// Guide pratique · Cybersécurité B2B
Assurance cyber pour PME : bien se préparer avant de souscrire
Démonstration éditoriale · sections balisées// En bref
Une assurance cyber peut aider à limiter la facture après une attaque. Mais elle ne couvre pas tout, ni dans toutes les situations. Les garanties dépendent du contrat, et l'assureur va aussi s'intéresser aux protections déjà en place dans votre entreprise.
Avant de souscrire, mieux vaut donc savoir ce que vous signez et préparer les informations qui vous seront demandées. Et si une attaque survient, le délai de 72 heures pour porter plainte peut compter pour l'indemnisation.
// 01 · Pourquoi s'assurer
Votre PME a-t-elle vraiment besoin d'une assurance cyber ?
Les PME sont loin d'être épargnées par les rançongiciels. D'après le Panorama de la cybermenace 2025 de l'ANSSI, les TPE, PME et ETI représentent 48 % des victimes de rançongiciels portées à la connaissance de l'Agence en 2025, contre 37 % en 2024.
Rien ne vous oblige à souscrire une assurance cyber. Mais si vos outils numériques sont indispensables pour travailler, une attaque peut vite avoir des conséquences très concrètes : activité bloquée, données inaccessibles, frais à engager… L'assurance peut alors être une piste à regarder, à condition de savoir ce qu'elle couvre vraiment.
La partie complète traitera :
- le coût réel d'une attaque pour une PME, chiffres à l'appui
- ce que l'assurance peut prendre en charge, et les conséquences qu'elle ne peut pas effacer, comme la perte de confiance de certains clients
- assurance dédiée ou garantie incluse dans un contrat multirisque : ce qui change vraiment
// 02 · Couverture
Ce que couvre, et ne couvre pas, une assurance cyber
Deux contrats au même prix ne vous protégeront pas forcément de la même manière. Certaines garanties peuvent être incluses dans l'un et absentes, ou beaucoup plus limitées, dans l'autre. Avant de comparer les tarifs, regardez donc précisément ce qui est couvert, jusqu'à quel montant et dans quelles situations. Les exclusions méritent la même attention.
- Frais de gestion et de notification d'une violation de données
- Restauration du système d'information et des données
- Pertes d'exploitation liées à l'arrêt d'activité
- Expertise forensic et gestion de crise
- Frais juridiques et de communication
- Selon le contrat, certains frais liés à une demande de rançon
- Vulnérabilités connues et non corrigées
- Mesures de sécurité déclarées lors de la souscription
- Logiciels ou systèmes qui ne sont plus maintenus
- Circonstances dans lesquelles une erreur ou une négligence peut limiter la garantie
- Dommages causés à des tiers et articulation avec la responsabilité civile
Les réponses données au moment de la souscription doivent correspondre à la réalité. Une case cochée un peu vite sur le MFA, les sauvegardes ou l'EDR peut avoir des conséquences au moment de l'indemnisation. Si une mesure n'est pas encore en place, mieux vaut le signaler plutôt que de répondre par optimisme.
// 03 · Assurabilité
Les mesures de sécurité regardées par les assureurs
Au moment de souscrire une assurance cyber, attendez-vous à quelques questions assez précises sur votre sécurité. MFA, sauvegardes, correctifs, protection des postes… l'assureur veut savoir quel niveau de risque il s'apprête à couvrir.
Mieux vaut répondre avec ce qui existe vraiment dans l'entreprise. Cocher « oui » pour le MFA alors qu'il n'est activé que sur une partie des comptes, par exemple, peut poser problème plus tard. Une déclaration inexacte peut avoir des conséquences sur le contrat ou l'indemnisation, avec des règles différentes selon qu'elle est intentionnelle ou non.
Ce que l'assureur peut vous demander
MFA sur les accès sensibles Messagerie, accès à distance, comptes administrateurs : autant de portes qu'un attaquant cherchera à ouvrir s'il récupère les bons identifiants. Le MFA ajoute une barrière supplémentaire. Mais attention au périmètre déclaré. S'il protège trois comptes sur vingt, difficile de répondre simplement « oui » à la question « Avez-vous activé le MFA ? ».
