// Guide pratique · Cybersécurité B2B
Assurance cyber pour PME : bien se préparer avant de souscrire
Démonstration éditoriale · sections balisées// En bref
Souscrire une assurance cyber a de quoi rassurer. En réalité, elle ne fait que la moitié du chemin : elle prend en charge une partie du coût d'une attaque, mais seulement si votre entreprise a déjà mis en place un minimum de protections (MFA, sauvegardes isolées, EDR, correctifs à jour) et si vous respectez la règle des 72 heures le jour de l'incident. Tout se joue donc avant de signer : comprendre les garanties, repérer les exclusions qui vident un contrat de son intérêt, et préparer sereinement votre dossier d'assurabilité.
// 01 · Pourquoi s'assurer
Votre PME a-t-elle vraiment besoin d'une assurance cyber ?
Pendant longtemps, les cyberattaques ont semblé réservées aux grands groupes. Ce n'est plus le cas, et les chiffres parlent d'eux-mêmes : d'après le Panorama de la cybermenace 2025 de l'ANSSI, les TPE, PME et ETI représentent désormais 48 % des victimes de rançongiciels, contre 37 % un an plus tôt. Rien ne vous oblige à souscrire une assurance cyber. Mais dès lors que votre activité tient debout grâce à vos outils numériques, la question mérite que vous vous y arrêtiez, plutôt que de la repousser à plus tard.
La partie complète traitera :
- le coût réel d'une attaque pour une PME, chiffres à l'appui
- ce que l'assurance prend en charge, et ce qu'elle ne réparera jamais (arrêt d'activité, confiance abîmée)
- assurance dédiée ou garantie incluse dans un contrat multirisque : ce qui change vraiment
// 02 · Couverture
Ce que couvre, et ne couvre pas, une assurance cyber
Deux contrats peuvent afficher le même prix et ne pas vous protéger de la même manière. La vraie différence se cache rarement dans les arguments mis en avant, et bien plus souvent dans les petites lignes. Avant même de comparer des offres, apprenez à repérer cette frontière entre ce qui est pris en charge et ce qui ne l'est pas. C'est souvent là, dans les exclusions, que se joue l'utilité réelle d'une police.
- Frais de gestion et de notification d'une violation de données
- Restauration du système d'information et des données
- Pertes d'exploitation liées à l'arrêt d'activité
- Expertise forensic et gestion de crise
- Frais juridiques et de communication
- Sous conditions, le paiement d'une rançon
- Vulnérabilité connue laissée non corrigée
- Mesures déclarées mais absentes (MFA, sauvegardes, EDR)
- Négligence ou erreur de configuration manifeste
- Systèmes en fin de vie (Windows 7, par exemple)
- Responsabilité civile, qui relève d'une autre garantie
Beaucoup de contrats ne vous indemnisent que si les mesures déclarées sont réellement en place le jour de l'attaque. Une case cochée un peu vite, par optimisme, et c'est toute la garantie qui peut tomber au pire moment.
// 03 · Assurabilité
Les prérequis techniques : ce que l'assureur contrôle avant de vous couvrir
Il y a quelques années, souscrire une assurance cyber tenait sur une page. Aujourd'hui, le questionnaire d'assurabilité ressemble à un véritable audit de sécurité. Et ce que vous y déclarez n'a rien d'une formalité : l'assureur le vérifie, et il vous le rappellera le jour où vous ferez appel à lui. Une mesure annoncée mais absente au moment de l'attaque, et votre couverture peut se réduire à néant.
Le socle technique devenu non négociable
Six mesures reviennent dans presque tous les questionnaires. Aucune n'est là par hasard : chacune vient bloquer un mode d'attaque bien précis, et c'est justement ce qui explique l'insistance des assureurs.
MFA sur les accès exposésLes assureurs l'exigent sur la messagerie, les accès distants et, surtout, les comptes administrateurs. Ces trois portes concentrent le vol d'identifiants, qui reste le premier moyen d'entrée des attaquants. Le piège est classique : vous déclarez « MFA activée » alors que, dans les faits, seuls les dirigeants l'utilisent. Cet écart entre le papier et la réalité peut suffire à faire sauter la garantie.
Sauvegardes isolées, immuables et testéesUne copie hors ligne ou immuable est aujourd'hui attendue, et pour une bonne raison : les rançongiciels récents s'en prennent d'abord aux sauvegardes accessibles en ligne, histoire de vous couper toute issue. Autre point souvent négligé : une sauvegarde jamais restaurée pour de vrai reste une simple promesse. C'est pourquoi les questionnaires posent désormais la question des tests de restauration.
EDR ou MDR, pas un simple antivirusLa détection comportementale sur les postes et serveurs (EDR), idéalement supervisée en continu (MDR ou Micro-SOC), a pris le relais de l'antivirus de signature. L'idée n'est plus seulement de bloquer une menace connue, mais de repérer un comportement anormal et de l'endiguer avant qu'il ne tourne à l'incident majeur. Sans cette détection active, le refus d'indemnisation devient quasi systématique.
Gestion des correctifsC'est sans doute le point qui piège le plus d'entreprises. Un simple retard sur une faille déjà connue peut justifier un refus, et un système en fin de vie comme Windows 7 ferme carrément la porte à la souscription. Mieux vaut donc tenir un inventaire à jour de vos équipements et de leurs vulnérabilités que de corriger au coup par coup, dans l'urgence.
