Cyber-assurance entreprise : garanties, prérequis et questionnaire assureur
La cyber-assurance transfère une partie du risque financier lié à un incident numérique, mais la souscription dépend aussi de la maturité cyber de l’entreprise. Garanties, prérequis, questionnaire et points de contrôle pour les PME.
Une cyber-assurance entreprise est un contrat d’assurance professionnel destiné à prendre en charge, selon les garanties souscrites, une partie des conséquences financières et opérationnelles d’un incident cyber. Elle peut notamment intervenir sur les frais d’investigation, la remise en état des systèmes, l’interruption d’activité, l’assistance juridique ou la responsabilité envers des tiers.
Mais une cyber-assurance ne s’achète plus comme une simple ligne supplémentaire dans un portefeuille d’assurances. Avant de couvrir un risque, l’assureur cherche à comprendre comment l’entreprise protège réellement son système d’information. MFA, sauvegardes, protection des postes, sécurité de la messagerie, accès distants, correctifs, supervision et capacité de réponse font partie des sujets qui peuvent apparaître dans le questionnaire de souscription.
Pour une PME, la vraie question est donc double : que couvre le contrat, et l’entreprise dispose-t-elle des prérequis techniques permettant de présenter un risque assurable ? C’est précisément à cette intersection entre assurance et architecture de cybersécurité que le sujet devient intéressant.
Notre offre de cybersécurité pour PME intervient sur cette seconde partie : préparer et exploiter les protections techniques. Le choix du contrat, de ses garanties et de ses exclusions reste à valider avec l’assureur ou le courtier.
Qu’est-ce qu’une cyber-assurance entreprise ?
La cyber-assurance appartient à la famille des assurances professionnelles. Son rôle n’est pas d’empêcher une attaque mais de transférer une partie des conséquences d’un événement numérique vers l’assureur, dans les limites définies par le contrat.
Un sinistre peut prendre des formes très différentes : compromission d’un compte après un phishing, propagation d’un rançongiciel, vol de données, indisponibilité d’une application critique, ou encore attaque par déni de service. Le contrat précise les événements couverts, les prestations mobilisables, les plafonds d’indemnisation, les franchises et les exclusions.
Cette distinction est essentielle : il n’existe pas une garantie universelle appelée “cyber-assurance” qui couvrirait automatiquement tous les incidents numériques. Deux contrats portant le même nom peuvent prévoir des périmètres très différents.
Cyber-assurance et cybersécurité ne jouent pas le même rôle
Une assurance ne remplace ni un firewall, ni un antispam professionnel, ni des sauvegardes externalisées, ni un EDR, ni une capacité de détection et de réponse comme un MDR.
Les protections techniques cherchent à réduire la probabilité qu’un incident se produise et à en limiter la propagation. La cyber-assurance intervient sur le risque résiduel : celui qui demeure malgré les protections. C’est pourquoi la qualité du dispositif de cybersécurité devient un élément important de l’évaluation du risque au moment de la souscription.
Que couvre une cyber-assurance pour une PME ?
Le périmètre exact dépend toujours du contrat. Il faut donc distinguer les grandes familles de garanties de leur niveau réel de couverture.
| Garantie possible | À quoi elle peut servir | Points à vérifier dans le contrat |
|---|---|---|
| Investigation et réponse à incident | Identifier l’origine et l’étendue de l’attaque, mobiliser des experts | Prestataires imposés ou libres, plafond, disponibilité de l’assistance |
| Remise en état des systèmes | Restaurer ou reconstruire des postes, serveurs ou services | Nature des frais couverts, vétusté, coûts internes/externes |
| Récupération des données | Restaurer les données disponibles ou financer certaines opérations de récupération | Conditions liées aux sauvegardes et aux procédures de restauration |
| Pertes d’exploitation | Compenser certaines pertes liées à une interruption ou une dégradation d’activité | Franchise temporelle, période d’indemnisation, méthode de calcul |
| Assistance juridique | Accompagner l’entreprise sur les conséquences juridiques de l’incident | Périmètre, conseil, défense, notifications réglementaires |
| Responsabilité envers les tiers | Prendre en charge certaines conséquences causées à des clients ou partenaires | Nature des dommages et exclusions contractuelles |
| Communication de crise | Encadrer la communication vers clients, partenaires ou médias | Prestataires mobilisables et plafond de prise en charge |
Ce tableau doit être lu comme une grille de vérification, pas comme une promesse de couverture. La garantie n’existe que si elle figure dans le contrat et si les conditions prévues pour son activation sont réunies.
