Assurance cyber entreprise : garanties, exclusions et plan d’action

À quoi sert une assurance cyber ?

Une assurance cyber peut combiner accès à des spécialistes, prise en charge de frais et indemnisation de conséquences définies au contrat. Son utilité se mesure autant à la capacité de mobiliser les bons intervenants qu’au montant maximal annoncé.

Elle ne remplace pas votre prestataire informatique, vos sauvegardes ni votre plan de continuité. La couverture dépend des événements assurés, des systèmes concernés, des exclusions et des conditions effectivement remplies.

France Assureurs présente l’assurance cyber dans la MalletteCyber PRO comme un appui à la préparation, à la gestion de crise et à la reprise. Cela décrit des fonctions possibles, pas des garanties identiques dans tous les contrats.

Partir de ce qui peut réellement arrêter votre entreprise

Listez les services indispensables : messagerie, logiciel métier, facturation, commandes, paiements, accès au cloud et téléphonie. Pour chacun, demandez ce qui se passerait après quelques heures puis plusieurs jours d’arrêt.

La taille n’est pas le seul indicateur. Un indépendant peut dépendre entièrement d’un compte ou d’une application. À l’inverse, un chiffre d’affaires élevé ne suffit pas à déterminer un plafond pertinent : durée de reprise, données, engagements clients et frais fixes comptent aussi.

Lire les garanties en cinq blocs

1. Assistance et gestion de crise

Vérifiez le numéro d’urgence, les horaires réels, les compétences mobilisables et les autorisations de dépenses. Demandez qui coordonne les intervenants techniques, juridiques et de communication, et si vous devez recourir à un prestataire désigné.

2. Investigation et restauration

Recherchez les frais d’analyse, de nettoyage et de restauration prévus. Une remise en fonctionnement n’inclut pas forcément le remplacement de tout le matériel, la modernisation de votre parc ou la reconstitution de données sans sauvegarde exploitable.

3. Interruption d’activité

Comparez la définition de la perte indemnisable, les frais supplémentaires, la durée maximale et les limites. Le chiffre d’affaires non réalisé n’est pas automatiquement le montant remboursé : économies de charges, marge et modalités de calcul peuvent intervenir.

4. Responsabilité envers les tiers

Examinez les réclamations couvertes, les frais de défense, les territoires et la période de garantie. Une responsabilité liée à vos prestations informatiques peut relever d’une RC professionnelle distincte : faites articuler les contrats plutôt que de déduire une couverture du mot « cyber ».

5. Gestion d’une violation de données

Un accompagnement juridique, des notifications ou une communication de crise peuvent être prévus. Distinguez les frais de défense, les dommages civils et les sanctions administratives : ne considérez jamais une amende comme automatiquement assurable ou remboursée.

Les solutions professionnelles Sentinel doivent être examinées selon votre métier. Une multirisque ou une RC Pro ne vaut pas, à elle seule, confirmation d’une protection cyber complète.

Les clauses qui changent la valeur de la couverture

• Événement déclencheur : attaque malveillante, erreur, panne ou atteinte aux données n’ont pas nécessairement le même traitement.
• Périmètre : filiales, télétravail, appareils et prestataires externes doivent correspondre à votre organisation.
• Plafonds : comparez limite globale, sous-limites et cumul annuel.
• Franchises : distinguez somme restant à charge et durée d’interruption non indemnisée.
• Exclusions : incidents connus, engagements particuliers, événements systémiques ou autres clauses à lire dans leur rédaction exacte.
• Accord préalable : certains frais ou prestataires nécessitent une validation.

Préparer un questionnaire de sécurité fiable

Faites répondre ensemble le dirigeant et la personne qui connaît réellement les systèmes. Si vous ignorez une réponse, demandez une vérification ; ne cochez pas « oui » parce qu’un outil a été acheté.

Les réponses doivent rester cohérentes avec les mesures effectivement maintenues. Faites clarifier les termes du questionnaire, les obligations contractuelles et les changements à déclarer. Une bonne mesure de sécurité ne garantit ni une baisse de prime ni l’acceptation du risque.

Le guide ANSSI sur les sauvegardes insiste sur leur protection et les tests de restauration. Une copie synchronisée qui reproduit un chiffrement ou une suppression ne suffit pas à démontrer une capacité de reprise.

Après l’incident : trois démarches, trois logiques

La plainte : une condition, pas une création de garantie

L’article L. 12-10-1 du Code des assurances subordonne l’indemnisation des pertes et dommages qu’il vise au dépôt d’une plainte dans ce délai. Il concerne les personnes morales et les personnes physiques dans leur activité professionnelle. Il ne se limite pas à une demande de rançon et n’ajoute aucune garantie absente du contrat.

Conservez l’heure de connaissance de l’atteinte et le justificatif de plainte. Un simple signalement ou une déclaration à l’assureur ne doit pas être assimilé à une plainte. France Num explique les démarches de plainte.

La violation de données : évaluer le risque et documenter

Une violation peut concerner confidentialité, intégrité ou disponibilité. Documentez-la en interne. Le responsable de traitement notifie l’autorité compétente si elle est susceptible de présenter un risque pour les droits et libertés ; une notification initiale peut être complétée. Un retard doit être expliqué. La CNIL détaille la procédure.

En cas de risque élevé, l’information des personnes est également requise, sauf exception applicable. Le sous-traitant alerte le responsable de traitement dans les meilleurs délais ; il ne dispose pas d’un délai général autonome de 72 heures pour attendre. Ces obligations sont distinctes, comme le précisent les articles 33 et 34 du RGPD.

Organiser les premières heures sans détruire les preuves

1. Alerter : responsable de crise, support informatique et assistance contractuelle.
2. Limiter la propagation : faire encadrer l’isolement des systèmes affectés par les intervenants compétents.
3. Conserver : messages, journaux, chronologie et éléments techniques utiles.
4. Coordonner : responsabilités techniques, juridiques, financières et communication.
5. Déclarer : gérer en parallèle assurance, plainte et obligations relatives aux données.
6. Reprendre : valider la sécurité du rétablissement et suivre les coûts et impacts.

Les réflexes du CERT-FR rappellent l’intérêt de contacter tôt l’assureur, notamment pour identifier les prestataires et prestations couverts. Une réinstallation improvisée peut compromettre l’analyse ; faites coordonner les opérations.

Rançongiciel : ne pas construire son plan sur un paiement

Cybermalveillance.gouv.fr recommande de ne pas payer : rien ne garantit la récupération ni la non-divulgation des données. Une clause d’extorsion éventuelle n’est pas une autorisation de paiement ni un accord automatique d’indemnisation. L’examen juridique et contractuel appartient aux intervenants compétents.

Comparer deux propositions avec un scénario métier

Demandez aux interlocuteurs de décrire la réponse à un même scénario : messagerie compromise, logiciel indisponible trois jours, données clients potentiellement divulguées. Pour chaque proposition, relevez qui intervient, quels frais sont couverts, les franchises et les dépendances exclues.

Une offre peut mieux financer la restauration mais moins bien couvrir une interruption chez un prestataire ; une autre peut prévoir un meilleur accompagnement mais un sous-plafond important. La comparaison doit refléter vos priorités et la trésorerie que vous pourriez supporter.

Préparez activité, chiffre d’affaires, données traitées, dépendances, historique et mesures de sécurité. Il n’existe pas de prix universel pertinent sans ces éléments. Utilisez aussi notre grille de lecture d’un devis. Ce guide ne présente aucun tarif cyber instantané Sentinel.