Votre assurance cyber vous protège-t-elle vraiment ? Pas forcément. Les assureurs exigent désormais des dispositifs techniques précis avant de signer un contrat, et refusent d’indemniser les entreprises qui ne les respectent pas. Sans préparation ni information, vous pouvez payer une prime chaque année sans pour autant jamais toucher un centime.
Dans 48 % des attaques par ransomwares, les victimes étaient des PME, TPE et ETI en France en 2025, devant les collectivités territoriales et les établissements de santé. Pourtant, une grande majorité de PME n’a toujours pas souscrit de contrat cyber. Et parmi celles qui en ont un, beaucoup ignorent qu’une prime versée chaque année ne garantit pas d’être indemnisé. Un assureur peut refuser toute prise en charge si votre système d’information ne respecte pas les exigences techniques inscrites dans votre contrat. D’autant que les règles se sont considérablement durcies depuis 2022. Les taux de prime continuent de baisser pour les grandes entreprises en 2025, tandis que les PME voient les leurs augmenter. Les assureurs jugent les petites structures trop vulnérables, et certaines sont désormais inassurables. Voici ce que vous devez anticiper.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Les quatre dispositifs techniques que votre assureur va vérifier
Quand vous demandez une cyber-assurance, votre assureur vérifie d’abord votre niveau de sécurité réel. Il vous soumet un questionnaire de cybersécurité détaillé, puis contrôle quatre dispositifs techniques. Sans eux, il refuse le contrat ou réduit la couverture au point de la rendre inutile.
Le MFA.
Il s’agit de la double authentification. Quand vous vous connectez à un outil, vous devez valider votre identité par un second moyen, un code reçu par SMS ou une application dédiée, en plus de votre mot de passe. Les assureurs exigent ce mécanisme sur vos messageries professionnelles, votre VPN et vos consoles d’administration. Sans MFA sur ces accès, de nombreux assureurs refusent la couverture.
Les sauvegardes
Une sauvegarde, c’est une copie de vos données. Les assureurs contrôlent que vos copies sont régulières, testées (vérifiez que vous pouvez effectivement les restaurer) et physiquement déconnectées de votre réseau. L’ANSSI préconise la règle « 3-2-1 » : au minimum trois copies, sur deux supports différents, dont une conservée hors ligne. Si un ransomware chiffre votre réseau, une sauvegarde connectée à ce même réseau sera chiffrée avec lui.
Un outil de détection avancé
Un antivirus classique repère uniquement les menaces déjà répertoriées. Les assureurs exigent désormais au minimum un EDR, un logiciel qui surveille en temps réel le comportement de vos postes de travail et détecte les anomalies, même inconnues, idéalement couplé à un SoC, une équipe ou un service qui analyse ces alertes 24h/24. Ils demandent aussi un journal des événements passés, preuve que vous traitez et tracez les incidents.
La formation de vos équipes
Les assureurs exigent des preuves de formation continue, notamment des campagnes de phishing simulé, ces faux e-mails piégés envoyés à vos collaborateurs pour tester leurs réflexes et des procédures documentées sur la gestion des mots de passe. Si vous pouvez produire ces documents, vous obtiendrez de meilleures conditions.
Ce qui annule votre indemnisation le jour du sinistre
Le jour où vous subissez une cyberattaque, un de vos premiers réflexes sera d’appeler votre assureur pour le prévenir. Mais malgré vos bonnes relations et le versement régulier de votre prime, rien ne garantit qu’il vous indemnise. Voici pourquoi.
Dès que vous avez connaissance du sinistre, vous disposez de 72 heures pour déposer cette plainte, et non à partir de la date réelle de l’intrusion. Sans outil de détection sur votre réseau, vous pouvez découvrir une intrusion plusieurs jours après les faits et perdre le bénéfice de votre garantie.
Attention : si votre entreprise fournit un secteur critique comme la santé, l’énergie ou les transports, la directive NIS2 vous impose en parallèle une notification à l’ANSSI dans les 24 heures, puis un rapport complémentaire à 72 heures et un rapport final à un mois. Ce délai de 24 heures est distinct et plus court que celui de la LOPMI. Plusieurs assureurs ont ajouté depuis 2024 une exclusion de garantie en cas de non-respect de NIS2 : ne pas notifier l’ANSSI dans les temps peut donc vous priver d’indemnisation sur les deux fronts simultanément.
Certains contrats excluent par ailleurs les attaques d’origine étatique, et refusent toute indemnisation si une vulnérabilité connue n’a pas reçu de correctif depuis trop longtemps. Vérifiez aussi les plafonds d’indemnisation ransomware et les durées de couverture des pertes d’exploitation inscrits dans votre contrat : ils sont souvent très inférieurs au coût réel d’un sinistre complexe. Les assureurs peuvent résilier le contrat si les outils déclarés au questionnaire ne fonctionnent pas réellement au moment du sinistre.
Grandes entreprises et PME : des tarifs totalement différents
En 2024, le taux de prime annuel moyen a reculé de 18 % pour les grands comptes, de 2,37 % à 1,90 %, tandis que les PME ont vu leurs tarifs augmenter. Les grandes structures avaient investi dans les outils exigés par les assureurs, notamment dans la gestion des accès privilégiés, un système qui contrôle qui accède à quoi dans un réseau et enregistre chaque action.
Les assureurs appliquent des tarifs plus élevés aux PME, faute de données historiques suffisantes pour évaluer leur risque, et parce qu’ils jugent leur sinistralité plus élevée. Si vous ne contrôlez pas les accès à votre réseau, c’est-à-dire qui peut se connecter, depuis où et avec quels droits, votre assureur peut donc refuser de vous couvrir.
Les assureurs abandonnent progressivement le questionnaire annuel au profit d’un suivi continu. Grâce aux flux de données issus des outils de surveillance, ils ajustent déjà les garanties et les primes en temps réel, selon votre posture de sécurité constatée. À terme, une PME sans supervision permanente de son système d’information ne pourra plus fournir les données qu’ils attendent pour calculer son risque.
Quatre vérifications avant votre prochain renouvellement
Avez-vous activé la double authentification sur tous vos accès sensibles, VPN, messagerie, outils d’administration ? Si ce n’est pas le cas, certains assureurs refuseront votre dossier sans même lire la suite.
Vos sauvegardes sont-elles testées et stockées hors de votre réseau principal ? L’ANSSI déconseille formellement le paiement de rançon et préconise la restauration depuis les sauvegardes. Si vos sauvegardes sont inaccessibles ou non testées, cette option disparaît.
Disposez-vous d’un plan de continuité d’activité écrit et testé, qui précise comment votre entreprise fonctionne si votre système informatique tombe, qui prend quelle décision et dans quel délai ?
Enfin, avez-vous une procédure de gestion de crise écrite, avec les noms des responsables de la notification à l’assureur, du dépôt de plainte sous 72 heures et, si vous êtes concerné par NIS2, de la notification à l’ANSSI sous 24 heures ?
Ne déclarez rien à votre assureur que vous ne puissiez pas prouver : une clause de sous-assurance peut diminuer l’indemnisation si le niveau de sécurité réel est différent de ce que vous avez déclaré au questionnaire.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.