Assurance cyber : que vérifier dans le contrat ?
En bref
Avant de signer, vérifiez ce qui est couvert au-delà des dommages financiers : assistance technique en urgence, frais de remise en état, pertes d'exploitation, frais de notification et d'accompagnement juridique. Lisez les exclusions et les obligations à votre charge, souvent contraignantes : mesures de sécurité déclarées, dépôt de plainte, délais de déclaration prévus au contrat.
Une assurance cyber ne protège de rien : elle prend en charge des conséquences, sous conditions. Les contrats varient beaucoup, et l'essentiel se joue dans les exclusions et dans les obligations que vous acceptez en signant. Voici les points à examiner avant de vous engager.
Ce qu'un contrat couvre généralement
- L'assistance en urgence : accès à des spécialistes joignables rapidement pour contenir l'incident. C'est souvent la partie la plus utile.
- Les frais de remise en état : analyse, reconstruction des systèmes, restauration des données.
- Les pertes d'exploitation liées à l'arrêt de l'activité.
- Les frais de notification aux personnes concernées et l'accompagnement juridique.
- La responsabilité envers les tiers dont les données ont été exposées.
- Les frais de communication pour gérer les conséquences publiques de l'incident.
Regardez qui intervient concrètement : le contrat désigne parfois des prestataires imposés. Vérifiez leur disponibilité, la langue de travail et le point d'entrée à appeler la nuit ou le week-end.
Les exclusions à lire de près
| Clause | Question à poser |
|---|---|
| Systèmes non mis à jour | Une faille corrigée depuis longtemps et non appliquée fait-elle tomber la garantie ? |
| Absence de sauvegarde conforme | Quelles sauvegardes le contrat exige-t-il, et leur restauration doit-elle être testée ? |
| Défaut d'authentification renforcée | La double authentification est-elle imposée sur la messagerie et les accès distants ? |
| Fraude aux paiements | Le faux ordre de virement est-il couvert, ou relève-t-il d'une garantie distincte ? |
| Incident chez un prestataire | Une panne ou une attaque touchant votre hébergeur est-elle prise en compte ? |
| Rançon | Que prévoit le contrat, et quelles conditions y sont attachées ? |
Sur ce dernier point, rappelons que les autorités publiques, dont cybermalveillance.gouv.fr et l'ANSSI, recommandent de ne pas payer de rançon. Les raisons figurent dans notre article sur les réflexes face à un rançongiciel, et cette question se discute avec un conseil avant tout engagement.
Les obligations qui pèsent sur vous
- Le questionnaire de souscription : vos réponses engagent. Ne déclarez pas une mesure que vous n'appliquez pas réellement, et faites vérifier l'état des lieux avant de répondre.
- Les mesures de sécurité exigées : sauvegardes, mises à jour, authentification renforcée, sensibilisation des équipes. Elles doivent être tenues dans la durée, pas seulement le jour de la signature.
- Le dépôt de plainte : généralement exigé. Vérifiez le délai prévu par le contrat et la loi applicable, et préparez le mandat qui désigne qui peut déposer plainte.
- La déclaration du sinistre : le contrat fixe un délai et un canal. Notez-les sur votre fiche de crise.
- La conservation des preuves : les copies, journaux et captures demandés lors de l'expertise.
Les questions à poser avant de signer
- Qui décroche en urgence, sous quel délai, et par quel numéro ?
- Quelles activités sont couvertes, et lesquelles sont expressément exclues ?
- Que se passe-t-il si l'incident résulte d'une erreur humaine interne ?
- Le contrat impose-t-il des prestataires, ou puis-je travailler avec les miens ?
- Quelles preuves devrai-je fournir pour être indemnisé ?
- Une réévaluation est-elle prévue si mon organisation change de dimension ?
Ce que l'assurance ne remplace pas
Elle n'évite pas l'arrêt d'activité, ni la perte de confiance des clients, ni le temps passé à reconstruire. Elle ne dispense pas non plus des obligations légales liées aux données personnelles. Elle vient après les sauvegardes testées, les mises à jour, la double authentification et un plan de reprise d'activité écrit. Souscrire un contrat sans ces bases expose à un refus de garantie au pire moment.
NexSecure établit l'état des lieux technique demandé par les assureurs et corrige les écarts constatés lors d'un audit de sécurité.
Questions fréquentes
L'assurance cyber est-elle obligatoire ?
Non, elle relève d'un choix de gestion. Certains donneurs d'ordre l'exigent contractuellement de leurs prestataires : vérifiez vos engagements avant de conclure qu'elle est facultative pour vous.
Que se passe-t-il si mes déclarations étaient inexactes ?
Une mesure déclarée mais non appliquée peut entraîner une réduction ou un refus d'indemnisation. Faites vérifier l'état réel de vos protections avant de répondre au questionnaire, puis maintenez-les dans la durée.
Le contrat couvre-t-il la fraude au virement ?
Pas toujours : elle relève souvent d'une garantie distincte, parfois soumise à des conditions de procédure interne. Posez la question explicitement et demandez une réponse écrite avant de signer.
Faut-il prévenir l'assureur avant la police ?
Les deux démarches se mènent en parallèle. Le dépôt de plainte est généralement exigé pour l'indemnisation : notez le délai de déclaration prévu au contrat sur votre fiche de crise pour ne pas le découvrir le jour venu.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet