Une cyberattaque n'est pas un problème informatique. C'est un arrêt d'exploitation, une crise juridique et une crise de réputation, simultanément. Et c'est le seul risque majeur d'une PME qui n'est couvert par aucun des contrats qu'elle détient déjà.
Le coût moyen d'une attaque pour une PME française est estimé autour de 190 000 € tous frais confondus. Ce chiffre recouvre rarement la rançon elle-même : il est constitué de l'arrêt d'activité, des honoraires de remédiation et des conséquences contractuelles.
Pourquoi vos contrats actuels ne couvrent pas ce risque
C'est le point le plus mal compris, et il vaut la peine d'être détaillé garantie par garantie.
| Contrat | Ce qu'il couvre | Pourquoi il ne joue pas |
|---|---|---|
| RC professionnelle | Faute commise dans votre prestation causant un dommage à un client | Une intrusion n'est pas une faute professionnelle envers un client identifié |
| Multirisque professionnelle | Dommages matériels aux locaux, matériels et stocks | Le serveur n'est pas endommagé ; seules les données sont chiffrées. Exclusion cyber fréquente |
| Perte d'exploitation classique | Baisse d'activité consécutive à un dommage matériel garanti | Sans dommage matériel préalable, la garantie ne se déclenche pas |
| Protection juridique | Prise en charge de litiges et frais de procédure | Ne couvre ni la remédiation technique, ni la perte de marge, ni la reconstitution des données |
Ce que couvre réellement un contrat cyber
Un contrat cyber correctement construit s'articule autour de trois blocs. C'est la présence simultanée des trois qui fait sa valeur.
1. L'assistance immédiate. C'est la garantie la plus utile et la moins regardée à la souscription. Elle donne accès, 24h/24, à une cellule de crise : expert en réponse à incident, juriste spécialisé, communicant. Sur les premières heures d'une attaque, disposer d'un numéro qui décroche vaut plus que n'importe quel plafond d'indemnisation.
2. Les dommages subis par l'entreprise. Reconstitution des données et remise en état des systèmes, perte d'exploitation pendant l'indisponibilité, frais supplémentaires d'exploitation (location de matériel, prestations externalisées, heures supplémentaires), fraude au virement dans certains contrats, et prise en charge de la rançon sous conditions strictes.
3. La responsabilité envers les tiers. Réclamations de clients dont les données ont fuité, sanctions administratives lorsqu'elles sont assurables, frais de notification et de gestion de la violation au titre du RGPD.
Les quatre paramètres qui déterminent la qualité du contrat
- Le délai de carence. Beaucoup de contrats ne déclenchent la perte d'exploitation qu'après 8, 12 ou 24 heures d'indisponibilité. Pour une activité de production ou de e-commerce, ces heures représentent l'essentiel du préjudice.
- La période d'indemnisation. Elle court à partir de l'incident, pour une durée souvent limitée à 3 ou 6 mois. Or la remise en état complète d'un système d'information sinistré dépasse fréquemment ce délai.
- Le périmètre technique. Vos données hébergées chez un prestataire cloud sont-elles couvertes ? Et une attaque qui passe par ce prestataire plutôt que par votre réseau ? La réponse varie fortement d'un contrat à l'autre.
- Les conditions de garantie. Certains contrats subordonnent la garantie au respect de mesures de sécurité précises. Si elles ne sont pas tenues au moment du sinistre, la garantie peut être réduite ou refusée.
Les prérequis techniques exigés par le marché
Depuis le durcissement du marché cyber, aucun assureur sérieux n'accepte un risque sans questionnaire technique. Les exigences les plus constantes :
- Sauvegardes régulières, testées, dont au moins une copie déconnectée du réseau — c'est le point numéro un, parce que c'est ce qui décide de la durée de l'arrêt.
- Authentification multifacteur sur les accès distants, les messageries et les comptes administrateurs.
- Mises à jour des systèmes et applicatifs, notamment des équipements exposés sur Internet.
- Protection des postes par antivirus ou solution de détection.
- Sensibilisation des collaborateurs : l'hameçonnage reste le vecteur d'entrée dominant.
La question de la rançon
Depuis la loi d'orientation et de programmation du ministère de l'Intérieur, le remboursement d'une rançon par un assureur est subordonné au dépôt d'une plainte par la victime dans les 72 heures suivant la connaissance de l'infraction. Cette condition figure désormais à l'article L. 12-10-1 du Code des assurances.
Sur le plan opérationnel, la position des autorités reste de déconseiller le paiement : rien ne garantit la remise d'une clé de déchiffrement fonctionnelle, l'absence de seconde demande, ni l'effacement des données exfiltrées. Un contrat cyber bien construit finance d'abord la restauration, pas la négociation.
Combien cela coûte, et pour qui c'est prioritaire
Pour une PME de moins de vingt salariés présentant un profil technique correct, une couverture cyber d'entrée de gamme représente un budget annuel de l'ordre de quelques centaines à quelques milliers d'euros, selon le chiffre d'affaires, le secteur et les plafonds retenus. Rapporté au coût d'un arrêt d'une semaine, l'arbitrage est rarement difficile.
Trois profils devraient traiter le sujet en priorité : les sous-traitants industriels travaillant pour de grands donneurs d'ordre — qui l'exigent de plus en plus contractuellement ; les entreprises détenant des données personnelles sensibles (santé, RH, patrimoine) ; et toute activité dont le chiffre d'affaires s'arrête si le système d'information s'arrête. Si vous êtes dans l'un de ces cas, le sujet mérite un audit.