Assurance cyber : garanties, conditions et choix du contrat pour une PME

L'assurance cyber est un contrat d'assurance qui protège l'entreprise face aux conséquences financières d'une cyberattaque, d'un risque cyber ou d'un incident informatique : gestion de crise, restauration des données personnelles et des systèmes, perte d'exploitation, frais de notification, responsabilité civile. Elle ne remplace pas la cybersécurité : cette couverture cyber finance la sortie de crise quand la prévention n'a pas suffi.

Ce que recouvre une assurance cyber

Une assurance cyber, parfois appelée assurance cyber risques ou police d'assurance cyber, couvre un risque que les contrats traditionnels ignorent ou excluent : l'atteinte aux systèmes d'information et aux données. Une multirisque professionnelle indemnise un incendie ou un dégât des eaux sur le matériel, mais pas la perte d'un fichier clients chiffré par un rançongiciel, ni le temps passé par un expert à reconstruire un serveur compromis.

Le contrat intervient sur trois plans. D'abord l'assistance immédiate : une plateforme joignable jour et nuit, une équipe de réponse à incident, des experts en investigation numérique. Ensuite l'indemnisation des pertes de l'entreprise assurée. Enfin la prise en charge des réclamations de tiers, clients ou partenaires, qui reprochent à l'entreprise la fuite de leurs données personnelles.

Ce type de couverture s'adresse à toute structure dont l'activité dépend d'un système informatique, d'une messagerie, d'un logiciel de gestion ou d'une base de données clients. Autrement dit, à presque toutes les entreprises, quelle que soit leur taille. Un artisan qui facture en ligne est exposé, un cabinet comptable qui conserve les dossiers de ses clients l'est davantage. Pour les autres garanties du dirigeant, notre dossier sur l'assurance RC pro et les obligations de l'entreprise fait le point sur ce qui relève d'un autre contrat.

Quels risques couvre l'assurance cyber ?

Les risques couverts se répartissent entre les actes de malveillance informatique et les défaillances accidentelles. Le périmètre exact dépend de l'offre, mais les grands contrats du marché reprennent les mêmes familles.

• Le rançongiciel : chiffrement des fichiers et demande de rançon, souvent accompagnée d'une menace de publication des données volées (cyber extorsion).
• Le piratage et l'intrusion : accès non autorisé à un compte de messagerie, à un serveur, à des comptes de service ou à un logiciel métier.
• La fraude au président et le phishing : usurpation d'identité qui conduit un salarié à effectuer un virement ; cette garantie est parfois proposée en option.
• La violation de données personnelles : fuite, vol ou divulgation d'informations sur les clients, les salariés ou les patients.
• Le déni de service : saturation d'un site marchand qui bloque les commandes.
• L'erreur humaine : suppression accidentelle, mauvaise manipulation, pièce jointe ouverte par un collaborateur, perte d'un ordinateur portable non chiffré.

L'erreur humaine est à l'origine d'une large part des sinistres cyber : un contrat qui ne couvre que l'acte de malveillance informatique laisse de côté le scénario le plus probable. À l'inverse, certaines exclusions reviennent presque partout : la guerre et les cyber attaques attribuées à un État, la défaillance d'un fournisseur d'électricité ou d'accès internet, les amendes pénales, les faits connus avant la souscription et l'absence volontaire de mesures de sécurité promises lors de la déclaration du risque.

Les garanties d'une couverture cyber, poste par poste

Une couverture cyber se lit en deux colonnes : ce que l'entreprise perd elle-même, et ce qu'elle doit à d'autres. Le tableau récapitule les garanties le plus souvent proposées et ce qu'elles prennent en charge.

La perte d'exploitation mérite une lecture attentive. Elle est souvent soumise à un délai de carence, une période d'indisponibilité de quelques heures pendant laquelle rien n'est indemnisé, et son calcul repose sur le chiffre d'affaires et la marge déclarés. Une entreprise dont l'activité est saisonnière a intérêt à vérifier comment la période de référence est choisie. La franchise, enfin, s'applique par sinistre : notre guide sur la franchise absolue, relative et son effet sur l'indemnisation aide à en mesurer l'impact.

