Une cyberattaque peut paralyser une PME en moins de 24 heures, bloquer sa production, exposer les données de ses clients et déclencher une vague de coûts juridiques, techniques et commerciaux. Souscrire une assurance cyber risque entreprise revient à transférer une partie de ces conséquences financières à un assureur, en échange d’une prime annuelle et d’obligations de prévention. Ce document détaille les couvertures typiques, les exclusions fréquentes et les critères de choix, pour aider un dirigeant à comparer plusieurs offres sans se laisser guider par un simple prix d’appel.
Contenu de l'article :
Pourquoi souscrire une assurance cyber risque entreprise devient incontournable
Les rançongiciels, les fraudes au président, les intrusions sur les serveurs de messagerie et les attaques par déni de service touchent désormais toutes les tailles d’organisations. Un cabinet d’expertise comptable, un cabinet dentaire, une agence immobilière ou un e-commerçant manipulent des informations sensibles, des flux de paiement et des identifiants d’accès à des services tiers. Chacun de ces éléments constitue une porte d’entrée exploitable par des attaquants organisés, qui savent exactement où frapper pour maximiser la pression sur la victime.
Pour approfondir ce point, consultez Assurance professionnelle.
Selon AXA, une cyberattaque peut interrompre brutalement l’activité, entraîner des pertes financières importantes et nuire gravement à la réputation d’une entreprise (source AXA). Allianz confirme cette lecture et rappelle que la garantie cyber prend en charge les conséquences pécuniaires en cas de réclamation d’un tiers, notamment en raison d’atteintes aux données informatiques (source Allianz).
Le coût réel d’un incident ne se limite jamais à la rançon éventuellement demandée. Il inclut la remise en service des systèmes, l’intervention d’experts en forensique, la notification à la CNIL et aux personnes concernées, la reconstitution des bases de données, la perte d’exploitation le temps du redémarrage, ainsi que les honoraires d’avocats pour gérer d’éventuelles plaintes de clients ou de partenaires. Un contrat bien dimensionné permet d’absorber ces charges plutôt que de puiser dans la trésorerie ou de reporter des salaires.
Ce sujet est complété par Freelances tech.
Souscrire ne dispense pas de sécuriser son infrastructure. Les assureurs conditionnent d’ailleurs leur intervention à un socle minimum de protection, examiné au moment du questionnaire de risque. Cette exigence pousse mécaniquement les entreprises à hausser leur niveau global de sécurité, ce qui constitue un bénéfice indirect souvent sous-estimé au moment de la signature.
Les garanties essentielles d’un contrat cyber pour une entreprise
Un contrat cyber sérieux repose sur trois blocs distincts : les dommages subis par l’entreprise assurée, les préjudices causés à des tiers et l’assistance opérationnelle en phase de crise. Comprendre cette architecture évite les mauvaises surprises lors d’une déclaration de sinistre et permet de comparer les offres sur des bases homogènes.
Dommages propres à l’entreprise
Ce premier volet couvre la reconstitution des données perdues ou chiffrées, le remplacement de matériel corrompu, les frais d’expertise informatique et la perte d’exploitation. La perte d’exploitation compense le chiffre d’affaires non réalisé pendant l’interruption, avec généralement une période de carence de quelques heures et une durée d’indemnisation plafonnée à plusieurs mois. Groupama précise que cette couverture protège les entreprises contre les conséquences financières, opérationnelles et d’atteinte à l’image d’une cyberattaque (source Groupama).
Responsabilité civile cyber
La responsabilité civile cyber prend le relais quand un tiers, client, partenaire ou salarié, engage une action pour préjudice subi. Fuite de données personnelles, transmission involontaire d’un maliciel à un fournisseur, atteinte à la disponibilité d’un service intégré à celui d’un partenaire : la garantie couvre les frais de défense, les dommages et intérêts éventuels et parfois les amendes administratives lorsque la loi le permet. Elle constitue un rempart indispensable pour les entreprises qui hébergent des données de clients professionnels sensibles au respect du RGPD.
Assistance et gestion de crise
Le troisième bloc mobilise dès le premier appel des experts capables d’endiguer l’incident : cellule technique disponible en continu, juriste spécialisé en protection des données, communicant de crise. SMABTP mentionne une assistance permanente parmi les composantes de sa couverture cyber (source SMABTP). Cette hotline est souvent le levier le plus utile pour un dirigeant qui n’a pas d’équipe de sécurité en interne et qui doit prendre des décisions rapides sous pression.
Les postes de coûts couverts en cas d’attaque
Une cyberattaque déclenche une cascade de dépenses que la plupart des dirigeants n’anticipent pas. Cartographier ces postes aide à calibrer la somme assurée et à choisir des sous-limites cohérentes avec l’exposition réelle du système d’information.
Les honoraires d’expertise en réponse à incident constituent le premier poste. Une intervention d’urgence sur un système chiffré par un rançongiciel démarre autour de 15 000 à 30 000 euros pour un audit initial, avec une facturation journalière ensuite. La reconstitution des sauvegardes, la remédiation des postes compromis et le durcissement du système d’information peuvent porter la note à plusieurs centaines de milliers d’euros pour une PME de taille moyenne.