Filtrage des e-mails et sensibilisationL'e-mail reste l'une des portes d'entrée préférées des attaquants. La parade se joue à deux niveaux : un filtrage anti-phishing en amont, et des collaborateurs sensibilisés en aval. Négliger l'un des deux, c'est laisser la brèche ouverte.
Segmentation et moindre privilègeCloisonner votre réseau et limiter les droits d'administration empêche une intrusion isolée de gagner tout le système d'information. D'après les analyses de sinistres des assureurs, ces réflexes de bon sens, au même titre que la MFA, auraient permis d'éviter ou de contenir bon nombre d'incidents.
Le questionnaire d'assurabilité : déclarer juste, prouver, tracer
Bonne nouvelle : le problème des PME, ce n'est pas toujours l'absence de protections. Bien souvent, les mesures existent, mais les preuves sont éparpillées, incomplètes ou trop anciennes. Or une affirmation du type « nos sauvegardes sont testées » ne vaut que si vous pouvez la rattacher à un périmètre clair et à une trace récente : un rapport de sauvegarde, une capture de configuration, un inventaire, la liste des comptes à privilèges. C'est tout l'intérêt d'un audit, qui transforme vos déclarations en preuves solides.
Rassurez-vous, personne n'attend de vous une sécurité irréprochable. Ce que l'assureur cherche, c'est une image honnête et vérifiable de votre niveau réel. Et cela pèse directement sur la facture : un dossier bien étayé le met en confiance et allège la prime, quand un dossier flou la fait grimper, ou vous ferme la porte.
// 04 · Obligation légale
La règle des 72 heures : la clause qui peut annuler votre indemnisation
Voici le point que la plupart des comparatifs passent sous silence, alors qu'il peut absolument tout changer. Votre contrat a beau être en règle, votre prime payée et vos garanties bien choisies : si vous ne déposez pas plainte à temps, l'assureur est en droit de ne rien vous verser.
Ce que dit la loi LOPMI
Depuis la loi LOPMI, une entreprise victime d'une cyberattaque n'est indemnisée que si elle a déposé plainte dans les 72 heures suivant la découverte de l'incident. La règle est inscrite à l'article L.12-10-1 du Code des assurances. Elle ne concerne pas que le remboursement d'une éventuelle rançon : elle couvre l'ensemble de vos pertes et dommages. Et attention, un simple pré-dépôt de plainte ne suffit pas à la satisfaire.
Le compte à rebours démarre dès que vous découvrez l'incident, pas une fois qu'il est réglé. La plainte se dépose auprès de la police, de la gendarmerie ou du procureur, et c'est à vous, en tant qu'assuré, d'en apporter la preuve.
Comment l'intégrer à votre réponse à incident
Ce réflexe ne s'improvise pas dans la panique du jour J, il se prépare tranquillement en amont. Deux décisions à prendre dès aujourd'hui. D'abord, désignez qui déclenche le dépôt de plainte, et sous quel délai interne. Ensuite, prévoyez d'activer sans attendre l'assistance incluse dans votre contrat : elle peut vous aider à qualifier l'incident et à monter le dossier pendant que le chrono tourne. Une entreprise qui a déjà répété ce scénario protège son indemnisation. Une entreprise prise de court la perd parfois pour un simple retard administratif.
// 05 · Budget
Combien coûte une assurance cyber ?
Cette partie expliquera ce qui fait varier la prime (chiffre d'affaires, secteur, maturité cyber, franchises et plafonds), sans fourchette inventée. Les ordres de grandeur seront ajoutés une fois sourcés et datés.
- ce qui pèse sur le prix, et ce qui le fait baisser
- franchise, plafonds et sous-limites : les chiffres qui comptent vraiment
// 06 · Décision
Comment choisir : les critères qui comptent
Une grille de lecture pour comparer sans se noyer : périmètre des garanties, exclusions, plafonds, qualité de l'assistance en cas de crise, et articulation avec vos mesures existantes. Format prévu : checklist de décision.
// 07 · FAQ
Questions fréquentes
Bloc FAQ prévu avec données structurées schema.org/FAQPage : « L'assurance cyber est-elle obligatoire ? », « Suis-je assurable sans EDR ? », « L'assureur rembourse-t-il la rançon ? », « Que couvre-t-elle si l'attaque vient d'un sous-traitant ? ».
// Ce qu'il faut retenir
- une assurance cyber ne vous protège vraiment que si les mesures déclarées sont bien en place ;
- le questionnaire est devenu un audit : dites la vérité, et gardez de quoi la prouver ;
- la règle des 72 heures conditionne votre indemnisation, préparez le dépôt de plainte à l'avance ;
- les exclusions comptent autant que les garanties, prenez le temps de les lire.
Ce guide est un exemple éditorial réalisé à titre de démonstration. Il ne peut être reproduit, republié ou utilisé sans accord écrit préalable de son autrice. Recherche et structuration assistées, rédaction et validation éditoriale humaines.
// Sources
- ANSSI — Panorama de la cybermenace 2025rançongiciels · PME
- Code des assurances — article L.12-10-1 (loi LOPMI)règle des 72 h