La cyberassurance attire de plus en plus de PME françaises confrontées aux rançongiciels, aux fraudes au virement et aux fuites de données clients. Mais ce n’est pas une protection automatique : elle impose des conditions techniques précises, exclut certains sinistres et coûte cher si l’entreprise n’a pas sécurisé ses bases. Voici comment évaluer si la souscription a du sens pour votre structure.
En bref
La cyberassurance est un contrat qui prend en charge une partie des coûts d’une cyberattaque : rançon, perte d’exploitation, frais de notification, responsabilité civile envers des tiers. Elle ne s’applique que si l’entreprise respecte des mesures de sécurité minimales fixées par l’assureur, comme l’authentification à plusieurs facteurs ou des sauvegardes déconnectées.
Une PME sans ces prérequis risque un refus de garantie ou une prime dissuasive. La question n’est donc pas seulement de savoir s’il faut souscrire, mais si l’entreprise est assurable dans de bonnes conditions, ce qui suppose un état des lieux technique préalable.
Ce qu’est la cyberassurance et ce qu’elle couvre
La cyberassurance indemnise une entreprise victime d’un incident numérique : rançongiciel, fraude au virement, fuite de données ou interruption d’activité liée à un système compromis. Le contrat combine en général deux volets : une garantie de responsabilité civile pour les dommages causés à des tiers, et une garantie de dommages propres pour la perte d’exploitation, les frais de restauration et l’accompagnement en cellule de crise. Beaucoup de contrats intègrent aussi une assistance continue avec des prestataires en réponse à incident, déterminante dans les premières heures d’une attaque.
Le marché français reste jeune : les grilles tarifaires varient selon l’effectif, le secteur et la maturité numérique de l’entreprise. Un audit technique préalable donne une base concrète pour comparer les offres, plutôt que de choisir sur la seule promesse commerciale de l’assureur.
Les risques qui pèsent réellement sur une PME
Les PME sont des cibles régulières des acteurs malveillants : elles investissent moins dans la sécurité que les grands groupes tout en manipulant des données sensibles (fichiers clients, coordonnées bancaires, dossiers RH). Le guide de l’ANSSI pour les TPE/PME rappelle que quelques mesures de base réduisent déjà nettement le risque, sans gros investissement.
Trois scénarios reviennent le plus souvent en mission de conseil IT : le rançongiciel qui chiffre les fichiers partagés et bloque l’activité, la fraude au président qui détourne un virement via un email usurpé, et la fuite de données via un prestataire ou un outil cloud mal configuré. Ces cas ont un point commun : ils touchent l’exploitation de l’entreprise, pas seulement son informatique.
Ce que la cyberassurance couvre, et ce qu’elle exclut
La couverture réelle d’une cyberassurance se lit dans les exclusions, pas dans la plaquette commerciale. Le tableau suivant résume les postes les plus souvent couverts et les limites qui reviennent le plus fréquemment dans les conditions générales.
| Poste | Couvert en général | Limite fréquente |
|---|---|---|
| Perte d’exploitation après incident | Oui | Franchise en jours avant déclenchement |
| Frais de notification (CNIL, clients) | Oui | Plafond par sinistre |
| Rançon versée à des attaquants | Variable | Accord préalable de l’assureur obligatoire |
| Amende RGPD elle-même | Non ou très encadré | Souvent exclue par la loi ou le contrat |
| Sinistre lié à un défaut de sécurité connu | Non | Nullité de garantie si prérequis non respectés |
Le point le plus souvent mal compris concerne la rançon : plusieurs contrats la prennent en charge, mais seulement après validation de l’assureur et avec un prestataire agréé, jamais en remboursement automatique d’un paiement décidé seul.
Les prérequis techniques exigés par les assureurs
Depuis 2023, les assureurs cyber ont durci leurs conditions d’admission. Avant de proposer un tarif, la plupart demandent un questionnaire technique détaillé, parfois complété par un audit externe. Les points qui reviennent systématiquement : authentification à plusieurs facteurs sur les comptes à privilèges, sauvegardes régulières et déconnectées du réseau principal, mises à jour de sécurité appliquées dans un délai défini, et un plan de réponse à incident même sommaire.
Ces exigences ne sont pas de la paperasse : un contrat peut être annulé après sinistre si l’entreprise a répondu de façon inexacte au questionnaire, par exemple en déclarant une authentification renforcée activée sur une partie seulement des comptes. Passer en revue sa hygiène de sécurité de base avant de solliciter un devis évite ce genre de surprise et améliore souvent le tarif proposé.
