Entendre parler d’un rançongiciel qui paralyse une entreprise voisine suffit souvent à poser la question : si cela nous arrivait, l’assurance paierait-elle vraiment ? La cyberassurance est présentée comme un filet de sécurité, mais son périmètre réel reste souvent flou pour les dirigeants qui la souscrivent. Entre garanties affichées, plafonds d’indemnisation et exclusions discrètes, l’écart entre la protection perçue et la protection contractuelle peut se révéler important.
Cet article détaille, garantie par garantie, ce que couvre généralement un contrat cyber, ce qu’il laisse de côté, et surtout comment vérifier qu’il correspond à l’exposition réelle de votre entreprise avant de signer.
Réponse directe : Une cyberassurance couvre généralement les frais de gestion de crise (expertise technique, communication, juridique), la notification des personnes concernées en cas de fuite de données, les pertes d’exploitation liées à l’interruption d’activité et, selon les contrats, le paiement d’une rançon. Mais chaque garantie est encadrée par un plafond, une franchise et des exclusions qu’il faut lire ligne par ligne.
Que couvre concrètement une cyberassurance en cas de fuite de données ou de piratage ?
Un contrat de cyberassurance couvre généralement trois grandes familles de frais déclenchés par un incident : les coûts de gestion de la crise, les conséquences financières de l’interruption d’activité, et la responsabilité civile vis-à-vis des tiers affectés. Le périmètre exact varie d’un assureur à l’autre, mais la structure se répète d’un contrat à l’autre.
Les frais de gestion de crise regroupent l’intervention d’experts en réponse à incident, l’analyse forensique pour comprendre l’origine de l’attaque, la restauration des systèmes, l’accompagnement juridique et la communication de crise. S’y ajoutent les coûts liés à la notification des personnes concernées lorsque des données personnelles ont été exposées : courriers, hotline dédiée, surveillance de l’usurpation d’identité. Selon les règles de la CNIL sur les violations de données, le responsable de traitement doit notifier l’incident dans un délai maximal de 72 heures après en avoir pris connaissance, et dans certains cas informer directement les personnes concernées : des obligations dont les contrats cyber prennent en charge la mise en œuvre.
Le volet pertes d’exploitation indemnise la marge brute perdue pendant la période d’interruption, après une franchise souvent exprimée en heures. Il peut inclure les frais supplémentaires d’exploitation (location de matériel, main-d’œuvre temporaire) engagés pour reprendre l’activité plus vite. Enfin, le volet responsabilité civile prend en charge les réclamations de tiers : clients dont les données ont fuité, partenaires impactés, sanctions administratives dans la mesure où elles sont assurables.
Certains contrats couvrent également le paiement d’une rançon en cas de rançongiciel, mais cette garantie est encadrée strictement : accord préalable de l’assureur, démonstration de l’absence d’alternative technique, respect du cadre légal applicable. Pour une PME qui souhaite anticiper ces scénarios, souscrire une assurance cybersécurité adaptée commence par identifier précisément quels volets sont réellement activés dans son offre, et avec quels plafonds.
Cas pratique
Une PME de services est victime d’un rançongiciel qui chiffre son ERP et ses postes bureautiques. L’activité est interrompue cinq jours. Dans un contrat cyber type, seraient en principe pris en charge : l’intervention de l’équipe de réponse à incident, la restauration des sauvegardes, l’audit forensique, la notification à la CNIL et aux clients dont les données ont fuité, ainsi que la perte de marge brute au-delà de la franchise horaire. En revanche, le paiement de la rançon ne serait indemnisé que si le contrat le prévoit explicitement et après validation de l’assureur. Ce scénario est illustratif : l’issue dépend des clauses précises du contrat souscrit.
Quelles sont les limites et exclusions souvent négligées des contrats cyber ?
Les garanties affichées en page de couverture ne disent pas tout : la réalité de l’indemnisation se joue dans les plafonds, les franchises et les exclusions. Un contrat affichant un plafond global de plusieurs millions d’euros peut en pratique limiter certains volets (pertes d’exploitation, rançon, fraude) à des sous-plafonds beaucoup plus bas. Lire ces montants ligne par ligne est la seule manière d’évaluer la couverture réelle.
Parmi les exclusions fréquemment rencontrées, plusieurs méritent une attention particulière :
- la fraude au virement (ingénierie sociale, usurpation d’identité du dirigeant), souvent exclue du contrat cyber et relevant d’une garantie fraude distincte ;
- les incidents consécutifs à une négligence manifeste ou à l’absence de mesures de sécurité élémentaires promises lors de la souscription ;
- les sinistres survenus sur un périmètre non déclaré (filiales, sites, systèmes oubliés au moment de la souscription) ;
- les dommages liés à des vulnérabilités connues et non corrigées au-delà d’un certain délai ;
- les actes de guerre, de cyberguerre ou d’origine étatique, dont l’interprétation varie selon les contrats.
