Concrètement, les contrats d’assurance vie et les plans d’épargne retraite souscrits en gestion pilotée doivent désormais comporter une part minimale d’actifs non cotés. La mesure est entrée en vigueur pour les contrats individuels en octobre 2024. Elle s’applique aux plans d’épargne retraite collectifs et obligatoires depuis le 30 juin 2026.

Autrement dit, si votre entreprise propose un PER collectif ou un PER obligatoire, la composition de l’épargne de vos salariés a changé sans que personne n’ait rien signé. Voici ce que cela implique.

Ce que la loi a modifié, précisément

Seule la gestion pilotée est concernée

La règle ne vise pas tous les encours. Elle s’applique à la gestion pilotée, aussi appelée gestion à horizon : celle où le salarié délègue l’allocation à un mandataire qui désensibilise progressivement le portefeuille à l’approche de la retraite. C’est le mode de gestion proposé par défaut dans un PER d’entreprise, donc celui que retient la grande majorité des bénéficiaires.

La gestion libre n’est pas touchée. Le profil prudent non plus. Et les sommes déjà investies avant l’entrée en vigueur ne sont pas réaffectées d’office.

Des seuils fixés par profil et par horizon

Les proportions minimales sont fixées par voie réglementaire. Pour l’assurance vie, un profil équilibré doit comporter au moins 4 % d’actifs non cotés, un profil dynamique au moins 8 %. Le plan d’épargne retraite applique une logique progressive : plus l’horizon de liquidation est lointain, plus la part augmente, jusqu’à 12 % pour un profil dynamique à plus de vingt ans de la retraite, puis elle décroît à mesure que l’échéance se rapproche.

Ce dernier point est le plus structurant pour une entreprise : ce sont vos jeunes salariés, ceux dont l’horizon d’épargne est le plus long, qui portent la part de non coté la plus élevée.

Ce qu’on appelle un actif non coté

Le terme recouvre tout ce qui n’est pas échangé en bourse, ce qui représente l’essentiel du tissu économique. Derrière cette définition large, quatre grandes familles.

• Le capital investissement, qui prend des participations au capital d’entreprises non cotées, de l’amorçage à la transmission ;
• La dette privée, qui prête directement aux entreprises en dehors du circuit bancaire et obligataire classique ;
• Les infrastructures, qui financent des actifs de long terme comme les réseaux, la production d’énergie renouvelable ou les transports ;
• L’immobilier non coté, détenu via des véhicules dédiés.

Dans les contrats, ces poches apparaissent sous des sigles peu familiers : FCPR, FPCI, ELTIF, ou encore fonds evergreen. La loi Industrie verte oriente spécifiquement le dispositif vers les PME et les entreprises qui contribuent à la décarbonation de l’économie.

Trois conséquences concrètes pour vos salariés

L’épargne devient moins liquide en profondeur

La liquidité du contrat reste garantie par l’assureur : les cas de déblocage anticipé et la sortie à la retraite ne changent pas. En revanche, les actifs qui composent une partie du portefeuille, eux, ne se revendent pas en une journée. Dans des circonstances de marché dégradées, certains contrats prévoient une remise en titres, c’est à dire la remise de parts plutôt qu’un versement en espèces. Ce mécanisme existe depuis la loi Pacte et mérite d’être lu avant de choisir un plan.

La valeur ne bouge plus tous les jours

Un support non coté est valorisé à intervalle régulier, pas en continu. Pour un salarié habitué à suivre son épargne en temps réel, la lecture change : une ligne peut rester immobile plusieurs semaines puis varier d’un coup. Cela ne signifie ni stabilité ni absence de risque, seulement une fréquence de constatation différente.

Le couple rendement risque se déplace

Sur longue période, le non coté a historiquement délivré une prime par rapport aux marchés cotés, en contrepartie de l’immobilisation du capital. L’étude annuelle publiée par France Invest et EY mesure ainsi un taux de rendement interne net proche de 12 % par an sur dix ans pour le capital investissement français à fin 2024. Cette moyenne masque une dispersion très large entre les meilleurs fonds et les moins bons : la sélection du gérant compte davantage ici que sur un support indiciel.