Sauvegardes isolées et testées Vos sauvegardes sont bien là. Reste à savoir si elles seront encore utilisables après une attaque. Une copie hors ligne ou protégée contre la modification évite notamment qu'un rançongiciel puisse aussi toucher les sauvegardes accessibles. Et les tests de restauration servent à vérifier quelque chose de très concret : est-ce qu'on arrivera vraiment à récupérer les données ?
EDR ou autre dispositif de détection Un antivirus classique ne repère pas forcément une activité inhabituelle sur un poste ou un serveur. C'est justement ce que cherche à détecter un EDR. Selon les besoins de l'entreprise, cette surveillance peut aussi être confiée à un prestataire. La question à se poser est surtout simple : si quelque chose d'anormal se passe, qui va le voir et réagir ?
Gestion des correctifs Une faille connue qui reste ouverte peut offrir une porte d'entrée à un attaquant. L'assureur peut donc vous demander comment sont gérées les mises à jour et si vous utilisez encore des systèmes qui ne sont plus maintenus. D'où l'intérêt d'avoir un inventaire à jour : vous savez ce que vous utilisez, ce qui doit être corrigé et ce qui commence sérieusement à dater.
Filtrage des e-mails et sensibilisation Un bon filtre peut bloquer une partie des e-mails malveillants. Certains passeront malgré tout. C'est là que des collaborateurs sensibilisés font la différence : reconnaître un message douteux, éviter de cliquer et savoir à qui le signaler.
Segmentation et gestion des privilèges Un poste compromis ne devrait pas donner accès à tout le reste. La segmentation du réseau et la limitation des droits permettent justement de freiner les déplacements d'un attaquant. S'il réussit à entrer quelque part, autant éviter de lui laisser les clés de toute la maison.
Le questionnaire d'assurabilité : répondre avec ce qui existe vraiment
Dans une PME, certaines protections sont parfois déjà là sans que personne ait regroupé les informations. Le dirigeant en connaît une partie, le prestataire informatique en détient une autre, et les preuves sont dispersées dans différents outils.
Prenons les sauvegardes. Si vous indiquez qu'elles sont testées, vous devez pouvoir préciser lesquelles, à quelle fréquence et quand le dernier test a eu lieu. Pour le MFA, les correctifs ou les comptes administrateurs, le principe reste le même. Un audit peut justement aider à mettre tout cela à plat avant de remplir le questionnaire.
Vous n'avez pas besoin d'embellir la situation. Ce que vous déclarez doit simplement correspondre à la réalité. Une information inexacte peut avoir des conséquences différentes selon les circonstances et les conditions du contrat. Autant répondre précisément, y compris lorsqu'une protection n'est pas encore en place.
// 04 · Obligation légale
Assurance cyber : le réflexe des 72 heures après une attaque
Si vous avez une assurance cyber, il y a un délai à connaître avant même d'en avoir besoin. Lorsque votre contrat couvre les pertes et dommages causés par certaines atteintes à votre système informatique visées par le Code pénal, leur indemnisation est conditionnée au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. Ce délai peut passer très vite quand l'entreprise est déjà occupée à gérer l'incident.
Ce que prévoit le Code des assurances
La règle vient de la loi LOPMI et figure aujourd'hui à l'article L.12-10-1 du Code des assurances. Elle concerne les personnes morales ainsi que les personnes physiques dans le cadre de leur activité professionnelle.
Le texte vise les pertes et dommages causés par certaines atteintes à un système informatique. Le délai commence au moment où vous avez connaissance de l'atteinte, et non au moment où vous avez terminé d'en mesurer les conséquences.
Le dépôt de plainte fait donc partie des premiers réflexes à avoir après la découverte d'une attaque. Cybermalveillance.gouv.fr recommande aussi de le faire avant la réinstallation des équipements touchés, afin de préserver les éléments qui pourront être utiles aux enquêteurs.
