Cyberattaques : ce que couvre une assurance pro
Étendue réelle des garanties cyber, exclusions fréquentes et gestes à faire juste après une attaque.
7 min de lecture
4,8sur 5480 votes
- 4,5Klecteurs
- 10en ce moment
- 137partages
Face à une cyberattaque, une assurance pro dédiée au risque cyber prend en charge deux grandes familles de conséquences. D’abord les pertes de votre propre entreprise : remise en état du système informatique, restauration des données, expertise technique, perte d’exploitation pendant l’arrêt. Ensuite les dommages causés à des tiers, par exemple quand les données de vos clients fuitent et qu’ils vous demandent réparation. Il n’existe pas de contrat type : le périmètre exact varie selon l’assureur, votre activité, votre chiffre d’affaires et la sensibilité des données que vous manipulez. Les contrats classiques, eux, laissent souvent ce risque de côté ou le couvrent très partiellement.
- Vos propres pertes : frais d’experts informatiques, reconstitution des données, remise en route des systèmes, perte d’exploitation.
- Votre responsabilité : réclamations de clients, partenaires ou fournisseurs touchés par une fuite ou une atteinte à leurs données.
- La gestion de crise : notification des personnes concernées, conseil juridique, communication.
- Selon le contrat : cyberextorsion, usurpation d’identité numérique, frais liés à une enquête sur la protection des données.
Assurance cyber pour professionnels : les dommages subis par l’entreprise elle-même
On parle de garanties de première partie, ou de « risques propres ». Elles répondent à une question simple : combien coûte à votre structure le fait d’avoir été piratée, indépendamment de toute plainte extérieure ?
La réponse est souvent plus lourde qu’on ne l’imagine. Un rançongiciel qui chiffre les postes d’un cabinet comptable, une intrusion qui paralyse le logiciel de caisse d’un commerce, un site marchand rendu inaccessible pendant plusieurs jours : dans chaque cas, la facture mêle des dépenses immédiates et un manque à gagner qui s’étire dans le temps.
- Frais d’investigation : intervention de spécialistes pour identifier la faille, mesurer l’étendue de l’intrusion et sécuriser le réseau.
- Restauration des données et des logiciels : reconstitution des fichiers effacés ou chiffrés, réinstallation, reconfiguration.
- Remise en état du système d’information : coûts techniques nécessaires pour retrouver un environnement sain.
- Pertes d’exploitation : compensation de la marge perdue pendant l’interruption d’activité provoquée par l’événement informatique.
- Frais supplémentaires d’exploitation : heures supplémentaires, matériel loué en urgence, sous-traitance temporaire pour continuer à servir les clients.
La perte d’exploitation mérite une attention particulière. Elle est généralement soumise à un délai de carence (quelques heures d’arrêt qui restent à votre charge) et à une durée maximale d’indemnisation. Ces deux curseurs décident souvent du montant final bien plus que le plafond global affiché en première page.
Responsabilité civile cyber : quand la fuite touche vos clients et partenaires
Le second volet concerne les tiers. Un fichier client dérobé, des coordonnées bancaires exposées, un virus transmis à un partenaire depuis votre messagerie : ces situations peuvent déclencher des réclamations contre votre entreprise. La garantie de responsabilité civile cyber prend alors en charge les frais de défense et, dans les limites du contrat, les indemnités dues aux personnes lésées.
C’est un enjeu majeur pour les professions qui détiennent des informations sensibles : santé, conseil, expertise comptable, agences immobilières, e-commerce, prestataires informatiques. Plus vos fichiers sont riches, plus l’impact potentiel d’une violation de données grossit, et plus l’assureur s’y intéressera lors de la souscription.
Ce que couvre une assurance pro face aux cyberattaques, garantie par garantie
Le tableau ci-dessous synthétise les postes que l’on retrouve le plus souvent dans les offres du marché. Il ne remplace pas la lecture de vos conditions générales et particulières.
| Situation | Garantie concernée | Niveau de prise en charge habituel |
|---|---|---|
| Serveurs chiffrés par un rançongiciel | Atteinte au système d’information, restauration des données | Fréquemment couvert |
| Activité bloquée plusieurs jours | Pertes d’exploitation | Couvert après délai de carence, dans une durée limitée |
| Fuite du fichier clients | Violation de données, notification, responsabilité civile | Fréquemment couvert |
| Demande de rançon | Cyberextorsion | Variable, très encadré |
| Atteinte à l’image après l’incident | Gestion de crise, frais de communication | Présent dans de nombreuses offres |
| Contrôle lié à la protection des données | Assistance juridique, frais de défense | Variable selon le contrat |
| Virement frauduleux après une usurpation | Fraude ou détournement de fonds | Souvent en option |
Rançongiciel, fraude au virement, erreur humaine : les zones grises du contrat cyber
Certaines lignes demandent une lecture attentive, car c’est là que naissent la plupart des déceptions après un sinistre.
La cyberextorsion. Plusieurs assureurs mentionnent la prise en charge des frais de négociation avec les attaquants, voire de la rançon elle-même dans certains contrats. Ce point reste très encadré et n’a rien d’automatique. Le paiement reste déconseillé, et un dépôt de plainte rapide est en pratique exigé pour être indemnisé.