Les performances passées ne préjugent pas des performances futures. Les actifs non cotés présentent un risque de perte en capital et un risque d’illiquidité supérieurs à ceux des supports cotés.

Ce que l’employeur a intérêt à faire maintenant

La réforme ne crée pas d’obligation nouvelle à la charge de l’entreprise, mais elle change ce que vos salariés verront sur leur relevé. Quatre vérifications suffisent à reprendre la main.

• Demander à votre teneur de compte la grille d’allocation actualisée de la gestion pilotée, profil par profil et par horizon, avec le détail des supports non cotés retenus.
• Identifier les frais attachés à ces poches. Les véhicules non cotés supportent des frais de gestion supérieurs à ceux d’un fonds indiciel, parfois assortis d’une commission de surperformance.
• Vérifier les clauses de liquidité du contrat, en particulier l’existence d’une faculté de remise en titres et les conditions dans lesquelles elle peut jouer.
• Préparer une information simple à destination des bénéficiaires : ce qui change, pourquoi, et quelles options restent ouvertes. Une note d’une page évite la plupart des questions inquiètes au moment du relevé annuel.

Un dispositif d’épargne salariale se juge sur trois points : la qualité de la gestion, le niveau réel des frais, et la clarté de ce que le salarié comprend de son contrat. La réforme touche les trois à la fois.

Roussille Assurances

Notre rôle

Nous accompagnons les entreprises sur le volet protection sociale et épargne retraite au même titre que sur leurs risques d’exploitation. Concrètement : lecture du règlement du plan et de la grille de gestion pilotée, comparaison des teneurs de compte sur les frais réels et non sur les frais affichés, mise en concurrence lorsque l’écart le justifie, et appui à la communication auprès des salariés.

Notre indépendance vaut ici comme ailleurs : nous ne distribuons pas un plan maison, nous comparons ce que le marché propose à votre effectif et à votre pyramide des âges.

Questions fréquentes

Tous les PER d’entreprise sont-ils concernés ?

Non. L’obligation vise la gestion pilotée, c’est à dire la gestion à horizon retraite proposée par défaut. Un salarié qui a opté pour la gestion libre choisit lui même ses supports et n’est pas concerné. Le profil prudent reste également exonéré. Enfin, la règle ne s’applique pas rétroactivement aux encours déjà constitués avant son entrée en vigueur.

Un salarié peut-il refuser la part de non coté ?

Pas à l’intérieur de la gestion pilotée, puisque les seuils sont réglementaires. Il peut en revanche basculer en gestion libre, ou demander un profil moins offensif. Ces deux options ne sont pas neutres : la gestion libre suppose de piloter soi même son allocation, et un profil prudent réduit l’espérance de rendement sur une longue durée d’épargne.

Est-ce que cela bloque l’argent des salariés ?

Non, les cas de déblocage anticipé et la sortie à la retraite restent inchangés. La liquidité est portée par l’assureur au niveau du contrat. Le sujet est ailleurs : le sous jacent, lui, n’est pas liquide. Dans des circonstances exceptionnelles, certains contrats prévoient une remise en titres plutôt qu’un versement en numéraire. C’est la clause à vérifier.

À quelle fréquence la valeur est-elle mise à jour ?

Selon les véhicules, la valeur liquidative est hebdomadaire, mensuelle, trimestrielle ou semestrielle, mais pas quotidienne. L’absence de mouvement affiché ne signifie pas absence de variation économique : la valeur est simplement constatée moins souvent.

L’employeur engage-t-il sa responsabilité sur ces supports ?

L’employeur ne choisit pas les allocations, mais il choisit le teneur de compte et le plan, et il doit une information claire aux bénéficiaires. En pratique, la bonne protection consiste à documenter ce qui a été présenté, quand, et sur quelle base. C’est le rôle du comité de suivi du plan lorsqu’il existe.

Faire le point sur votre plan d’épargne retraite

Si vous ne savez pas quelle part de non coté porte aujourd’hui la gestion pilotée de votre PER d’entreprise, ni ce qu’elle coûte, nous pouvons le vérifier avec vous. Le diagnostic est sans engagement.

Cet article a une vocation d’information générale. Il ne constitue ni un conseil en investissement, ni une recommandation personnalisée. Les seuils cités sont fixés par voie réglementaire et peuvent évoluer.

Le secteur de la santé réunit trois caractéristiques qui en font une cible de premier plan. Il détient des données à très forte valeur, il fait fonctionner un système d’information hétérogène, et il exerce une activité qui ne supporte aucune interruption. Les groupes criminels le savent : la pression sur la continuité des soins pousse à céder vite.

Cet article fait le point sur ce que le risque cyber représente concrètement pour un établissement ou une structure libérale, sur ce qu’une attaque coûte réellement, et sur la manière dont un programme d’assurance peut en absorber une partie.

Pourquoi la santé concentre autant d’attaques

Une donnée qui ne se périme jamais

Une carte bancaire compromise s’oppose en quelques minutes. Un dossier médical, non. Il contient une identité, un historique de pathologies, parfois des coordonnées bancaires et des droits d’assurance. Ces informations restent exploitables des années après leur vol, pour de l’usurpation d’identité, de la fraude aux prestations ou du chantage. C’est cette durée de vie, plus que le volume, qui fait leur valeur sur les marchés criminels.

Un système d’information difficile à homogénéiser

Un établissement fait cohabiter un dossier patient informatisé, un système de gestion de laboratoire, un serveur d’imagerie, une gestion administrative et une dizaine d’applications métier, achetées à des époques différentes et maintenues par des éditeurs différents. Dans son rapport de janvier 2025 consacré à la cybersécurité des établissements de santé, la Cour des comptes désigne cette multiplicité comme un obstacle structurel à la sécurisation, et relève un effort d’investissement très inférieur à celui d’autres secteurs exposés : de l’ordre de 1,7 % du budget d’exploitation, contre environ 9 % dans le secteur bancaire.

Des équipements biomédicaux qui élargissent la surface d’attaque

Pompes à perfusion, systèmes d’appel malade, automates de biologie, moniteurs, caméras : ces équipements sont désormais connectés au réseau. Ils sont conçus pour durer dix à quinze ans, rarement pour recevoir des correctifs de sécurité au rythme d’un poste de travail. Chaque appareil raccordé est un point d’entrée de plus, et il échappe souvent à l’inventaire tenu par la direction des systèmes d’information.

Un modèle criminel devenu industriel

Le rançongiciel n’est plus un savoir-faire rare : il se loue. Des groupes spécialisés développent l’outil, le mettent à disposition d’affiliés qui mènent les attaques, et partagent le produit de la rançon. Ce modèle, connu sous le nom de rançongiciel en tant que service, a fait augmenter le nombre d’attaquants capables de viser un établissement beaucoup plus vite que leur niveau technique moyen.

Établissements et libéraux : deux expositions différentes

Hôpitaux, cliniques et structures médico-sociales

Les grandes structures subissent des attaques préparées. L’intrusion précède souvent le chiffrement de plusieurs semaines, le temps de cartographier le réseau, de repérer les sauvegardes et de les neutraliser. L’objectif n’est plus seulement de bloquer les données mais de les exfiltrer, pour ajouter la menace de publication à celle de l’indisponibilité. La double extorsion est devenue la norme.

Au delà du rançongiciel, ces établissements font aussi l’objet d’attaques en déni de service et de tentatives d’intrusion à visée d’espionnage, notamment lorsqu’ils accueillent des activités de recherche clinique.

Cabinets, laboratoires et professionnels libéraux

Les structures libérales sont rarement visées nominativement. Elles sont touchées par des campagnes de masse : un courriel imitant un éditeur de logiciel, une fausse relance de l’assurance maladie, une pièce jointe piégée adressée au secrétariat. Le résultat est le même, avec moins de moyens pour y faire face.

• l’hameçonnage, qui vise les identifiants de messagerie et les accès aux logiciels métier ;
• le rançongiciel, qui rend le fichier patients et l’agenda inaccessibles ;
• le vol de données, avec revente ou publication des dossiers ;
• la fraude au virement, qui exploite une messagerie compromise pour détourner un règlement.

