La cyberassurance s’est installée dans le paysage des PME suisses. Elle est proposée par les courtiers, parfois greffée sur un contrat existant, souvent signée en quelques minutes parce que la prime paraît raisonnable au regard du risque.
Le problème n’est presque jamais le prix. Il est ailleurs : beaucoup d’entreprises ne savent pas précisément ce qu’elles ont acheté, et découvrent les conditions réelles le jour où elles en ont besoin. Ce jour-là, la marge de manœuvre est nulle.
Cet article n’est ni une recommandation de produit ni un comparatif. Il décrit les mécanismes communs à ce type de contrats, et surtout les questions à poser avant de signer. Chaque contrat étant différent, seule la lecture du vôtre fait foi.
Que couvre une cyberassurance en général ?
Contrairement à une intuition répandue, une cyberassurance ne se résume pas à un chèque après coup. Sa valeur principale se joue souvent dans les premières heures, sous forme de prestations plutôt que d’argent.
Selon les contrats, on retrouve généralement quatre volets.
Les frais de réponse à l’incident. C’est le cœur du dispositif. L’assureur finance, et parfois organise, l’intervention d’experts techniques chargés d’analyser l’attaque et d’aider à la remise en route, d’un conseil juridique pour les questions d’annonce et de responsabilité, et parfois d’un appui en communication. Pour une PME sans service informatique interne, cet accès immédiat à des spécialistes vaut souvent plus que l’indemnité elle-même.
La perte d’exploitation. Il s’agit de compenser tout ou partie de la marge perdue pendant l’arrêt d’activité. Attention aux définitions : les contrats prévoient en général un délai de carence, c’est-à-dire une durée d’interruption en dessous de laquelle rien n’est dû, et une durée maximale d’indemnisation.
La reconstruction des données et des systèmes. Les coûts de restauration, de réinstallation et parfois de ressaisie des données perdues peuvent être pris en charge. Ce poste suppose évidemment qu’il reste quelque chose à restaurer, ce qui nous ramène à vos sauvegardes.
La responsabilité envers des tiers. Certains contrats, pas tous, couvrent les réclamations de clients ou de partenaires dont les données ont été exposées, ainsi que les frais de défense. C’est un volet distinct, qu’il faut vérifier explicitement si votre activité consiste à traiter des données pour autrui.
Qu’est-ce qui est souvent exclu ou limité ?
Un contrat d’assurance se lit d’abord par ses exclusions. Trois familles reviennent régulièrement, et méritent d’être regardées sans complaisance.
La négligence caractérisée. C’est l’exclusion la plus discutée. Une entreprise qui n’aurait aucune sauvegarde, qui laisserait tourner des systèmes sans mise à jour depuis des années, ou qui ne réagirait pas à un avertissement connu, s’expose à une réduction voire à un refus de prestation. Le seuil n’est pas défini par une règle universelle, il dépend du contrat et des circonstances. Retenez le principe : l’assurance couvre un risque, pas un renoncement.
Les incidents antérieurs à la souscription. Une attaque dont l’origine est antérieure à la prise d’effet du contrat est en général exclue, même si elle n’est découverte que plus tard. Une intrusion peut rester silencieuse longtemps, notamment dans le cas d’une compromission de messagerie.
Le paiement de rançons. Selon les contrats, il peut être exclu, ou couvert sous conditions strictes avec accord préalable. Ne présumez jamais de la réponse. Cette question se prépare de toute façon avant l’attaque, comme nous l’expliquons dans notre article faut-il payer la rançon.
D’autres limitations relèvent moins de l’exclusion que du cadrage : franchises, plafonds par sinistre et par année, sous-limites propres à certains postes. Elles ne se voient pas à la lecture rapide de la brochure, elles se lisent dans les conditions.
Le point qui fait perdre des couvertures : vos obligations
Voici le message central de cet article. Ce n’est pas l’étendue de la garantie qui pose le plus de problèmes en pratique, ce sont les obligations que le contrat met à votre charge au moment du sinistre.
Deux obligations reviennent presque toujours. D’abord, déclarer très vite, dans un délai souvent bref. Ensuite, et c’est le point contre-intuitif, ne pas intervenir techniquement avant l’accord de l’assureur, qui se réserve fréquemment le droit de mandater ses propres experts.
Scénario type : lundi matin, les fichiers sont chiffrés. Le prestataire informatique fait ce qui paraît le plus logique, il réinstalle les serveurs pour redémarrer au plus vite. Trois jours plus tard, l'assureur demande l'analyse forensique. Il n'y a plus rien à analyser. L'origine de l'attaque ne peut plus être établie, ni la date de la compromission, ni les données réellement consultées. Isolez les machines du réseau, ne les effacez pas, et appelez avant de reconstruire.
