Une cyberattaque ne touche plus seulement les grandes entreprises : rançongiciels, fraudes au virement, fuites de données chez un prestataire... les TPE sont des cibles régulières, souvent parce qu'elles sont moins protégées. Face à ce risque, la cyberassurance professionnelle s'est développée pour couvrir les conséquences financières d'un incident. Mais le marché reste jeune, les contrats varient fortement d'un assureur à l'autre, et beaucoup de dirigeants de TPE souscrivent sans vraiment savoir ce qui est couvert ni ce qui ne l'est pas.
Cet article fait le point de façon nuancée : ce qu'une cyberassurance couvre généralement, les exclusions les plus fréquentes, et les prérequis techniques que de plus en plus d'assureurs exigent avant d'indemniser. Sans citer de nom d'assureur ni de tarif précis : chaque contrat a ses propres plafonds et conditions, à vérifier avec votre courtier ou assureur.
Ce qu'une cyberassurance TPE couvre généralement
Le vocabulaire et le périmètre exact varient selon les contrats, mais la plupart des polices cyber destinées aux TPE/PME s'articulent autour de deux familles de garanties : les frais et pertes subis par l'entreprise elle-même, et la responsabilité civile vis-à-vis des tiers.
- Frais de gestion de crise et de notification. Accompagnement juridique et communication en cas d'incident, y compris les démarches de notification obligatoires (CNIL, personnes concernées) prévues par le RGPD en cas de fuite de données personnelles. Voir notre guide sur les obligations RGPD des TPE.
- Assistance technique et investigation (forensic). Intervention d'experts en sécurité informatique pour identifier la porte d'entrée de l'attaque, stopper sa propagation et évaluer l'étendue des dégâts.
- Frais de restauration des données et des systèmes. Reconstruction des postes, réinstallation des logiciels, restauration des sauvegardes lorsque celles-ci existent.
- Pertes d'exploitation. Compensation de la baisse de chiffre d'affaires et des frais supplémentaires liés à l'interruption d'activité pendant et après l'incident, généralement avec une franchise et un plafond.
- Rançon et extorsion, sous conditions. Certains contrats incluent une garantie liée au paiement d'une éventuelle rançon en cas de rançongiciel, mais cette garantie est souvent encadrée (accord préalable de l'assureur, conditions légales, parfois exclue selon la politique interne de l'assureur). Dans tous les cas, l'ANSSI et cybermalveillance.gouv.fr déconseillent de payer une rançon : voir notre guide ransomware, que faire en cas d'attaque.
- Responsabilité civile numérique. Prise en charge des dommages causés à des tiers (clients, partenaires) à la suite d'une fuite de données ou d'une atteinte à leur système d'information provoquée depuis le vôtre.
Ces garanties ne sont pas universelles : un contrat d'entrée de gamme pour TPE peut n'en couvrir qu'une partie, avec des plafonds modestes. Il est indispensable de lire le tableau des garanties ligne par ligne plutôt que de se fier au nom commercial du produit.
Les exclusions fréquentes à vérifier avant de signer
Les clauses d'exclusion sont souvent la partie la moins lue d'un contrat, alors qu'elles déterminent si vous serez réellement indemnisé le jour où vous en aurez besoin.
- Absence de mesures de sécurité minimales. De plus en plus de contrats exigent, en prérequis ou en condition de garantie, l'existence d'une sauvegarde régulière et d'une authentification à plusieurs facteurs (MFA) sur les accès sensibles. Si ces mesures ne sont pas en place au moment du sinistre, l'assureur peut réduire ou refuser l'indemnisation. Voir notre guide sur la double authentification en TPE.
- Actes de guerre et conflits géopolitiques (clause « cyberwar »). La plupart des polices excluent les attaques attribuées à un État ou menées dans un contexte de conflit armé ou géopolitique. Cette clause s'est renforcée depuis plusieurs années, dans un contexte de tensions internationales croissantes, et peut rendre complexe l'indemnisation d'une attaque dont l'origine reste incertaine.
- Négligence grave. Un défaut manifeste et persistant de sécurité (système jamais mis à jour, mots de passe par défaut non changés) peut être interprété comme une négligence excluant la garantie, selon les termes exacts du contrat.
- Sanctions et amendes administratives. La prise en charge des sanctions financières RGPD prononcées par la CNIL est variable selon les contrats : certains l'excluent par principe d'inassurabilité des sanctions punitives, d'autres la couvrent partiellement. À vérifier explicitement avec votre assureur.
- Délai de carence. Comme pour d'autres assurances professionnelles, un délai s'applique souvent avant que la garantie pertes d'exploitation ne devienne pleinement effective, ou entre la souscription et la prise d'effet du contrat.
Ces exclusions ne sont pas figées : elles dépendent de chaque contrat. C'est précisément pour cela qu'il faut les lire ligne par ligne, et poser la question explicitement à votre interlocuteur plutôt que de se fier au discours commercial.