L’Autorité de contrôle prudentiel et de résolution a d’ailleurs appelé le marché à clarifier ces zones grises. Dans ses recommandations de l’ACPR sur les contrats cyber, le régulateur invite les organismes d’assurance à examiner l’ensemble des garanties au regard des risques cyber, afin d’éviter toute ambiguïté pour les assurés sur ce qui est couvert ou exclu.
Une seconde zone de confusion concerne la distinction entre garanties de première partie (dommages subis par l’entreprise elle-même) et garanties de tiers (dommages causés à des clients, partenaires, personnes concernées). Un même événement peut activer les deux volets, mais avec des plafonds et des franchises indépendants. Ne pas vérifier cette répartition conduit parfois à découvrir, après sinistre, qu’une partie des frais n’était pas incluse dans la garantie activée.
Fraude au virement, un angle mort fréquent : une entreprise victime d’un faux ordre de virement, émis après une usurpation d’adresse e-mail d’un dirigeant, peut voir son indemnisation refusée au titre du contrat cyber si cette garantie n’y figure pas explicitement. Vérifiez si une extension dédiée est incluse ou s’il faut souscrire une garantie fraude séparée.
Comment vérifier l’adéquation d’un contrat à votre exposition réelle ?
Avant de comparer des offres, il faut cartographier le risque propre à votre entreprise. Deux PME du même chiffre d’affaires n’ont pas la même exposition selon leur dépendance au numérique, le volume de données personnelles traitées, le recours à des prestataires critiques ou la sensibilité de leur propriété intellectuelle. Un contrat bien calibré pour l’une peut laisser l’autre largement sous-assurée.
Cette cartographie peut s’appuyer sur une démarche simple : lister les processus métier dépendant du système d’information, estimer la perte quotidienne en cas d’arrêt, inventorier les données sensibles traitées, identifier les fournisseurs dont une panne vous paralyserait. Elle fixe le niveau de couverture utile et permet d’objectiver la comparaison entre contrats. Le contexte national renforce cette exigence : le Panorama ANSSI de la cybermenace 2025 fait état de 1366 incidents de cybersécurité traités en France en 2025, un niveau stable par rapport à 2024, confirmant que la menace reste élevée pour toutes les organisations.
Une fois le profil de risque établi, la lecture du contrat doit porter sur un nombre restreint de points de contrôle, les mêmes pour chaque offre comparée.
- Périmètre couvertVérifier que toutes les entités, filiales, sites et systèmes critiques sont déclarés et inclus dans le contrat.
- Plafonds par garantieIdentifier le plafond global, mais aussi les sous-plafonds appliqués aux pertes d’exploitation, à la rançon, à la fraude ou à la responsabilité civile.
- FranchisesComparer les franchises en euros et les franchises horaires sur les pertes d’exploitation : une franchise de 24 heures change radicalement la portée réelle de la garantie.
- ExclusionsLire la section exclusions dans son intégralité, en portant attention à la fraude au virement, aux vulnérabilités non corrigées et aux actes assimilables à la cyberguerre.
- Conditions de prévention exigéesVérifier les engagements de sécurité (sauvegardes, authentification multifacteur, correctifs) dont le non-respect pourrait réduire ou annuler l’indemnisation.
- Services inclusIdentifier les prestations activables sans surcoût : hotline 24/7, cellule de crise, accompagnement juridique, services de restauration.
Comparer deux contrats sur ces critères identiques évite de confondre une prime basse avec une bonne couverture. Un écart de tarif reflète parfois simplement une franchise plus élevée, un sous-plafond réduit sur la garantie la plus utile, ou l’absence d’un service de réponse à incident intégré.
Pourquoi la prévention fait-elle désormais partie des offres cyber ?
Les assureurs ont progressivement intégré la prévention au cœur de leurs contrats, pour une raison simple : la sinistralité cyber reste élevée et le meilleur sinistre est celui qui n’a pas lieu. Cette évolution se traduit par des exigences techniques renforcées à la souscription, mais aussi par des services inclus qui bénéficient directement à l’assuré.
Concrètement, les contrats récents demandent souvent la mise en place de mesures de sécurité minimales : authentification multifacteur sur les accès sensibles, sauvegardes régulières testées, correctifs appliqués dans un délai raisonnable, sensibilisation des collaborateurs. Ces exigences conditionnent parfois l’octroi de la garantie ou le niveau de la franchise. Ne pas les respecter peut suffire à réduire l’indemnisation après un sinistre.
En contrepartie, les offres intègrent de plus en plus de services opérationnels : audits de surface d’exposition, détection d’alertes précoces, accompagnement en cas d’incident, exercices de simulation. Pour une PME, cet accompagnement représente souvent une valeur comparable à celle de l’indemnisation elle-même, en évitant que le sinistre ne survienne ou en réduisant sa durée.
Ce rapprochement entre prévention et indemnisation modifie la logique de choix. L’arbitrage ne porte plus seulement sur le plafond ou la prime, mais aussi sur la capacité du contrat à réduire concrètement la probabilité et la gravité d’un sinistre. Pour comprendre les grands principes de ces offres hybrides, il est utile de lire quelques ressources généralistes sur les principes de base de la cyber-assurance avant de rentrer dans la négociation contractuelle.
Comment choisir une solution adaptée à une PME ?
Pour une PME au budget contraint, le bon contrat n’est pas forcément le plus large, mais celui dont les garanties priorisent les scénarios les plus probables et les plus coûteux pour son activité. Un cabinet de conseil, un e-commerçant et une industrie manufacturière n’ont pas les mêmes priorités : pour l’un la fuite de données clients prime, pour l’autre l’interruption de la plateforme de vente, pour le troisième l’arrêt des chaînes de production.
- Activité fortement dépendante du système d’information :Prioriser des pertes d’exploitation avec franchise horaire courte et sous-plafond élevé, ainsi qu’un service de réponse à incident intégré pour accélérer la reprise.
- Traitement de volumes importants de données personnelles :Privilégier un volet notification et responsabilité civile généreux, avec prise en charge de la hotline et de la surveillance d’usurpation d’identité.
- Exposition élevée à la fraude et aux flux financiers :Vérifier systématiquement la présence d’une garantie fraude au virement, souvent en option, et son plafond spécifique.
- Budget serré :Accepter une franchise plus élevée sur les volets rarement activés, mais sanctuariser les sous-plafonds sur les deux garanties les plus critiques pour l’activité.
Le dernier arbitrage porte sur l’équilibre entre la prime annuelle et le niveau de protection de la trésorerie en cas de sinistre majeur. Une prime économique perd son intérêt si elle laisse l’entreprise exposée au-delà de quelques dizaines de milliers d’euros, alors qu’un rançongiciel sérieux coûte souvent beaucoup plus. À l’inverse, un contrat très large peut peser lourd si les garanties maximales couvrent des scénarios peu probables pour votre activité.
Avant de signer, il est utile de simuler un sinistre majeur sur la base de votre cartographie : estimer le coût réel, confronter ce coût aux plafonds du contrat, et vérifier si la trésorerie absorberait le reste. C’est précisément à cet exercice qu’invite une lecture critique de l’étendue réelle de votre couverture cyber à 1M en cas de sinistre majeur.
Une cyberassurance PME couvre-t-elle les pertes d’exploitation après un rançongiciel ?
Oui, dans la plupart des contrats, à condition que le volet pertes d’exploitation soit explicitement souscrit. L’indemnisation s’applique après une franchise souvent exprimée en heures et dans la limite d’un sous-plafond spécifique. La durée d’indemnisation est généralement bornée (quelques semaines à quelques mois) et suppose de démontrer la perte de marge brute pendant la période d’interruption.
La fraude au virement est-elle couverte par un contrat cyberassurance ?
Pas systématiquement. De nombreux contrats cyber excluent la fraude au virement et l’ingénierie sociale, qui relèvent d’une garantie fraude distincte. Certains assureurs proposent une extension dédiée, avec son propre plafond, généralement inférieur au plafond cyber global. Vérifier ce point explicitement avant la souscription évite une mauvaise surprise au moment du sinistre.
Quels plafonds et franchises vérifier avant de souscrire ?
Au minimum : le plafond global du contrat, les sous-plafonds par garantie (pertes d’exploitation, rançon, fraude, responsabilité civile), la franchise en euros, la franchise horaire sur les pertes d’exploitation et la durée maximale d’indemnisation. Comparez ces éléments garantie par garantie entre les offres, pas uniquement le plafond global affiché.
Que se passe-t-il si l’entreprise n’a pas respecté les mesures de sécurité prévues au contrat ?
L’assureur peut réduire l’indemnisation, voire la refuser, si le sinistre résulte directement d’un manquement aux engagements de sécurité souscrits (authentification multifacteur, sauvegardes, correctifs). D’où l’importance de vérifier, à la souscription, que les exigences techniques sont réellement tenables au quotidien par l’entreprise.
La cyberassurance n’est ni une garantie absolue ni une dépense superflue : c’est un outil contractuel dont la valeur dépend entièrement de l’adéquation entre ses clauses et l’exposition réelle de l’entreprise. Prendre le temps de cartographier son risque, de lire les exclusions et de comparer les contrats sur des critères identiques transforme la souscription en décision éclairée plutôt qu’en pari sur la bonne foi d’un document que l’on n’a jamais ouvert.