Pourquoi l'assurance cyber est devenue importante pour une PME

L'importance de l'assurance cyber tient moins à la fréquence des attaques qu'à leur coût relatif. Une grande entreprise dispose d'une équipe de cybersécurité, d'un plan de continuité et de réserves financières. Une PME ou une TPE, rarement. Quand la comptabilité, la production et la messagerie s'arrêtent ensemble, les conséquences s'enchaînent : commandes non livrées, salaires à verser sans facturation, clients qui partent chez un concurrent, données à reconstituer à la main.

Le site public cybermalveillance.gouv.fr, qui assiste les victimes en France, place les rançongiciels et le piratage de comptes parmi les principales menaces signalées par les entreprises et les collectivités. Les petites structures sont visées parce qu'elles sont moins protégées, pas parce qu'elles détiennent plus de valeur : une attaque automatisée ne choisit pas sa cible, elle exploite la première vulnérabilité ouverte.

L'impact d'une cyberattaque dépasse également le seul système informatique : l'image numérique de l'entreprise, sa relation client et sa trésorerie sont touchées en même temps. Face à ce type d'événement, le besoin d'une réponse adaptée se mesure en heures, pas en semaines.

À ces risques financiers s'ajoute la dimension réglementaire. Le RGPD impose de notifier à la CNIL toute violation de données personnelles présentant un risque dans un délai de 72 heures, et d'en informer les personnes concernées si le risque est élevé. Un incident mal géré expose à une procédure de la CNIL, à des réclamations et à une atteinte durable à la réputation. Protéger votre entreprise, dans ce contexte, consiste à sécuriser votre activité sur deux fronts : réduire l'exposition par la prévention et transférer à l'assureur la part du risque qui reste.

La plainte sous 72 heures, condition d'indemnisation

Depuis le 24 avril 2023, l'article L. 12-10-1 du Code des assurances, issu de la loi d'orientation et de programmation du ministère de l'Intérieur (LOPMI) du 24 janvier 2023, subordonne le remboursement des pertes liées à une atteinte à un système de traitement automatisé de données au dépôt d'une plainte. Celle-ci doit intervenir au plus tard 72 heures après que la victime a eu connaissance de l'attaque.

La règle vise aussi le remboursement d'une rançon, lorsque le contrat le prévoit. Elle concerne les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle. En pratique, l'entreprise mène donc de front plusieurs démarches pendant les premières heures : isoler les postes touchés, appeler l'assistance de l'assureur, préserver les preuves, déposer plainte et préparer la notification à la CNIL si des données personnelles sont en cause. Les étapes générales sont détaillées dans notre page consacrée à la déclaration d'un sinistre, ses délais et ses pièces.

Comment gérer un incident cyber avec son assureur

La valeur d'un contrat se mesure au moment de la crise, et la première heure compte davantage que le montant du plafond. Les assureurs spécialisés organisent la réponse à incident autour d'un numéro unique et d'un plan d'action en plusieurs temps.

1. Alerte : le salarié ou le dirigeant appelle la cellule d'assistance dès les premiers signes (fichiers illisibles, message de rançon, activité anormale d'un compte).
2. Confinement : les experts guident la déconnexion des postes et des serveurs pour limiter la propagation, sans effacer les traces utiles à l'enquête.
3. Investigation : analyse de l'origine de l'intrusion, de son étendue et des données exfiltrées.
4. Remise en service : restauration à partir de sauvegardes saines, reconstruction des systèmes, changement des accès.
5. Obligations légales : plainte, notification à la CNIL, information des clients, avec l'aide d'un conseil juridique.
6. Indemnisation : chiffrage des frais engagés et de la perte d'exploitation, sur justificatifs.

Les contrats les plus complets ajoutent une gestion des données de l'incident et un accompagnement en communication pour éviter que la fuite ne devienne une crise de confiance. Une protection juridique générale ne remplace pas ce dispositif, mais elle peut prendre le relais sur les litiges ultérieurs avec un prestataire ou un client : voir ce que couvre vraiment une protection juridique.

Les conditions exigées à la souscription

Le processus de souscription d'une assurance cyber ressemble davantage à un audit qu'à un simple formulaire. Après plusieurs années de sinistres lourds, les assureurs ont durci leurs critères de choix des risques qu'ils acceptent. Le questionnaire porte sur la gestion des données, l'organisation informatique et les mesures techniques en place.

• sauvegardes régulières, dont une copie déconnectée du réseau, testées par une restauration réelle ;
• authentification à plusieurs facteurs sur la messagerie, les accès à distance et les comptes d'administration ;
• mises à jour de sécurité appliquées aux systèmes et aux logiciels, antivirus et pare-feu actifs ;
• gestion des droits selon le principe du moindre privilège ;
• sensibilisation des équipes au phishing et procédure de validation des virements.

