évaluations des fournisseurs et mesures correctives.

L’objectif n’est pas d’accumuler des documents. Il est de démontrer qu’une mesure est définie, appliquée, contrôlée et corrigée lorsqu’un écart est constaté.

Deux délais de 72 heures à ne pas confondre

NIS2 prévoit un processus progressif de notification des incidents significatifs : une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification dans les 72 heures, puis en principe un rapport final au plus tard un mois après la notification. En France, les modalités définitives dépendront des textes nationaux de transposition.

Un autre délai de 72 heures existe déjà en droit français, mais il répond à une logique différente. L’article L.12-10-1 du Code des assurances subordonne le versement d’une indemnité couvrant les pertes et dommages causés par une cyberattaque au dépôt d’une plainte auprès des autorités compétentes, au plus tard 72 heures après la connaissance de l’atteinte. Cette règle concerne les personnes morales et les professionnels.

Une entreprise confrontée à un incident doit donc déclencher immédiatement ses circuits technique, juridique, assurantiel et réglementaire. Attendre la fin de l’analyse technique peut conduire à manquer un délai impératif.

Être assuré ne signifie pas que toutes les conséquences seront couvertes

Avant la souscription ou le renouvellement, il convient notamment de vérifier :

• les définitions de l’incident et du système assuré ;
• les exclusions liées aux systèmes obsolètes ou non maintenus ;
• les exigences de sauvegarde et d’authentification multifacteur ;
• les délais et canaux de déclaration ;
• le recours obligatoire aux prestataires référencés ;
• les sous-limites applicables à certaines garanties ;
• la couverture des prestataires et services cloud ;
• les franchises et périodes de carence ;
• le traitement des pertes d’exploitation ;
• la prise en charge éventuelle des frais réglementaires.

Il ne faut pas présumer que les amendes administratives NIS2 seront assurables. Leur prise en charge dépend du droit applicable, de la nature de la sanction et des stipulations du contrat. Une analyse juridique et assurantielle spécifique reste nécessaire.

Un marché plus accessible, mais toujours instable

L’étude LUCY 2026 de l’AMRAE, fondée sur plus de 20 000 contrats et 1 250 sinistres, constate pour 2025 une baisse des taux de prime, un assouplissement des conditions et un accès élargi à l’assurance cyber. Elle relève aussi une hausse de la sinistralité, particulièrement pour les ETI et les entreprises de taille moyenne. L’équilibre demeure donc fragile.

Une organisation a intérêt à préparer son dossier d’assurabilité avant une nouvelle phase éventuelle de durcissement du marché, et à utiliser les économies de prime pour continuer d’investir dans la prévention.

Construire un dossier commun NIS2-assurance

Une approche efficace consiste à ne pas piloter NIS2 et l’assurance cyber comme deux projets séparés. Le même dossier de preuves peut alimenter l’analyse de conformité, le suivi des risques, les questionnaires de souscription, les renouvellements, les audits, la déclaration des incidents et le dialogue avec les clients et partenaires.

• analyse de conformité NIS2 ;
• suivi des risques cyber ;
• questionnaires de souscription ;
• renouvellements d’assurance ;
• audits internes et externes ;
• gestion et déclaration des incidents ;
• dialogue avec les clients et partenaires.

Ce dossier doit rester vivant. Une preuve trop ancienne, une sauvegarde jamais restaurée ou un plan de crise jamais testé offrent une assurance limitée sur la capacité réelle de l’organisation à résister à une attaque.

Les sept actions prioritaires

1. Déterminer si l’organisation entre dans le périmètre de NIS2.
2. Identifier les actifs, services et fournisseurs critiques.
3. Évaluer les écarts par rapport aux mesures NIS2 et au ReCyF.
4. Vérifier les garanties et exclusions des contrats existants.
5. Constituer un dossier de preuves utilisable par la direction, l’auditeur et l’assureur.
6. Organiser un exercice associant informatique, juridique, communication, direction et assurance.
7. Tester le circuit de notification et les numéros d’urgence avant tout incident.

Conclusion

La meilleure protection ne consiste pas à choisir entre conformité et assurance, mais à les articuler autour d’un même système de pilotage et de preuves. Lyopi aide les organisations à structurer le suivi de leurs risques, incidents, sous-traitants, actions correctives et éléments de preuve dans un environnement traçable. Cette organisation ne constitue ni une certification NIS2 ni une garantie d’assurance, mais elle facilite la préparation des audits et le dialogue avec les parties prenantes.

Questions fréquentes

Les réponses essentielles

Une entreprise conforme à NIS2 est-elle automatiquement assurable ?

Non. La conformité peut améliorer la qualité du dossier, mais l’assureur conserve ses critères de souscription, ses exclusions, ses plafonds et sa politique tarifaire.

Une assurance cyber peut-elle remplacer certaines mesures NIS2 ?

Non. L’assurance intervient sur le risque résiduel. Elle ne remplace ni la prévention, ni la gouvernance, ni les obligations réglementaires.

Faut-il prévenir l’assureur avant d’avoir terminé l’analyse de l’incident ?

En pratique, il faut contacter immédiatement le numéro de crise prévu au contrat. Une déclaration tardive ou le recours non autorisé à un prestataire peut compliquer la prise en charge.

Le dépôt de plainte sous 72 heures remplace-t-il la notification NIS2 ?

Non. Il s’agit de deux démarches distinctes pouvant être déclenchées par le même incident.

NIS2 garantit-elle une baisse de la prime d’assurance ?

Non. La mise en œuvre de mesures de sécurité peut améliorer l’évaluation du risque, mais aucune baisse de prime n’est automatique.

Sources

Textes et ressources de référence

Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.

1. eur-lex.europa.euDirective (UE) 2022/2555 - articles 20, 21 et 23

   Texte officiel sur la gouvernance, les mesures de gestion des risques et la notification des incidents.

2. messervices.cyber.gouv.frANSSI - Directive NIS 2 et Référentiel Cyber France

   État de la transposition française et ressources de préparation mises à disposition par l’ANSSI.

3. digital-strategy.ec.europa.euCommission européenne - transposition de NIS2 en France

   Communiqué du 8 juillet 2026 sur l’absence de notification d’une transposition complète par la France.

4. www.legifrance.gouv.frCode des assurances - article L.12-10-1

   Condition de dépôt de plainte au plus tard 72 heures après la connaissance de l’atteinte.

5. www.franceassureurs.frFrance Assureurs - L’assurance cyber pour les TPE et PME

   Points de vigilance sur les garanties, exclusions, franchises, délais et obligations de cybersécurité.

6. www.amrae.frAMRAE - LUCY, lumière sur la cyberassurance 2026

   Étude du marché français de la cyberassurance fondée sur plus de 20 000 contrats et 1 250 sinistres.

Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.