Les exclusions et limites comptent autant que les garanties
Le bon réflexe consiste à regarder non seulement ce qui est annoncé, mais aussi ce qui peut réduire ou empêcher l’indemnisation : franchises, sous-limites, délais, périmètres géographiques, types d’incidents couverts, dépendance à des prestataires, conditions déclaratives ou mesures de sécurité annoncées lors de la souscription.
Pour une PME, cette lecture est particulièrement importante lorsque plusieurs briques sont externalisées : messagerie Microsoft 365, hébergement cloud, prestataire informatique, sauvegarde externalisée, opérateur réseau ou logiciel métier SaaS. Le contrat doit être confronté à l’architecture réelle de l’entreprise, pas à une description théorique du système d’information.
Quels prérequis les assureurs regardent-ils avant de couvrir le risque cyber ?
Il n’existe pas de liste unique imposée à toutes les entreprises. Les questions et critères varient selon l’assureur, le chiffre d’affaires, le secteur, l’exposition, les données traitées et les montants de garantie recherchés.
En revanche, les questionnaires de cyber-assurance convergent sur une même logique : vérifier que les risques les plus évidents sont réellement maîtrisés et que l’entreprise saurait réagir si une attaque réussissait.
Le questionnaire de cyber-assurance : les points techniques à préparer
| Domaine examiné | Questions que l’assureur peut poser | Éléments que la DSI doit pouvoir vérifier |
|---|---|---|
| Identités et accès | Le MFA est-il activé sur les administrateurs, accès distants et services cloud sensibles ? | Périmètre MFA, comptes privilégiés, accès VPN, politiques d’authentification |
| Sauvegardes | Les sauvegardes sont-elles séparées du SI de production et régulièrement testées ? | Architecture de sauvegarde, rétention, isolation, comptes dédiés, comptes-rendus de restauration |
| Endpoints | Comment les postes et serveurs sont-ils protégés et surveillés ? | Couverture EPP/EDR, inventaire, état des agents, traitement des alertes |
| Messagerie | Comment sont gérés phishing, pièces jointes, usurpation et compromission de comptes ? | Filtrage, SPF/DKIM/DMARC, MFA, procédures de signalement |
| Réseau et accès distants | Les flux sensibles et les accès d’administration sont-ils protégés ? | Firewall, VPN, segmentation, règles d’accès, administration distante |
| Correctifs et vulnérabilités | Comment sont identifiées et corrigées les vulnérabilités ? | Inventaire, politique de patch, priorisation des failles critiques |
| Journalisation et détection | Qui voit qu’une attaque est en cours ? | Logs, EDR, SIEM éventuel, SOC/MDR, règles d’escalade |
| Réponse à incident | Existe-t-il une procédure utilisable le jour de la crise ? | Contacts, responsabilités, procédure d’isolement, conservation des preuves, plan de crise |
| Prestataires et cloud | Quels services critiques sont externalisés et quelles dépendances existent ? | Contrats, responsabilités, sauvegarde SaaS, réversibilité, contacts d’urgence |
L’objectif n’est pas d’installer chaque technologie du marché pour “cocher les cases”. Il faut pouvoir démontrer que les risques correspondant aux usages réels de l’entreprise sont traités de manière cohérente et exploitable.
