Cyber assurance : les garanties utiles à une PME

Une cyber assurance indemnise les conséquences financières d’une attaque informatique : frais de gestion de crise, reconstitution des données, perte d’exploitation et mises en cause par des tiers. Le contrat ne répare pas votre système, il finance la remise en route et la défense juridique, sous réserve du respect des mesures de sécurité déclarées à la souscription.

Ce que couvre réellement une cyber assurance pour une PME

Deux familles de garanties cohabitent dans un même contrat cyber, et la confusion entre les deux explique une bonne part des déceptions au moment du sinistre. La première répare ce que votre entreprise subit. La seconde répond de ce que vos clients, vos salariés ou vos partenaires subissent à cause de vous.

L’ANSSI a traité 1 366 incidents de sécurité en 2025, dont 48 % visaient des TPE, des PME ou des ETI, selon son Panorama de la cybermenace publié en mars 2026. Ce profil de victime, longtemps considéré comme marginal, structure désormais l’offre du marché.

Les dommages subis par l’entreprise

• Reconstitution des données et des programmes détruits, chiffrés ou corrompus
• Remise en état du système d’information, y compris le matériel devenu inutilisable
• Perte d’exploitation consécutive à l’interruption d’activité
• Frais supplémentaires d’exploitation : location de postes, prestataire externe, heures supplémentaires
• Fraude au virement et détournement de fonds, quand la garantie figure en option

Les conséquences pour les tiers

• Réclamations de clients ou de fournisseurs dont les données ont fuité
• Défense pénale et civile de l’entreprise et de ses dirigeants
• Frais d’expertise contradictoire en cas de litige sur l’origine du sinistre
• Actions engagées par les personnes concernées après une violation de données

Le périmètre exact d’une garantie cyber figure dans les conditions particulières, jamais dans la plaquette commerciale. Lisez la colonne des montants avant celle des intitulés.

La gestion de crise, première garantie mobilisée

La valeur d’une cyber assurance se joue dans les quarante-huit premières heures. Avant tout chèque d’indemnisation, l’assureur ouvre une ligne d’assistance et déclenche une cellule de crise. Pour une PME sans direction informatique interne, cette prestation pèse souvent plus lourd que le capital assuré.

Les prestataires que l’assureur mandate

L’assureur s’appuie sur un réseau référencé : équipe de réponse à incident, avocat spécialisé en données personnelles, communicant de crise, parfois négociateur. Vous perdez la liberté de choisir, vous gagnez un délai d’intervention contractuel.

Point de vigilance : engager des frais avant l’accord de l’assureur expose à un refus de prise en charge. Appelez le numéro d’assistance avant de signer le moindre devis.

L’expertise forensique et son rôle de preuve

L’analyse forensique reconstitue le chemin de l’attaquant : point d’entrée, durée de présence, comptes compromis, données consultées ou exfiltrées.

Elle sert trois objectifs simultanés. Couper l’accès. Remplir la notification à la CNIL. Prouver à l’assureur que le sinistre entre dans le périmètre garanti.

Sans ce rapport, la charge de la preuve pèse entièrement sur vous. L’ANSSI a été informée de 196 incidents liés à des exfiltrations de données en 2025, contre 130 l’année précédente : la traçabilité technique devient le cœur du dossier d’indemnisation.

Pertes d’exploitation et reconstitution des données

Ces deux postes concentrent l’essentiel des montants versés au titre d’une police cyber. L’étude LUCY 2026 publiée par l’AMRAE recense 83,2 millions d’euros de sinistres indemnisés sur le marché français au titre de 2025, contre 54,5 millions un an plus tôt, pour 1 251 sinistres déclarés.

Le calcul de la marge brute perdue

L’indemnité ne rembourse pas le chiffre d’affaires manqué. Elle compense la marge brute que l’arrêt vous a coûtée, calculée sur les exercices précédents puis rapportée à la période d’indemnisation prévue au contrat. Une saisonnalité marquée doit être signalée dès la souscription, faute de quoi le calcul retiendra une moyenne annuelle défavorable.

Cette période court généralement de trois à douze mois. Vérifiez qu’elle couvre la remise en service complète, pas seulement le redémarrage technique.

