Cyberassurance : ce qui est couvert et ce qui exclut

Une cyberassurance couvre les conséquences financières d’un incident informatique : l’arrêt d’activité, les frais de remise en état, l’assistance juridique et technique, et les recours de tiers. Elle ne remplace aucune mesure de sécurité, elle en suppose au contraire un certain nombre, et c’est là que se joue l’essentiel.

Ce qui est réellement couvert

Le premier poste est celui que les dirigeants sous-estiment et qui rend le plus service : disposer immédiatement d’une équipe de crise joignable, quand personne dans l’entreprise ne sait par où commencer, vaut souvent davantage que l’indemnisation elle-même.

Les exclusions qui font tomber l’indemnisation

C’est la partie qu’il faut lire avant de signer, pas au moment du sinistre. Les motifs de refus les plus fréquents ne sont pas des subtilités juridiques : ce sont des manquements techniques que l’assuré a déclarés ne pas commettre.

• L’authentification multifacteur absente sur les accès distants ou les comptes à privilèges, alors qu’elle a été déclarée en place. C’est aujourd’hui le premier motif de litige, et le sujet est traité sur notre page authentification multifacteur.
• Les sauvegardes non testées ou accessibles depuis le réseau avec un compte d’administration. Une sauvegarde que le rançongiciel a supprimée n’est pas une sauvegarde, et l’assureur le sait.
• Les correctifs non appliqués sur un équipement exposé, quand la faille exploitée était publiée depuis des mois.
• Les systèmes hors support, dont l’éditeur ne publie plus de correctifs, souvent explicitement exclus du contrat.
• La déclaration tardive, au-delà du délai prévu, ou la remise en état entreprise avant l’arrivée des experts, qui détruit les preuves.

Le questionnaire vaut cahier des charges

Le document de souscription liste ce qu’un tiers indépendant, exposé financièrement, considère comme le minimum acceptable. À ce titre, il constitue une feuille de route de sécurité gratuite et plus concrète que bien des référentiels. Les points qui reviennent systématiquement :

1. Authentification multifacteur sur la messagerie, les accès distants et les comptes d’administration.
2. Sauvegardes hors ligne ou non modifiables, testées par restauration réelle, selon la règle exposée sur notre page stratégie 3-2-1.
3. Protection des postes avec détection comportementale, et surtout traitement des alertes, sujet développé sur notre page antivirus professionnel et EDR.
4. Application des correctifs dans un délai engagé, en particulier sur ce qui est exposé à internet.
5. Séparation des comptes d’administration et des comptes courants.
6. Sensibilisation des équipes et procédure de crise écrite.

Une remarque qui a des conséquences directes : ces réponses engagent l’entreprise. Répondre « oui » à une question dont la réalité est approximative revient à souscrire une police qui ne paiera pas. Nous établissons ces réponses avec nos clients sur la base de l’état réel de leur environnement, pas de ce qui serait souhaitable.

Ce que l’assurance ne remplace jamais

Elle indemnise, elle ne restaure pas. Le temps d’arrêt dépend de la qualité de vos sauvegardes et de votre plan de reprise, pas du montant assuré. Elle ne couvre pas non plus la perte de confiance des clients, ni le temps que vos équipes passeront à reconstruire les données non sauvegardées. Le sujet relève de la continuité et reprise d’activité, et l’arbitrage se pose exactement comme pour la résilience informatique : combien de temps pouvez-vous rester à l’arrêt.

Questions fréquentes sur la cyberassurance

Qu’est-ce qu’une cyberassurance ?

C’est un contrat qui couvre les conséquences financières d’un incident informatique : assistance de crise, frais de reconstruction, pertes d’exploitation, responsabilité envers les tiers et frais réglementaires. Elle intervient après l’incident et suppose que des mesures de sécurité déclarées étaient effectivement en place.

La cyberassurance est-elle obligatoire ?

Non pour la plupart des entreprises. Elle devient de fait incontournable lorsque des clients ou des donneurs d’ordre l’exigent contractuellement, ce qui se répand dans les secteurs réglementés et dans les chaînes de sous-traitance.

Combien coûte une assurance cyber pour une PME ?

La prime dépend du chiffre d’affaires, du secteur, des garanties retenues et surtout du niveau de sécurité constaté. C’est un point souvent ignoré : améliorer les mesures techniques réduit la prime, parfois suffisamment pour financer une partie des mesures elles-mêmes. Demandez à votre courtier de chiffrer plusieurs scénarios de maturité.

L’assureur paie-t-il la rançon ?

Certains contrats le prévoient, sous conditions strictes et avec l’accord préalable de l’assureur, d’autres l’excluent. Le paiement reste dans tous les cas une décision de dernier recours : il ne garantit ni un déchiffrement complet, ni la destruction des données volées. La question est traitée sur notre page logiciels malveillants.

Que faut-il faire dès la survenue d’un incident ?

Déclarer immédiatement, avant d’entreprendre la remise en état. Beaucoup d’entreprises nettoient d’abord et déclarent ensuite, ce qui détruit les traces nécessaires à l’expertise et fragilise le dossier. Isoler sans éteindre, prévenir l’assureur et le prestataire, puis suivre la procédure du contrat : cet ordre est celui qui préserve l’indemnisation.

Notre prestataire informatique peut-il nous aider à souscrire ?

Il ne vend pas d’assurance et n’a pas à le faire. Son rôle est de fournir l’état réel de votre environnement pour que le questionnaire soit rempli exactement, et de mettre en place ce qui manque avant la souscription. C’est ce que nous faisons, et c’est le moment où un état des lieux honnête vaut mieux qu’un discours rassurant.

Préparer votre questionnaire de souscription

Le plus utile est de savoir, point par point, ce que vous pouvez déclarer sans risque. Notre prédiagnostic cybersécurité couvre les questions qui reviennent le plus souvent, ou trente minutes avec un ingénieur.