Le questionnaire ne doit pas être traité comme un formulaire administratif
Une réponse telle que « MFA : oui » ne suffit pas à décrire la réalité. Le MFA peut être activé sur Microsoft 365 mais absent du VPN, présent pour les utilisateurs mais pas pour les comptes administrateurs, ou correctement déployé mais contournable par un protocole ancien encore actif.
Même logique pour la sauvegarde. Dire « nous avons une sauvegarde » ne répond pas aux questions importantes : peut-elle être supprimée depuis le domaine compromis ? Une restauration a-t-elle été testée ? Les comptes de sauvegarde sont-ils séparés ? Combien de temps faut-il réellement pour redémarrer ?
La préparation d’une cyber-assurance peut donc devenir un audit utile de la posture de sécurité, à condition de traduire chaque réponse déclarative en réalité technique vérifiable.
Comment préparer son entreprise avant une demande de cyber-assurance ?
La meilleure préparation ne consiste pas à partir du questionnaire de l’assureur pour acheter précipitamment des outils. Elle commence par la dépendance réelle de l’entreprise au numérique.
1. Identifier ce qui arrêterait réellement l’activité
Quels systèmes doivent fonctionner pour facturer, produire, prendre des commandes ou communiquer avec les clients ? Combien d’heures l’entreprise peut-elle fonctionner sans ERP, sans messagerie, sans téléphonie ou sans accès à ses données ?
Cette cartographie permet de distinguer le simple inconfort de l’incident susceptible de provoquer une perte d’exploitation importante.
2. Vérifier les protections déjà en place
Il faut ensuite documenter les mesures réellement déployées : MFA, sauvegardes, sécurité de la messagerie, firewall, protection des postes, correctifs, accès distants, supervision et gestion des comptes privilégiés.
Une protection présente sur la facture mais mal déployée ne constitue pas une preuve de maîtrise du risque. L’assurabilité se prépare sur le terrain : couverture réelle, configurations, procédures et capacité d’exploitation.
3. Tester la capacité de reprise
Une PME qui dispose de sauvegardes mais n’a jamais restauré son ERP ne connaît pas son délai réel de reprise. Une organisation qui possède un EDR mais ne sait pas qui reçoit les alertes le week-end ne connaît pas sa capacité de réponse.
La préparation doit donc inclure des tests : restauration, isolement d’un poste, révocation d’un compte, activation d’un mode dégradé, appel des prestataires critiques.
4. Comparer les contrats avec les scénarios de risque
Une fois les risques et les dépendances connus, les garanties deviennent plus faciles à lire. Si 24 heures d’arrêt de production constituent le scénario critique, la perte d’exploitation et les conditions de déclenchement doivent être examinées avec attention. Si l’entreprise traite des données sensibles pour ses clients, la responsabilité envers les tiers et l’accompagnement juridique prennent davantage de poids.
5. Conserver les preuves et maintenir le dispositif dans le temps
Un questionnaire reflète une situation à un instant donné. Or l’entreprise évolue : nouveaux sites, nouvelles applications SaaS, nouveaux administrateurs, changement d’hébergeur ou de solution de sauvegarde.
La posture déclarée lors de la souscription doit rester cohérente avec l’environnement réellement exploité. Une revue périodique des protections et du contrat évite qu’un écart se crée progressivement entre les deux.
Cyber-assurance et cybersécurité : comment les deux s’articulent
La cyber-assurance n’est pas une couche supplémentaire dans une architecture technique. C’est un mécanisme de transfert de risque. Son efficacité dépend donc de ce que l’entreprise a déjà fait pour prévenir, détecter, contenir et restaurer.
Dans une architecture de cybersécurité cohérente, les rôles sont complémentaires :
- Réduire l’exposition avec le MFA, la segmentation, le filtrage de la messagerie et un firewall correctement configuré.
- Bloquer ou détecter les comportements malveillants avec une protection endpoint de type EPP/EDR.
- Qualifier et répondre grâce à une organisation de supervision ou un service MDR lorsque l’entreprise ne dispose pas des ressources internes suffisantes.
