Cyber-assurance : ce que votre assureur vérifiera avant de payer

Le contrat qu'on signe sans le lire

La cyber-assurance entre rarement dans une PME par la grande porte. Le courtier propose une extension au moment du renouvellement, un questionnaire de deux pages circule, quelqu'un le remplit entre deux réunions, la garantie s'ajoute au contrat multirisque et le sujet est classé.

Il ressort dix-huit mois plus tard, un lundi matin, quand les fichiers sont chiffrés et que la direction demande à qui envoyer la facture. On lit alors le contrat pour la première fois. On y découvre en même temps les conditions de déclaration, les exclusions, et la valeur exacte de ce qui avait été coché dans le questionnaire.

Les 72 heures que presque personne ne connaît

La loi LOPMI du 24 janvier 2023 a créé l'article L.12-10-1 du code des assurances. En vigueur depuis le 24 avril 2023, il subordonne l'indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. La règle vise les contrats souscrits dans le cadre d'une activité professionnelle.

Ces 72 heures ressemblent à celles du RGPD, et c'est précisément le piège. Deux délais distincts, deux destinataires différents, qui courent en parallèle.

Une entreprise attaquée un vendredi soir passe en général le week-end à tenter de restaurer ses serveurs, et appelle son assureur le mardi. Le délai s'est écoulé. Sur le fond elle a eu raison de s'occuper d'abord de la production, mais la plainte n'attend pas le retour à la normale, et un dépôt de plainte prend une heure.

Un point rassurant au passage : la garantie n'est pas suspendue au sort de la plainte. Elle doit être déposée, pas aboutir. Un classement sans suite, qui reste l'issue la plus fréquente, ne change rien à l'indemnisation.

Le questionnaire de souscription est un audit déguisé

Les assureurs ne vendent plus de garantie cyber sans vérifier un socle de mesures. Le questionnaire n'a l'air de rien, deux ou trois pages de cases à cocher, mais chaque réponse devient une déclaration contractuelle.

Ces neuf points recoupent presque intégralement ce que demandent les questionnaires de sécurité de vos clients. Autant faire le travail correctement une fois, plutôt que deux fois à moitié.

La sanction d'une réponse arrondie

C'est la partie que les dirigeants découvrent le plus tard, et elle est autrement plus dure que les exclusions.

L'article L.113-8 du code des assurances prévoit la nullité du contrat en cas de réticence ou de fausse déclaration intentionnelle qui change l'objet du risque ou en diminue l'opinion pour l'assureur. Les primes versées restent acquises à l'assureur. Pas d'indemnisation, pas de proportion, rien.

L'article L.113-9 traite l'inexactitude non intentionnelle. Découverte après le sinistre, elle entraîne une réduction de l'indemnité en proportion du rapport entre la prime payée et celle qui aurait été due si le risque avait été déclaré exactement. Concrètement, une entreprise peut toucher 40 % de son préjudice à cause d'une case cochée trop vite dix-huit mois plus tôt.

Tout se joue donc sur l'intention, et je ne connais personne qui ait envie d'en débattre avec un expert d'assurance pendant qu'il reste trois semaines de production à rattraper. La règle que je donne est toujours la même : ne cochez que ce que vous pourriez prouver le jour même, document à l'appui. Un « non » assumé coûte une surprime, parfois une réserve. Un « oui » invérifiable coûte la garantie.

Le point le plus souvent surestimé reste l'authentification multifacteur. Activée sur la messagerie, elle donne une réponse « oui » de parfaite bonne foi, alors que le VPN et les comptes d'administration en sont dépourvus. C'est-à-dire exactement les deux accès que l'assureur avait en tête.

Ce que le contrat ne couvrira pas

Les exclusions occupent quelques pages en petits caractères, mais quatre d'entre elles reviennent dans la quasi-totalité des polices et méritent une lecture avant signature.

La première concerne les vulnérabilités connues et non corrigées. Un correctif publié depuis des mois et jamais appliqué transforme le sinistre en négligence caractérisée, et c'est le motif de refus le plus fréquent après les fausses déclarations. La deuxième vise les systèmes en fin de support : un serveur qui ne reçoit plus de mises à jour de sécurité sort souvent du périmètre garanti, parfois sans que personne dans l'entreprise ne l'ait remarqué.

