Votre RC Pro ne vous protégera pas d’un rançongiciel. Les assureurs lèvent le pied et durcissent leurs conditions, laissant beaucoup de dirigeants exposés alors que le coût moyen d’une attaque dépasse désormais les 45 000 euros selon une étude récente. Comprendre ce qu’une police indemnise réellement, et surtout ce qu’elle exclut, devient une compétence vitale pour la survie de votre trésorerie.
La réalité du marché : pourquoi l’assurance cyber est devenue sélective
Le contexte a changé. Si les cyberattaques recensées contre les TPE-PME ont fortement augmenté depuis 2020 selon les rapports annuels de l’Observatoire des menaces et incidents (ANSSI), la réaction des assureurs est radicale : ils se protègent. La souscription d’une assurance cyber par les TPE/PME françaises est en recul selon un récent rapport, signe que le dialogue entre assurés et assureurs se grippe face à la complexité des risques. Plus inquiétant encore, une PME française sur huit renonce à toute assurance cyber, sans intention d’en souscrire, pariant sur la chance plutôt que sur la prévention d’après les dernières données.
Pourtant, la couverture en assurance cyber des petites et moyennes entreprises est en recul, non pas parce que le risque diminue, mais parce que les critères d’éligibilité se durcissent comme l’indique l’Argus de l’Assurance. Assurance cyber : le marché se durcit, les PME non préparées seront bientôt inassurables si elles ne peuvent pas prouver un minimum de mesures de sécurité selon une analyse du secteur. Nous voyons aujourd’hui des questionnaires de souscription aussi détaillés qu’un audit technique. Si vous n’avez pas de service informatique dédié, sachez qu’un attaquant sur cinq en 2026 vise spécifiquement ces structures vulnérables ; l’enjeu principal de l’assurance reste la remédiation plus que la rançon proposée contre les données volées.
Ce que votre police rembourse (vraiment)
Contrairement aux idées reçues, l’assurance cyber ne sert pas uniquement à payer la rançon. En fait, les polices modernes couvrent une chaîne complète de conséquences financières. Selon la Fédération Française de l’Assurance (FFA), les garanties incluent généralement la perte d’exploitation après sinistre, les frais de restauration des systèmes, les frais d’expertise (forensic), la notification des personnes affectées (RGPD) et la gestion de crise ou communication.
Le poste de coût souvent sous-estimé est celui de la mise en conformité urgente. Le RGPD oblige une notification à la CNIL sous 72 heures en cas de violation de données personnelles, ce qui déclenche un poste de coût spécifique (forensic, notification, avocat) que la police cyber peut couvrir selon le guide de la CNIL. Sans cette garantie, vous devez sortir ces frais immédiatement de votre BFR, au moment où votre activité est déjà à l’arrêt.
Concernant les montants, l’option cyber propose des montants de garanties qui vont typiquement de 500 000 € à 5 millions d’euros par sinistre, avec des capitaux ajustables au chiffre d’affaires. Pour une PME, choisir le plafond maximal n’est pas toujours pertinent si votre exposition réelle (données clients, dépendance aux outils SaaS) est limitée. C’est ici que le conseil d’un courtier spécialisé comme Gras Savoye ou l’étude comparative des offres d’AXA, Allianz, Hiscox ou Beazley prend tout son sens.
Les 4 exclusions qui font mal (et comment les éviter)
C’est dans les petites lignes que se joue la véritable protection. Nous avons analysé les conditions générales standards des polices cyber multirisque PME pour identifier les pièges récurrents. Voici ce qui n’est presque jamais couvert, sauf clause spécifique négociée :
- Défaut de mise à jour des logiciels : Si votre serveur plante parce que vous avez ignoré trois alertes de sécurité majeures, l’assureur considérera cela comme une négligence grave. Idem pour une rupture de maintenance non comblée.
- Fraude interne ou connivence : L’assureur ne couvre pas si l’attaque vient de l’intérieur ou si un employé a facilité l’accès volontairement.
- Attaques « Zero Day » : Certaines polices excluent les vulnérabilités non encore connues au jour de la souscription, bien que cette clause soit de plus en plus contestée.
