Risques cyberattaque assurés : garanties et limites

10 min de lecture

Un dirigeant qui découvre que ses fichiers sont chiffrés ne cherche pas d’abord un article de vocabulaire. Il veut savoir si son activité peut redémarrer, si les données de ses clients sont sorties et qui va payer la facture. La question des risques cyberattaque assurés se lit donc dans cet ordre : les menaces et leurs effets concrets d’un côté, les garanties capables d’absorber le choc de l’autre.

Comprendre les cyber-risques avant de parler garanties

Un cyber-risque est une atteinte au système d’information ou aux données de l’entreprise qui produit une perte financière mesurable. Cette définition large explique pourquoi les assureurs ne vendent pas une garantie unique, mais un assemblage de périls distincts : interruption d’activité, perte de données, fraude au paiement, responsabilité envers des tiers. Chaque péril a son mode de déclenchement et donc ses conditions de prise en charge. Un contrat peut très bien indemniser la reconstruction du système et refuser la fraude au virement, ou l’inverse.

Rançongiciel, hameçonnage, malware : les attaques qui déclenchent un sinistre

Le vocabulaire technique recouvre des scénarios très différents, et il vaut mieux les distinguer avant de comparer des offres. Les tentatives téléphoniques, par exemple, s’appuient souvent sur des numéros signalés comme dangereux que la victime identifie après coup.

• Le rançongiciel, ou ransomware, chiffre les fichiers et réclame une rançon. Il provoque l’arrêt immédiat de l’activité et reste la menace la plus fréquente chez les petites structures.
• L’hameçonnage, ou phishing, pousse un salarié à livrer un identifiant, à valider un virement ou à ouvrir une pièce jointe piégée.
• Le malware s’installe sans bruit et prépare le terrain pour une attaque plus lourde.
• L’intrusion réseau suppose qu’un accès est obtenu puis conservé, parfois pendant des semaines, le temps de repérer les données les plus vendables.
• Le vol de données débouche sur une violation de données personnelles, avec obligation d’informer les personnes concernées et risque de sanction administrative.
• La fraude informatique, notamment le faux ordre de virement international, détourne des fonds grâce à un courriel ou un document crédible.
• Le déni de service rend un site ou un service en ligne inaccessible en le saturant de requêtes.

Ces menaces partagent un point commun : elles sont massives, automatisées et peu coûteuses à lancer. Elles ne dépendent ni de la région, ni de la météo, ni du carnet d’adresses. Une entreprise peut être touchée deux fois en un an, et la seconde attaque exploite souvent la faille laissée par la première.

Conséquences d’une cyberattaque sur l’activité et la trésorerie

Le premier choc est opérationnel. Le système d’information se bloque, la production s’arrête, les devis ne partent plus, les livraisons sont suspendues. Le deuxième est financier : perte de chiffre d’affaires, heures d’expertise informatique, reconstruction des serveurs, parfois paiement d’une rançon. Le troisième est juridique, avec la violation des données clients et les notifications à envoyer. Le dernier est réputationnel, plus lent, plus diffus, et souvent le plus difficile à chiffrer. Protéger son activité des piratages revient donc à identifier lequel de ces fronts coûterait le plus cher à l’entreprise si elle devait y faire face seule.

Les postes de dépenses observés après un sinistre se ressemblent d’une entreprise à l’autre.

• arrêt de la facturation, de la production ou des livraisons ;
• perte d’accès aux dossiers clients, aux devis et aux données comptables ;
• frais techniques de diagnostic, de reconstruction et de remplacement du matériel ;
• obligations liées à la violation de données personnelles ;
• perte d’un marché ou départ de clients qui ne peuvent plus être servis.

Un sinistre cyber se distingue aussi par sa durée. Les conséquences s’étalent sur plusieurs semaines, entre la remise en état technique, la reprise progressive de l’activité et les éventuelles procédures. Une trésorerie déjà tendue supporte mal ce décalage entre les dépenses immédiates et les encaissements reportés. C’est précisément là que l’assurance joue son rôle, à condition d’avoir été calibrée avant l’attaque.

Ce qu’une assurance cyber-risques prend en charge, et ce qu’elle laisse de côté

Aucun contrat standard n’existe. Les assureurs construisent leurs offres par blocs, avec des niveaux de garantie et des plafonds différents. Le tableau ci-dessous donne les postes que l’on retrouve le plus souvent, et les points à vérifier ligne par ligne.