La fraude au faux fournisseur ou au faux dirigeant. Un salarié trompé par un courriel convaincant qui effectue un virement : ce scénario relève parfois d’une extension « fraude » distincte de la garantie cyber de base. Vérifiez qu’il figure bien dans votre police.
L’erreur humaine. Bonne nouvelle, de nombreux contrats prévoient explicitement la faille de sécurité provoquée par une mauvaise manipulation interne : clic sur une pièce jointe piégée, mot de passe partagé, envoi d’un fichier au mauvais destinataire. Encore faut-il que le texte le dise.
Les exclusions classiques. On retrouve souvent la guerre et les attaques d’origine étatique, les défaillances d’infrastructures externes (réseau électrique, opérateurs de télécommunication), les failles connues que l’assuré n’a pas corrigées, ou encore l’amélioration du système au-delà de son état d’origine.
Multirisque professionnelle et RC pro : couvrent-elles déjà le risque informatique ?
À lire aussi
C’est l’idée reçue la plus coûteuse. Les polices traditionnelles ont été pensées pour l’incendie, le dégât des eaux, le vol de matériel ou la faute professionnelle. Le dommage immatériel d’origine numérique y est fréquemment exclu, ou réduit à une petite extension plafonnée qui ne couvre ni la perte d’exploitation ni la gestion d’une fuite de données.
Avant de souscrire un contrat spécifique, demandez donc à votre interlocuteur une réponse écrite sur ce que vos garanties actuelles prévoient en cas d’attaque informatique. Vous éviterez de payer deux fois la même protection, ou à l’inverse de croire à une couverture qui n’existe pas.
Assistance et gestion de crise : la valeur cachée d’un contrat cyber
Au-delà de l’indemnisation, une bonne assurance cyber apporte un accès rapide à des compétences qu’une petite entreprise n’a pas en interne. Beaucoup de contrats incluent une ligne d’urgence, l’intervention d’équipes techniques pour contenir l’attaque, l’appui d’avocats pour gérer les obligations de notification, et des conseils en communication pour s’adresser aux clients sans aggraver la situation.
Certains assureurs proposent aussi des services de prévention : sensibilisation des équipes, diagnostic de vulnérabilité, recommandations de sauvegarde. Ces outils réduisent la probabilité d’un sinistre et peuvent peser favorablement lors du renouvellement.
Bien lire une proposition d’assurance cyber avant de s’engager
Une offre se juge sur sa capacité à répondre à votre scénario le plus probable, pas sur la longueur de sa liste de garanties. Quelques vérifications concrètes :
- Le plafond global et les sous-plafonds par garantie, notamment pour la perte d’exploitation et la cyberextorsion.
- Le montant de la franchise et la durée du délai de carence.
- Les mesures de sécurité exigées : sauvegardes déconnectées, mises à jour, authentification renforcée. Leur absence peut justifier un refus d’indemnisation.
- La définition de « l’événement cyber » retenue, qui conditionne tout le reste.
- L’existence d’une assistance joignable à toute heure et ses conditions de déclenchement.
- Le traitement des prestataires externes : hébergeur, éditeur de logiciel en ligne, infogérant.
Le questionnaire de souscription mérite enfin des réponses exactes. Une déclaration inexacte sur vos sauvegardes ou vos protections peut fragiliser la prise en charge le jour où vous en aurez besoin.
Une TPE ou un indépendant a-t-il intérêt à souscrire une assurance cyber ?
Les petites structures sont des cibles fréquentes, justement parce qu’elles sont moins protégées. Si votre activité dépend d’un ordinateur, d’un logiciel métier ou d’un fichier clients, une interruption de quelques jours peut suffire à fragiliser la trésorerie. L’intérêt se mesure donc à votre dépendance au numérique plus qu’à votre taille.
L’assurance cyber rembourse-t-elle une rançon payée aux pirates ?
Certains contrats prévoient une garantie de cyberextorsion qui peut aller jusqu’à la rançon, sous conditions strictes. D’autres se limitent aux frais de négociation et de restauration. Gardez en tête que verser la somme exigée n’assure en rien le retour des fichiers.
Les sanctions liées au RGPD sont-elles prises en charge ?
Les frais de notification, d’accompagnement juridique et de défense lors d’une enquête figurent dans de nombreuses offres. La prise en charge des amendes administratives est plus incertaine : elle dépend du contrat et des limites légales à l’assurabilité des sanctions. Mieux vaut poser la question précisément à l’assureur.
Que faire dans les premières heures d’une attaque quand on est assuré ?
Isolez les machines touchées du réseau sans les éteindre brutalement, appelez la ligne d’assistance prévue au contrat, conservez les traces (messages de rançon, journaux, captures d’écran) et déposez plainte. Évitez de lancer une restauration seul avant l’avis des experts mandatés.
Le vol d’un ordinateur portable relève-t-il de l’assurance cyber ?
Le matériel volé dépend en général de la multirisque professionnelle. En revanche, si l’appareil contenait des données de clients et qu’une violation est à craindre, les frais de notification et la gestion de cette fuite peuvent relever du contrat cyber.
L’auteur
Souscripteur en risques habitation et professionnels
Mon terrain sur ce site : Multirisque habitation et assurances d’entreprise.
Voir tous ses articlesVotre avis compte
Cet article vous a-t-il été utile ?
4,8sur 5480 votes
Commentaires
Soyez le premier à réagir.