Comment l'intégrer à votre réponse à incident
Le plus simple est de prévoir ce réflexe avant qu'une attaque arrive. Qui contacte l'assureur ? Qui s'occupe du dépôt de plainte ? Où trouver le numéro du contrat et les coordonnées de l'assistance ? Quelques informations préparées à l'avance évitent d'avoir à les chercher au mauvais moment.
Déclarez aussi le sinistre à votre assureur, dans le délai et selon les modalités prévus au contrat. Cette démarche s'ajoute au dépôt de plainte.
Si votre contrat prévoit une assistance en cas d'incident, gardez aussi ses coordonnées facilement accessibles. Selon la couverture souscrite, l'assureur peut apporter une assistance en plus de l'indemnisation.
// 05 · Budget
Combien coûte une assurance cyber ?
Pas de tarif unique pour une assurance cyber. Le montant dépend notamment de l'activité de l'entreprise, de son chiffre d'affaires, de son niveau de risque et de la couverture choisie. La franchise et les plafonds ont également leur importance.
Cette partie donnera des repères pour comprendre ce que vous payez et surtout ce que vous obtenez pour ce prix.
- les principaux éléments qui font varier le montant de la prime
- franchise, plafonds et sous-limites : les chiffres à regarder avant de comparer deux offres
- des ordres de grandeur, uniquement lorsqu'ils peuvent être rattachés à une source et à une date précises
// 06 · Décision
Comment choisir son assurance cyber ?
Le prix ne suffit pas pour comparer deux offres. Regardez surtout ce qui se passera si vous devez vraiment faire appel à votre assurance : quels incidents sont couverts, avec quelles limites et quelles exclusions, mais aussi quelle aide vous pourrez obtenir en pleine crise.
Cette partie prendra la forme d'une checklist simple pour comparer plusieurs contrats sans oublier les points importants :
- les garanties incluses et leurs exclusions
- les plafonds, franchises et éventuelles sous-limites
- l'assistance prévue en cas d'attaque et la façon de la contacter
- les conditions liées aux mesures de sécurité déclarées
- les délais et démarches à respecter pour déclarer un sinistre
// 07 · FAQ
Questions fréquentes
La FAQ répondra aux questions qui peuvent encore se poser avant de choisir une assurance ou après une attaque :
- L'assurance cyber est-elle obligatoire pour une PME ?
- Peut-on souscrire une assurance cyber sans EDR ?
- Une assurance cyber peut-elle prendre en charge une rançon ?
- Que se passe-t-il si l'attaque vient d'un prestataire ou d'un sous-traitant ?
- Pourquoi faut-il porter plainte dans les 72 heures après une cyberattaque ?
// Ce qu'il faut retenir
- Les informations déclarées à l'assureur doivent correspondre à la réalité : une réponse inexacte peut avoir des conséquences sur le contrat ou l'indemnisation ;
- le questionnaire peut entrer assez précisément dans vos mesures de sécurité : mieux vaut savoir ce qui est réellement en place et pouvoir l'expliquer ;
- dans les cas prévus par le Code des assurances, vous avez 72 heures après la découverte de l'atteinte pour déposer plainte ;
- garanties, exclusions, plafonds et franchises méritent d'être regardés ensemble avant de choisir un contrat.
Ce guide est un exemple éditorial réalisé à titre de démonstration. Il ne peut être reproduit, republié ou utilisé sans accord écrit préalable de son autrice. Recherche et structuration assistées, rédaction et validation éditoriale humaines.
// Sources
- ANSSI — Panorama de la cybermenace 2025 rançongiciels · PME
- ANSSI — Les mesures cyber préventives prioritaires MFA · sauvegardes · supervision
- France Assureurs — Assurance cyber et résilience des TPE-PME couverture · gestion de crise
- Légifrance — Code des assurances, articles L.113-8 et L.113-9 déclaration inexacte · contrat · indemnisation
- Légifrance — Code des assurances, article L.12-10-1 dépôt de plainte · 72 h
- Cybermalveillance.gouv.fr — Cyberattaque : que faire ? prévention · réaction · PME