Une entreprise dont le niveau de cybersécurité est jugé insuffisant peut se voir refuser la couverture, ou obtenir une offre assortie d'exclusions et d'une franchise élevée. Il faut répondre au questionnaire avec exactitude : une déclaration inexacte du risque peut réduire l'indemnité ou entraîner la nullité du contrat. Plusieurs assureurs proposent un auto-diagnostic ou un scan de vulnérabilité avant d'émettre un devis, ce qui permet de corriger les points faibles avant la mise en place du contrat.

Quels sont les prix d'une assurance cyber ?

Le prix d'une assurance cyber ne se lit pas sur une grille publique : chaque tarif est calculé à partir du questionnaire, selon le besoin de protection et le secteur de l'entreprise. Le coût dépend également des garanties choisies pour protéger l'activité numérique. Plusieurs critères font varier la prime :

• le chiffre d'affaires, qui sert de base au calcul de la perte d'exploitation ;
• le secteur d'activité : santé, services financiers, commerce en ligne, cabinets juridiques et comptables, industrie se situent dans le haut de la fourchette ;
• le volume et la sensibilité des données personnelles traitées ;
• le niveau de sécurité constaté et l'historique de sinistres ;
• les plafonds de garantie, la franchise et les options retenues (fraude, rançon, atteinte à la réputation).

Pour une petite structure, le budget reste en général modéré au regard du coût d'une attaque, qui cumule frais d'experts, remise en état et perte d'activité. Le calcul du prix se fait en demandant plusieurs devis sur un même périmètre de garanties : comparer deux primes sans comparer les plafonds et les franchises n'a pas de sens.

Comment choisir son assurance cyber ?

Choisir une assurance cyber revient à vérifier que le contrat répond au scénario le plus probable pour votre entreprise, pas seulement au plus spectaculaire. L'évaluation des offres peut suivre une grille simple.

• L'assistance : disponible jour et nuit, avec des experts mobilisés par l'assureur et non une simple liste de prestataires à contacter soi-même.
• Le périmètre : erreur humaine et fraude au virement couvertes ou non, sous-traitants et prestataires de cloud inclus ou non.
• Les plafonds : un plafond global partagé entre toutes les garanties peut être épuisé par les seuls frais de gestion de crise.
• La perte d'exploitation : délai de carence, durée d'indemnisation, mode de calcul.
• Les exclusions : clauses de guerre, défaut de mise à jour, faits antérieurs.
• Les services de prévention : formation des salariés, tests de phishing, scan des vulnérabilités, qui aident à réduire le risque avant l'incident.

Il faut également demander au conseiller comment la cyberassurance évolue face aux nouvelles technologies et aux cybermenaces. Il n'existe pas de meilleure assurance dans l'absolu : la solution adaptée à une agence web n'est pas celle d'un laboratoire ou d'une boutique en ligne. Un courtier spécialisé peut aider à comparer des polices d'assurance dont les définitions varient d'un assureur à l'autre, et un comparateur généraliste donne rarement une vision fiable sur ce type de contrat.

Questions fréquentes sur l'assurance cyber

L'assurance cyber est-elle obligatoire ?

Aucune loi n'impose l'assurance cyber aux entreprises. Certains clients, donneurs d'ordre ou appels d'offres l'exigent toutefois de leurs prestataires, en particulier lorsqu'ils leur confient des données.

Un particulier peut-il souscrire une assurance cyber ?

Oui, sous une autre forme : des garanties d'e-réputation, d'usurpation d'identité ou de fraude en ligne existent pour les particuliers, souvent en option d'un contrat habitation. Les contrats décrits ici visent les professionnels.

La rançon est-elle remboursée ?

Certains contrats prévoient le remboursement de la rançon, d'autres l'excluent. Lorsqu'il est prévu, il suppose une plainte déposée dans les 72 heures suivant la connaissance de l'attaque, conformément à l'article L. 12-10-1 du Code des assurances.

Comment souscrire une assurance cyber ?

La souscription passe par un questionnaire sur l'activité et la sécurité informatique, parfois un audit ou un scan, puis l'émission d'un devis. Le contrat d'assurance cyber prend effet après acceptation du risque et paiement de la première prime.