- Restaurer l’activité avec des sauvegardes protégées et des procédures de reprise testées.
- Transférer une partie du risque résiduel avec une cyber-assurance adaptée aux scénarios qui restent possibles malgré ces protections.
Cette logique évite deux erreurs opposées : considérer l’assurance comme une solution de cybersécurité, ou considérer qu’une bonne cybersécurité rend l’assurance inutile. Même une architecture bien conçue conserve un risque résiduel ; même un bon contrat ne peut pas restaurer une sauvegarde qui n’existe pas.
Que faire après un incident lorsqu’on dispose d’une cyber-assurance ?
Le moment de découvrir la procédure de déclaration n’est pas celui où les serveurs sont indisponibles. Les contacts de l’assureur, du courtier, de l’assistance cyber et des prestataires techniques doivent être intégrés au plan de réponse à incident.
Le premier réflexe consiste à suivre les modalités prévues par le contrat et à coordonner les actions techniques avec les obligations de conservation des éléments utiles à l’investigation. Une suppression précipitée de journaux, une réinstallation immédiate ou une modification non tracée peut compliquer l’analyse de l’incident.
En France, le délai de 72 heures pour déposer plainte est un point critique
Pour les personnes morales et les professionnels, l’article L12-10-1 du Code des assurances prévoit que l’indemnisation des pertes et dommages causés par une atteinte à un système informatique est subordonnée au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte.
Ce délai ne doit pas être confondu avec les éventuels délais de notification à l’assureur, à la CNIL ou à d’autres autorités, qui répondent à des règles distinctes selon la situation. Le contrat et les obligations applicables à l’entreprise doivent donc être connus avant l’incident.
Cyber-assurance, RGPD et NIS 2 : ne pas confondre accompagnement et conformité
Une cyber-assurance peut prévoir une assistance juridique lors d’un incident, notamment lorsqu’il faut déterminer les notifications ou démarches à réaliser. Elle ne rend toutefois pas l’organisation conforme au RGPD ou à NIS 2.
En août 2026, la transposition française de la directive NIS 2 est toujours en cours. L’ANSSI invite les futures entités essentielles et importantes à renforcer dès maintenant leur sécurité et met à disposition le Référentiel Cyber France pour préparer cette trajectoire.
Pour une organisation concernée, le sujet assurance doit donc rester séparé du sujet conformité : la première traite une partie des conséquences financières et opérationnelles du risque ; la seconde crée des obligations propres en matière de gouvernance, de gestion des risques, de protection, de supervision et de réaction aux incidents.
Comment évaluer le niveau de cyber-assurance dont une PME a besoin ?
La bonne question n’est pas « quel montant les autres PME assurent-elles ? », mais quel incident pourrait réellement déstabiliser l’entreprise ?
Quatre données permettent de commencer :
- le chiffre d’affaires ou la marge perdue pendant une interruption ;
- le coût probable de reconstruction ou de restauration du système d’information ;
- les responsabilités potentielles envers les clients, partenaires ou personnes concernées ;
- la durée pendant laquelle l’entreprise peut continuer à fonctionner en mode dégradé.
Cette analyse doit être rapprochée des moyens déjà disponibles. Une entreprise disposant d’un PRA testé, d’une sauvegarde réellement isolée et d’une capacité de réponse opérée ne présente pas le même scénario de perte qu’une entreprise dépendante d’un serveur unique et sans procédure de reprise.
Le contrat doit couvrir le risque que l’entreprise ne souhaite pas ou ne peut pas absorber elle-même. C’est ce qui relie intelligemment cyber-assurance, continuité d’activité et cyber-résilience.
Checklist avant de répondre à un questionnaire de cyber-assurance
Avant d’envoyer le dossier à un assureur ou à un courtier, une PME devrait pouvoir répondre clairement aux points suivants :
- Les applications et données critiques sont identifiées.
- Les comptes administrateurs et accès distants sont protégés par MFA lorsqu’il est techniquement disponible et pertinent.
