Assurance cyber entreprise : êtes-vous vraiment couvert, ou simplement assuré ?

Deux entreprises subissent le même ransomware, le même jour, avec le même prestataire informatique. Toutes les deux ont une assurance cyber. La première est indemnisée en quelques semaines. La seconde voit son indemnisation réduite, puis discutée, puis partiellement refusée.

Elles avaient pourtant la même couverture sur le papier. Ce qui les sépare ne s’est pas joué pendant l’attaque, mais bien avant : dans ce que chacune avait déclaré à son assureur, et dans ce qu’elle appliquait réellement le jour du sinistre. Être assuré ne signifie pas forcément être indemnisé. Et la différence se construit en amont, pas au moment de la crise.

Le problème n’est pas d’être assuré. Le problème est de savoir si vous pouvez réellement être indemnisé.

L’assurance cyber est un contrat utile et, pour beaucoup de PME, nécessaire. Mais c’est un contrat technique. Il repose sur des déclarations, et ces déclarations conditionnent l’indemnisation. Comprendre ce mécanisme avant un sinistre, c’est éviter d’en découvrir les limites au pire moment.

Un contrat qui repose sur vos déclarations

Une assurance cyber est un contrat déclaratif. L’assureur évalue le risque et fixe ses garanties à partir des informations que vous lui transmettez au moment de la souscription. Vos réponses ne sont pas de simples formalités : elles engagent la couverture.

C’est le fonctionnement normal de l’assurance, pas une particularité du cyber. Mais en matière de risque informatique, les questions portent sur des sujets précis et évolutifs, là où le dirigeant n’a pas toujours une visibilité complète. Si la réalité de l’entreprise s’écarte de ce qui a été déclaré, l’indemnisation peut être ajustée en conséquence.

Pour bien démarrer, il est utile de comprendre les bases de l’assurance cyber pour une PME avant même d’examiner les conditions de son propre contrat.

Des questionnaires techniques parfois mal compris

Avant de couvrir une entreprise, l’assureur fait remplir un questionnaire. Il porte sur des mesures de sécurité concrètes : la double authentification, la qualité des sauvegardes, la gestion des accès, l’existence de procédures de continuité, la sensibilisation des équipes.

Le problème n’est pas la mauvaise foi. C’est la compréhension. Un dirigeant peut répondre « oui » de bonne foi à une question sur la double authentification ou les sauvegardes, en se fiant à ce que lui a dit un prestataire, sans savoir si la mesure est réellement déployée, sur quels accès, et si elle est maintenue dans le temps.

Quelques notions reviennent systématiquement. Le PRA (plan de reprise d’activité) décrit comment redémarrer le système d’information après un incident. Le PCA (plan de continuité d’activité) décrit comment continuer à fonctionner pendant la crise. La mise en place de la double authentification est devenue un point de contrôle quasi systématique : répondre « oui » à la légère sur ce point précis peut suffire à fragiliser l’indemnisation.

Une difficulté supplémentaire tient au vocabulaire. Une même question du questionnaire d’assurance cyber peut être comprise différemment par le dirigeant, par son prestataire informatique et par l’assureur. La « double authentification » vaut-elle sur tous les accès, ou seulement sur la messagerie ? Une « sauvegarde déconnectée » est-elle réellement isolée du réseau, ou simplement stockée ailleurs ? Un « accès privilégié » désigne-t-il le seul administrateur système, ou aussi les comptes disposant de droits étendus ? Un « PRA » est-il un plan testé, ou une intention jamais éprouvée ? Chacun peut répondre de bonne foi à partir de sa propre définition. C’est précisément dans ces écarts de langage que naissent les malentendus sur la couverture.

Des conditions d’indemnisation plus exigeantes qu’il n’y paraît

Au-delà du questionnaire, certains contrats subordonnent l’indemnisation au respect effectif de mesures de sécurité. Les plus courantes :

• la double authentification sur les accès sensibles (administration, accès distants, messagerie) ;
• des sauvegardes réellement exploitables, idéalement immuables ou déconnectées, pour résister à un chiffrement ;
• un antivirus à jour, voire une solution de détection de type EDR ;
• des procédures internes écrites ;
• des mises à jour appliquées régulièrement.