- Fraude au président : Piège classique. L’escroquerie au faux virement (arnaque au faux fournisseur ou faux dirigeant) est très souvent exclue de la garantie cyber standard et nécessite une clause spécifique de cyber-fraude, comme le rappelle l’Autorité de contrôle prudentiel et de résolution (ACPR).
Pour approfondir les implications légales de ces failles, consultez notre analyse sur le cadre juridique des entreprises. La distinction entre négligence et sinistre fortuit est la première cause de refus d’indemnisation.
Comparer les garanties : tableau récapitulatif
Avant de signer, il faut mettre les offres à plat. Voici comment se positionnent les différents niveaux de garantie proposés par les grands acteurs du marché.
| Type de garantie | Entrée de gamme (PME légère) | Première gamme (PME digitale) | Haut de gamme (ETI / Données sensibles) |
|---|---|---|---|
| Plafond global | 500 000 € | 1 à 2 Millions € | 5 Millions € + |
| Frais de forensic | Souvent limité (10k€) | Inclus jusqu’à 20% | Totalement inclus |
| Fraude au président | Exclu | Optionnelle (cher) | Souvent incluse |
| Franchise moyenne | 1 500 – 2 500 € | 2 500 – 5 000 € | Négociable |
Bpifrance propose un diagnostic cybersécurité (Cybersécurité PME) à destination des dirigeants pour évaluer leur exposition et justifier la souscription d’une assurance. Utilisez cet outil avant de demander un devis : cela montre à l’assureur que vous maîtrisez votre sujet, ce qui peut faire baisser la prime.
Check-list : 5 points à vérifier avant de signer
Ne laissez pas votre commercial vous presser. Prenez le temps de valider ces cinq éléments cruciaux pour éviter la mauvaise surprise au moment du sinistre.
- Vérifiez la définition du « Sinistre Informatique » : Est-ce que l’erreur humaine (un salarié qui clique sur un lien) est couverte ou exclue ?
- Contrôlez la clause de mise à jour : Quelle est la tolérance de l’assureur ? Avez-vous 30 jours pour patcher un système critique sans perdre votre garantie ?
- Exigez la couverture Fraude au Président : Si vous faites des virements, c’est indispensable. Sinon, prenez une garantie distincte.
- Regardez les délais de carence : Combien de temps doit durer l’arrêt d’activité avant que la perte d’exploitation ne soit indemnisée ? (Souvent 24h ou 48h).
- Vérifiez l’assistance juridique RGPD : L’assureur met-il à disposition un cabinet d’avocats spécialisé dès la notification à la CNIL ?
Conclusion stratégique : privilégier la clarté sur le prix
L’assurance cyber n’est pas une baguette magique. Elle ne remplacera jamais une hygiène numérique rigoureuse. Cependant, face à la professionnalisation des attaquants, elle reste le seul filet de sécurité financier capable d’éviter le dépôt de bilan après un chiffrement de données. Notre conseil : ne cherchez pas le prix le plus bas. Cherchez la clarté des exclusions. Un contrat un peu plus cher mais qui couvre explicitement la fraude au président et les frais forensiques vaut infiniment plus qu’une police « premier prix » qui vous laissera seul face à la CNIL et aux hackers. Commencez par le diagnostic Bpifrance, puis exigez des assurances écrites sur les points de la check-list ci-dessus.
FAQ
Une assurance cyber couvre-t-elle la rançon ?
Oui, la plupart des contrats incluent le paiement de la rançon, mais les assureurs privilégient désormais le remboursement des frais de remise en état des systèmes plutôt que le versement direct aux criminels.
Mon assurance RC Pro couvre-t-elle les cyberattaques ?
Non. La Responsabilité Civile Professionnelle couvre les dommages causés aux tiers, mais exclut presque systématiquement les pertes d’exploitation et les frais liés aux atteintes aux systèmes informatiques de l’entreprise.
Quel est le délai de notification à la CNIL ?
En cas de violation de données personnelles présentant un risque pour les droits et libertés des personnes, la notification doit être faite à la CNIL dans les 72 heures suivant la prise de connaissance de l’incident.
