Cyberassurance pour les PME : que couvre-t-elle et combien coûte-t-elle ?

Pour un dirigeant que les ransomwares et les fuites de données empêchent de dormir, une cyberassurance ressemble à la solution idéale. Mais que couvre réellement une cyberassurance, combien coûte-t-elle, et l'assureur paiera-t-il vraiment le jour venu ? Dans cet article, nous expliquons en toute transparence ce qu'une cyberassurance fait et ne fait pas pour une PME, quelles exigences posent les assureurs, et pourquoi la technique et l'assurance doivent se compléter plutôt que se remplacer.

Qu'est-ce qu'une cyberassurance, exactement ?

Une cyberassurance est une assurance professionnelle qui couvre les préjudices financiers et les frais de remise en état causés par des cyberincidents : un piratage, une fuite de données, un ransomware, une attaque DDoS ou un phishing réussi. Contrairement à une assurance responsabilité civile ou multirisque, elle cible spécifiquement les dommages numériques et leurs conséquences pour votre entreprise et vos clients.

Aux Pays-Bas, les grands assureurs comme des acteurs spécialisés proposent des polices cyber. Le Verbond van Verzekeraars, la fédération néerlandaise des assureurs, considère le cyber comme une branche dommages à part entière, et le NCSC (le centre national néerlandais de cybersécurité) traite la cyberassurance comme un élément de la gestion des risques, et non comme un substitut à la sécurité.

Ce que couvre une cyberassurance

La couverture précise varie selon l'assureur et la police, mais la plupart des offres comprennent les volets suivants :

• Dommages propres. La perte de chiffre d'affaires due à l'arrêt d'activité, les frais de restauration des systèmes et des données, et le recours à des spécialistes IT pour remettre vos systèmes en marche.
• Gestion de crise. Le conseil juridique, la communication auprès des clients et de la presse, et l'intervention d'un expert forensique pour établir précisément ce qui s'est passé.
• Responsabilité civile. Les dommages que vous causez à des tiers, par exemple des clients dont les données personnelles ont fuité.
• Frais liés au RGPD. L'analyse et la notification d'une violation de données et, dans certaines polices, le montant d'une amende RGPD (dans la mesure où la loi permet de l'assurer).
• Cyberextorsion. Un accompagnement lors d'incidents de ransomware et, dans certains cas, la rançon elle-même, à condition de respecter des conditions strictes.

Une bonne police couvre à la fois les dommages directs (vos propres pertes) et indirects (les réclamations de tiers). Reste à savoir de quels modules vous avez besoin, et c'est là que les polices diffèrent fortement.

Ce qu'une cyberassurance ne couvre pas

Place au revers de la médaille. Une cyberassurance n'a rien d'une solution miracle, et les exclusions pèsent souvent plus lourd que ne l'imaginent les chefs d'entreprise.

• Actes de guerre et attaques étatiques. Les dommages liés à des attaques attribuables à un acteur étatique sont presque toujours exclus. Cette clause a été formulée de manière plus stricte ces dernières années.
• Dommages résultant d'une négligence. Si vous n'avez pas activé l'authentification multifacteur, ne faites pas de sauvegardes ou ignorez depuis des mois des mises à jour de sécurité connues, l'assureur risque de refuser le sinistre ou de réduire l'indemnisation.
• Atteinte à la réputation à long terme. Les clients qui partent après une fuite de données ne vous seront pas indemnisés.
• Amendes légalement non assurables. Une grande partie des sanctions administratives (et, dans certaines juridictions, les amendes RGPD) sort du champ de la couverture.
• Incidents préexistants. Une attaque par ransomware déjà en cours au moment où vous souscrivez la police n'est pas couverte.

Lisez donc toujours les conditions générales, et pas seulement la plaquette commerciale. La valeur d'une cyberassurance se joue dans les détails. Si vous n'avez pas le temps de vous y plonger, faites appel à quelqu'un qui sait où se cachent les pièges dans ce type de contrat.

Combien coûte une cyberassurance pour une PME ?

Avancer un montant unique pour « la PME » serait trompeur : les primes dépendent de votre chiffre d'affaires, de votre secteur, du capital assuré, de votre niveau de sécurité et de la franchise. Nous pouvons en revanche donner une fourchette.

