Munich Re a annoncé le 19 août 2026 un accord pour acquérir l’insurtech américaine At-Bay, sur la base d’une valeur d’entreprise de 575 millions de dollars. L’opération, dont la finalisation est attendue au premier trimestre 2027 sous réserve des conditions habituelles et des autorisations réglementaires, illustre un rapprochement entre assurance cyber et prévention technique. Pour les courtiers et les dirigeants de PME, elle pose une question concrète : comment comparer une couverture quand elle s’accompagne de services de sécurité ?
L’annonce concerne d’abord le marché américain. Elle ne signifie ni qu’une nouvelle offre est disponible en France, ni que les contrats des entreprises françaises changent. Son intérêt est ailleurs : elle éclaire la manière dont un grand groupe d’assurance entend combiner indemnisation, détection des menaces et accompagnement des entreprises.
Un accord à 575 millions de dollars, pas encore une acquisition finalisée
Selon le communiqué publié par At-Bay, l’entreprise serait placée sous la supervision de Hartford Steam Boiler (HSB), au sein de l’activité d’assurance de spécialités de Munich Re. HSB accompagne déjà At-Bay depuis sa création en 2017. Le projet ne repose donc pas sur une découverte récente du modèle : il approfondit une relation existante autour du risque cyber.
At-Bay indique avoir enregistré 278 millions de dollars de primes brutes émises au 31 décembre 2025, auxquels s’ajoutent 23 millions de dollars de revenus de services cyber. Ces deux catégories doivent rester distinctes : les primes d’assurance ne sont pas des abonnements de sécurité. La valeur d’entreprise de 575 millions de dollars annoncée pour l’opération ne doit pas non plus être confondue avec un bénéfice ou un volume de primes.
À retenir : l’accord est annoncé, mais sa réalisation reste conditionnelle. La cible sert principalement les petites et moyennes entreprises aux États-Unis. Aucun tarif français, déploiement en France ou changement de garanties pour les assurés français n’est annoncé dans ce communiqué.
Pourquoi rapprocher assurance cyber et sécurité informatique ?
Une PME peut disposer d’une police d’assurance et rester mal préparée à une interruption informatique. À l’inverse, acheter des outils de sécurité ne garantit pas de pouvoir absorber les conséquences financières d’une attaque. L’approche décrite par At-Bay consiste à articuler ces deux besoins plutôt qu’à les traiter séparément.
Sur sa page produit américaine, At-Bay présente un accès à sa plateforme Stance avec ses contrats cyber, ainsi que des services de détection et de réponse qui peuvent nécessiter un achat distinct. Certaines améliorations de couverture sont liées à l’activation de services ou à des conditions particulières. C’est un point décisif pour la comparaison : « inclus » ne veut pas nécessairement dire « opérationnel sans intervention ».
Pour la distribution, cela déplace une partie du travail vers le suivi : identifier les services effectivement activés, comprendre qui reçoit les alertes et savoir qui intervient après un incident. Il ne suffit plus de rapprocher deux plafonds d’indemnisation pour conclure que deux offres répondent au même besoin.
Que doit vérifier une PME française avant de choisir une assurance cyber ?
Le projet Munich Re–At-Bay ne crée pas de règle nouvelle pour les entreprises françaises. Il fournit toutefois une grille de lecture utile pour examiner les offres disponibles localement avec son courtier et son prestataire informatique. La comparaison doit partir du contrat proposé, et non des promesses d’un modèle étranger.
| Point à comparer | Question à poser | Pourquoi c’est important |
|---|---|---|
| Garanties financières | Quels événements, frais et pertes d’exploitation sont couverts, avec quels plafonds et franchises ? | La présence d’un outil de sécurité ne remplace pas la lecture des exclusions. |
| Services associés | Qu’est-ce qui est inclus, payant, optionnel ou soumis à activation ? | Le coût total peut dépasser la seule prime d’assurance. |
| Réponse à incident | Quel numéro appeler, à quel moment et avec quel accord préalable ? | Une procédure claire réduit les hésitations lorsque l’activité est interrompue. |
| Responsabilités opérationnelles | Qui reçoit les alertes et qui corrige les failles : entreprise, prestataire ou service associé ? | Une alerte sans responsable identifié peut rester sans suite. |
| Données et sortie du service | Quelles données sont collectées et que devient le dispositif à la résiliation ? | Il faut anticiper la continuité de la protection informatique. |
Un exemple simple : une sauvegarde existe, mais personne n’a récemment essayé de restaurer les fichiers. L’entreprise peut alors surestimer sa capacité à redémarrer après une attaque. Cybermalveillance.gouv.fr recommande notamment de tester les sauvegardes, de protéger leurs supports et de les déconnecter lorsqu’ils ne sont pas utilisés. Ces mesures restent utiles avec ou sans assurance ; elles ne constituent pas une promesse d’indemnisation.
Pour les courtiers, une comparaison plus large que le prix
L’enjeu commercial n’est pas de présenter toute offre intégrée comme supérieure. Une PME disposant déjà d’un prestataire efficace peut avoir des besoins différents d’une structure sans compétence informatique interne. Le bon diagnostic consiste à repérer les lacunes, mais aussi les prestations qui feraient doublon.
La valeur du conseil se mesure alors à la clarté de la répartition des tâches : ce que finance l’assurance, ce que réalise le service technique et ce qui reste à la charge du client. Pour les renouvellements, un relevé des services activés et des obligations prévues au contrat peut être aussi utile qu’un tableau de primes. L’accord annoncé par Munich Re met cette question au premier plan, sans permettre de préjuger des résultats de l’intégration ni de son calendrier commercial hors des États-Unis.
Questions fréquentes
Munich Re a-t-il déjà finalisé le rachat d’At-Bay ?
Le communiqué du 19 août 2026 annonce un accord. Il prévoit une finalisation au premier trimestre 2027, sous réserve notamment des autorisations réglementaires. Il ne présente donc pas l’opération comme déjà réalisée.
Cette opération change-t-elle mon assurance cyber en France ?
Le communiqué ne prévoit pas de modification des contrats français et porte principalement sur une activité américaine. Les garanties applicables restent celles de votre propre contrat.
Une assurance cyber remplace-t-elle les sauvegardes et la prévention ?
Non. L’assurance et la prévention répondent à des besoins complémentaires. Les sauvegardes testées, la protection des accès et une procédure de réponse à incident restent nécessaires ; l’indemnisation dépend des conditions du contrat.
À lire aussi sur ExpertAssur.net
- Assurance professionnelle : nos repères pour protéger votre activité
- Redbridge en France : comprendre les évolutions de l’assurance des entreprises
- Fraude bancaire : les risques de manipulation dans les paiements
Sources
- At-Bay — communiqué annonçant l’accord avec Munich Re, 19 août 2026 : montant, périmètre, chiffres 2025 et conditions de finalisation.
- At-Bay — présentation de son offre cyber américaine : articulation entre couverture et services ; documentation commerciale de l’entreprise, non transposable automatiquement en France.
- Cybermalveillance.gouv.fr — pourquoi et comment bien gérer ses sauvegardes, mise à jour du 24 février 2026 : conseils de prévention et de restauration.
Sources consultées le 12 septembre 2026. ExpertAssur.net est un média d’information indépendant, distinct de l’activité de courtage d’Izor.fr. Illustration générique générée par intelligence artificielle : elle ne représente pas des locaux ou des salariés de Munich Re ou d’At-Bay.