Cette exigence n’est pas une chicane administrative. L’analyse des traces sert à qualifier le sinistre, à déterminer sa date d’origine, et à savoir quelles données ont été consultées, ce dont vous avez besoin de toute façon pour vos obligations légales.
En pratique, cela signifie qu’un contrat de cyberassurance doit modifier votre procédure d’urgence. Le numéro de l’assureur figure dans la liste des appels prioritaires, aux côtés de ceux détaillés dans qui contacter en cas d’attaque, et cette liste doit être connue de vos collaborateurs avant l’incident, pas cherchée dans une boîte mail inaccessible.
Le questionnaire de souscription vous engage
Avant de vous couvrir, l’assureur vous interroge sur votre organisation : sauvegardes, mises à jour, authentification, formation, prestataires. Ces réponses ne sont pas un questionnaire de satisfaction, elles font partie de l’appréciation du risque.
Déclarer que vos sauvegardes sont testées régulièrement, ou que l’authentification à deux facteurs est en place partout, alors que ce n’est pas le cas, revient à fragiliser sérieusement votre garantie. Le jour du sinistre, la vérification est facile et les conséquences peuvent aller de la réduction de l’indemnité à la remise en cause du contrat.
La plupart des réponses inexactes ne sont pas des mensonges, ce sont des croyances. Le dirigeant est convaincu que les sauvegardes sont testées parce que son prestataire le lui a dit il y a deux ans. Faites vérifier chaque affirmation avant de la signer, et conservez la preuve de cette vérification. C'est utile pour l'assureur, et encore plus pour vous.
Ce questionnaire a d’ailleurs une vertu inattendue : il constitue un autodiagnostic gratuit. Chaque case que vous ne pouvez pas cocher honnêtement désigne un chantier de sécurité à ouvrir. Notre check-up cyber couvre les mêmes thèmes et permet de préparer l’exercice.
Quelles questions poser avant de signer ?
Voici les points à faire préciser par écrit, quel que soit l’assureur. Une réponse orale rassurante ne vaut rien face à une clause.
| Sujet | La question à poser |
|---|---|
| Déclaration | Dans quel délai dois-je annoncer, par quel canal, et ce canal est-il joignable la nuit et le week-end ? |
| Intervention | Ai-je le droit de faire intervenir mon prestataire habituel, ou l’assureur impose-t-il ses experts ? |
| Périmètre | Le télétravail, les appareils personnels et mes prestataires informatiques sont-ils inclus ? |
| Exclusions | Quelles sont les exigences techniques dont le non-respect fait tomber la garantie ? |
| Perte d’exploitation | À partir de combien d’heures d’arrêt, pendant combien de temps, et calculée comment ? |
| Tiers et rançon | La responsabilité envers mes clients est-elle couverte ? Le paiement d’une rançon l’est-il, et à quelles conditions ? |
Un dernier réflexe : demandez les conditions générales complètes, pas seulement la fiche produit, et lisez la partie « obligations de l’assuré » avant la partie « prestations ». C’est là que se joue votre indemnisation.
Une assurance ne remplace pas la prévention
Une cyberassurance transfère une partie du coût financier d’un incident. Elle ne transfère rien d’autre.
Elle ne restaure pas vos données à votre place. Elle ne rend pas les semaines d’activité désorganisée, ni l’épuisement des équipes qui ressaisissent des dossiers. Elle ne rachète pas la confiance d’un client qui a reçu une facture frauduleuse envoyée depuis votre adresse, ni celle d’un partenaire qui découvre que ses données étaient chez vous. Ces pertes-là ne s’indemnisent pas.
Elle a en revanche un effet secondaire utile. Pour être assurable à des conditions correctes, il faut démontrer un minimum d’hygiène numérique. La souscription pousse donc à mettre en place ce qui aurait dû l’être de toute façon. Vue ainsi, l’assurance est moins un filet qu’un aiguillon.
Pour mesurer ce qu’un arrêt représenterait chez vous, notre simulateur de coût d’une attaque donne un ordre de grandeur utile avant toute discussion avec un courtier. Et les mesures qui réduisent réellement la probabilité du sinistre sont regroupées dans le pilier Bonnes pratiques.
Reste la limite propre à ce sujet. Comparer des contrats de cyberassurance suppose de comprendre en même temps le vocabulaire assurantiel et les réalités techniques de votre système. Peu de PME disposent des deux compétences en interne, et c’est précisément pourquoi tant d’entre elles signent sans savoir ce qu’elles achètent. Faire relire le contrat par quelqu’un qui sait à quoi correspondent concrètement les exigences techniques évite de découvrir les exclusions le jour du sinistre. Les autres réflexes à préparer en amont sont décrits dans le pilier Réagir à une attaque et dans que faire dans les 24 premières heures.