DMARC et cyberassurance : tendances en matière de souscription pour 2026

Nouvelles de l'écosystèmePerspectives en matière de sécurité

L'assurance cyber est désormais une norme en matière de gestion des risques pour les organisations, et les assureurs ont perfectionné leurs méthodes d'évaluation du niveau de sécurité d'une organisation.

Il y a cinq ans, les assureurs spécialisés dans la cybercriminalité resserraient leurs conditions et augmentaient rapidement leurs primes, et l'authentification des e-mails n'était qu'un élément parmi tant d'autres sur une liste de questions de souscription qui ne cessait de s'allonger. Cette liste ne s'est pas raccourcie ; au contraire, elle est devenue plus précise.

Aujourd’hui, ces questions sont bien plus détaillées, les organisations étant tenues de démontrer la mise en œuvre des protocoles SPF, DKIM et DMARC, ainsi que d’autres mesures de sécurité essentielles. En Europe, un deuxième volet s’est ouvert parallèlement : les questions qui ne figuraient auparavant que sur un formulaire de souscription d’assurance sont désormais posées directement par les régulateurs, en vertu de la loi et non plus uniquement dans le cadre de la souscription. Voici où en sont ces deux volets en 2026.

Pourquoi l'assurance cyber continue de favoriser l'adoption du protocole DMARC

Les attaques de type « Business Email Compromise » (BEC) et les ransomwares restent les deux types d'incidents auxquels les assureurs accordent le plus d'attention, car ils continuent d'entraîner d'importantes pertes financières à l'échelle mondiale.

Le Centre de signalement des crimes sur Internet du FBI a attribué plus de 3,04 milliards de dollars de pertes aux États-Unis à la fraude BEC pour la seule année 2025 ; ces pertes colossales expliquent en partie pourquoi l'authentification des e-mails figure désormais parmi les critères des demandes de souscription d'assurance cyber. 

Aujourd'hui, un formulaire type de souscription à une assurance cyber pose des questions similaires à celles que nous avions présentées en 2021, avec quelques ajouts :

• Avez-vous mis en place les protocoles SPF, DKIM et DMARC ? Quelle est votre politique d'application du protocole DMARC ?
• Utilisez-vous une authentification multifactorielle (MFA) résistante au phishing pour vos services de messagerie électronique et vos services cloud ?
• Disposez-vous de sauvegardes hors ligne ou immuables, et avez-vous testé leur restauration ?
• Utilisez-vous des outils de détection et de réponse au niveau des terminaux (EDR) ?
• Disposez-vous d'un plan d'intervention en cas d'incident documenté et testé ?
• Organisez-vous régulièrement des formations de sensibilisation à la sécurité, notamment des simulations d'hameçonnage ?
• Évaluez-vous le niveau de sécurité des fournisseurs tiers ?
• Avez-vous répertorié les utilisations de l'intelligence artificielle au sein de votre organisation ?

Le formulaire de proposition irlandais actuel de Chubb en est un bon exemple concret. Le questionnaire demande aux demandeurs de préciser si « le protocole SPF est appliqué » dans le cadre de leurs mesures de sécurité des e-mails.

De même, le formulaire de souscription à l'assurance cyber d'Aviva au Royaume-Uni mentionne explicitement le protocole DMARC aux côtés des protocoles SPF et DKIM, couvrant ainsi tous les aspects de l'authentification des e-mails.

Les organisations qui ont déjà mis en place le protocole DMARC, notamment au niveau de l'application, ont tendance à répondre rapidement et avec assurance à ces questions. Cela se traduit par un processus de souscription plus clair et permet à votre organisation d'anticiper de manière proactive les exigences du marché, plutôt que de se contenter de répondre aux exigences de base.

Évolution des exigences en matière d'assurance cyber depuis 2021

En 2021, nous avions cité les données du Government Accountability Office (GAO) américain, qui montraient que le taux de souscription à une assurance cyber était passé de 26 % (2016) à 47 % (2020). Cinq ans plus tard, le marché a traversé un cycle complet de tarification et présente à nouveau un visage différent :

• Les primes directes souscrites aux États-Unis ont légèrement reculé en 2024, alors même que le nombre de sinistres a augmenté de près de 40 % (Association nationale des commissaires d'assurance, 2025).

• La baisse des tarifs s'est prolongée plus longtemps que beaucoup ne l'avaient prévu : AM Best a enregistré huit trimestres consécutifs de baisse des tarifs sur le marché américain jusqu'au premier trimestre 2026, alors même que l'augmentation de la gravité des sinistres incite les assureurs à inverser à terme la tendance.

• Les ransomwares représentent toujours la majeure partie du montant des sinistres importants, même si une détection plus rapide a contribué à faire baisser la gravité moyenne des sinistres (Allianz Commercial).

• Les assureurs privilégient de plus en plus une souscription fondée sur des contrôles, dans laquelle la tarification et la couverture sont déterminées par des pratiques de sécurité vérifiables plutôt que par des modifications générales des tarifs.

Conclusion : plus une organisation est en mesure de démontrer clairement l'efficacité de ses contrôles, notamment le protocole DMARC et son niveau d'application, plus les discussions relatives à la souscription ont tendance à se dérouler sans heurts.

