Assurance cyber : ce qu’elle couvre et quand elle vaut le coup pour une petite équipe

Une assurance cyber paie ce que vous coûte une attaque ou une fuite de données : les spécialistes qui l’arrêtent, la remise en état de vos systèmes et de vos données, le chiffre d’affaires perdu pendant l’arrêt et les réclamations des personnes dont les données ont fuité. Pour une équipe sans service informatique, la ligne d’assistance fournie avec beaucoup de contrats compte autant que l’indemnité.

Elle ne remplace pas la sécurité et ne paie pas tout. Une indemnisation se joue sur quelques lignes : exclusions, sous-limites, conditions et réponses au questionnaire de souscription. Ce guide les passe en revue pour un contrat souscrit en France.

Ce que couvre une assurance cyber

La plupart des contrats ont deux volets. Les garanties dommages paient vos propres frais après un incident ; la responsabilité civile joue quand un tiers vous tient pour responsable. Les briques habituelles :

Certains contrats couvrent aussi ce que publie votre site, la panne d’un prestataire dont vous dépendez, ou un arrêt qui n’est pas une attaque, comme une mise à jour ratée. D’autres non : lisez la liste des événements garantis, pas la plaquette commerciale.

Pour les amendes, je ferais comme si une sanction de la CNIL restait à votre charge : l’ACPR, qui contrôle les assureurs, estime que l’ordre public s’oppose à l’assurance des amendes administratives. Les frais d’avocat pour répondre à la CNIL sont la partie sur laquelle compter.

Les clauses qui décident de l’indemnisation

Fraude au faux RIB et au président

Si un escroc convainc quelqu’un de l’équipe de payer une fausse facture ou de virer de l’argent sur un « nouveau RIB », rien n’a été piraté : c’est votre équipe qui a fait le virement. Beaucoup de contrats cyber excluent ce cas, le proposent en option ou le plafonnent à une sous-limite bien inférieure au plafond principal, parfois à condition que le nouveau RIB ait été vérifié par téléphone. Si vous payez vos fournisseurs par virement, lisez cette ligne en premier ; mon guide sur la fraude au faux RIB détaille les habitudes qui l’empêchent.

Guerre et attaques soutenues par un État

Depuis le 31 mars 2023, le Lloyd’s de Londres impose à tout contrat cyber autonome souscrit ou renouvelé sur son marché d’exclure les pertes dues aux cyberattaques soutenues par un État, en temps de guerre ou non, sauf accord du Lloyd’s (bulletin Y5381, en anglais). Les autres assureurs ont leurs propres clauses de guerre. Demandez comment le contrat établit qu’une attaque vient d’un État, qui doit le prouver, et si vos systèmes restent couverts quand l’attaque visait un autre pays.

Faits antérieurs et failles non corrigées

Ce que vous saviez avant la date d’effet est exclu, et certains contrats ne couvrent que les incidents survenus après une date de reprise du passé. Certains excluent ou réduisent aussi la garantie quand l’attaquant a exploité une faille qu’une mise à jour disponible aurait corrigée, ou un logiciel que son éditeur ne maintient plus : cherchez les clauses sur la sécurité minimale ou la maintenance.

Franchise, délai de carence et sous-limites

La franchise reste à votre charge. Les pertes d’exploitation ne sont en général prises en charge qu’après un délai de carence, souvent compté en heures, et jusqu’à la fin de la période d’indemnisation. L’extorsion, la fraude et la notification ont souvent leurs propres sous-limites : le plafond affiché est rarement ce que vous toucherez pour un incident donné.

Ce que vous devez faire le jour de l’incident

• Appelez d’abord la ligne d’assistance de l’assureur. Beaucoup de contrats exigent son accord avant de mandater un prestataire, de payer une rançon ou de reconnaître votre responsabilité ; les frais engagés sans cet accord peuvent rester à votre charge.
• Déclarez le sinistre dès que vous en avez connaissance, et au plus tard dans le délai prévu au contrat.
• Gardez les preuves : n’effacez ni l’ordinateur infecté ni la règle de transfert créée par l’attaquant avant qu’un spécialiste les ait examinés. Mon plan de la première heure après une cyberattaque liste ce qu’il faut garder et qui appeler.
• Portez plainte dans les 72 heures. Depuis le 24 avril 2023, l’article L. 12-10-1 du Code des assurances, issu de la loi LOPMI, subordonne l’indemnisation des pertes causées par une attaque contre vos systèmes au dépôt d’une plainte au plus tard 72 heures après que vous en avez eu connaissance (FAQ de la direction générale du Trésor). La règle vise les entreprises et les personnes qui agissent à titre professionnel ; la plainte seule ne garantit pas la prise en charge. La plainte se dépose au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République ; 17Cyber vous oriente.

Cette horloge court en parallèle de celle du RGPD : si des données personnelles sont en jeu, vous avez 72 heures pour notifier la CNIL, comme l’explique mon guide sur la notification d’une violation de données.