Ces exigences ne sont pas là pour compliquer le remboursement. Elles existent parce qu’elles réduisent réellement le risque. Une sauvegarde déconnectée change tout en cas de ransomware : elle permet de restaurer sans céder à la demande de rançon. L’assureur attend simplement que ces mesures soient en place et maintenues, comme il a été déclaré. Pour vérifier où vous en êtes, une checklist des points clés de cybersécurité d’une PME est un bon point de départ.

Ces exigences ne sont pas figées. Sous l’effet de l’augmentation et de la sophistication des cyberattaques, le niveau attendu sur le marché tend à se renforcer d’année en année. Une mesure considérée comme optionnelle il y a quelques années peut devenir un prérequis aujourd’hui. Une couverture cyber négociée à une époque peut reposer sur des standards déjà dépassés. C’est l’une des raisons pour lesquelles un contrat ne se regarde pas une seule fois : ce qui suffisait hier ne garantit pas le même niveau d’exigence demain, et le risque cyber d’une PME évolue plus vite que son contrat.

Le cas particulier de la fraude au virement

La fraude au virement mérite une attention spécifique, car c’est l’un des sinistres les plus fréquents et l’un des plus discutés en matière d’indemnisation.

Elle prend plusieurs formes : un faux RIB transmis au nom d’un fournisseur habituel, une « fraude au président » où un dirigeant est imité pour ordonner un virement urgent, ou une boîte mail compromise utilisée pour détourner un paiement légitime. Dans bien des cas, la couverture de ce type de fraude est conditionnée à l’existence de procédures internes de vérification : double validation des virements, confirmation par un canal indépendant, contrôle de tout changement de coordonnées bancaires. Sans ces procédures, l’indemnisation peut être bien plus incertaine.

Pourquoi une entreprise peut découvrir le problème trop tard

Un contrat est signé à un instant précis, sur la base d’une photographie de l’entreprise à ce moment-là. Mais une entreprise ne reste pas figée.

De nouveaux outils sont adoptés. De nouveaux salariés arrivent. Des accès sont ouverts, parfois jamais refermés. Un prestataire informatique est remplacé, et avec lui certaines pratiques disparaissent. Une mesure déclarée au départ n’est plus maintenue six mois plus tard. Rien de tout cela n’est anormal. Mais l’écart se creuse silencieusement entre la déclaration initiale et la réalité du jour.

Un exemple concret illustre cette dérive. Une PME déclare, en toute sincérité, utiliser la double authentification sur l’ensemble de ses accès. Quelques mois plus tard, elle adopte un nouvel outil cloud pour gérer ses devis. L’outil est mis en service rapidement, sans que la double authentification y soit activée. Personne ne le remarque : l’entreprise reste convaincue de respecter ses déclarations. Le jour où une attaque passe précisément par cet accès non protégé, l’écart apparaît, et il peut suffire à justifier un refus d’indemnisation partiel ou total. La déclaration était exacte à la signature ; elle ne l’était plus au moment du sinistre.

C’est souvent au moment du sinistre, quand chaque détail est examiné, que cet écart se révèle. Savoir quoi faire dans les premières heures d’une cyberattaque est essentiel, mais la qualité de votre indemnisation se joue surtout sur ce qui aura été tenu à jour avant.

Pourquoi l’assurance cyber est un sujet spécialisé

L’assurance cyber n’est pas une simple extension de votre multirisque professionnelle. C’est un domaine à part, parce qu’il croise plusieurs métiers à la fois : l’assurance, l’informatique, la gestion de crise, le droit et la continuité d’activité.

Évaluer correctement un risque cyber suppose de comprendre l’infrastructure de l’entreprise, d’anticiper le déroulé d’une attaque, de connaître les obligations réglementaires et de savoir comment une crise se gère concrètement. Peu de dirigeants disposent de toutes ces compétences en interne, et c’est normal. C’est précisément pour cela qu’il est utile de s’appuyer sur un professionnel spécialisé du risque cyber, capable d’aligner le contrat sur la situation réelle de l’entreprise et de choisir une assurance cyber adaptée.

