Une entreprise peut faire tout ce qui est raisonnablement en son pouvoir pour se protéger — authentification renforcée, sauvegardes isolées, supervision continue — et subir malgré tout une attaque qui aboutit. La prévention réduit la probabilité d’un incident, elle ne l’annule jamais complètement. C’est précisément l’espace que vient occuper l’assurance cyber : non pas empêcher l’attaque, mais absorber une partie de son impact financier lorsqu’elle survient malgré les protections en place.
→ Coût et ROI de la cybersécurité : comment raisonner son budget en PME
Ce positionnement reste mal compris par beaucoup de dirigeants, qui abordent l’assurance cyber soit comme une formalité accessoire, soit à l’inverse comme un filet de sécurité qui dispenserait d’investir sérieusement dans la prévention. Les deux lectures sont erronées, et comprendre pourquoi suppose de regarder d’abord ce qu’une police d’assurance cyber couvre réellement.
Ce qu’une assurance cyber couvre concrètement
Une police d’assurance cyber intervient généralement sur deux familles de coûts, qui ne se recoupent pas totalement.
Les coûts de gestion de crise regroupent l’intervention d’experts en réponse à incident, l’analyse technique de la compromission, la restauration des systèmes et des données, ainsi que l’accompagnement en communication de crise pour gérer les conséquences réputationnelles auprès des clients et des partenaires. Ces garanties couvrent l’entreprise au moment où elle a le plus besoin de compétences qu’elle ne possède généralement pas en interne, dans un contexte d’urgence où chaque heure compte.
→ Plan de réponse à incident : comment réagir face à une cyberattaque
Les coûts liés à l’activité elle-même forment la seconde famille : perte d’exploitation pendant l’interruption, frais juridiques et réglementaires en cas de sanction, et responsabilité civile lorsque des tiers — clients, partenaires — subissent un préjudice du fait de la compromission, par exemple en cas de fuite de leurs propres données.
Certains contrats intègrent également une garantie relative au paiement d’une éventuelle rançon. Ce point mérite une attention particulière en France : la loi conditionne le remboursement d’une rançon par l’assureur au dépôt d’une plainte dans un délai de 72 heures suivant la connaissance de l’attaque. Une entreprise qui découvre une compromission un vendredi soir et n’agit que le lundi peut ainsi perdre le bénéfice de cette garantie, indépendamment de ce que prévoit son contrat sur le papier.
Ce que l’assureur exige avant de couvrir
C’est le point le moins connu, et pourtant le plus structurant pour une PME qui envisage de souscrire. Un assureur cyber ne couvre jamais une entreprise sans conditions : il évalue en amont son niveau de maturité en matière de sécurité, et conditionne souvent la souscription, le montant de la prime ou l’étendue de la couverture à un socle de mesures effectivement en place.
Les exigences les plus courantes portent sur l’authentification multifacteur généralisée aux accès sensibles, l’existence de sauvegardes régulièrement testées et isolées du système principal, une politique de mise à jour des systèmes, et de plus en plus fréquemment, l’existence d’un plan de réponse formalisé plutôt qu’une improvisation en cas de crise.
→ MFA : indispensable ou contraignant ?
→ Sauvegarde cloud : bonne ou mauvaise idée pour une PME
Cette exigence n’est pas une simple formalité administrative au moment de la souscription. Elle a une conséquence directe et potentiellement lourde au moment du sinistre : un assureur qui découvre, lors de l’instruction d’un dossier, que les mesures déclarées lors de la souscription n’étaient pas réellement en place, peut refuser ou réduire l’indemnisation. Une entreprise qui a coché « authentification multifacteur activée » dans son questionnaire de souscription, sans que ce soit réellement le cas sur l’ensemble des comptes sensibles, prend un risque bien plus grand qu’elle ne l’imagine au moment de la signature.