Pour une petite entreprise, les primes démarrent grosso modo à quelques centaines d'euros par an. Pour une PME plus importante, avec un capital assuré compris entre un demi-million et un million d'euros, les primes annuelles atteignent vite un montant situé entre 1 000 € et plusieurs milliers d'euros. La franchise se situe souvent entre 250 € et 1 000 € par sinistre, et accepter une franchise plus élevée fait baisser la prime.

Ce que vous paierez réellement dépend entièrement de l'évaluation des risques réalisée par l'assureur. Une entreprise capable de démontrer ses mesures de sécurité obtient une prime plus avantageuse qu'une entreprise sans le moindre justificatif. Pour une PME, demander un devis à deux ou trois assureurs est judicieux, car les écarts sont importants. Si vous souhaitez vous faire une idée plus large du coût de la cybersécurité elle-même, notre guide sur le budget cybersécurité d'une PME vous aidera à cadrer l'ensemble.

Quelles exigences de sécurité posent les assureurs ?

Entrons dans le concret. Les assureurs veulent constater que les fondamentaux sont en place avant de signer, et ces exigences se durcissent chaque année. Les exigences minimales les plus courantes sont :

1. L'authentification multifacteur (MFA) sur tous les accès externes, la messagerie et les comptes professionnels. Pas de MFA, pas de police, ou pas d'indemnisation en cas de sinistre.
2. Des sauvegardes opérationnelles avec une procédure de restauration testée, idéalement avec une copie hors ligne ou immuable. Pour un assureur, une sauvegarde jamais testée n'est pas une sauvegarde.
3. Une gestion des correctifs démontrant l'application rapide des mises à jour de sécurité sur les systèmes et les logiciels.
4. Une sensibilisation des collaborateurs, souvent associée à des simulations de phishing.
5. Un plan de réponse aux incidents qui décrit qui fait quoi en cas d'incident.
6. Une sécurité technique de base : pare-feu, protection des terminaux et journalisation, configurés et maintenus.

Ces exigences découlent directement des recommandations du NCSC et des conditions générales des grands assureurs. Pour déployer le MFA en toute sécurité, consultez notre guide pratique de l'authentification à deux facteurs en entreprise ; et pour sensibiliser vos équipes aux cyberrisques, lisez notre article sur la formation de sensibilisation à la sécurité.

Pourquoi une assurance n'empêche pas un piratage

C'est peut-être la partie la plus importante de cet article. Une cyberassurance indemnise les dommages. Elle n'empêche rien. Une entreprise bien protégée est touchée moins souvent et moins durement, et se rétablit plus vite. Une entreprise mal protégée est touchée plus souvent, plus durement, et finit souvent par payer de sa poche, après l'incident, l'atteinte à sa réputation et les clients perdus.

Le NCSC le dit sans détour : la cyberassurance est le dernier maillon de la chaîne, pas un substitut à la sécurité. Les études montrent en outre que les entreprises dotées de sauvegardes bien configurées sont beaucoup moins souvent contraintes de payer une rançon après une attaque par ransomware. Pour avoir une vue d'ensemble de ce qu'implique une bonne protection, consultez notre plan en dix étapes pour protéger votre entreprise contre les hackers et notre checklist cybersécurité complète pour les PME.

Quand une cyberassurance a-t-elle du sens pour votre entreprise ?

Une cyberassurance est presque toujours rentable, à condition d'être abordable et adaptée à votre profil de risque. Mais dans certaines situations, elle devient particulièrement précieuse :

• Vous traitez à grande échelle des données personnelles de clients ou de patients.
• Vous exploitez une boutique en ligne ou une plateforme où une journée d'arrêt se traduit immédiatement en perte de chiffre d'affaires.
• Vous travaillez pour des clients qui exigent explicitement une cyberassurance dans leur évaluation des fournisseurs.
• Vous êtes soumis à des réglementations comme NIS2 ou DORA et souhaitez un filet de sécurité financier face aux conséquences d'un incident.
• Vous venez de traverser un incident et voulez vous prémunir pour l'avenir.

À l'inverse, une police apporte peu tant que votre sécurité n'est pas au niveau. Souscrire une assurance sans MFA ni sauvegardes testées revient à traiter les symptômes : vous obtenez une police truffée d'exclusions qui, en pratique, ne versera rien.

Comment s'y prendre intelligemment ?

