Assurance cyber-risques : financez la réponse à une cyberattaque et ses conséquences
L’assurance cyber-risques finance la réponse à une cyberattaque et ses conséquences : assistance technique et juridique, restauration des systèmes, perte d’exploitation, gestion d’une fuite de données, fraude au virement et responsabilité envers les tiers. Elle s’adresse aux dirigeants dont l’activité dépend de leurs outils numériques ou des données de leurs clients. Elle complète la prévention technique, qu’elle ne remplace pas, et ses conditions (plainte, mesures de sécurité) doivent être connues avant le sinistre.
Ce que couvre une assurance cyber
Un contrat cyber combine en général des garanties pour vos propres pertes et des garanties pour les dommages causés à autrui. Le contenu varie beaucoup d’un assureur à l’autre :
- L’assistance 24 h sur 24 : numéro d’urgence, experts en informatique légale et en gestion de crise, souvent mobilisés par l’assureur. Le délai de réaction et les prestataires mobilisés se vérifient au contrat.
- Les frais de restauration : remise en état des systèmes, reconstitution des données et des logiciels après une attaque ou une panne d’origine malveillante.
- Le rançongiciel (ransomware) : logiciel malveillant qui chiffre vos données et exige un paiement. Le contrat prévoit les frais d’intervention et, selon les cas, une prise en charge de la rançon (voir plus bas).
- La perte d’exploitation : perte de marge et frais supplémentaires pendant l’arrêt d’activité causé par l’incident, après une franchise, souvent exprimée en heures ou en jours, et dans un délai maximal d’indemnisation.
- La fuite de données et le RGPD : frais d’enquête, de notification à la CNIL et aux personnes concernées, de conseil juridique, de communication de crise, parfois de surveillance proposée aux victimes.
- La responsabilité envers les tiers : réclamations de clients ou de partenaires dont les données ou l’activité ont été touchées par l’incident.
- La fraude au virement ou « fraude au président » : détournement de fonds par usurpation d’identité ou fausse demande de changement de coordonnées bancaires, souvent sous plafond et sous conditions de procédure.
Pour qui, et la plainte sous 72 heures
L’assurance cyber n’est pas obligatoire. Elle concerne toute entreprise qui utilise un réseau, une messagerie, un logiciel en ligne ou des données personnelles : agences, éditeurs et prestataires numériques, cabinets de conseil, laboratoires, sociétés de médias, professions libérales. Les clients grands comptes demandent de plus en plus une attestation cyber à leurs prestataires.
Les autorités déconseillent de payer une rançon : le paiement ne garantit pas la récupération des données et encourage les attaquants. La prise en charge d’une rançon par un assureur dépend de chaque contrat, qui peut l’exclure, la plafonner ou la subordonner à l’accord préalable de l’assureur.
Exemples concrets de cyber-sinistres
Rançongiciel dans une agence
À titre d’exemple, un salarié ouvre une pièce jointe piégée : les serveurs sont chiffrés et l’agence ne peut plus facturer ni travailler pendant plusieurs jours. Le contrat peut financer l’intervention des experts, la restauration des données et la perte d’exploitation, selon ses franchises et ses plafonds.
Fuite de données chez un prestataire
Situation type : la base clients d’un éditeur de logiciel est copiée et diffusée. L’entreprise doit analyser l’incident, informer la CNIL et, si le risque est élevé, les personnes concernées. Les frais juridiques, de communication et d’enquête peuvent relever du contrat.
Fraude au changement de RIB
À titre d’exemple, un faux e-mail d’un fournisseur habituel demande un nouveau RIB : le virement part sur un compte frauduleux. La prise en charge, quand elle existe, dépend de la garantie de fraude, de son plafond et du respect des procédures de vérification prévues au contrat.
Indisponibilité chez un hébergeur
Situation type : l’attaque d’un prestataire de services informatiques rend indisponible l’outil de gestion d’un laboratoire. Selon le contrat, la perte d’exploitation due à la défaillance d’un fournisseur ne sera couverte que si une extension « dépendance » est prévue.
Ce qui n’est généralement pas couvert
- les mesures de sécurité déclarées mais absentes (réponse inexacte au questionnaire) : risque de réduction de l’indemnité ou de nullité selon les règles du Code des assurances ;
- l'usure, l’obsolescence et les failles connues non corrigées : certains contrats excluent les systèmes non mis à jour ;
- les pannes non malveillantes (selon les contrats), les défaillances d’infrastructure publique (électricité, internet) ;
- l'investissement d’amélioration : le contrat finance la remise en état, pas la modernisation du système ;
- les amendes administratives ou sanctions, dont l’assurabilité dépend de la nature de la sanction et du droit applicable ;
- les actes de guerre ou d’opérations étatiques, souvent exclus ou limités ;
- les atteintes à la réputation ou pertes de clients futures, couvertes seulement de façon limitée.
