Un dirigeant m'a appelé l'an dernier, trois jours après avoir reçu une demande de rançon de 40 000 €. Sa PME de 22 salariés, un négoce de matériel industriel, tournait sur un vieux serveur sauvegardé... une fois par semaine, sur un disque branché en permanence à la machine. Le ransomware a chiffré les deux. Quand il m'a demandé « et mon assurance, elle couvre ça ? », j'ai dû lui répondre ce que je réponds trop souvent : ça dépend de la clause que personne n'a lue.
Voilà pourquoi choisir une assurance cyber pour sa PME ne ressemble pas du tout à choisir une assurance auto. Vous ne signez pas un contrat pour couvrir un risque identifié et stable. Vous signez un contrat qui vous impose des mesures techniques, qui exclut certaines situations, et qui peut refuser de payer si votre configuration ne correspond pas à ce que vous avez déclaré. Bref : un contrat qui se gagne avant la signature.
Points clés à retenir
- Le plafond se dimensionne sur votre chiffre d'affaires journalier, pas sur un chiffre rond sorti du chapeau.
- Les exclusions (cyber-guerre, négligence, absence de MFA) comptent plus que les garanties affichées en gros.
- Les délais de carence tournent souvent entre 30 et 90 jours : vérifiez-les avant, pas après.
- Un assureur vous demandera MFA, sauvegardes déconnectées et sensibilisation. Sans ça, l'indemnisation saute.
- Le prix d'une couverture PME se situe souvent entre 1 000 et 5 000 € par an pour un plafond de 500 k€ à 1 M€, selon votre secteur et vos mesures.
Assurance cyber PME : comprendre ce que vous achetez vraiment
Une assurance cyber ne remplace pas la sécurité. Elle amortit le choc financier quand la sécurité a échoué. C'est une nuance que beaucoup de dirigeants zappent, et je les comprends : les courtiers vendent ça comme un bouclier.
Concrètement, le contrat couvre généralement quatre blocs. Les frais de gestion de crise (forensique, communication, avocat). La perte d'exploitation liée à l'arrêt d'activité. La responsabilité civile envers les tiers dont les données ont fuité. Et les frais de notification, notamment vis-à-vis de la CNIL quand une violation de données personnelles est caractérisée.
Ce qui est couvert dans 90 % des contrats
J'ai épluché une dizaine de conditions générales pour ce sujet. Les garanties de base reviennent toujours :
- intervention d'un expert technique après incident ;
- frais de restauration des systèmes et des données ;
- perte de marge brute pendant l'interruption ;
- défense juridique en cas de mise en cause ;
- et parfois — c'est variable — la prise en charge d'une éventuelle rançon, sous conditions strictes.
Ce qui n'est presque jamais couvert
Les amendes réglementaires, déjà. Un contrat ne vous remboursera pas une sanction CNIL. Ensuite, tout ce qui touche aux dommages immatériels non quantifiables, à la perte de valeur de marque, aux fautes intentionnelles du dirigeant. Et surtout : les incidents liés à un défaut de mesures de sécurité que vous vous étiez engagé à maintenir.
Cette dernière ligne est un piège. Elle signifie que votre assureur peut vous reprocher de ne pas avoir appliqué ce que vous avez déclaré au moment de la souscription.
Comment dimensionner le plafond sans se tromper
La méthode que j'utilise, et que je défends bec et ongles : on part du pire scénario réaliste, pas d'un plafond conseillé par un courtier pressé.
La formule que j'applique
Prenez votre chiffre d'affaires annuel, divisez par 250 jours ouvrés pour obtenir le CA journalier. Multipliez par le nombre de jours d'arrêt que vous estimez plausibles (comptez large : 15 à 30 jours pour une PME sans plan de reprise). Ajoutez le coût de remédiation technique (souvent 30 000 à 80 000 € pour une PME), les frais juridiques et de notification, et une marge pour la RC.
| Taille de PME (CA) | Arrêt estimé | Plafond souvent pertinent |
|---|---|---|
| 1 à 3 M€ | 5 à 10 jours | 250 000 à 500 000 € |
| 3 à 10 M€ | 10 à 20 jours | 500 000 € à 1 M€ |
| 10 à 30 M€ | 15 à 30 jours | 1 à 3 M€ |
| Au-delà | variable | 3 M€ et plus, souvent en tranches |
Un exemple concret : une PME à 6 M€ de CA, soit 24 000 € par jour ouvré. Un arrêt de 20 jours, c'est près de 500 000 € de CA qui ne rentre pas — et sur cette somme, vous ne perdez que la marge, mais vous payez quand même vos salaires et vos charges. Ajoutez 50 000 € de remédiation. Un plafond à 500 k€ est cohérent, à 1 M€ il laisse respirer.
Le piège que je vois partout : prendre le plafond minimum parce qu'il coûte moins cher. Le jour du sinistre, l'écart entre 250 k€ et 500 k€ de couverture se paie cash sur votre trésorerie.
Exclusions et carences : la grille de lecture qu'on ne vous donne pas
C'est ici que tout se joue, et c'est la partie que les comparateurs de prix passent sous silence. Un contrat à 800 € par an avec un plafond à 1 M€ peut valoir moins qu'un contrat à 2 500 € avec un plafond à 500 k€ si les exclusions sont assassines.
Les exclusions vraiment problématiques
- Cyber-guerre et actes d'État : certains contrats excluent tout incident attribué à un acteur étatique. Problème : la majorité des rançongiciels sont opérés par des groupes criminels, mais l'attribution est floue. Fuyez les clauses trop larges.