Poste de préjudice	Prise en charge fréquente	Point de vigilance
Pertes d’exploitation	Indemnisation du chiffre d’affaires non réalisé pendant l’interruption	Franchise exprimée en heures ou en jours, plafond par sinistre
Restauration des données et des systèmes	Frais de remise en état, reconstruction du système d’information, remplacement de matériel	Refus possible lorsque les sauvegardes étaient inexistantes ou jamais testées
Rançongiciel	Prise en charge de la rançon uniquement si le contrat la prévoit	Accord préalable de l’assureur et déclaration aux autorités exigés
Violation de données personnelles	Frais de notification, accompagnement juridique, communication de crise	Sanctions administratives généralement exclues ou fortement plafonnées
Fraude au virement	Garantie dédiée aux faux ordres de virement international	Double validation des paiements et contrôles internes souvent imposés
Atteinte à la réputation	Frais de communication et de relations presse	Perte de clientèle rarement chiffrable, donc rarement indemnisée
Responsabilité envers les tiers	Défense pénale et civile, indemnisation des clients touchés	Recoupement possible avec d’autres garanties de responsabilité

Une violation de données qui touche les clients peut aussi mobiliser l’assurance de responsabilité civile professionnelle, souvent oubliée par les indépendants, car les deux contrats se complètent plus qu’ils ne se remplacent.

Franchise, plafond et exclusions : les trois limites qui décident de l’indemnisation

La franchise est la part qui reste à la charge de l’entreprise, souvent exprimée en heures d’interruption ou en pourcentage de la perte. Le plafond fixe le montant maximal indemnisé par sinistre, parfois par année d’assurance. Les exclusions, elles, écartent des situations entières : absence de sauvegardes, logiciel non mis à jour alors que le correctif était disponible, négligence caractérisée, pertes indirectes non chiffrables. Trois questions suffisent pour tester une offre : combien l’entreprise paie avant d’être indemnisée, jusqu’à quel montant, et pour quels scénarios la garantie ne joue pas.

L’accompagnement compte autant que l’indemnisation. Une cellule disponible en continu, capable de mobiliser un expert en gestion de crise, un informaticien et un conseil juridique dans les premières heures, réduit souvent la facture finale bien plus qu’un plafond élevé. Ce service figure dans la plupart des contrats dédiés, mais son étendue varie : certains prévoient une assistance téléphonique, d’autres une intervention sur site.

TPE, PME, ETI : qui est exposé et qui est réellement couvert

La taille de l’entreprise ne protège plus. Les chiffres publiés par les acteurs du marché et les autorités donnent la mesure du phénomène.

• en 2024, la cybercriminalité aurait coûté plus de 100 milliards d’euros aux entreprises françaises ;
• environ 40 % des victimes de rançongiciels sont des TPE, des PME ou des ETI ;
• le coût médian d’une attaque se situe autour de 50 000 euros, avec des écarts importants selon le secteur et la taille ;
• plus d’une entreprise française sur deux aurait subi une cyberattaque sur une période récente, selon les estimations diffusées ;
• la couverture reste très inégale : une large majorité des grandes entreprises disposent d’une assurance cyber, contre une petite minorité d’ETI et de PME.

Le décalage entre exposition et couverture s’explique rarement par le prix. Beaucoup de dirigeants considèrent que leur activité est trop petite pour intéresser un attaquant, alors que les campagnes sont automatisées et ne ciblent plus des entreprises en particulier. D’autres pensent que leur multirisque professionnelle suffit, ce qui est rarement le cas : la multirisque couvre les locaux, le matériel et parfois le vol, pas l’interruption d’activité liée à un rançongiciel ni la violation de données.

Le secteur modifie l’exposition. Une étude de notaires, un cabinet de santé, un commerce qui encaisse en ligne ou un industriel connecté à ses machines n’ont ni les mêmes données à protéger, ni les mêmes conséquences à craindre. À taille égale, deux entreprises peuvent donc avoir besoin de plafonds très différents.

Après une cyberattaque : plainte, déclaration et premières démarches

La réaction des premières heures pèse sur l’indemnisation. Un réflexe fréquent consiste à éteindre ou à réinstaller les machines touchées, ce qui efface les traces utiles à l’expertise. Isoler les postes du réseau, sans tout détruire, préserve les journaux et les courriels qui serviront à établir l’origine et l’ampleur de l’attaque.

Les démarches à engager sans attendre

• prévenir l’assureur ou la cellule d’assistance mise à disposition par le contrat, qui déclenche l’expertise ;
• déposer plainte auprès des autorités compétentes, en respectant le délai légal ;
• notifier la violation de données à la CNIL lorsque des données personnelles sont concernées ;
• conserver les journaux, les courriels suspects, les captures d’écran et les échanges avec les attaquants ;
• informer les clients et les partenaires dont les données ou les échanges sont touchés.

Le dépôt de plainte, condition fréquente de l’indemnisation

Le cadre légal a été renforcé ces dernières années. Un chapitre du Code des assurances issu de la loi d’orientation et de programmation du ministère de l’Intérieur encadre l’assurance des risques de cyberattaques. Il s’applique aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle, et subordonne l’indemnisation au respect de plusieurs conditions, dont le dépôt d’une plainte dans un délai de 72 heures après la connaissance de l’atteinte au système de traitement automatisé de données. La date exacte du dépôt et les justificatifs demandés par l’assureur doivent être conservés, car ils conditionnent la suite du dossier.

Les règles de déclaration d’un sinistre professionnel se retrouvent dans presque tous les contrats : délai court, formulaire à compléter, pièces justificatives à fournir. Un dossier incomplet ou déposé trop tard peut suffire à réduire l’indemnisation, même lorsque l’attaque est manifestement couverte.