Note terrain Lead4you
Sur les dossiers cyberassurance qu’on accompagne côté conseil IT, l’erreur la plus fréquente n’est pas l’absence de contrat : c’est un contrat souscrit sans vérifier que l’entreprise coche réellement les cases du questionnaire. On a vu une PME découvrir, au moment d’un sinistre, que sa garantie rançongiciel était plafonnée à un montant symbolique parce que l’authentification à plusieurs facteurs n’était activée que sur les postes du siège, pas sur les accès distants des commerciaux. Un état des lieux technique de deux à trois jours avant la souscription coûte bien moins cher qu’une garantie inopérante le jour où elle devrait servir.
Faut-il souscrire : la méthode pour trancher
La décision dépend de trois éléments concrets, pas d’un ressenti général sur le risque cyber. D’abord la dépendance de l’activité aux outils numériques : une entreprise qui perd du chiffre d’affaires dès que ses systèmes tombent a plus à gagner d’une couverture de perte d’exploitation. Ensuite le volume et la sensibilité des données traitées, qui déterminent l’exposition en cas de fuite. Enfin la capacité financière à absorber seul un incident majeur : une trésorerie confortable réduit l’intérêt d’une cyberassurance coûteuse, une trésorerie tendue le renforce.
Dans les faits, la cyberassurance a surtout du sens une fois les bases de sécurité posées. Souscrire avant cet état des lieux revient souvent à payer une prime plus élevée pour une couverture partiellement inapplicable en cas de sinistre.
Checklist rapide avant de souscrire
- Lister les données sensibles traitées (clients, RH, paiement) et leur localisation.
- Vérifier l’authentification à plusieurs facteurs sur tous les comptes à privilèges, y compris à distance.
- Confirmer l’existence de sauvegardes testées et déconnectées du réseau principal.
- Rédiger un plan de réponse à incident, même sur une page, avec les contacts d’urgence.
- Comparer au moins deux offres sur les exclusions, pas seulement sur le tarif.
- Vérifier le délai de franchise avant déclenchement de la garantie perte d’exploitation.
Combien coûte une cyberassurance pour une PME
Le prix d’une cyberassurance dépend du chiffre d’affaires, du secteur, du volume de données personnelles traitées et surtout du niveau de sécurité déjà en place. Une entreprise qui répond mal au questionnaire technique se voit proposer une prime plus élevée, une franchise plus lourde, ou un refus pur et simple. À l’inverse, une entreprise qui documente ses mesures de sécurité obtient généralement de meilleures conditions et une négociation plus rapide.
Le coût ne se limite pas à la prime annuelle : il faut aussi compter le temps interne pour répondre au questionnaire, corriger les manques identifiés et maintenir les prérequis dans la durée, sous peine de voir la garantie remise en cause au moment où elle devrait jouer.
Faire un diagnostic technique avant de souscrire
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce qu’une cyberassurance couvre exactement ?
Elle couvre en général la perte d’exploitation liée à un incident numérique, les frais de restauration des systèmes, l’accompagnement en cellule de crise et la responsabilité civile envers des tiers en cas de fuite de données. La rançon reste conditionnée à l’accord préalable de l’assureur.
La cyberassurance est-elle obligatoire pour une PME ?
Non, aucune obligation légale n’impose la souscription d’une cyberassurance en France. La décision reste une question d’exposition au risque et de capacité financière à absorber seul un incident majeur, pas une obligation réglementaire.
Que se passe-t-il si les prérequis techniques ne sont pas respectés ?
L’assureur peut refuser d’indemniser le sinistre, voire annuler le contrat, si les mesures déclarées lors de la souscription ne correspondaient pas à la réalité. C’est pourquoi un état des lieux technique avant signature est déterminant.
Cyberassurance et RGPD : quel est le lien ?
En cas de fuite de données présentant un risque pour les personnes concernées, l’entreprise doit notifier la CNIL sous 72 heures. Une police cyber peut couvrir les frais liés à cette notification, mais pas l’amende RGPD elle-même, généralement exclue du contrat.
Faut-il souscrire avant ou après un audit de sécurité ?
Idéalement après, ou au minimum en parallèle. Un audit permet de répondre avec exactitude au questionnaire de l’assureur, d’éviter une garantie fragilisée par une déclaration inexacte et souvent d’obtenir un tarif plus favorable.
Combien coûte en moyenne une cyberassurance pour une PME ?
Le montant varie fortement selon le secteur, le chiffre d’affaires et le niveau de sécurité déjà en place : il n’existe pas de tarif standard fiable à communiquer sans devis personnalisé. Comparer les exclusions entre plusieurs offres reste plus utile que comparer uniquement le prix affiché.