Assurance cyber PME : garanties, prix et exclusions

Que couvre une assurance cyber pour une TPE ou une PME ?

Les contrats associent généralement des services d'assistance et des garanties financières. L'assistance peut organiser la réponse à incident, l'analyse de l'origine de l'attaque, la sécurisation provisoire, la restauration, la communication de crise et l'accompagnement juridique. Selon le contrat, les frais sont payés directement ou remboursés dans la limite d'un plafond.

La rançon, les amendes, les pertes de cryptoactifs et les améliorations du système ne sont pas automatiquement couvertes. Le libellé précis du contrat prévaut toujours.

Quelles exclusions et limites faut-il vérifier ?

Une comparaison utile ne s'arrête pas au plafond global. Certaines garanties possèdent leur propre sous-limite ou leur propre franchise. Il faut également comprendre si le contrat fonctionne après une attaque malveillante uniquement, ou aussi après une erreur humaine, une panne, une mauvaise configuration ou l'incident d'un prestataire.

• Systèmes obsolètes ou correctifs critiques non installés.
• Absence de sauvegarde, de test de restauration ou de double authentification déclarée.
• Incident connu avant la souscription ou défaut déjà identifié.
• Prestataire, territoire ou entité du groupe non couvert.
• Dommage matériel, interruption d'infrastructure ou fraude sans extension spécifique.
• Frais engagés sans l'accord préalable de l'assureur, hors urgence prévue au contrat.

À demander : le numéro d'assistance disponible en cas de crise, les personnes autorisées à le contacter et la liste des premières mesures à prendre sans compromettre la garantie.

Quel niveau de sécurité préparer avant de demander un devis ?

L'assureur adapte son questionnaire à la taille et à l'exposition de l'entreprise. Les mesures les plus souvent examinées concernent les accès, les sauvegardes, les mises à jour, la protection des postes et la capacité à réagir. Cybermalveillance.gouv.fr recommande notamment la double authentification, des sauvegardes régulières dont une copie déconnectée, des tests de restauration et la limitation des droits d'administration.

1. Recenser les applications, données et prestataires indispensables.
2. Activer la double authentification sur les accès distants, administrateurs et services critiques.
3. Conserver des sauvegardes séparées du système principal et tester leur restauration.
4. Appliquer les mises à jour de sécurité et remplacer les logiciels non maintenus.
5. Formaliser les contacts et décisions d'urgence dans un plan de réponse à incident.

L'assurance transfère une partie du risque résiduel. Elle ne garantit ni l'absence d'attaque ni la récupération complète de données qui n'ont pas été sauvegardées.

Quels critères influencent le prix d'une assurance cyber ?

La prime dépend de la probabilité d'un incident, de son coût possible et de l'étendue des garanties choisies. Un tarif isolé n'est donc pas comparable sans connaître les hypothèses utilisées.

• Chiffre d'affaires, effectif, nombre de comptes et d'équipements.
• Nature et volume des données personnelles ou confidentielles.
• Secteur d'activité, exposition au public et dépendance au numérique.
• Prestataires cloud, accès distants et présence internationale.
• Mesures techniques, organisationnelles et historique des incidents.
• Plafonds, franchises, sous-limites et durée de perte d'exploitation.

Que faire après un incident cyber ?

Il faut d'abord limiter la propagation sans effacer les preuves : isoler les équipements touchés, conserver les journaux disponibles et contacter la cellule d'assistance prévue au contrat. La déclaration doit suivre les délais et canaux indiqués dans les conditions contractuelles.

Lorsqu'une violation de données personnelles présente un risque pour les droits et libertés, la CNIL prévoit une notification dans les meilleurs délais et, si possible, dans les 72 heures suivant sa constatation. En cas de risque élevé, les personnes concernées peuvent aussi devoir être informées. L'analyse doit être conduite avec les responsables juridiques et techniques compétents.

Quels documents préparer pour un devis fiable ?

• Présentation de l'activité, chiffre d'affaires et nombre d'utilisateurs.
• Inventaire synthétique des données, logiciels critiques et prestataires.
• Politique de sauvegarde avec fréquence, séparation et tests de restauration.
• État de la double authentification, des accès administrateurs et des mises à jour.
• Plan de continuité ou procédure de réponse à incident, même simple.
• Historique des incidents, réclamations et contrats cyber précédents.