Contenu préparé par l’équipe Cybeary à partir de situations rencontrées auprès de TPE, PME, cabinets et collectivités.
Une assurance cyber peut aider une PME à mobiliser rapidement des spécialistes et à absorber certains coûts après un incident. Elle ne garantit pourtant ni l’absence d’attaque ni le remboursement automatique de toutes les pertes. Sa valeur dépend du périmètre assuré, des exclusions, des plafonds et de la conformité entre les protections déclarées et celles réellement en place.
Une PME a intérêt à étudier une assurance cyber lorsque son activité dépend fortement de la messagerie, des applications, des données ou de prestataires numériques. Avant de comparer les primes, elle doit vérifier les services d’urgence, les garanties, les franchises, les exclusions et les prérequis techniques exigés par l’assureur.
À quoi sert une assurance cyber ?
L’assurance cyber vise à accompagner les conséquences d’un événement numérique couvert par le contrat. Selon la formule retenue, elle peut organiser l’accès à une cellule de crise, à des spécialistes de la réponse à incident, à des conseils juridiques ou à des experts en communication.
Elle peut également prendre en charge certains frais techniques et financiers, dans la limite des garanties, plafonds, franchises et conditions prévues. France Assureurs présente notamment l’assurance comme un dispositif pouvant soutenir la gestion de crise, la mobilisation d’experts et la reprise d’activité des TPE et PME.
Cette assistance immédiate peut être aussi importante que l’indemnisation. Une entreprise touchée doit rapidement déterminer ce qui s’est passé, contenir l’incident, préserver les preuves, restaurer les services et respecter ses obligations.
Quels risques peuvent être couverts ?
Les contrats diffèrent fortement. Les garanties suivantes sont donc des points à rechercher, et non une liste automatiquement incluse.
Les frais de réponse à incident
Ils peuvent couvrir l’investigation numérique, l’identification du point d’entrée, le confinement, le nettoyage des systèmes et l’accompagnement de la remise en service. Il faut vérifier qui choisit les prestataires, comment déclencher l’assistance et si une autorisation préalable est nécessaire.
La restauration des données et des systèmes
Le contrat peut prévoir certains coûts de récupération, de reconstruction ou de reconfiguration. Une sauvegarde existante ne signifie pas que toute restauration sera simple : les délais, l’intégrité des copies, les licences et les dépendances applicatives restent déterminants.
Les pertes d’exploitation
Une interruption informatique peut empêcher de produire, facturer, servir les clients ou accéder aux informations indispensables. La garantie doit préciser le mode de calcul, la période d’indemnisation, le délai de carence et les justificatifs attendus.
La responsabilité envers des tiers
Une compromission peut affecter des clients, partenaires ou personnes concernées par les données. Certaines offres couvrent des frais de défense ou des conséquences financières relevant de la responsabilité de l’entreprise, dans les limites contractuelles.
La fraude et l’ingénierie sociale
Les fraudes au président, changements de RIB ou virements déclenchés après un message trompeur ne sont pas toujours couverts par la garantie cyber principale. Elles peuvent relever d’une option, d’un contrat fraude distinct ou comporter des conditions de vérification très précises.
Pourquoi l’assurance ne remplace-t-elle pas la cybersécurité ?
L’assureur transfère une partie des conséquences financières ; il ne supprime pas le risque opérationnel. Même indemnisée, une entreprise peut subir un arrêt d’activité, une perte de confiance, une désorganisation interne ou la perte définitive de certaines données.
Les mesures de sécurité conditionnent également l’assurabilité. Le questionnaire peut porter sur le MFA, les comptes administrateurs, les sauvegardes, les mises à jour, la protection des postes, les accès distants ou la procédure de gestion d’incident.
Une réponse approximative fragilise la relation contractuelle. Les informations doivent être vérifiables et correspondre au périmètre réel : filiales, sites, chiffre d’affaires, données, prestataires, solutions cloud et systèmes exposés.
Quels prérequis une PME doit-elle préparer ?
| Contrôle | Éléments à pouvoir démontrer |
|---|---|
| Authentification multifacteur | Comptes couverts, méthodes utilisées, traitement des exceptions et protection des administrateurs. |
| Sauvegardes | Données incluses, fréquence, isolation, rétention, supervision et résultats des tests de restauration. |
| Protection des postes | Couverture antivirus ou EDR, politiques appliquées, surveillance et procédure de traitement des alertes. |
| Mises à jour | Inventaire, responsabilités, fréquence de déploiement et traitement des vulnérabilités critiques. |
| Accès distants | VPN ou service utilisé, MFA, comptes autorisés, journalisation et retrait des anciens accès. |
| Gestion d’incident | Contacts, responsabilités, moyens de communication de secours et procédure d’escalade. |
Un audit cybersécurité permet de transformer ces déclarations en preuves : captures de configuration, listes de comptes, rapports de sauvegarde, inventaire, politiques appliquées et résultats de tests.