Comment l'assurance cyber fait face à l'essor de l'IA

Les entreprises subissent une pression croissante de la part du marché de l'assurance cyber et des assureurs pour qu'elles divulguent intégralement toutes leurs utilisations de l'IA, afin de garantir la couverture de tout incident lié à celle-ci. 

Pendant des années, on a souvent considéré que les risques liés à l’IA étaient couverts à la fois par les polices d’assurance contre les cyberrisques et par celles couvrant les erreurs et omissions technologiques (Tech E&O), même lorsque l’IA n’était pas expressément mentionnée dans la police. À l’instar de l’informatique parallèle, l’IA parallèle peut désormais exposer les organisations à des risques qui ne sont ni clairement définis ni explicitement pris en compte dans leur couverture. 

À mesure que des exclusions et des définitions plus restrictives apparaissent, les sinistres liés à l'IA risquent de se retrouver à la croisée des polices d'assurance « Tech E&O », « responsabilité civile des dirigeants et administrateurs » (D&O) et « responsabilité civile liée aux pratiques d'emploi » (EPL), ce qui peut entraîner des lacunes de couverture.

Le choix d'un fournisseur de technologies utilisant l'IA ne relève plus uniquement du domaine informatique. Selon l'entreprise, cette décision peut impliquer les services juridiques, chargés de la protection de la vie privée, de la sécurité, des achats, de la conformité et des assurances. Les entreprises doivent évaluer le traitement des données, les conditions générales des fournisseurs et les répercussions potentielles sur la couverture d'assurance, puis mettre à jour leurs politiques en matière d'utilisation de l'IA, de gouvernance des données et de gestion des risques liés aux fournisseurs. 

Lorsqu'elle est utilisée à des fins malveillantes, l'IA peut permettre des attaques de hameçonnage, de compromission des e-mails professionnels et d'usurpation d'identité plus convaincantes grâce à des leurres sophistiqués, des voix clonées et des vidéos « deepfake ». Mais cela ne change rien à la question fondamentale qui sous-tend l'authentification des e-mails : l'expéditeur est-il autorisé à utiliser ce domaine ? 

Comment les normes NIS2, DORA et DMARC transforment l'assurance cyber en Europe

L'assurance cyber a évolué. Il y a cinq ans, les entreprises devaient principalement remplir des questionnaires ; aujourd'hui, les assureurs attendent de plus en plus d'elles qu'elles démontrent la mise en place de mesures de sécurité abouties. Parallèlement, la réglementation européenne incite les entreprises à adopter bon nombre de ces mêmes mesures.

L'authentification des e-mails et le protocole DMARC se situent à la croisée de ces deux tendances. Au sein de l'Union européenne, deux règlements viennent désormais s'ajouter au débat sur l'assurance :

• La directive NIS2 (en vigueur depuis octobre 2024) définit les exigences de base en matière de gestion des risques liés à la cybersécurité pour les organisations de 18 secteurs, y compris les obligations de notification des incidents. Par exemple, l'Office fédéral allemand de la sécurité de l'information mentionne explicitement l'authentification des e-mails comme une mesure de contrôle attendue.
• La directive DORA (en vigueur depuis janvier 2025) s'applique aux banques, aux assureurs et à leurs prestataires de services informatiques et de télécommunications (TIC) dans toute l'Union européenne ; elle formalise la gestion des risques liés aux TIC, la surveillance des risques liés aux tiers, les tests de résilience et le signalement des incidents.

Pour les organisations de l'UE, cela signifie que le questionnaire sur la cyberassurance et la liste de contrôle réglementaire tendent à se recouper. Il est donc logique que le statut de conformité à la directive NIS 2 ou au règlement DORA devienne d'ici peu une question standard dans les demandes d'agrément au sein de l'UE, car ces deux processus interrogent de plus en plus souvent les mêmes organisations sur les mêmes contrôles sous-jacents.

La souscription à des assurances cyber en Europe reste toutefois à la traîne par rapport à l’ampleur du risque. Le rapport « Howden 2025 Cyber Report » révèle que seules 22 % des entreprises italiennes et 39 % des entreprises britanniques bénéficient d’une couverture, alors même que les cyberrisques occupent la première place parmi les risques commerciaux en Europe depuis deux années consécutives (Baromètre des risques d’Allianz). 

Par ailleurs, le rapport de l’ENISA intitulé « Threat Landscape 2025 » a révélé que le phishing était à l’origine de 60 % des intrusions observées dans l’Union européenne. Cette double constatation ouvre de réelles perspectives : les organisations qui prennent dès maintenant les devants en matière de DMARC seront bien placées tant sur le plan des discussions avec les assureurs que sur le plan réglementaire.

Nous sommes là pour vous aider

La mise en placeet la maintenance efficacesdu protocole DMARCsont essentielles pour répondre aux exigences en matière de cyberassurance. Chez dmarcian, nous mettons à votre disposition les ressources et l'expertise dont vous avez besoin pour réussir du premier coup.

Nous aidons les organisations de toutes tailles :

• Déployer DMARC de la bonne manière : pas d'approximation, pas de perturbation.
• Obtenez une visibilité totale de votre écosystème de messagerie
• Respectez les exigences de conformité et gardez une longueur d'avance sur l'évolution des réglementations en matière de sécurité des e-mails

---

Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.