Calibrer sa couverture et réduire son exposition

Les offres se classent en trois niveaux, du socle technique à la couverture élargie.

• un socle orienté restauration : remise en état des systèmes, pertes d’exploitation limitées, pas de fraude au virement ;
• une formule intermédiaire : ajout de la violation de données, de la communication de crise et de la garantie fraude ;
• une couverture large : responsabilité envers les tiers, défense pénale, plafonds élevés et assistance renforcée.

Le bon niveau dépend moins du chiffre d’affaires que de trois éléments : la dépendance de l’activité à l’informatique, la sensibilité des données détenues et la capacité de l’entreprise à redémarrer seule. Un cabinet qui conserve des dossiers clients sur un serveur unique n’a pas la même exposition qu’un atelier dont les machines sont pilotées manuellement.

La prévention reste le premier poste de réduction du risque et elle influence directement les conditions d’assurance. Des sauvegardes testées régulièrement, une double validation des paiements, une authentification à deux facteurs sur les messageries et un exercice de crise annuel changent la donne. Les recommandations publiques de l’ANSSI en matière d’hygiène informatique constituent une base de travail utile pour les structures sans service informatique interne. Ces mesures ne suppriment pas le risque, mais elles raccourcissent l’interruption d’activité et évitent certaines exclusions.

Concrètement, la démarche utile tient en trois étapes : lister les données et les outils dont l’arrêt bloque l’entreprise, vérifier que les sauvegardes sont réellement restaurables, puis demander plusieurs devis en comparant plafond, franchise, exclusions et accompagnement plutôt que le seul montant de la cotisation. La cyberassurance s’apprécie à l’instant du sinistre, pas à celui de la signature, et protéger son activité des piratages commence par cette vérification.

Toutes les entreprises sont-elles assurables contre le risque cyber ?

Non. L’assurabilité dépend de l’état du système d’information au moment de la souscription. Un assureur peut refuser un dossier sans sauvegardes, sans gestion des mots de passe ou sans mise à jour des logiciels, ou n’accepter qu’avec des garanties réduites et des mesures correctives à mettre en place. Le questionnaire de souscription sert précisément à mesurer ce niveau de maturité, et il vaut mieux le remplir avec exactitude pour éviter un refus d’indemnisation plus tard.

Une multirisque professionnelle couvre-t-elle déjà une cyberattaque ?

Rarement. La multirisque protège les locaux, le matériel et parfois les pertes d’exploitation consécutives à un dégât matériel. Une attaque informatique ne relève pas de cette logique, sauf extension spécifique. Certaines offres incluent une garantie fraude ou une assistance informatique de base, sans commune mesure avec les plafonds d’un contrat cyber dédié.

Faut-il porter plainte pour être indemnisé après une cyberattaque ?

Dans la plupart des contrats récents, oui, et dans un délai bref après la connaissance de l’atteinte. La plainte permet à l’assureur de vérifier la réalité du sinistre et de se retourner éventuellement contre les auteurs. Le justificatif de dépôt doit être transmis avec la déclaration, et une copie conservée par l’entreprise.

Le paiement de la rançon est-il remboursé par l’assureur ?

Cela dépend du contrat. Certains prennent en charge la rançon sous conditions strictes : accord préalable de l’assureur, déclaration aux autorités, recours à un prestataire spécialisé. D’autres l’excluent totalement, en rappelant que payer ne garantit pas la récupération des données et encourage les attaquants. Payer sans prévenir l’assureur prive souvent l’entreprise de toute indemnisation sur ce poste.

Une TPE de trois salariés a-t-elle vraiment besoin d’une assurance cyber ?

Elle en a besoin si ses données, sa facturation ou sa relation client reposent sur des outils informatiques, ce qui concerne la quasi-totalité des petites structures. Le risque n’est pas proportionnel à la taille mais à la dépendance. Le coût d’un rançongiciel se situe souvent dans une fourchette que beaucoup de TPE ne peuvent pas absorber sans fragiliser leur trésorerie.

Quelles preuves conserver après une attaque informatique ?

Les journaux du système, les courriels suspects, les captures d’écran des messages de rançon, les échanges avec le prestataire informatique et le récépissé de dépôt de plainte. Ces éléments datent l’attaque, mesurent son ampleur et étayent la déclaration. Reconstruire les faits de mémoire plusieurs semaines plus tard est beaucoup plus difficile.

L’auteur

Hugo Marchand

Expert en prévention des risques

Mon terrain sur ce site : sécurité des ateliers et cyber-risques.

Voir tous ses articles

Votre avis compte

Cet article vous a-t-il été utile ?

4,8sur 5658 votes

Notez cet article :

Commentaires

Soyez le premier à réagir.

Site web (à laisser vide)

Nom

E-mail

Message

J’accepte que mon message soit publié après relecture. Votre adresse ne sera pas publiée ; pour toute question sur vos données, passez par le formulaire de contact.

Envoyer le commentaire