Assurance cyber PME : que couvre-t-elle vraiment ?
Une cyberassurance ne remplace ni les sauvegardes ni la sécurité informatique. Elle organise l'accès à des experts et peut financer certaines conséquences d'un incident, dans les limites prévues au contrat.
Le rôle réel d'une cyberassurance
Lors d'un incident, l'entreprise doit prendre plusieurs décisions en même temps : contenir l'attaque, préserver les preuves, rétablir les services, évaluer les données touchées, informer les parties concernées et maintenir l'activité. Le premier intérêt du contrat peut donc être l'accès rapide à une cellule d'assistance coordonnant les experts prévus.
L'assurance intervient après un événement défini et sous réserve des conditions contractuelles. Elle ne garantit ni l'absence d'attaque ni le rétablissement instantané. France Assureurs rappelle d'ailleurs que la prévention reste un préalable et que l'assurance s'inscrit dans une démarche de résilience, pas à la place de celle-ci.
Les principales familles de garanties cyber
| Garantie | Dépenses possibles | Point à vérifier |
|---|---|---|
| Assistance de crise | Hotline, expert informatique, avocat, communication. | Disponibilité, prestataires imposés et accord préalable. |
| Investigation | Recherche de l'origine, périmètre compromis et préservation des preuves. | Déclenchement, plafond et rapport remis à l'entreprise. |
| Restauration | Nettoyage, reconfiguration, récupération ou reconstitution de données. | Différence entre données, logiciels, matériels et amélioration du système. |
| Pertes d'exploitation | Marge perdue et frais supplémentaires pendant l'interruption. | Franchise temporelle, période d'indemnisation et méthode de calcul. |
| Violation de données | Analyse juridique, notification, information et surveillance selon le contrat. | Données couvertes, frais autorisés et obligations RGPD. |
| Responsabilité | Réclamations de clients, partenaires ou personnes concernées. | Territoires, défense, dommages assurés et sous-limites. |
| Fraude | Faux ordre de virement, détournement ou ingénierie sociale selon option. | Validation interne exigée et définition exacte de la fraude. |
| Cyberextorsion | Conseil spécialisé et certaines dépenses selon droit et contrat. | Ne jamais décider seul ; exclusions, légalité et accord de l'assureur. |
Quatre scénarios concrets à soumettre au courtier
1. Messagerie compromise et faux virement
Un fraudeur observe les échanges puis modifie un RIB. Demandez si la perte financière directe est couverte ou si seule l'assistance informatique l'est. Vérifiez la procédure de double validation exigée.
2. Rançongiciel bloquant la production
Les serveurs et postes deviennent indisponibles. Il faut vérifier l'intervention d'urgence, la restauration, la franchise temporelle, les pertes d'exploitation et l'effet d'une sauvegarde connectée elle-même chiffrée.
3. Prestataire cloud indisponible
L'entreprise ne subit pas d'attaque directe mais dépend d'un service externe. Certains contrats étendent l'interruption aux prestataires nommés ou à une catégorie de fournisseurs ; d'autres non.
4. Données clients divulguées
L'entreprise doit déterminer la nature des données, les personnes concernées et le niveau de risque. Le contrat peut financer l'investigation et l'accompagnement, mais la responsabilité de documenter et notifier reste celle de l'organisation selon le RGPD.
Les limites et exclusions qui changent le plus la protection
- Incident ou faiblesse connus avant la souscription.
- Absence d'une mesure déclarée dans le questionnaire, comme le MFA ou les sauvegardes.
- Système obsolète ou correctif critique non appliqué dans le délai prévu.
- Prestataire, filiale, technologie opérationnelle ou pays hors périmètre.
- Interruption trop courte pour dépasser la franchise temporelle.
- Fraude ou ingénierie sociale couverte uniquement par option.
- Perte de valeur commerciale, amélioration du système ou remplacement à neuf non prévu.
- Amendes, sanctions et paiements dont l'assurabilité dépend du cadre applicable.
Une sous-limite peut être aussi décisive qu'une exclusion. Comparez séparément la fraude, la reconstitution de données, la communication, les prestataires et l'interruption.
Comment comparer deux assurances cyber
- Inventoriez les services numériques indispensables et la durée maximale d'arrêt supportable.
- Vérifiez les déclencheurs : attaque, erreur humaine, panne, prestataire et suspicion d'incident.
- Appelez ou faites expliquer le parcours d'urgence : numéro, horaires, validation et experts.
- Comparez chaque sous-limite, franchise financière et franchise temporelle.
- Reliez les déclarations du questionnaire aux conditions de garantie.
- Testez les quatre scénarios ci-dessus et demandez une réponse écrite.
- Contrôlez la cohérence avec la RC Pro, la multirisque et les contrats clients.
Ce que la PME doit préparer avant tout incident
L'ANSSI recommande notamment de renforcer l'authentification, superviser les systèmes, conserver des sauvegardes hors ligne, prioriser les services critiques et disposer d'un dispositif de crise. Pour l'assurance comme pour la continuité, ces mesures doivent être réelles et testées.
- Conserver le numéro d'assistance cyber hors du système informatique.
- Nommer les décideurs et leurs remplaçants.
- Tester la restauration des sauvegardes.
- Activer le MFA sur les accès sensibles et externes.
- Documenter les prestataires, administrateurs et dépendances critiques.
- Préparer une procédure de conservation des preuves.
- Connaître le processus de notification d'une violation de données.
Réflexe : en cas d'incident, contactez rapidement l'assistance prévue avant d'engager des dépenses importantes, sans retarder les mesures urgentes de protection des personnes et des systèmes.