Une PME sur deux touchée par une cyberattaque ne s’en remet pas dans les dix-huit mois. Le chiffre circule dans les rapports sectoriels, mais il reste abstrait jusqu’au moment où les systèmes informatiques d’une entreprise se figent un lundi matin, les données clients chiffrées, les accès bloqués. C’est précisément dans ces situations que la question de la protection financière devient concrète. L’assurance cyber n’est pas un produit récent, mais son adoption reste faible chez les professionnels qui sous-estiment l’étendue des dommages couverts et la mécanique de souscription.
Audit de sécurité
La première étape consiste à reconnaître que le risque existe avant qu’il se matérialise. Un audit de cybersécurité préalable à la souscription permet d’évaluer l’exposition réelle de l’entreprise. Il recense les systèmes exposés, les données sensibles stockées, les accès distants non sécurisés.
Si cet audit révèle des failles, ce n’est pas un obstacle à la souscription. C’est au contraire une information utile pour calibrer les garanties nécessaires. Un assureur qui propose une assurance Cyber intègre souvent des outils de prévention dans son offre, ce qui permet de corriger les vulnérabilités identifiées avant qu’elles soient exploitées.
Identifier les données réellement exposées
Tous les systèmes informatiques ne présentent pas le même niveau de risque. Une base de données clients avec coordonnées bancaires n’a pas la même valeur pour un attaquant qu’un répertoire de fichiers internes sans données personnelles.
Classer par niveau de criticité
La classification se fait selon deux axes. Le premier concerne la sensibilité réglementaire : les données soumises au RGPD, les informations médicales, les données financières. Le second concerne l’impact opérationnel : si ces données ou ces systèmes deviennent inaccessibles, combien de temps faut-il pour reprendre l’activité ?
Cartographier les accès tiers
Un prestataire informatique, un comptable en télétravail, un logiciel SaaS connecté à vos systèmes internes : chaque accès externe est un vecteur d’attaque potentiel. Les recenser permet d’anticiper les cas de responsabilité partagée en cas d’incident.
Pour toutes les tailles d’entreprises
Les TPE et PME représentent la majorité des victimes de ransomwares en France, précisément parce qu’elles disposent de moins de ressources dédiées à la cybersécurité. La taille de l’entreprise ne réduit pas l’attrait pour les cybercriminels : elle réduit la capacité de résistance.
Définir le périmètre de couverture adapté à une petite structure suppose de répondre à quelques questions précises. Quels sont les frais de reconstitution des données si les sauvegardes sont compromises ? Quelle est l’exposition en matière de responsabilité civile si des données clients sont volées et divulguées ? Quelle est la perte d’exploitation journalière en cas d’arrêt total des systèmes ?
Les garanties à distinguer
Une police d’assurance cyber se décompose généralement en deux blocs.
Dommages propres
Ce bloc couvre les pertes directes subies par l’entreprise : frais d’expertise informatique, coûts de restauration des systèmes et des données, perte d’exploitation pendant la période d’indisponibilité, et dans certains cas, le paiement d’une rançon sous conditions strictes. Ce dernier point reste débattu : l’ANSSI déconseille le paiement, mais certains contrats le prévoient comme ultime recours.
Responsabilité civile numérique
Ce bloc couvre les dommages causés à des tiers : clients dont les données ont été compromises, partenaires dont les systèmes ont été infectés via l’entreprise. Les obligations réglementaires de notification aux autorités (CNIL notamment) et les frais juridiques associés peuvent aussi être pris en charge selon les contrats.
Un assurance multirisque professionnelle ne suffit pas
C’est une objection fréquente. Une assurance multirisque professionnelle standard ne couvre pas les cyber-risques, ou alors de façon très partielle et plafonnée. Les exclusions portent généralement sur les pertes immatérielles, les frais de reconstitution de données, et toute la dimension de responsabilité liée aux données personnelles.
Vérifier son contrat existant avant de souscrire une couverture spécifique est une démarche logique. Si une clause cyber existe, il faut en lire les plafonds et les exclusions avec attention. Un plafond de 10 000 euros pour des frais d’expertise et de reconstitution qui peuvent atteindre dix fois ce montant n’est pas une protection : c’est une illusion de protection.
Comparer les offres sur des critères précis
La comparaison entre contrats ne se fait pas sur le prix seul. Les éléments déterminants sont les suivants.
- Le plafond global et les sous-limites par poste (rançon, perte d’exploitation, frais d’experts).
- La franchise applicable à chaque type de sinistre.
- Les délais de carence éventuels après souscription.
- La présence ou non d’une cellule de crise 24h/24 mobilisable dès la détection de l’incident.
- Les obligations de sécurité préalables imposées par l’assureur (antivirus, sauvegardes, mises à jour).
Ces obligations préalables sont souvent sous-estimées. Si l’entreprise ne les respecte pas au moment du sinistre, la garantie peut être réduite ou refusée.
Comment se gère le sinistre
Souscrire une assurance cyber, c’est aussi se préparer à activer la couverture efficacement. Un sinistre mal géré dans les premières heures peut aggraver les dommages et compliquer la prise en charge.
La procédure à suivre dès la détection d’une attaque suit une logique d’endiguement avant de chercher à comprendre.
- Isoler immédiatement les systèmes compromis du reste du réseau.
- Contacter le numéro d’urgence de l’assureur ou de la cellule de crise prévue au contrat.
- Ne pas éteindre les machines affectées si possible : les experts en forensique informatique ont besoin des traces en mémoire vive.
- Documenter chaque action entreprise avec horodatage pour le dossier de sinistre.
- Notifier la CNIL dans les 72 heures si des données personnelles sont concernées, obligation issue du RGPD.
Ce que fait la cellule de crise
Une cellule de crise fournie par l’assureur mobilise des experts en cybersécurité, des juristes et parfois des spécialistes en communication de crise. Leur rôle est d’évaluer l’étendue de l’attaque, de contenir la propagation, de coordonner la restauration des systèmes et d’accompagner l’entreprise dans ses obligations réglementaires.
Cette assistance technique est souvent plus précieuse que l’indemnisation financière elle-même, car elle réduit la durée d’interruption d’activité et donc les pertes réelles.
Mettre à jour sa couverture chaque année
Une police souscrite il y a trois ans ne reflète pas nécessairement la réalité actuelle de l’entreprise. Une croissance du chiffre d’affaires, l’intégration de nouveaux outils numériques, le passage au télétravail ou l’ouverture d’un site e-commerce modifient substantiellement l’exposition aux risques.
La révision annuelle du contrat doit s’aligner sur ces évolutions. Si l’entreprise a intégré de nouveaux systèmes ou étendu son périmètre numérique, les plafonds initiaux peuvent être devenus insuffisants. Un sinistre survenu dans un contexte non déclaré à l’assureur peut entraîner une réduction proportionnelle de l’indemnisation.
Une entreprise qui met à jour ses sauvegardes, forme ses équipes aux bonnes pratiques et révise sa couverture chaque année ne supprime pas le risque cyber. Elle s’assure simplement que si l’attaque survient, les dommages ne se transforment pas en menace existentielle pour l’activité.
À propos de l'auteur