Un point est souvent mal compris : un contrat bien adapté n’est pas celui qui affiche le plus de garanties. C’est celui dont les exigences correspondent réellement au niveau de maturité de l’entreprise. Une couverture très large, assortie de conditions qu’une PME ne peut pas tenir au quotidien, protège moins bien qu’un contrat plus modeste dont chaque exigence est effectivement respectée. Qu’il s’agisse d’une assurance ransomware ou de garanties plus étendues, l’enjeu n’est pas d’en avoir le plus, mais d’avoir ce que l’on est capable d’honorer le jour du sinistre.

Les questions à se poser avant un sinistre

Avant le prochain incident, et non après, quelques questions simples permettent de mesurer l’écart entre « assuré » et « indemnisable » :

• Mes déclarations au contrat sont-elles encore exactes aujourd’hui ?
• Mes sauvegardes sont-elles réellement exploitables en cas d’attaque ?
• Mes procédures internes sont-elles écrites, et pas seulement informelles ?
• Mes accès sensibles sont-ils protégés comme je l’ai déclaré ?
• Mon contrat correspond-il encore à ma situation actuelle ?

Si vous hésitez sur une seule de ces réponses, c’est déjà un signal. Et avant d’aller plus loin, il peut être utile d’estimer le prix d’une assurance cyber au regard de ce que vous attendez réellement de votre couverture.

Recevoir un cas concret chaque mois

Questions fréquentes sur l’assurance cyber en entreprise

Une assurance cyber couvre-t-elle toutes les cyberattaques ?

Non. Chaque contrat définit ses garanties, ses exclusions et ses conditions. Certaines attaques, comme la fraude au virement, ne sont couvertes que si des procédures internes précises sont respectées. La couverture dépend du contrat signé, pas du type d’attaque seul.

Une PME peut-elle être assurée sans double authentification ?

C’est possible, mais de plus en plus rare. La double authentification est devenue un point de contrôle courant des questionnaires. Une entreprise peut être assurée sans elle, mais son absence peut limiter l’indemnisation si elle avait été déclarée comme en place.

Une sauvegarde suffit-elle pour être indemnisé ?

Pas toujours. Ce qui compte, c’est que la sauvegarde soit réellement exploitable et résistante à une attaque, idéalement immuable ou déconnectée. Une sauvegarde chiffrée en même temps que le système lors d’un ransomware n’apporte aucune protection effective.

Que vérifie un assureur après une cyberattaque ?

L’assureur compare la situation réelle de l’entreprise au moment du sinistre avec ce qui avait été déclaré à la souscription : mesures de sécurité en place, sauvegardes, accès protégés, procédures appliquées. L’indemnisation s’apprécie au regard de cette cohérence.

Peut-on modifier son contrat si l’entreprise évolue ?

Oui, et c’est même recommandé. Un changement d’outils, d’effectif, d’accès ou de prestataire peut rendre les déclarations initiales obsolètes. Signaler ces évolutions à son assureur permet de maintenir la couverture en phase avec la réalité de l’entreprise.

Comment savoir si mon contrat correspond encore à ma situation ?

En reprenant les déclarations faites à la souscription et en vérifiant, point par point, si elles sont toujours exactes aujourd’hui. Si une réponse a changé ou n’est plus certaine, c’est le signe qu’un point de couverture mérite d’être revu, idéalement avec un professionnel du risque cyber.

En résumé

Souscrire une assurance cyber est une bonne décision. Mais la signature ne suffit pas à garantir l’indemnisation. Ce qui la garantit, c’est la cohérence entre ce que vous avez déclaré et ce que votre entreprise applique réellement, dans la durée.

Il ne s’agit pas de se méfier de son assureur, ni de vivre dans la crainte d’une attaque. Il s’agit de vérifier, calmement et avant le sinistre, que votre contrat tient toujours debout face à la réalité de votre entreprise. C’est exactement à ce moment-là que la question se traite. Après, il est trop tard.