Assurance cyber : ce que les assureurs regardent vraiment

Une attaque par rançongiciel, un faux virement, une fuite de données : pour une PME, la facture peut être lourde : arrêt d'activité, frais de remise en état, données à reconstituer, clients à prévenir. L'assurance cyber est faite pour cela. Mais elle repose sur un échange de bonne foi : l'assureur vous pose des questions sur votre sécurité, et ce que vous répondez vous engage. Voici ce qu'il regarde, et ce qui peut vraiment poser problème le jour d'un sinistre.

Ce que vous demande l'assureur

Avant de vous assurer, l'assureur évalue votre exposition au risque. Il le fait le plus souvent par un questionnaire de souscription. Les questions portent d'abord sur les mesures techniques :

• des sauvegardes régulières, et testées ;
• un antivirus sur les postes ;
• des accès à distance sécurisés ;
• la double authentification sur les comptes sensibles ;
• les mises à jour des logiciels.

Selon les assureurs et la taille de l'entreprise, d'autres questions s'ajoutent. Certains attendent des programmes de prévention, comme des campagnes de faux mails d'hameçonnage pour entraîner les équipes. D'autres posent directement la question de la formation. Le questionnaire d'un grand assureur demande par exemple si les employés qui ont accès à des données sensibles reçoivent une formation, ou au moins un rappel annuel, sur la confidentialité des données et la sensibilisation aux risques cyber.

Votre réponse vous engage

Le Code des assurances oblige l'assuré à répondre exactement aux questions posées par l'assureur. Les conséquences d'une réponse inexacte dépendent de votre bonne foi :

• une fausse déclaration intentionnelle peut entraîner la nullité du contrat : l'assureur ne paie pas le sinistre et garde les primes déjà versées ;
• une déclaration inexacte de bonne foi n'annule pas le contrat, mais si elle est découverte après un sinistre, l'indemnité peut être réduite en proportion de la prime qui aurait dû être payée.

Certains contrats font aussi de mesures précises, comme les sauvegardes ou la double authentification, de véritables conditions de garantie. Si elles ne sont pas respectées le jour du sinistre, l'assureur peut réduire son indemnisation ou appliquer une exclusion, selon ce que prévoit le contrat.

Ce qui expose le plus l'entreprise, c'est donc l'écart entre ce qu'elle a déclaré et la réalité : la case « nos salariés sont sensibilisés » cochée alors que personne ne l'a été, les sauvegardes annoncées mais jamais vérifiées.

Une règle à connaître : la plainte sous 72 heures

Depuis le 24 avril 2023, l'indemnisation des pertes et dommages causés par une cyberattaque est subordonnée au dépôt d'une plainte, au plus tard 72 heures après que la victime a eu connaissance de l'attaque (article L. 12-10-1 du Code des assurances). Ce délai est court, surtout un vendredi soir, en pleine gestion de crise. Il doit figurer dans votre procédure en cas d'incident.

Des tarifs en baisse, pour combien de temps ?

En 2020, au moment de la crise sanitaire, les sinistres ont dépassé les primes encaissées et les assureurs ont fortement augmenté leurs tarifs. Depuis, le marché s'est détendu. Selon l'AMRAE, les primes ont reculé en 2024 pour la première fois en cinq ans, et en 2025 le taux de prime moyen a encore baissé de 23 % pour les entreprises de taille intermédiaire comme pour les micro-entreprises, tandis que le nombre d'entreprises assurées progressait nettement. Pour les petites entreprises, il a en revanche augmenté, à partir d'un niveau bas.

Mais les sinistres, eux, augmentent : leur montant a progressé de 43 % en 2024. L'AMRAE juge le marché volatil et rappelle que la baisse des tarifs dépend de la qualité des dispositifs de cybersécurité des entreprises. Les conditions actuelles sont favorables pour s'assurer ou renégocier son contrat ; rien ne garantit qu'elles dureront. L'AMRAE identifie par ailleurs les collaborateurs comme le maillon souvent le plus vulnérable.

Ce que la formation de vos équipes apporte

Former vos salariés aux risques cyber, et aujourd'hui aux risques liés à l'IA, a trois effets concrets :

1. Réduire le risque : beaucoup d'attaques contre les PME commencent par une personne trompée, par un faux mail, un faux fournisseur ou une fausse voix.
2. Répondre honnêtement au questionnaire : vous pouvez cocher la case de la sensibilisation sans arrière-pensée.
3. Garder la preuve : attestations datées et registre de formation montrent ce qui a été fait, par qui et quand, si la question se pose après un sinistre.

Une formation ne remplace pas les mesures techniques, et elle ne garantit pas à elle seule l'indemnisation : tout dépend de votre contrat. Mais elle fait partie des précautions raisonnables que l'on attend d'une entreprise.

Cinq actions pour être bien couvert

1. Relisez votre questionnaire de souscription avec votre prestataire informatique, et vérifiez que chaque réponse correspond à la réalité.
2. Maintenez les mesures déclarées dans la durée : sauvegardes testées, double authentification, mises à jour.
3. Formez vos équipes et gardez la trace : qui a été formé, quand, sur quel contenu.
4. Écrivez votre procédure d'incident : qui prévenir, comment joindre l'assureur et la banque, et le dépôt de plainte sous 72 heures.
5. Faites le point à chaque renouvellement : vos outils, vos usages et vos risques évoluent, vos réponses aussi.