Des prérequis techniques de plus en plus exigés
Le marché de la cyberassurance s'est durci ces dernières années : face à la hausse des sinistres liés aux rançongiciels, plusieurs assureurs conditionnent désormais l'acceptation du contrat, ou le versement de l'indemnisation, à l'existence de mesures de base. Les plus fréquemment demandées :
- un antivirus ou une solution de détection à jour sur l'ensemble du parc informatique ;
- une sauvegarde régulière, idéalement externalisée et déconnectée du réseau principal ;
- la double authentification (MFA) sur les accès distants, la messagerie et les comptes à privilèges ;
- parfois, un audit de sécurité préalable ou un questionnaire technique détaillé à la souscription.
Pour une TPE qui n'a pas encore structuré sa sécurité informatique, ces prérequis peuvent surprendre au moment de souscrire, ou pire, au moment de déclarer un sinistre si l'assureur constate leur absence. Notre baromètre sur la cybersécurité des TPE montre que l'écart entre le niveau de préparation réel des petites structures et ce qu'attendent désormais les assureurs continue de se creuser. Mettre en place ces bases avant de souscrire, ou avec l'aide d'un prestataire en infogérance, n'est donc plus seulement une bonne pratique : c'est souvent une condition contractuelle.
Cyberassurance et RC pro classique : une confusion fréquente
Beaucoup de dirigeants de TPE pensent, à tort, que leur assurance responsabilité civile professionnelle (RC pro) couvre déjà le risque cyber. Ce n'est généralement pas le cas : une RC pro classique couvre les dommages causés à des tiers dans l'exercice de votre activité (erreur, malfaçon, accident), mais elle exclut le plus souvent explicitement les sinistres liés à une atteinte informatique, à une fuite de données ou à une interruption de système d'information.
La cyberassurance est un contrat distinct et spécifique, parfois proposé en option ou en extension d'un contrat professionnel existant, parfois en police autonome. Avant de considérer être couvert, il est indispensable de vérifier explicitement avec votre assureur si votre contrat actuel inclut, ou non, une garantie cyber, et dans quelle mesure.
Comment comparer plusieurs devis sans se tromper
Face à la diversité des offres, quelques points méritent une vérification systématique avant de signer :
- Lire les exclusions en détail, pas seulement le tableau des garanties mises en avant commercialement.
- Comparer plusieurs devis plutôt que de se fier à la première proposition, les écarts de périmètre et de prix peuvent être significatifs entre assureurs.
- Vérifier le plafond de garantie par sinistre et par année, et le comparer à l'impact financier réel qu'aurait une interruption d'activité de plusieurs jours pour votre structure.
- Vérifier le délai de carence et les conditions de déclaration de sinistre (délai maximal après découverte de l'incident).
- Demander explicitement la liste des prérequis techniques exigés pour que la garantie s'applique, et vérifier que votre entreprise les respecte réellement, pas seulement sur le papier.
Un courtier spécialisé en assurance professionnelle peut aider à décrypter ces clauses, mais la vérification des prérequis techniques (sauvegarde, MFA, antivirus) reste de la responsabilité de l'entreprise : c'est là qu'un accompagnement en infogérance prend tout son sens, en amont de la souscription comme en continu.
Comment je peux vous aider
Avant de souscrire une cyberassurance, ou pour répondre sereinement au questionnaire technique d'un assureur, je peux faire un état des lieux de votre sécurité : sauvegardes, double authentification, mises à jour, accès distants. C'est aussi ce diagnostic qui vous permet de négocier un contrat plus adapté, et d'éviter la mauvaise surprise d'un refus d'indemnisation pour non-respect d'un prérequis découvert trop tard. Comprendre l'infogérance, ou parlons-en directement.
Questions fréquentes
Une cyberassurance couvre-t-elle le paiement d'une rançon ?
Certains contrats incluent cette possibilité sous conditions strictes, mais ce n'est pas systématique et cela reste encadré par l'assureur. Dans tous les cas, l'ANSSI et cybermalveillance.gouv.fr recommandent de ne jamais payer une rançon, qui ne garantit ni la récupération des données ni l'absence d'une nouvelle attaque.
Faut-il un audit de sécurité pour souscrire ?
Cela dépend de l'assureur et du niveau de garantie souhaité. Certains contrats pour petites structures se souscrivent sur simple questionnaire déclaratif, d'autres, notamment pour des plafonds plus élevés, exigent un audit ou des preuves techniques (captures, factures d'outils de sécurité).
Que se passe-t-il si je n'ai pas de MFA au moment du sinistre ?
Si le contrat conditionne la garantie à l'existence d'une double authentification et que celle-ci est absente, l'assureur peut réduire, voire refuser l'indemnisation, selon les termes exacts de la police. C'est une des raisons pour lesquelles vérifier ses mesures de sécurité avant de souscrire, et pas seulement après un incident, est essentiel.
En résumé : une cyberassurance TPE peut couvrir la gestion de crise, l'assistance technique, la restauration de données, les pertes d'exploitation et la responsabilité civile numérique, mais presque toujours avec des exclusions et des prérequis techniques à respecter. Elle ne remplace pas une RC pro classique, et ne remplace surtout pas une sécurité de base mise en place en amont. Lisez les exclusions, comparez plusieurs devis, et faites le point sur vos mesures de sécurité avant de signer. Un doute sur votre contrat ou votre niveau de sécurité ? Contactez-moi.
À lire aussi :