Assurance cyber pour PME et TPE :
être couvert le jour où le système s'arrête

En détail

Quels paramètres déterminent la qualité du contrat ?

1. Le délai de carence. La perte d'exploitation ne se déclenche qu'après un délai d'indisponibilité fixé au contrat, par exemple 8, 12 ou 24 heures. Pour une activité de production ou de e-commerce, ces heures représentent l'essentiel du préjudice.
2. La période d'indemnisation. Elle court à partir de l'incident, pour une durée fixée au contrat, par exemple 3 ou 6 mois. Vérifiez qu'elle laisse le temps de remettre en état tout le système d'information.
3. Le périmètre technique. Vos données hébergées chez un prestataire cloud sont-elles couvertes ? Et une attaque qui passe par ce prestataire plutôt que par votre réseau ? La réponse varie fortement d'un contrat à l'autre.
4. Les conditions de garantie. Certains contrats subordonnent la garantie au respect de mesures de sécurité précises. Si elles ne sont pas tenues au moment du sinistre, la garantie peut être réduite ou refusée.

Quels prérequis techniques les assureurs exigent-ils ?

Les assureurs cyber demandent en général un questionnaire technique avant d'accepter un risque. Les exigences les plus constantes :

• Sauvegardes régulières, testées, dont au moins une copie déconnectée du réseau : c'est le point numéro un, parce que c'est ce qui décide de la durée de l'arrêt.
• Authentification multifacteur sur les accès distants, les messageries et les comptes administrateurs.
• Mises à jour des systèmes et applicatifs, notamment des équipements exposés sur Internet.
• Protection des postes par antivirus ou solution de détection.
• Sensibilisation des collaborateurs : l'hameçonnage reste le vecteur d'entrée dominant.

La rançon est-elle remboursable ?

Depuis la loi d'orientation et de programmation du ministère de l'Intérieur, le remboursement d'une rançon par un assureur est subordonné au dépôt d'une plainte par la victime dans les 72 heures suivant la connaissance de l'infraction. Cette condition figure désormais à l'article L. 12-10-1 du Code des assurances.

Sur le plan opérationnel, la position des autorités reste de déconseiller le paiement : rien ne garantit la remise d'une clé de déchiffrement fonctionnelle, l'absence de seconde demande, ni l'effacement des données exfiltrées. Un contrat cyber bien construit finance d'abord la restauration, pas la négociation.

Combien cela coûte-t-il, et pour qui est-ce prioritaire ?

Pour une PME de moins de vingt salariés présentant un profil technique correct, une couverture cyber d'entrée de gamme représente un budget annuel de l'ordre de quelques centaines à quelques milliers d'euros, selon le chiffre d'affaires, le secteur et les plafonds retenus. Rapporté au coût d'un arrêt d'une semaine, l'arbitrage est rarement difficile.

Trois profils devraient traiter le sujet en priorité : les sous-traitants industriels travaillant pour de grands donneurs d'ordre, qui l'exigent de plus en plus contractuellement ; les entreprises détenant des données personnelles sensibles (santé, RH, patrimoine) ; et toute activité dont le chiffre d'affaires s'arrête si le système d'information s'arrête. Si vous êtes dans l'un de ces cas, le sujet mérite une étude de votre contrat.

Sources

• Code des assurances, article L. 12-10-1 (rançon et dépôt de plainte) ; règlement (UE) 2016/679 (RGPD), articles 33 et 34 (notification des violations de données) (Légifrance, EUR-Lex). Vérifié le 21/10/2026.

Par Romann Cabral-Vieira, courtier ORIAS 26000465, fondateur de CV Courtage & Conseil · parcours · Mis à jour le 21/10/2026. Page d'information générale : elle ne remplace pas l'étude de votre situation et de votre contrat.