Les frais de notification représentent un deuxième poste souvent oublié. En cas de fuite de données personnelles, l’entreprise doit informer la CNIL sous 72 heures et, dans certains cas, chacune des personnes concernées. L’envoi de courriers, la mise en place d’une hotline dédiée et la surveillance d’usurpation d’identité entrent dans ce périmètre et peuvent s’étaler sur plusieurs mois selon le volume de dossiers concernés.
La perte d’exploitation vient ensuite. Une usine à l’arrêt, un site marchand hors ligne ou un cabinet incapable d’accéder à ses dossiers clients perd des revenus chaque heure. La garantie compense la marge brute non réalisée pendant la période garantie, sous réserve de justifier l’origine cyber de l’interruption avec une expertise technique documentée.
Les cyber-fraudes financières forment un poste spécifique, distinct des rançongiciels. Il s’agit typiquement de la fraude au président, du détournement d’IBAN ou du faux ordre de virement. MMA cite explicitement la fraude au virement (IBAN détourné) et le blocage total de l’activité parmi les scénarios pris en charge (source MMA). Cette garantie est parfois vendue en option, avec ses propres franchises et plafonds.
Enfin, les frais de gestion de crise couvrent la communication vers les clients, les médias et les partenaires. Un cabinet spécialisé en communication de crise peut demander plusieurs milliers d’euros par jour pendant une semaine critique. Sans ce soutien, l’entreprise risque de perdre plus en réputation qu’en trésorerie, avec des effets durables sur la fidélité de ses clients grands comptes.
Comment évaluer le niveau de couverture nécessaire
Le montant idéal d’une garantie cyber dépend du chiffre d’affaires, du volume de données traitées, de la dépendance aux outils numériques et de la sensibilité du secteur. Un cabinet médical, un notaire ou un éditeur de logiciel n’ont pas la même exposition qu’un artisan du bâtiment dont l’informatique se limite à quelques postes bureautiques.
Une méthode simple consiste à estimer trois scénarios : un incident léger, une attaque significative et une crise majeure. Chaque scénario donne un ordre de grandeur pour les frais techniques, la perte d’exploitation et les indemnisations aux tiers. La somme assurée doit couvrir au minimum le scénario significatif, avec des sous-limites suffisantes pour les postes les plus sensibles comme la responsabilité civile ou la fraude aux virements.
La cyberassurance fournit une couverture financière aux entreprises souffrant d’une cyberattaque et protège les organisations contre le coût des menaces, rappelle Fortinet (source Fortinet). Cette couverture n’est utile que si elle correspond à la surface d’attaque effective. Un plafond trop bas laissera l’entreprise sans filet dès que l’incident dépassera un simple rançongiciel sur un poste isolé.
Le tableau suivant présente des ordres de grandeur observés pour trois profils d’entreprise. Ces chiffres n’engagent pas les assureurs cités et servent uniquement à donner une base de discussion avec un courtier.
| Profil d’entreprise | Chiffre d’affaires | Somme assurée indicative | Franchise typique |
|---|---|---|---|
| TPE de services | moins de 1 M€ | 250 000 à 500 000 € | 1 500 à 5 000 € |
| PME industrielle | 1 à 20 M€ | 1 à 3 M€ | 10 000 à 25 000 € |
| ETI multi-sites | 20 à 200 M€ | 5 à 15 M€ | 50 000 à 100 000 € |
Les franchises jouent un rôle central dans le coût final. Une franchise élevée réduit la prime annuelle mais expose l’entreprise à supporter seule les incidents de faible gravité, qui représentent pourtant la majorité des sinistres déclarés. Un arbitrage clair entre prime et reste à charge doit être posé dès la souscription, en fonction de la trésorerie disponible pour absorber un choc ponctuel.
Les exclusions fréquentes à vérifier avant signature
Aucun contrat cyber ne couvre l’intégralité des scénarios possibles. Les exclusions les plus fréquentes concernent les actes intentionnels d’un dirigeant, les défauts de mise à jour des systèmes connus depuis plusieurs mois, les infrastructures non déclarées au moment de la souscription et les dommages purement physiques non causés par la cyberattaque.
Les cyber-actes de guerre constituent une exclusion particulièrement discutée depuis 2022. Les grands réassureurs ont durci leur position, et certains contrats excluent désormais les attaques attribuées à un État, même sans déclaration formelle de conflit. La formulation retenue par l’assureur mérite d’être lue avec attention, car une attribution géopolitique peut priver l’entreprise de toute indemnisation, y compris pour des dommages majeurs comme la destruction complète d’un serveur de production.
Les défauts de conformité connus figurent également parmi les motifs de refus. Si l’entreprise déclare disposer d’une authentification à double facteur sur ses accès administrateurs et qu’un audit post-incident démontre qu’elle avait été désactivée, l’assureur peut invoquer la fausse déclaration et refuser sa prise en charge. La cohérence entre le questionnaire de risque et la réalité opérationnelle est donc capitale, y compris pour les prestataires infogérants qui gèrent le système au quotidien.
Les prestataires informatiques externalisés créent une zone grise. Un incident survenu sur les serveurs d’un hébergeur cloud peut être couvert par l’assurance de ce dernier plutôt que par celle de l’entreprise assurée. Il faut vérifier l’articulation entre les deux polices pour éviter les refus croisés, où chaque assureur renvoie la responsabilité à l’autre en attendant qu’une décision judiciaire tranche.
Enfin, certaines pénalités administratives ne sont pas couvertes lorsque la législation les considère comme personnelles et non assurables. C’est le cas de certaines amendes RGPD selon les juridictions. Cyber Cover souligne dans son guide que l’assurance cyber couvre les organisations en cas d’atteinte au système d’information ou aux données (source Cyber Cover), tout en rappelant l’importance de comparer les périmètres exclusion par exclusion.
Prévention et prérequis techniques exigés par les assureurs
Les assureurs ne signent plus un contrat cyber les yeux fermés. Le questionnaire de risque est devenu un audit préalable détaillé, dont les réponses conditionnent la prime, les plafonds et parfois l’acceptation du dossier. Un dirigeant qui aborde ce document sans préparation risque de voir sa cotisation gonfler ou son dossier refusé.
Les prérequis les plus souvent exigés comprennent l’authentification à double facteur sur tous les comptes à privilèges, la sauvegarde régulière des données avec au moins une copie hors ligne, un antivirus centralisé sur les postes et serveurs, un plan de continuité d’activité écrit et testé, ainsi qu’une politique de mots de passe robuste. Certains assureurs demandent en plus une segmentation réseau, un journal d’activité conservé plusieurs mois et une sensibilisation annuelle des collaborateurs au hameçonnage.
La Macif indique proposer une assurance protégeant contre les conséquences d’atteinte au système informatique, notamment liées à l’erreur humaine (source Macif). Cette mention de l’erreur humaine rappelle que la majorité des incidents commence par un clic malencontreux sur un e-mail piégé. Une formation régulière du personnel diminue statistiquement l’incidence des sinistres et peut donc peser positivement sur la prime au moment du renouvellement.
La souscription est également l’occasion de faire réaliser un audit externe. Certains assureurs offrent ce service dans le pack de départ ou le proposent à tarif préférentiel via des partenaires. Le rapport produit sert de feuille de route pour améliorer progressivement le niveau de sécurité, diminuer la surface d’attaque et négocier une meilleure prime au renouvellement.
La documentation joue enfin un rôle sous-estimé. Un dirigeant capable de présenter une cartographie de ses actifs, un registre des traitements de données personnelles et une procédure de réponse à incident inspire confiance à l’assureur. Cette documentation, exigée par ailleurs par le RGPD, constitue un investissement doublement rentable, à la fois sur le plan assurantiel et sur le plan réglementaire.
Choisir son assureur et négocier son contrat
Le marché français propose une dizaine d’acteurs sérieux, avec des positionnements différents. Certains privilégient les grandes entreprises, d’autres construisent des offres calibrées pour les TPE et PME. Comparer les propositions demande de regarder au-delà de la prime affichée, pour intégrer la qualité du service et la solidité du réseau d’experts.
Le premier critère de comparaison est la qualité du réseau d’experts mobilisable en cas d’incident. Un assureur qui délègue à un prestataire technique compétent, joignable en moins d’une heure, apporte plus de valeur qu’un contrat théoriquement plus large mais lent à activer. Generali positionne son offre autour de l’assistance, de la prévention et de l’indemnisation adaptées à l’entreprise (source Generali).
Le deuxième critère concerne la clarté des exclusions. Un contrat qui liste précisément ce qui n’est pas couvert vaut mieux qu’un contrat aux formulations vagues. Les zones d’ombre finissent toujours par se retourner contre l’assuré en cas de sinistre complexe, avec des délais d’expertise qui pèsent lourdement sur la trésorerie déjà tendue par l’incident.
Le troisième critère porte sur les services annexes : audit de vulnérabilité, hotline juridique, plateforme d’entraînement au hameçonnage, tableau de bord de suivi des risques. La MAF présente par exemple son offre comme une protection des données sensibles adaptée aux menaces numériques (source MAF). Ces services justifient parfois un surcoût modeste par rapport à un contrat purement indemnitaire.
La négociation porte enfin sur la franchise, la période de carence, la durée d’indemnisation de la perte d’exploitation et l’inclusion ou non de la fraude au président. Un courtier spécialisé, indépendant des compagnies, apporte une lecture comparative utile et peut faire jouer la concurrence lors du renouvellement annuel. Le contrat cyber n’est pas un produit à souscrire une fois pour toutes : il se révise chaque année en fonction de la croissance de l’entreprise, de l’évolution des menaces et des retours d’expérience du secteur.