Pour un cabinet, l’enjeu n’est pas seulement financier. L’impossibilité d’accéder au dossier d’un patient au moment de la consultation pose une question de sécurité des soins.

Ce qu’une attaque coûte réellement

L’arrêt de l’activité

C’est le poste le plus lourd, et il est souvent sous estimé. Le rapport de la Cour des comptes situe le coût moyen de gestion de crise et de remise en état autour de 10 millions d’euros pour un établissement, auxquels s’ajoute une perte d’exploitation évaluée à une vingtaine de millions. Pour une structure libérale, l’ordre de grandeur change mais la mécanique est identique : des honoraires à reconstituer, des semaines de saisie manuelle et une reprise progressive.

Les obligations réglementaires

Une violation de données déclenche des délais courts. L’article 33 du RGPD impose la notification à la CNIL dans les 72 heures. Si le risque pour les personnes est élevé, l’article 34 impose d’informer individuellement les patients concernés. À cela s’ajoutent le signalement des incidents graves au portail des autorités sanitaires et, pour les entités concernées par la directive NIS 2, des obligations renforcées de sécurité et de déclaration.

Ces démarches mobilisent du temps de direction, un conseil juridique et souvent une prestation de communication, au moment précis où l’établissement est le moins disponible.

La responsabilité civile

La divulgation de données de santé peut causer un préjudice à des tiers : patients, salariés, partenaires. Les actions individuelles restent rares en France, mais les actions de groupe en matière de données personnelles progressent, et les sanctions administratives de la CNIL s’ajoutent au coût direct de l’incident.

La confiance

C’est la conséquence la moins chiffrable et la plus durable. Un patient qui apprend que son dossier a circulé s’interroge sur la capacité de la structure à le protéger. Pour un cabinet installé sur un bassin de vie réduit, l’effet sur la patientèle peut durer plusieurs années.

Les mesures qui font réellement baisser le risque

Aucune de ces mesures n’est spectaculaire. Prises ensemble, elles écartent la grande majorité des scénarios observés.

• Authentification multifacteur sur la messagerie, les accès distants et les comptes d’administration. C’est la mesure qui bloque le plus d’attaques pour le coût le plus faible.
• Sauvegardes déconnectées et testées. Une sauvegarde accessible depuis le réseau est chiffrée en même temps que le reste. Une sauvegarde jamais restaurée en conditions réelles n’est pas une sauvegarde.
• Mises à jour suivies, en particulier sur les équipements exposés depuis internet : pare-feu, accès distants, serveurs de messagerie.
• Cloisonnement du réseau, pour que les équipements biomédicaux et les postes bureautiques ne circulent pas sur le même segment.
• Gestion des accès. Les comptes des personnes parties doivent être fermés, les droits d’administration réservés à quelques personnes, et les accès des prestataires ouverts à la demande plutôt qu’en permanence.
• Sensibilisation ciblée des fonctions réellement exposées : secrétariat, comptabilité, direction.
• Procédure de crise écrite, avec les numéros à appeler, la liste des décisions à prendre dans les premières heures et un exercice réalisé au moins une fois.

Sur le plan collectif, le programme CaRE piloté par l’Agence du numérique en santé finance depuis 2023 la montée en maturité des établissements, autour de la gouvernance, de la mutualisation des ressources, de la sensibilisation et de la sécurité opérationnelle. Les établissements éligibles ont intérêt à en vérifier les conditions d’accès.

Ce que couvre une assurance cyber, et ce qu’elle ne couvre pas

Les garanties qui comptent

Un contrat cyber utile ne se juge pas à son plafond mais à ce qu’il déclenche dans les premières heures.

• L’assistance en urgence, joignable 24 heures sur 24, qui mobilise une équipe de réponse à incident, un juriste et, si besoin, un conseil en communication.
• Les frais de reconstitution des données et de remise en état du système d’information.
• La perte d’exploitation consécutive à l’indisponibilité, avec une attention particulière à la durée de la période d’indemnisation.
• La responsabilité civile pour les préjudices causés aux tiers du fait de la perte ou de la divulgation de données.
• Les frais de notification aux personnes concernées et d’accompagnement réglementaire.
• Le volet extorsion, dans les limites permises par la loi.