- Négligence grave : notion floue. Un mot de passe partagé, c'est de la négligence ? Demandez la définition écrite.
- Défaut de MFA : de plus en plus fréquent. Sans authentification multifacteur sur les accès distants, l'assureur peut refuser.
- Rançongiciel sans mesure de prévention : sauvegardes non testées, absence d'EDR, pas de sensibilisation documentée. Autant de motifs de non-indemnisation.
- Et le grand classique : les frais engagés sans accord préalable de l'assureur. Si vous appelez un expert de votre côté, vous risquez de payer vous-même.
Les délais de carence, souvent entre 30 et 90 jours
Un contrat peut prévoir qu'un incident survenu dans les 60 premiers jours suivant la souscription n'est pas couvert. Logique : l'assureur se protège contre ceux qui souscrivent après avoir détecté une intrusion. Sauf que ce délai s'applique aussi aux sinistres réellement nouveaux. Je recommande de négocier un délai court (30 jours) ou une date de prise d'effet immédiate contre un audit de sécurité préalable.
Le questionnaire de souscription : votre vrai examen
Avant de vous assurer, l'assureur va vous demander de remplir un questionnaire technique. Ce document, c'est votre engagement contractuel. Chaque réponse « oui » devient une promesse que vous devez tenir pendant toute la durée du contrat.
Ce qu'on vous demandera typiquement
Authentification multifacteur sur les accès distants et les comptes à privilèges. Sauvegardes régulières, chiffrées, déconnectées et testées. Gestion des correctifs sur les systèmes exposés. Sensibilisation des collaborateurs au phishing. Plan de réponse à incident, même minimal. Et de plus en plus : une protection des postes (EDR) et une segmentation réseau.
Si vous répondez « oui » sans avoir mis en place la mesure, vous vous exposez à un refus d'indemnisation. Si vous répondez « non », vous payez plus cher ou l'assureur refuse de vous couvrir. La seule bonne réponse est donc de mettre en place les mesures avant de souscrire. C'est un investissement, mais il est souvent inférieur à la surprime.
Les questions qu'on me pose le plus souvent
Quelles solutions de cybersécurité sont disponibles pour les entreprises ?
Une PME n'a pas besoin de tout. Le socle minimal et suffisant pour convaincre un assureur tient en cinq briques : une authentification multifacteur sur tous les accès sensibles, une sauvegarde déconnectée et testée régulièrement (la règle 3-2-1 reste un bon repère), une protection des postes de travail (EDR), une gestion des mises à jour et un plan de réponse à incident écrit, même sur deux pages. À cela s'ajoutent, selon votre secteur, une segmentation réseau et une sensibilisation régulière des collaborateurs au phishing. Le reste — SOC managé, threat intelligence, EDR étendu — se rajoute selon le niveau de maturité.
Quel est le prix d'une assurance cyber ?
Pour une PME, la prime annuelle se situe le plus souvent entre 1 000 et 5 000 € pour un plafond de 500 k€ à 1 M€. Ce prix dépend de votre secteur (santé, finance et industrie sont plus chers), de votre CA, du plafond retenu, du niveau de garanties optionnelles et surtout des mesures techniques déjà en place. Une PME de 10 salariés avec MFA et sauvegardes testées peut s'en sortir autour de 1 200 à 1 800 € par an. Une PME industrielle de 40 salariés sans EDR peut dépasser les 5 000 €.
Quelles sont les conséquences d'une cyberattaque pour une PME ?
Trois conséquences principales, et toutes touchent le compte de résultat. La première, l'arrêt d'activité : plusieurs jours à plusieurs semaines sans produire ni facturer, alors que les charges courent. La deuxième, le coût de remédiation et de communication, souvent sous-estimé. La troisième, la perte de données et la responsabilité vis-à-vis des clients ou partenaires, sans oublier les obligations de notification à la CNIL en cas de violation de données personnelles. Certaines PME ne s'en remettent jamais : la trésorerie ne tient pas le choc.
Quelle est la meilleure assurance pour les entreprises ?
Il n'y a pas de meilleure assurance dans l'absolu, et méfiez-vous de ceux qui prétendent le contraire. La bonne assurance est celle dont les exclusions correspondent à votre risque réel et dont les exigences techniques sont compatibles avec votre niveau de sécurité actuel. Comparez au minimum trois offres en mettant côte à côte : le plafond, la franchise, les exclusions, les délais de carence et les services d'assistance inclus. Un courtier spécialisé aide à décrypter cette grille. Un courtier généraliste, moins.
Ce qu'il faut retenir avant de signer
L'assurance cyber ne se choisit pas comme une garantie de confort. C'est un contrat technique, qui exige que vous ayez fait votre part du travail avant même de remplir le questionnaire. Mettez en place MFA, sauvegardes testées et plan d'incident. Puis dimensionnez votre plafond sur le CA journalier, pas sur un chiffre rond. Et lisez les exclusions ligne par ligne, avec un stylo.
Le dirigeant dont je parlais au début a fini par être indemnisé partiellement. Sa sauvegarde était certes déconnectée... mais pas testée depuis onze mois. La restauration a échoué, et l'assureur a réduit l'indemnisation en invoquant la carence de mesure de prévention. Ce détail — l'absence de test de restauration — ne lui avait coûté que trois heures de travail. Il lui a coûté plusieurs dizaines de milliers d'euros.
La vraie question n'est peut-être pas « quelle assurance choisir ». C'est : que se passera-t-il le jour où mon téléphone sonne à 6 h du matin et où un inconnu me demande une rançon ? Si vous n'avez pas la réponse, aucun contrat ne la donnera à votre place.
