En bref. La cyber-assurance intervient sur trois volets : l’assistance immédiate, les pertes subies par l’entreprise et la responsabilité envers les tiers. Ses conditions d’éligibilité se durcissent : sans mesures de sécurité, pas de couverture.

Le marché a évolué rapidement. Il y a quelques années, un contrat s’obtenait sans grande formalité ; aujourd’hui, l’assureur vérifie un socle technique avant de couvrir, et l’absence de sauvegardes testées suffit à faire échouer une souscription.

Les trois volets de garantie

Le premier volet est souvent celui qui apporte le plus de valeur : une PME touchée par une attaque n’a ni les compétences ni les prestataires sous la main. Disposer d’un numéro à appeler et d’une équipe mobilisée en quelques heures change le déroulement de la crise.

Ce que couvrent les dommages propres

• La reconstitution des données perdues ou chiffrées.
• Les frais de remise en état des systèmes.
• Les pertes d’exploitation liées à l’interruption d’activité, selon une logique proche de celle exposée dans notre article sur l’assurance perte d’exploitation.
• Les frais de notification aux personnes concernées en cas de violation de données.
• Parfois la fraude au virement, souvent en option et avec des conditions strictes.

La dernière ligne mérite attention : la fraude au président et les détournements par usurpation d’identité relèvent fréquemment d’une garantie distincte, et sont exclus du contrat cyber de base.

Les exclusions courantes

1. Les défauts de mise à jour connus et non corrigés dans un délai raisonnable.
2. L’absence des mesures déclarées lors de la souscription : sauvegardes, authentification renforcée, séparation des accès.
3. Les dommages matériels aux équipements, qui relèvent de la garantie dommages classique.
4. Les actes intentionnels d’un dirigeant ou d’un salarié complice.
5. Les pertes purement commerciales sans lien direct avec l’incident.

Le point 2 est le plus discriminant : la déclaration faite au moment de la souscription engage l’entreprise. Déclarer disposer de sauvegardes hors ligne et ne pas en avoir revient à s’exclure soi-même de la garantie.

Le socle technique exigé

Les prérequis demandés convergent d’un assureur à l’autre :

• Sauvegardes régulières, dont une copie hors ligne ou immuable, et restauration testée.
• Authentification à plusieurs facteurs sur les accès distants et les comptes à privilèges.
• Mise à jour des systèmes et applications selon un rythme documenté.
• Séparation des droits : pas de compte administrateur pour l’usage quotidien.
• Sensibilisation des utilisateurs au hameçonnage.
• Plan de continuité minimal, même sommaire.

Ces mesures constituent, indépendamment de toute assurance, le socle de sécurité d’une PME. Des ressources pratiques et un dispositif d’assistance aux victimes sont proposés par Cybermalveillance.gouv.fr.

La question de la rançon

La prise en charge d’une rançon est possible dans certains contrats, sous des conditions strictes : dépôt de plainte, accord préalable de l’assureur, vérification que le paiement n’est pas prohibé. Trois réserves :

• Le paiement ne garantit pas la restitution des données.
• Il n’empêche pas la publication ultérieure des données exfiltrées.
• Il alimente l’économie de l’attaque, ce qui explique les réticences des pouvoirs publics.

Une entreprise disposant de sauvegardes testées se trouve en position de refuser, ce qui est le meilleur argument en faveur de l’investissement dans la sauvegarde plutôt que dans la garantie.

Dimensionner la garantie

1. Estimer le coût d’une interruption de quelques jours à quelques semaines, à partir de la marge quotidienne.
2. Estimer le volume de données personnelles détenues, qui conditionne le coût d’une violation.
3. Évaluer l’exposition contractuelle envers les clients : engagements de disponibilité, pénalités.
4. Vérifier les sous-limites par garantie, souvent bien inférieures au plafond global affiché.
5. Examiner la franchise, exprimée en montant ou en heures d’indisponibilité.

Le point 4 est celui qui déçoit le plus souvent au moment du sinistre : un plafond global élevé peut masquer des sous-limites modestes sur les postes les plus coûteux.

La déclaration et la gestion de crise

• Appeler la cellule d’assistance avant toute manipulation : des actions précipitées détruisent les traces nécessaires à l’analyse.
• Isoler les systèmes touchés sans les effacer.
• Déposer plainte, condition fréquente de la garantie.
• Notifier l’autorité compétente en cas de violation de données personnelles, dans le délai réglementaire.
• Documenter chronologiquement les faits, les coûts et les décisions.

Le premier point est celui que les entreprises respectent le moins, par réflexe de remise en service. Il conditionne pourtant l’analyse de l’incident et parfois la garantie elle-même.

Sa place dans le programme d’assurance

La cyber-assurance complète les garanties décrites dans nos articles sur l’assurance entreprise et la responsabilité civile professionnelle. Elle ne se substitue ni à l’une ni à l’autre : les dommages matériels et la responsabilité professionnelle classique relèvent de contrats distincts.

Son coût s’intègre au budget de l’entreprise comme une charge d’assurance, à examiner lors de la revue annuelle des ratios financiers et des couvertures.

Pour une TPE, la garantie se ramène à quelques postes concrets : lesquels.

L’assureur vérifie d’abord les mesures en place : sept réflexes attendus.

Questions fréquentes

Conclusion

Le contrat se juge sur trois points : la qualité de la cellule d’assistance, les sous-limites par garantie, et la cohérence entre les mesures déclarées et la réalité. Investir d’abord dans des sauvegardes testées reste plus rentable que toute augmentation de plafond.