Le délai de carence, variable décisive

Presque tous les contrats appliquent une franchise exprimée en temps : huit, douze ou vingt-quatre heures d’interruption avant que la garantie ne se déclenche. Une PME qui redémarre en dix heures grâce à ses sauvegardes ne percevra rien au titre de la perte d’exploitation.

Ce paramètre récompense la préparation. Une stratégie de sauvegarde 3-2-1 testée régulièrement raccourcit la durée d’arrêt, donc la sinistralité, donc la cotisation à l’échéance suivante.

Responsabilité civile envers les clients et les partenaires

Une fuite de données déclenche une double mécanique que la cyber assurance traite séparément : l’obligation de notifier, et le risque d’être attaqué par les personnes concernées. Le RGPD impose de notifier la violation à la CNIL dans les 72 heures suivant sa découverte, et d’informer les personnes lorsque le risque pour leurs droits est élevé.

La notification coûte cher dès que le fichier compte plusieurs milliers de contacts : rédaction juridique, envoi, ligne d’appel dédiée, parfois surveillance des usurpations d’identité. Ces frais figurent dans la plupart des contrats, avec une sous-limite qui leur est propre.

Un poste reste hors garantie dans la quasi-totalité des polices : l’amende prononcée par la CNIL. Une sanction administrative à finalité punitive perdrait tout effet dissuasif si un assureur la remboursait, analyse constante en droit français. Vos obligations RGPD restent à votre charge exclusive, quel que soit le niveau de couverture souscrit.

Rançons : un versement encadré par la loi

Le droit français autorise l’assurance des cyber-rançons depuis 2023, en l’assortissant d’une condition stricte. L’article L12-10-1 du code des assurances, issu de la loi d’orientation et de programmation du ministère de l’Intérieur du 24 janvier 2023, subordonne le versement de l’indemnité au dépôt d’une plainte auprès des autorités compétentes, au plus tard 72 heures après la connaissance de l’atteinte par la victime.

Le dépôt de plainte sous 72 heures

Trois précisions changent la portée du texte :

• Il vise les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle
• Il est entré en vigueur le 24 avril 2023
• Le délai court à compter de la connaissance de l’attaque, pas de sa date de survenance

Cette échéance ressemble à celle du RGPD sans se confondre avec elle. La première s’adresse au procureur, à la police ou à la gendarmerie. La seconde s’adresse à la CNIL. Deux démarches, deux destinataires, un même compteur qui tourne.

Ce que recommande l’ANSSI

L’agence déconseille le paiement : aucune garantie de récupérer les données, financement direct de la criminalité organisée, probabilité accrue d’être ciblé une deuxième fois. Cette garantie rançon existe, elle ne constitue pas une stratégie. Elle finance une décision de dernier recours, prise avec le négociateur et l’avocat mandatés par l’assureur.

Les mécanismes d’attaque par phishing et ransomware évoluent plus vite que les contrats. La prévention reste le seul levier qui fasse baisser en même temps le risque et la prime.

Les exclusions qui reviennent dans la plupart des contrats

Une police cyber n’exclut pas les mêmes situations qu’une multirisque professionnelle. Ses exclusions portent moins sur la nature du dommage que sur votre comportement avant l’attaque.

Négligence de sécurité et correctifs oubliés

Les motifs de refus les plus fréquents tiennent en quelques lignes :

• Absence de sauvegarde, ou sauvegarde jamais testée depuis la date déclarée
• Vulnérabilité connue laissée sans correctif alors que l’éditeur avait publié le patch
• Authentification multifacteur annoncée à la souscription puis désactivée en pratique
• Système d’exploitation ou logiciel métier maintenu au-delà de sa fin de support
• Dépenses engagées sans validation préalable de l’assureur

Ces clauses ne jouent pas mécaniquement. L’assureur doit établir le lien entre le manquement et le sinistre, et une exclusion n’est opposable que si elle est formelle et limitée. Le contentieux se gagne sur la rédaction de la clause autant que sur les faits.

Faute intentionnelle et actes de guerre

La faute intentionnelle du dirigeant ou d’un mandataire social échappe à toute assurance cyber : l’article L113-1 du code des assurances interdit de garantir un dommage volontairement provoqué par l’assuré. Un salarié malveillant, en revanche, reste couvert par la majorité des contrats.