Les points à regarder avant de signer

• Le délai de carence sur la perte d’exploitation. Une carence de 24 heures et une carence de 72 heures ne couvrent pas le même sinistre.
• Les conditions de garantie. Certains contrats subordonnent l’indemnisation au respect de mesures de sécurité déclarées à la souscription. Un écart entre le questionnaire et la réalité fragilise le dossier.
• Le périmètre des données couvertes, en particulier lorsqu’elles sont hébergées chez un prestataire certifié hébergeur de données de santé.
• L’articulation avec les autres contrats : multirisque professionnelle, responsabilité civile professionnelle, responsabilité des dirigeants. Les recouvrements et les trous de couverture se logent aux frontières.

Une attaque ne se gagne pas au moment de l’indemnisation. Elle se gagne dans les quarante-huit premières heures, quand il faut décider quoi débrancher, qui prévenir et comment continuer à soigner.

Roussille Assurances

Notre rôle de courtier

Nous intervenons sur trois plans. En amont, nous qualifions le risque avec vous et nous préparons le questionnaire d’assurance, qui est devenu l’élément déterminant de la négociation. Ensuite, nous mettons les compagnies en concurrence sur le périmètre réel de votre activité plutôt que sur un produit standard. Enfin, si l’incident survient, nous pilotons le dossier de sinistre à vos côtés, du premier appel jusqu’au règlement.

Notre indépendance est ici un point pratique : nous ne sommes liés à aucune compagnie, ce qui nous permet de discuter les exclusions ligne à ligne plutôt que de défendre un contrat maison.

Questions fréquentes

Un cabinet libéral est-il vraiment une cible pour les cybercriminels ?

Oui, et souvent une cible plus facile qu’un hôpital. Les attaques de masse ne choisissent pas leur victime : elles balaient des milliers d’adresses et exploitent la première faille rencontrée. Un cabinet dispose des mêmes données sensibles qu’un service hospitalier, avec beaucoup moins de moyens pour les protéger et pour repartir après un incident.

Quel est le délai pour signaler une violation de données de santé ?

L’article 33 du RGPD impose de notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation, sauf si elle est peu susceptible d’engendrer un risque pour les personnes. Si le risque pour les patients est élevé, l’article 34 impose en plus de les informer individuellement et dans les meilleurs délais. Un incident de sécurité affectant un établissement de santé fait par ailleurs l’objet d’un signalement au portail dédié des autorités sanitaires.

L’assurance cyber prend-elle en charge le paiement d’une rançon ?

Certains contrats le prévoient, dans un cadre strict. Depuis la loi d’orientation et de programmation du ministère de l’Intérieur de janvier 2023, l’indemnisation d’une rançon par un assureur est subordonnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’infraction. Payer reste par ailleurs déconseillé par les autorités : cela ne garantit ni la restitution des données, ni leur non-divulgation.

Faut-il être parfaitement sécurisé pour être assurable ?

Non, mais le niveau de sécurité conditionne les conditions de couverture. Les assureurs demandent aujourd’hui un socle de mesures : authentification multifacteur sur les accès distants, sauvegardes déconnectées et testées, mises à jour suivies, plan de réaction écrit. Sans ce socle, le risque est refusé ou assorti de franchises et d’exclusions lourdes.

Mon prestataire informatique est-il responsable en cas d’attaque ?

Sa responsabilité peut être engagée au titre de ses obligations contractuelles, mais elle ne vous décharge pas des vôtres. Au regard du RGPD, l’établissement reste responsable de traitement : c’est lui qui notifie, qui informe les patients et qui répond devant la CNIL. Le contrat de sous-traitance doit donc être lu avec attention, notamment ses plafonds de responsabilité.

Faire le point sur votre exposition

Si vous dirigez un établissement, un laboratoire ou un cabinet et que vous ne savez pas précisément ce que votre contrat actuel couvrirait en cas d’attaque, c’est le bon moment pour le vérifier. Nous réalisons un diagnostic de vos garanties, sans engagement.

Cet article a une vocation d’information générale. Il ne remplace pas l’analyse de votre situation ni les termes de vos contrats.