Les exigences de sécurité demandées par les assureurs
Avant de proposer un contrat, l’assureur interroge l’entreprise sur sa maturité en sécurité informatique. Il s’appuie souvent sur les recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et de Cybermalveillance.gouv.fr. Selon les assureurs, les mesures le plus souvent abordées sont les suivantes. Elles correspondent aux bonnes pratiques d’hygiène publiées par l’ANSSI et Cybermalveillance.gouv.fr (sauvegardes, mises à jour, authentification, sensibilisation) ; leur présence dans le questionnaire d’un assureur donné est une situation fréquente, à vérifier au cas par cas :
| Mesure | Intérêt de la mesure |
|---|---|
| Double authentification (MFA) | Limite l’effet d’un mot de passe volé, en particulier sur la messagerie et les accès à distance. |
| Sauvegardes isolées et testées | Permettent de restaurer sans payer de rançon, si elles ne sont pas chiffrées avec le reste du réseau. |
| Mises à jour de sécurité | Réduisent l’exposition aux failles connues. |
| Protection des postes et de la messagerie | Détection des logiciels malveillants et des e-mails frauduleux. |
| Sensibilisation des équipes | L’hameçonnage reste une porte d’entrée fréquente. |
| Procédure de vérification des virements | Souvent exigée par les contrats au titre de la garantie fraude au virement : à vérifier au contrat. |
Répondez au questionnaire avec exactitude et avec l’aide de votre prestataire informatique : une réponse fausse ou incomplète peut priver la garantie d’effet, selon les règles de la déclaration du risque du Code des assurances.
Ce qui fait varier le contrat et la prime
Aucun tarif ne peut être annoncé sans analyse. La prime et les conditions dépendent notamment de :
- l'activité et la sensibilité des données traitées (données de santé, bancaires, propriété intellectuelle) ;
- le chiffre d’affaires et la dépendance de l’activité aux outils numériques ;
- le niveau de sécurité constaté au questionnaire ;
- les plafonds, les franchises et les extensions choisies (fraude, dépendance à un fournisseur, rançon) ;
- l'historique d’incidents.
Comment bien choisir et accompagnement
- Chiffrez votre scénario d’arrêt : combien de jours votre activité peut-elle s’interrompre, avec quelle perte de marge ?
- Vérifiez l’assistance : disponibilité 24 h sur 24 et rapidité d’intervention.
- Lisez les conditions de la rançon, de la fraude et de la plainte.
- Articulez le contrat avec votre RC professionnelle.
- Testez votre plan de réaction : qui appeler, qui dépose plainte, qui prévient l’assureur.
Nous analysons vos besoins, vos contrats et votre niveau de sécurité, consultons les assureurs adaptés, vous remettons un comparatif écrit, puis nous gérons la souscription et vous assistons dans la déclaration des sinistres. Contactez-nous ou découvrez le cabinet.
Pour aller plus loin
Questions fréquentes
Une assurance cyber est-elle utile pour une TPE ou une PME ?
Oui, dès que votre activité dépend de vos outils informatiques ou de données de clients. Une attaque par rançongiciel ou une fraude au virement peut arrêter l’activité et coûter cher en restauration, en conseil et en pertes d’exploitation. L’assurance cyber finance la gestion de crise et les conséquences financières, mais ne remplace pas la prévention : sauvegardes, double authentification et sensibilisation des équipes restent indispensables.
Faut-il porter plainte après une cyberattaque pour être indemnisé ?
Oui : pour un professionnel, l’indemnisation est subordonnée à un dépôt de plainte dans les 72 heures suivant la connaissance de l’attaque. Cette règle, issue de la loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) du 24 janvier 2023, figure à l’article L. 12-10-1 du Code des assurances (en vigueur depuis le 24 avril 2023) : la plainte doit être déposée auprès des autorités compétentes, en pratique en commissariat, en gendarmerie ou par courrier au procureur de la République. Elle ne garantit pas l’indemnisation : celle-ci dépend du contrat.
L’assurance cyber rembourse-t-elle une rançon ?
Cela dépend du contrat, et les autorités déconseillent de payer. L’article L. 12-10-1 du Code des assurances ne traite pas de la rançon : il conditionne toute indemnisation d’un professionnel au dépôt de plainte dans les 72 heures, et c’est le contrat qui décide si la rançon est prise en charge. De nombreux contrats la limitent, la subordonnent à l’accord de l’assureur ou l’excluent. Cybermalveillance.gouv.fr déconseille de payer : le paiement ne garantit pas la récupération des données et encourage de nouvelles attaques. Les règles évoluent : à vérifier au moment de la souscription.
La fraude au président est-elle couverte par l’assurance cyber ?
Parfois, mais c’est une extension souvent limitée et soumise à conditions. Beaucoup de contrats traitent la fraude au virement (usurpation d’identité, faux ordre de virement, fraude au changement de RIB) dans une garantie distincte, avec un plafond et une franchise propres, et exigent des procédures de vérification (rappel au numéro habituel, double validation). Il faut lire la définition de la fraude couverte et les procédures exigées.
Que demandent les assureurs pour couvrir une entreprise ?
Un questionnaire de sécurité et, de plus en plus, des mesures minimales vérifiables. Les mesures le plus souvent mentionnées sont la double authentification, des sauvegardes isolées du réseau et testées, les mises à jour de sécurité, un antivirus ou une protection des postes et la sensibilisation des équipes. Les exigences varient selon l’assureur et la taille de l’entreprise : une réponse inexacte au questionnaire peut avoir des conséquences sur la garantie.
Que faire en cas de cyberattaque ?
Isolez les machines, alertez votre assureur et votre prestataire informatique, conservez les preuves et portez plainte. Contactez l’assistance de votre contrat, prévue 24 h sur 24 dans de nombreux contrats, et le dispositif 17Cyber. Si des données personnelles sont touchées, la Commission nationale de l’informatique et des libertés (CNIL) doit en principe être notifiée dans les 72 heures lorsque la violation présente un risque pour les personnes (article 33 du règlement général sur la protection des données, RGPD). Le détail dépend de votre situation.
Garanties complémentaires
Parlons de votre protection
Décrivez votre activité ou votre projet : nous vous rappelons sous 24 h ouvrées avec une analyse claire et des offres comparées.