Pourquoi l’assurance ne remplace jamais la prévention
Cette exigence de socle minimal illustre un principe plus large : l’assurance cyber ne se substitue à aucune démarche de prévention, elle vient en complément d’une stratégie déjà construite. Une entreprise qui considérerait l’assurance comme une alternative à l’investissement en sécurité découvrirait rapidement deux limites.
La première est financière : la plupart des polices excluent ou limitent fortement la couverture en cas de négligence caractérisée, c’est-à-dire lorsque l’entreprise n’a manifestement pas mis en œuvre les mesures de sécurité de base qu’elle avait déclarées ou qu’on pouvait raisonnablement attendre d’elle. La seconde est opérationnelle : même avec une indemnisation financière complète, rien ne compense le temps d’interruption de l’activité, la perte de confiance des clients pendant la crise, ou l’énergie interne mobilisée pour y faire face. L’assurance répare une partie du dommage financier, elle ne rend jamais l’incident indolore.
Comment évaluer une offre d’assurance cyber
Comparer des polices d’assurance cyber uniquement sur leur prime annuelle conduit souvent à des choix mal calibrés. Plusieurs éléments méritent d’être examinés avec autant d’attention que le montant de la cotisation.
Le périmètre de couverture d’abord : certains contrats excluent les attaques par des acteurs étatiques ou assimilés, une clause qui a pris de l’importance à mesure que l’origine des cyberattaques devient plus difficile à établir avec certitude. Les plafonds de garantie ensuite, qui doivent être mis en rapport avec l’estimation réaliste du coût d’un incident pour l’entreprise plutôt qu’avec un montant générique proposé par défaut. Les délais de carence et les franchises, qui déterminent concrètement ce qui reste à la charge de l’entreprise avant que la garantie ne s’active. Et enfin, les prestataires imposés par l’assureur en cas de sinistre — certains contrats obligent à faire appel à des experts référencés par la compagnie, ce qui peut entrer en tension avec un prestataire de sécurité déjà en place et qui connaît l’environnement de l’entreprise.
Le questionnaire de souscription, un audit déguisé
Le questionnaire que fait remplir un assureur avant de couvrir une entreprise ressemble, dans sa logique, à un audit de sécurité simplifié : il interroge sur les accès, les sauvegardes, la supervision, les mises à jour, exactement les mêmes dimensions qu’évalue un audit de cybersécurité classique.
→ Audit de cybersécurité : que contient-il vraiment pour une PME
Une entreprise qui a déjà structuré sa sécurité autour de ces axes ne se contente pas de mieux se protéger : elle répond plus facilement à ce questionnaire, souvent avec des conditions de couverture plus favorables. À l’inverse, une entreprise qui découvre ces exigences au moment de souscrire une assurance prend conscience, parfois pour la première fois, de l’écart entre ce qu’elle pensait avoir mis en place et sa situation réelle.
Une décision qui s’inscrit dans le cadre réglementaire
Pour les entreprises directement ou indirectement concernées par la directive NIS2, la question de l’assurance cyber prend une dimension supplémentaire. La réglementation n’impose pas de souscrire une assurance, mais les obligations qu’elle fixe en matière de gestion des risques et de déclaration des incidents rejoignent largement les critères que les assureurs examinent déjà pour déterminer leurs conditions de couverture.
→ NIS2 : quelles obligations pour les PME et comment s’y préparer
Ce qu’il faut retenir
Une assurance cyber ne protège pas une entreprise contre une cyberattaque : elle protège son bilan financier une fois l’incident survenu, à condition que les mesures de sécurité déclarées à la souscription aient été réellement mises en œuvre. Ce n’est ni un gadget administratif, ni un substitut à la prévention, mais un troisième pilier qui vient s’ajouter à la détection et à la réaction, pour couvrir ce que ni l’une ni l’autre ne peuvent totalement éliminer.
Les entreprises qui en tirent le meilleur parti ne sont pas celles qui souscrivent la police la moins chère, mais celles qui abordent leur dossier de souscription comme elles aborderaient un audit : avec une vision honnête de leur niveau de sécurité réel, plutôt que comme une formalité à remplir rapidement pour cocher une case de plus.