Il n'existe pas d'obligation légale générale de pentest annuel pour souscrire une assurance cyber. Les exigences peuvent être contractuelles. Pour les victimes professionnelles et les pertes visées, l'article L. 12-10-1 du Code des assurances prévoit notamment un dépôt de plainte dans les 72 heures après la connaissance de l'atteinte.
Ce que demandent les assureurs en 2026
- Questionnaire de sécurité détaillé (MFA, patch management, sauvegardes, segmentation).
- Rapport de pentest récent (moins de 12 mois) de plus en plus souvent exigé.
- Preuve de remédiation des vulnérabilités critiques identifiées.
- Plan de réponse aux incidents documenté.
Impact du pentest sur les primes
Un pentest récent accompagné d'un plan de remédiation validé peut peser favorablement dans la négociation de la prime d'assurance cyber (l'effet exact varie selon l'assureur, le profil de risque et l'historique sinistres). Certains assureurs refusent désormais de couvrir les entreprises qui n'ont pas réalisé de test d'intrusion, ou appliquent des exclusions sur les vulnérabilités connues non corrigées. Demandez à votre courtier l'impact chiffré sur votre cas précis.
NIS2 et obligations réglementaires
La directive NIS2 impose des mesures de sécurité proportionnées incluant des tests de sécurité réguliers. Les PME hors périmètre direct peuvent recevoir des exigences contractuelles de leurs clients régulés ; elles ne deviennent pas automatiquement assujetties à NIS2.
ROI d'un pentest pour l'assurance cyber
Le prix dépend du périmètre et doit être confirmé sur devis. Comparez-le uniquement à une économie proposée par écrit par l'assureur, sans promettre une réduction de prime ni une levée d'exclusion. Un rapport ne garantit pas l'indemnisation : déclaration du risque, garanties, exclusions et obligations après sinistre restent déterminantes.