Quelles exclusions faut-il lire attentivement ?
Une exclusion définit les situations dans lesquelles le contrat ne s’applique pas. Il faut les rapprocher du fonctionnement réel de l’entreprise et ne pas se limiter au résumé commercial.
- Incident commencé ou connu avant la prise d’effet du contrat.
- Systèmes, sociétés, pays ou activités qui ne figurent pas dans le périmètre assuré.
- Non-respect d’une mesure de sécurité déclarée comme systématiquement appliquée.
- Acte volontaire, fraude interne ou faute correspondant aux définitions du contrat.
- Indisponibilité d’un fournisseur cloud, télécom ou logiciel non incluse dans les garanties.
- Fraude financière, rançon ou ingénierie sociale couverte seulement par une option spécifique.
- Événements systémiques, conflits ou attaques attribuées à certains acteurs selon les clauses prévues.
Il faut également examiner les sous-limites. Un contrat peut afficher un plafond global élevé tout en limitant fortement la restauration, les experts, la fraude, les frais juridiques ou les pertes d’exploitation.
Comment comparer deux contrats d’assurance cyber ?
Comparer uniquement le montant de la prime masque l’essentiel. Une grille de décision doit reprendre les éléments suivants :
- périmètre exact des sociétés, activités et systèmes assurés ;
- événements déclencheurs et définitions contractuelles ;
- numéro d’urgence, disponibilité et prestataires mobilisables ;
- plafonds globaux et sous-limites par garantie ;
- franchises, délais de carence et durée d’indemnisation ;
- fraude, rançongiciel, erreur humaine et défaillance d’un prestataire ;
- conditions de déclaration et délais à respecter ;
- obligations de sécurité pendant toute la durée du contrat ;
- accompagnement juridique, réglementaire et communication de crise ;
- modalités de calcul des pertes d’exploitation.
Un courtier ou un assureur spécialisé doit valider l’interprétation des garanties. Cybeary intervient sur le volet cybersécurité : cohérence du questionnaire, vérification des contrôles, correction des écarts et préparation des preuves.
Que faire lorsqu’un incident survient ?
La première action consiste à suivre la procédure du contrat. Une intervention engagée sans prévenir l’assureur peut compliquer la prise en charge si le contrat impose son accord ou le recours à un prestataire référencé.
L’entreprise doit parallèlement contenir l’incident sans détruire les traces utiles, conserver une chronologie des décisions et informer les interlocuteurs nécessaires. Si des données personnelles sont concernées et que la violation présente un risque pour les personnes, la notification à la CNIL doit être réalisée dans les meilleurs délais et, si possible, sous 72 heures.
Le contrat, la procédure interne et le PRA/PCA doivent donc utiliser les mêmes contacts et les mêmes règles d’escalade. Un exercice permet de vérifier que le numéro d’assistance, le numéro de police et les moyens de communication restent accessibles lorsque le système principal est indisponible.
Les sources utilisées pour ce guide
Questions fréquentes
Une assurance cyber est-elle obligatoire pour une PME ?
Il n’existe pas d’obligation générale imposant à toutes les PME de souscrire. Elle peut toutefois être demandée par un client, un financeur ou un partenaire, et devenir pertinente selon la dépendance numérique et les conséquences possibles d’un incident.
Combien coûte une assurance cyber ?
La prime dépend notamment du chiffre d’affaires, de l’activité, des données, des garanties, des plafonds, des antécédents et du niveau de sécurité. Une estimation sérieuse nécessite un questionnaire précis et une proposition adaptée.
L’assurance paie-t-elle toujours une rançon ?
Non. La prise en charge dépend du contrat, des circonstances, des règles applicables et de la décision de l’assureur. Le paiement ne garantit pas la récupération des données et peut exposer l’entreprise à d’autres risques.
Peut-on être assuré sans EDR ?
Les exigences varient selon l’entreprise et l’assureur. Une protection adaptée des postes est souvent attendue, mais le niveau demandé dépend du risque, du périmètre et des garanties recherchées.
Pourquoi l’assureur demande-t-il des preuves de sauvegarde ?
La sauvegarde influence directement la capacité de reprise et le montant potentiel des pertes. L’assureur peut vouloir vérifier la couverture, l’isolation et les tests de restauration plutôt que la seule présence d’un outil.
Cybeary peut-il vendre le contrat d’assurance ?
Cybeary n’intervient pas comme intermédiaire d’assurance. Nous pouvons évaluer les protections, préparer les éléments techniques et corriger les écarts. Le choix et l’interprétation du contrat relèvent de l’assureur ou du courtier compétent.
Votre contexte
Besoin d’une réponse adaptée à votre organisation ?
Un échange permet de distinguer les mesures réellement prioritaires des recommandations génériques.
Demander un diagnostic cyber →