Le risque de guerre a pris une importance nouvelle. Depuis le 31 mars 2023, les polices cyber autonomes souscrites au Lloyd’s doivent comporter une exclusion des cyberopérations menées ou soutenues par un État, selon les clauses types publiées par la Lloyd’s Market Association. La difficulté saute aux yeux : attribuer une attaque à un État demande des mois. Faites préciser qui décide de cette attribution et sur quelle base.

Le questionnaire de risque, socle de votre couverture

Avant de coter, l’assureur envoie un questionnaire détaillé : effectif, chiffre d’affaires, secteur, nombre de serveurs et de postes, recours au cloud, solutions de sécurité déployées, politique de sauvegarde, incidents passés. Vos réponses définissent le risque assuré. Elles définissent surtout les conditions dans lesquelles votre couverture cyber pourra vous être retirée.

Le code des assurances distingue deux situations. La fausse déclaration intentionnelle entraîne la nullité du contrat, primes acquises à l’assureur, selon l’article L113-8. La déclaration inexacte de bonne foi relève de l’article L113-9 : l’indemnité est réduite en proportion de l’écart entre la prime payée et celle qui aurait été due.

Décrivez l’état réel de votre système, pas celui que vous visez pour la fin de l’année. Un audit de cybersécurité mené avant la souscription documente cet état et sert de pièce justificative en cas de contestation. Les assureurs conditionnent aujourd’hui l’éligibilité à quelques barrières précises : authentification multifacteur sur les accès distants, sauvegardes isolées du réseau, détection sur les postes de travail.

Franchise, plafonds et sous-limites

Trois chiffres gouvernent l’indemnisation réelle :

• La franchise, exprimée en euros ou en heures d’interruption
• Le plafond global, par sinistre et par année d’assurance
• Les sous-limites propres à chaque garantie, souvent très inférieures au plafond affiché

La sous-limite reste le piège classique. Une police annoncée à 500 000 euros peut plafonner les frais de notification à quelques dizaines de milliers d’euros et la garantie rançon à une fraction du capital. Le marché s’est détendu : l’étude LUCY 2026 relève une baisse des taux de prime de 32 % pour les grandes entreprises et de 23 % pour les ETI en 2025, des franchises en recul et un parc de près de 21 000 polices actives en France. Profitez de cette fenêtre pour renégocier les sous-limites plutôt que le prix.

Déclarer le sinistre sans perdre la garantie

L’ordre des gestes compte autant que leur contenu : isoler les machines, appeler l’assistance, déposer plainte, notifier la CNIL, documenter chaque décision.

Le délai de déclaration à l’assureur figure au contrat. L’article L113-2 du code des assurances interdit de le fixer à moins de cinq jours ouvrés, et la déchéance pour déclaration tardive ne vous est opposable que si l’assureur prouve que le retard lui a causé un préjudice. Cette protection ne s’étend pas aux 72 heures du dépôt de plainte, qui constituent une condition légale d’indemnisation.

Les motifs de refus les plus fréquents

• Plainte déposée hors délai, ou jamais déposée
• Poste de préjudice réclamé au titre d’une garantie non souscrite
• Preuve technique insuffisante faute d’analyse forensique exploitable
• Mesures de sécurité déclarées mais non appliquées au moment des faits
• Plafond atteint ou sous-limite épuisée sur la garantie mobilisée

Conservez tout : journaux système, échanges avec l’attaquant, devis, factures, main courante horodatée de la cellule de crise. Ce dossier fait la différence entre un règlement en quelques semaines et une expertise contradictoire qui s’étire sur des mois. Un plan de continuité d’activité défini à froid désigne qui déclenche quoi, et évite les décisions improvisées qui coûtent la garantie.

Prochaine étape : sortez vos conditions particulières, relevez la franchise en heures, le plafond global et les trois sous-limites les plus basses. Comparez-les à la durée d’arrêt que votre trésorerie supporterait vraiment. Si l’écart dépasse quelques jours d’activité, le contrat mérite un arbitrage avant la prochaine échéance.