La troisième porte sur les actes étatiques. Depuis 2023, les clauses d'exclusion de cyberguerre issues du marché de Londres figurent dans une large part des contrats. Leur rédaction est large, et l'attribution d'une attaque à un État reste une question ouverte que l'on préfère ne pas avoir à trancher après coup.

La dernière est celle qui surprend le plus, la fraude au virement. Le faux ordre de virement et l'arnaque au président relèvent en général d'une garantie distincte, ou d'une sous-limite très inférieure au plafond principal. Le cas est classique : un dirigeant persuadé d'être couvert par sa police cyber, et qui l'est en réalité pour 50 000 € quand le virement en faisait 400 000.

Le marché de 2026 est plus accueillant qu'il n'y paraît

L'étude LUCY 2026 de l'AMRAE, qui porte sur l'exercice 2025 et analyse près de 21 000 polices, décrit un marché en pleine détente tarifaire. Les taux de prime reculent de 32 % pour les grandes entreprises et de 23 % pour les ETI, les franchises baissent aussi, et le nombre d'assurés progresse fortement : les entreprises de taille moyenne couvertes ont presque doublé sur l'exercice.

Le revers est net. Le nombre de sinistres indemnisés a bondi de 179 %, le montant total indemnisé atteint 83,2 millions d'euros, et le ratio sinistres sur primes des ETI est passé de 13 % à 42 % en un an.

Si vous avez renoncé à vous assurer il y a deux ans, pour des raisons de prix ou parce que les exigences techniques vous semblaient hors d'atteinte, l'exercice vaut d'être refait : la situation n'est plus la même. Je serais en revanche surpris que la fenêtre reste ouverte longtemps. Quand les primes d'un marché baissent d'un tiers pendant que sa sinistralité triple, le rattrapage finit par arriver, et il commence toujours par un durcissement des conditions de souscription.

Une précision sur ces chiffres : ils reposent sur les portefeuilles remontés par des courtiers de grandes entreprises et d'ETI. Les TPE et PME restent le point aveugle des statistiques françaises. Cela ne veut pas dire qu'elles sont peu attaquées, seulement qu'elles sont peu assurées.

Aborder le renouvellement autrement

Trois semaines avant l'échéance, ressortez le questionnaire de l'an dernier et relisez-le ligne à ligne. Pour chaque « oui », posez la question du document : qu'est-ce que je sors si on me le demande demain ? Ce qui ne tient pas, vous le corrigez maintenant ou vous rectifiez la réponse.

Faites une restauration réelle avant l'échéance et gardez le compte rendu daté. Cette pièce sert au questionnaire d'assurance, elle sert aux questionnaires clients, et le jour où elle sert vraiment, elle vaut tout le reste. Si votre plan de reprise n'existe qu'à l'état d'intention, la différence entre un PCA et un PRA est le bon point de départ.

Vérifiez ensuite ce que couvre le plafond. Les frais de réponse à incident, la perte d'exploitation, la reconstitution des données et la responsabilité envers les tiers ne se partagent pas toujours la même enveloppe. Et regardez la sous-limite de la garantie fraude, séparément du reste.

Reste une page à écrire, la plus utile de toutes : qui appelle qui dans les 72 heures. Qui dépose plainte, qui prévient l'assureur, qui décide de la notification à la CNIL, avec les numéros à jour. Elle se rédige en une heure et ne se rédige pas pendant une crise. Sa place est dans votre politique de sécurité.

En résumé

Une cyber-assurance ne remplace pas la sécurité, elle en dépend. Le contrat suppose que vous avez déclaré vrai, que vous déposerez plainte dans les 72 heures et que vous n'avez pas laissé traîner un correctif critique pendant six mois. Rien de tout cela ne se prépare pendant le sinistre.

Vous allez renouveler votre police et vous voulez savoir ce que vous pourriez réellement prouver, ou vous avez un questionnaire de souscription sur le bureau ? Parlons-en 30 minutes, sans engagement.