Abordez la démarche comme une décision stratégique, pas comme un achat rapide. Voici un ordre qui fonctionne :

1. Mettez votre sécurité à niveau avant de demander un devis. MFA, sauvegardes, correctifs et sensibilisation en sont les piliers. Un partenaire d'infogérance peut vous amener au bon niveau en quelques semaines.
2. Évaluez vos risques. Quelles données traitez-vous, combien de chiffre d'affaires perdez-vous par jour d'arrêt, à quels risques de responsabilité êtes-vous exposé, et quelles réglementations vous concernent ?
3. Demandez des devis à plusieurs assureurs, en leur soumettant des scénarios comparables. Que versent-ils en cas de ransomware avec des sauvegardes testées ? En cas de fuite portant sur les données de 5 000 clients ? Et si l'attaquant est qualifié d'acteur étatique ?
4. Lisez les conditions générales, ou confiez-les à quelqu'un qui a l'expérience des polices cyber.
5. Entretenez activement votre sécurité. Les conditions avantageuses d'aujourd'hui ne vaudront plus rien demain si votre sécurité est laissée à l'abandon.

Pour les entreprises qui souhaitent confier durablement leur sécurité à un spécialiste, notre offre de cybersécurité propose une approche de bout en bout qui répond aussi bien aux exigences des assureurs qu'à celles de NIS2 et des législations connexes.

Questions fréquentes sur la cyberassurance pour les PME

Que couvre exactement une cyberassurance ?

Une cyberassurance couvre généralement les dommages propres causés par des cyberincidents (perte de chiffre d'affaires, frais de remise en état, investigation forensique), les frais de gestion de crise (conseil juridique, communication) et les réclamations de tiers, comme des clients dont les données ont fuité. De nombreuses polices couvrent aussi les frais d'analyse liés au RGPD et, sous conditions strictes, les ransomwares. Lisez toujours les conditions générales, car les détails varient fortement d'un assureur à l'autre.

Combien coûte une cyberassurance pour une PME ?

Les primes démarrent grosso modo à quelques centaines d'euros par an pour une petite entreprise et peuvent atteindre plusieurs milliers d'euros pour une PME plus importante dont le capital assuré se situe entre un demi-million et un million d'euros. Le montant réel dépend de votre chiffre d'affaires, de votre secteur, de votre niveau de sécurité et de la franchise, généralement comprise entre 250 € et 1 000 € par sinistre.

Quelles mesures de sécurité un assureur exige-t-il ?

La plupart des assureurs exigent au minimum l'authentification multifacteur, des sauvegardes testées avec une copie hors ligne, une gestion active des correctifs, une sensibilisation des collaborateurs et un plan de réponse aux incidents. Sans ces mesures, un sinistre peut être refusé ou l'indemnisation réduite, même si la police reste par ailleurs en vigueur.

Une cyberassurance remplace-t-elle une bonne sécurité ?

Non. Le NCSC néerlandais présente expressément la cyberassurance comme le dernier maillon de la chaîne, et non comme un substitut à la sécurité. Une assurance indemnise les dommages, elle n'empêche aucune attaque. Les entreprises qui misent sur la prévention sont touchées moins souvent et moins durement, et se rétablissent plus vite. De plus, les conditions de la police ne jouent que si votre sécurité est démontrablement en ordre.

Les ransomwares sont-ils toujours couverts ?

Pas automatiquement. De nombreuses polices couvrent les incidents de ransomware, mais sous conditions strictes : des sauvegardes dont le bon fonctionnement est démontré, des correctifs appliqués activement, le MFA et aucune négligence avérée. La rançon elle-même est de plus en plus souvent exclue, ou n'est remboursée qu'à des conditions très contraignantes. Une restauration réussie à partir de vos propres sauvegardes est à la fois moins coûteuse et plus rapide.

Conclusion

Une cyberassurance peut être un complément judicieux à votre gestion des risques, mais seulement si les fondamentaux sont en place et que vous comprenez les conditions de votre police. Sans MFA, sauvegardes, correctifs et sensibilisation, vous payez des primes élevées sans réelle perspective d'indemnisation. Avec ces mesures en place, la police devient un filet de sécurité pour les dommages que vous pourriez malgré tout subir.

Vous souhaitez d'abord mettre votre sécurité à niveau, ou obtenir un deuxième avis sur un devis de cyberassurance ? Appelez TRON Group au +31 85 303 5869 ou découvrez notre offre de cybersécurité. Ensemble, nous identifions les mesures qui comptent pour votre entreprise, nous vous aidons à répondre aux exigences des assureurs et nous faisons en sorte que votre police fonctionne non seulement sur le papier, mais aussi dans la pratique.