Ce que demande l’assureur avant de vous couvrir

Le questionnaire de souscription ressemble à un questionnaire de sécurité, et vos réponses font partie du contrat. Attendez-vous à des questions comme celles-ci :

1. La double authentification est-elle activée sur la messagerie, les accès à distance et chaque compte administrateur ? L’activer partout prend un après-midi.
2. À quelle fréquence sauvegardez-vous, une copie est-elle hors ligne ou impossible à modifier, et quand avez-vous testé une restauration pour la dernière fois ? Mon guide sur la règle de sauvegarde 3-2-1 couvre les trois points.
3. Les mises à jour sont-elles automatiques, et un ordinateur tourne-t-il sous un système que son éditeur ne maintient plus ?
4. Chaque ordinateur a-t-il un antivirus ou une protection de type EDR ?
5. Qui peut ajouter un bénéficiaire ou modifier un RIB, et chaque changement est-il vérifié par téléphone ?
6. Combien de fiches de données personnelles détenez-vous, et encaissez-vous des paiements par carte ?
7. L’équipe a-t-elle été formée à repérer le hameçonnage ?

Répondez selon la situation du jour, pas celle que vous prévoyez. Une fausse déclaration intentionnelle peut rendre le contrat nul (article L. 113-8 du Code des assurances) ; une erreur de bonne foi découverte après un sinistre réduit l’indemnité dans la proportion entre la prime payée et celle qui aurait été due (article L. 113-9).

Si vous partez de loin, le diagnostic gratuit MonAideCyber de l’ANSSI (environ 1 h 30 avec un « Aidant cyber », puis six mesures à appliquer en six mois) prépare bien ce questionnaire. Les grands comptes posent à peu près les mêmes questions à leurs fournisseurs : mon guide pour répondre à un questionnaire de sécurité sert dans les deux cas.

Vérifiez ce que vous avez déjà

Avant de souscrire, relisez les contrats que vous payez déjà.

• Multirisque professionnelle. Certaines incluent une petite extension cyber ; d’autres excluent les événements cyber noir sur blanc.
• Responsabilité civile professionnelle. Elle répond des réclamations pour une faute dans votre travail, pas de vos propres frais après une attaque.

Quand l’assurance cyber vaut le coup pour une petite équipe

Je regarderais sérieusement un contrat si l’un de ces points est vrai :

• Votre chiffre d’affaires s’arrête quand l’informatique s’arrête : commandes, réservations ou livrables qui dépendent d’une messagerie, de fichiers ou d’un site dont vous ne pouvez pas vous passer une semaine.
• Vous déplacez de l’argent par virement, vers des fournisseurs ou pour le compte de clients.
• Vous détenez beaucoup de données personnelles, ou des données sensibles comme des informations de santé ou des pièces d’identité.
• Un client ou un appel d’offres l’exige.

C’est moins urgent pour un consultant indépendant qui travaille dans des services cloud courants avec des sauvegardes testées et pourrait continuer une semaine depuis son téléphone. Dans ce cas, je mettrais le premier budget dans les bases de mon guide de cybersécurité pour les petites équipes : elles rendent une attaque moins probable, alors qu’une assurance ne paie qu’après.

Pour l’ordre de grandeur, l’étude LUCY 2026 de l’AMRAE, l’association des risk managers, compte 1 251 sinistres cyber indemnisés en 2025 contre 448 en 2024, pour 83,2 M€ (54,5 M€ un an plus tôt), et une forte hausse du nombre d’ETI (+75 %) et d’entreprises de taille moyenne (+97 %) assurées. Une édition précédente décrivait un taux de couverture très faible chez les TPE et PME.

Les questions à poser à votre courtier ou à votre assureur

1. Quels sont le plafond, la franchise, les sous-limites pour la fraude, l’extorsion et les pertes d’exploitation, et le délai de carence ?
2. La fraude au faux RIB et au président est-elle couverte, et à quelles conditions ?
3. Puis-je faire appel à mon prestataire informatique, ou dois-je passer par ceux de l’assureur ?
4. Quelles mesures de sécurité le contrat suppose-t-il, et que se passe-t-il si l’une manquait le jour de l’attaque ?
5. Comment l’exclusion de guerre ou d’attaque étatique définit-elle une attaque, et qui tranche l’attribution ?

Demandez les réponses par écrit. Ce guide décrit le fonctionnement de l’assurance cyber au 19 octobre 2026 ; ce n’est pas un conseil juridique. Un courtier spécialisé en cyber vaut le coup dès que vous détenez beaucoup de données personnelles ou qu’un client impose ses conditions, et un avocat quand un contrat vous rend responsable au-delà de ce que couvre l’assurance.

Avant d’en avoir besoin : la checklist

• Inscrivez le numéro de contrat et la ligne d’assistance dans la liste de contacts hors ligne de votre plan d’incident.
• Notez vos délais : déclaration à l’assureur, plainte sous 72 heures, notification à la CNIL sous 72 heures si des données personnelles sont en jeu.
• Rendez vos réponses vraies : double authentification, sauvegardes, mises à jour, rappel téléphonique avant tout changement de RIB.
• Revoyez le contrat à chaque échéance, et dès que vous commencez à encaisser des paiements, à détenir plus de données ou à signer avec un client exigeant.

Avec ou sans assurance, un site piraté, un nom de domaine perdu ou un compte bloqué, c’est le type de dépannage que je prends en charge, le jour même ou sous 24 heures ; si vous avez un contrat, vérifiez d’abord si l’assureur doit valider le prestataire.