Cyberassurance : que va vous demander l'assureur avant de vous couvrir ?
L'assureur vérifie que les mesures de base sont en place : sauvegardes régulières, mises à jour, double authentification, réaction prévue en cas d'attaque. Il vous interroge par un questionnaire, et le Code des assurances vous oblige à y répondre exactement : une fausse déclaration intentionnelle rend le contrat nul. Après une attaque, l'indemnisation suppose en plus une plainte déposée dans les 72 heures.
Pourquoi l'assureur vous interroge
Une assurance cyber ne se signe pas comme une multirisque. France Assureurs, la fédération des sociétés d'assurance, explique que depuis 2020 les assureurs alertent sur le niveau de sécurité informatique insuffisant des entreprises, notamment des TPE et PME. Cela les a conduits à être plus exigeants pour couvrir ce risque : pour eux, la prévention est un préalable.
Le constat est partagé. Selon le baromètre 2025 de Cybermalveillance.gouv.fr, 49 % des TPE interrogées reconnaissent ne pas être préparées à une attaque, et seulement 26 % des entreprises déclarent utiliser la double authentification. 16 % ont subi au moins un incident dans les douze derniers mois.
Et l'enjeu est concret. France Assureurs prend l'exemple d'une PME de 15 salariés réalisant 3 millions d'euros de chiffre d'affaires : intervention informatique d'urgence, pertes d'exploitation, honoraires juridiques et communication de crise représentent un coût potentiel de 45 000 à plus de 170 000 euros, entièrement à sa charge sans assurance cyber (dépliant France Assureurs 2026).
Ce que l'assureur va vérifier
Chaque assureur a son propre questionnaire. France Assureurs recommande d'examiner de près les obligations de cybersécurité à respecter par l'entreprise, en citant les sauvegardes régulières et les mises à jour. Le plus sûr est de vous préparer sur les mesures de base du guide La cybersécurité pour les TPE/PME en 13 questions, publié par l'ANSSI (l'Agence nationale de la sécurité des systèmes d'information) et la DGE.
| Mesure de base | Ce que ça veut dire, en clair | Ce qu'il faut pouvoir montrer |
|---|---|---|
| Sauvegardes régulières | Des copies de vos données, dont une hors ligne : l'ANSSI conseille 3 copies, sur 2 supports, dont 1 déconnecté, et des essais de restauration réguliers | La fréquence des copies et la date du dernier essai de restauration réussi |
| Mises à jour | Installer les correctifs de sécurité des logiciels et des appareils | Qui s'en occupe, à quel rythme, et la liste des appareils trop anciens pour en recevoir |
| Mots de passe et double authentification | Un mot de passe différent par service, et un second élément (un code sur le téléphone) dès que le service le propose | La liste des comptes protégés : messagerie, accès à distance, comptes d'administration |
| Antivirus et pare-feu | Les protections de base des ordinateurs et du réseau | Ce qui est installé, sur combien d'appareils, et qui reçoit les alertes |
| Sensibilisation | Vos collaborateurs savent reconnaître un hameçonnage, c'est-à-dire un faux message qui imite un expéditeur connu | Les dates des séances ou des exercices |
| Réaction en cas d'attaque | Qui fait quoi, quel prestataire appeler, comment porter plainte | Un plan d'une page, à jour, avec les numéros |
Si le questionnaire vous interroge sur vos incidents passés (virus, messagerie piratée, faux virement), répondez précisément, avec les dates et ce qui a été corrigé depuis.
Les « oui » qui ne tiennent pas
Le piège n'est pas la question, c'est la réponse trop rapide. Avant de cocher « oui », vérifiez ces cas fréquents :
- La double authentification « partout », sauf sur la boîte partagée de l'accueil, le compte d'un ancien salarié ou celui de l'administrateur. Un seul compte oublié suffit à rendre la réponse inexacte.
- La sauvegarde dans le cloud qui n'est qu'une synchronisation : si un rançongiciel (un programme qui chiffre vos fichiers puis exige une rançon) abîme un fichier, la copie abîmée est recopiée telle quelle. C'est pourquoi l'ANSSI insiste sur une copie déconnectée.
- La sauvegarde jamais testée : tant qu'on n'a pas restauré un dossier, on ne sait pas si elle fonctionne.
- « Tous nos postes sont à jour », sauf le vieil ordinateur qui pilote une machine ou un logiciel métier, que personne n'ose toucher.
- Le plan de crise dans la tête du dirigeant : s'il n'est pas écrit, il n'existe pas pour l'assureur.
Vos réponses vous engagent : ce que dit le Code des assurances
L'article L113-2 du Code des assurances vous oblige à répondre exactement aux questions posées par l'assureur, notamment dans le formulaire de déclaration du risque remis à la souscription. Il vous oblige aussi à déclarer, en cours de contrat, les circonstances nouvelles qui aggravent le risque ou rendent vos réponses inexactes.
| Situation | Ce que prévoit le Code |
|---|---|
| Fausse déclaration ou silence intentionnels (article L113-8) | Le contrat est nul, même si l'élément caché n'a joué aucun rôle dans le sinistre. Les primes payées restent acquises à l'assureur. |
| Erreur de bonne foi découverte avant un sinistre (article L113-9) | Le contrat n'est pas nul. L'assureur peut le maintenir contre une prime plus élevée que vous acceptez, ou le résilier dix jours après vous avoir prévenu par lettre recommandée. |
| Erreur de bonne foi découverte après un sinistre (article L113-9) | L'indemnité est réduite en proportion des primes payées par rapport à celles qui auraient été dues si le risque avait été exactement déclaré. |
Les textes complets : article L113-8 et article L113-9. Conséquence pratique : si vous arrêtez en cours de contrat une protection que vous aviez déclarée, comme la sauvegarde déconnectée, parlez-en à votre assureur ou à votre courtier.
Un cas pour illustrer
Exemple, inventé pour illustrer. Une société de services d'une vingtaine de personnes remplit le questionnaire en dix minutes, entre deux rendez-vous. À la question « La double authentification est-elle activée pour tous les utilisateurs ? », le dirigeant coche « oui ». Il l'a fait activer l'an dernier, mais le compte partagé de la comptabilité en a été exclu, pour ne pas bloquer le logiciel de facturation.
Huit mois plus tard, un pirate entre justement par ce compte. En analysant le sinistre, l'expert de l'assureur constate l'écart. La question devient juridique : fausse déclaration intentionnelle ou erreur de bonne foi ? Dans le meilleur des cas, l'indemnité est réduite ; dans le pire, le contrat est contesté. Dix minutes de vérification avant de signer auraient évité la discussion.
Ce qu'un contrat cyber peut couvrir
Selon France Assureurs, et en fonction des garanties prévues au contrat, l'assurance cyber peut notamment :
- mettre à disposition une assistance spécialisée 24 h/24 et des experts en réponse à incident ;
- prendre en charge les frais d'enquête technique et de restauration des données et des systèmes ;
- activer une cellule de crise (juristes, experts RGPD, communication) ;
- couvrir les pertes d'exploitation, les frais juridiques et de défense, et votre responsabilité civile envers les tiers ;
- prendre en charge les frais liés à la CNIL en cas de fuite de données personnelles.
Avant de signer, la même fédération conseille de vérifier les plafonds, les franchises, les exclusions, la définition des événements couverts (malveillants et/ou accidentels), les délais de déclaration de sinistre, la prise en charge de la cyberfraude (virement frauduleux, usurpation d'identité) et l'existence d'une protection juridique dédiée.
Après une attaque : la plainte sous 72 heures
C'est une règle française que beaucoup ignorent. Depuis le 24 avril 2023, l'article L12-10-1 du Code des assurances subordonne l'indemnisation d'une cyberattaque au dépôt d'une plainte au plus tard 72 heures après que la victime en a eu connaissance. Elle concerne les entreprises et les personnes qui agissent dans leur activité professionnelle.
- Alerter les forces de l'ordre en composant le 17, ou via le dispositif 17Cyber, pour être orienté vers le bon service. Cette alerte ne remplace pas la plainte.
- Porter plainte dans les 72 heures : en brigade de gendarmerie, au commissariat, ou par lettre recommandée avec accusé de réception au procureur de la République, qui donne une preuve datée.
- Préparer la plainte : captures d'écran, chronologie écrite des faits, éléments de preuve. Si le représentant légal ne peut pas se déplacer, la personne mandatée vient avec une copie de sa pièce d'identité, un extrait Kbis et un mandat daté et signé.
- Prévenir l'assureur dans le délai prévu au contrat. Selon le contrat, la garantie d'assistance d'urgence peut être actionnée sans attendre la plainte.
- Notifier la CNIL si des données personnelles sont touchées et que la fuite présente un risque pour les personnes : si possible dans les 72 heures après l'avoir constatée, via le téléservice de la CNIL. C'est une démarche distincte de la plainte.
Le délai de la plainte court à partir du moment où vous constatez les dégâts, même si l'attaque est plus ancienne. Sans plainte dans les temps, vos pertes et dommages ne pourront pas être indemnisés, rappelle la FAQ de la Direction générale du Trésor.
Votre plan pour lundi matin
- Demandez à votre assureur ou à votre courtier le questionnaire avant le rendez-vous, pas le jour de la signature.
- Faites dresser la liste de tous les comptes, y compris partagés et techniques, et repérez ceux qui n'ont pas la double authentification.
- Faites restaurer un dossier depuis la sauvegarde déconnectée, et notez la date et le résultat.
- Demandez à votre prestataire la liste des appareils qui ne reçoivent plus de mises à jour.
- Écrivez la liste des incidents des dernières années, même mineurs, avec ce qui a été corrigé.
- Rédigez un plan de crise d'une page : qui appeler, le numéro d'assistance de l'assureur, et qui dépose plainte sous 72 heures, où, avec quel mandat.
- Gardez une copie du questionnaire signé et des preuves : en cas de sinistre, c'est votre dossier.
Préparer votre dossier de cyberassurance→
Questions fréquentes
Une PME est-elle obligée de souscrire une assurance cyber ?
Non, aucune loi ne l'impose. Mais le guide de l'ANSSI pour les TPE/PME recommande de faire évaluer la couverture de votre police au risque cyber, qu'elle figure dans un contrat classique ou dans un contrat cyber spécifique, et de vérifier que les risques les plus redoutés pour l'entreprise sont couverts.
Que se passe-t-il si je réponds « non » à une question du questionnaire ?
Un « non » honnête ne vous met pas en faute : l'assureur adapte la prime, pose des conditions ou refuse de couvrir. C'est la fausse déclaration qui pose problème. Intentionnelle, elle rend le contrat nul (article L113-8 du Code des assurances) ; de bonne foi, elle peut réduire l'indemnité (article L113-9).
L'attaque date de plusieurs semaines, dois-je quand même porter plainte sous 72 heures ?
Oui. Selon la Direction générale du Trésor, le délai court à partir du moment où vous constatez les dommages, pas de la date de l'attaque. Une attaque ancienne découverte aujourd'hui doit donc faire l'objet d'une plainte dans les 72 heures.
Un appel au 17 ou une démarche en ligne suffit-il ?
Non. L'alerte au 17 ou via 17Cyber sert à être orienté, mais elle ne remplace pas la plainte. La plainte en ligne n'est pour l'instant possible que pour certaines infractions. Le plus sûr : la gendarmerie, le commissariat, ou un courrier recommandé avec accusé de réception au procureur de la République.
Faut-il payer la rançon si l'assurance peut la rembourser ?
L'ANSSI recommande de ne jamais payer la rançon : des solutions de déchiffrement existent et les policiers ou gendarmes vous assistent. Ce sont vos sauvegardes intègres qui vous permettront de redémarrer. Et dans tous les cas, l'indemnisation par l'assureur suppose une plainte dans les 72 heures.
Dois-je déclarer un incident survenu avant la souscription ?
Oui, si le questionnaire vous interroge à ce sujet : l'article L113-2 du Code des assurances vous oblige à répondre exactement aux questions posées. Le taire volontairement expose à la nullité du contrat.