- Les sauvegardes sont séparées du système de production et des restaurations sont réellement testées.
- Les postes et serveurs sont inventoriés et disposent d’une protection maintenue à jour.
- La messagerie est protégée contre phishing, usurpation et pièces jointes malveillantes.
- Les firewalls et accès VPN sont maintenus et leurs règles sont maîtrisées.
- Les vulnérabilités et correctifs critiques font l’objet d’un processus identifié.
- Les événements de sécurité importants remontent vers une personne ou une équipe capable de les traiter.
- Les rôles et contacts à mobiliser en cas d’incident sont documentés.
- Un scénario de restauration ou de reprise a été testé récemment.
- Les principaux prestataires cloud, IT et télécoms ainsi que leurs responsabilités sont identifiés.
- Les réponses au questionnaire correspondent à la situation réellement déployée.
Cette checklist n’est pas un référentiel d’assureur. Elle permet de repérer les écarts les plus évidents avant de commencer la souscription et de transformer le questionnaire en travail utile de réduction du risque.
Questions fréquentes sur la cyber-assurance
Qu’est-ce qu’une cyber-assurance entreprise ?
Une cyber-assurance est un contrat d’assurance professionnel qui peut prendre en charge, selon les garanties souscrites, certains coûts et pertes liés à un incident cyber : investigation, remise en état des systèmes, interruption d’activité, assistance juridique, responsabilité envers des tiers ou communication de crise. Elle complète la cybersécurité technique sans la remplacer.
Que couvre une cyber-assurance pour une PME ?
Le périmètre varie selon les contrats. Les garanties peuvent notamment porter sur les frais d’investigation et de remédiation, la restauration des systèmes, les pertes d’exploitation, l’assistance juridique, la responsabilité envers des tiers et la communication de crise. Les plafonds, franchises, délais de carence, exclusions et conditions d’indemnisation doivent être vérifiés dans le contrat.
Quels prérequis techniques faut-il préparer avant de demander une cyber-assurance ?
Les exigences varient selon l’assureur, la taille, le secteur et le niveau de risque. Les questionnaires portent fréquemment sur l’authentification multifacteur, les sauvegardes et tests de restauration, la protection des postes et serveurs, la sécurité de la messagerie, les accès distants, les correctifs, la journalisation, la supervision et le plan de réponse aux incidents.
Que contient un questionnaire de cyber-assurance ?
Un questionnaire de cyber-assurance sert à évaluer le niveau de risque de l’entreprise. Il peut demander quels systèmes sont critiques, comment sont protégés les comptes administrateurs et les accès distants, si les sauvegardes sont isolées et testées, quels outils protègent les endpoints et la messagerie, comment les vulnérabilités sont corrigées et comment l’entreprise détecte et traite un incident.
La cyber-assurance remplace-t-elle une architecture de cybersécurité ?
Non. Une assurance transfère une partie des conséquences financières d’un incident, tandis que les mesures techniques et organisationnelles réduisent sa probabilité et son impact. MFA, sauvegardes, filtrage de messagerie, firewall, EDR, supervision et procédures de réponse restent nécessaires indépendamment de l’existence d’un contrat d’assurance.
La cyber-assurance est-elle adaptée aux PME ?
Elle peut être pertinente pour une PME dont l’activité dépend fortement de son système d’information, de ses données ou de services numériques. Le niveau de couverture doit être évalué à partir des pertes possibles, du temps maximal d’interruption acceptable, des responsabilités envers les tiers et des moyens déjà disponibles pour gérer un incident.
Que faut-il faire après une cyberattaque lorsqu’on dispose d’une cyber-assurance ?
Il faut suivre en priorité la procédure prévue au contrat : contacter l’assureur ou son assistance, préserver les éléments utiles à l’investigation et coordonner la réponse technique et juridique. Pour les professionnels, l’article L12-10-1 du Code des assurances subordonne l’indemnisation des pertes et dommages causés par une atteinte à un système informatique au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte.