Assurance cyber PME : garanties et couvertures réelles

02/10/2026 Par : Fortalicia
Accueil Articles blog Assurance cyber PME : garanties et couvertures réelles

L’assurance multirisque professionnelle classique ne suffit plus à couvrir les risques numériques. Face à la hausse des piratages, l’assurance cyber est devenue un élément de protection de la trésorerie à part entière, mais tous les contrats ne se valent pas. Comprendre les garanties réellement couvertes évite les mauvaises surprises au moment où elles comptent le plus : après une attaque.

L’essentiel
  • Une assurance multirisque professionnelle classique ne couvre généralement pas les pertes d’exploitation liées à un piratage : un contrat cyber dédié reste nécessaire.
  • Un contrat d’assurance cyber couvre en général trois volets : la gestion de crise, la perte d’exploitation, et la responsabilité civile envers des tiers.
  • Les assureurs imposent de plus en plus des prérequis de sécurité avant d’accorder une couverture : authentification multifacteur, sauvegardes déconnectées, antivirus à jour.
  • Une loi issue de la LOPMI conditionne l’indemnisation du volet rançon au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque.
  • L’assurance intervient après l’attaque : elle ne remplace jamais les barrières techniques, et un niveau de sécurité insuffisant peut conduire l’assureur à refuser l’indemnisation.
La prise en charge de la gestion de crise

Personne signant un document contractuel avec un stylo

C’est le premier volet de la couverture, et souvent le plus immédiatement mobilisé : l’assureur finance l’intervention d’experts d’urgence dès la déclaration du sinistre.

  • Assistance technique : prise en charge des spécialistes en cybersécurité chargés de stopper l’attaque et d’en analyser l’origine.
  • Frais juridiques : financement du conseil nécessaire pour gérer les notifications obligatoires, à la CNIL comme aux clients concernés.
  • Communication de crise : prise en charge d’une agence spécialisée pour limiter l’impact sur l’image de l’entreprise auprès de ses clients et partenaires.

Petit groupe de collaborateurs échangeant autour d'un ordinateur portable

L’indemnisation de la perte d’exploitation

Une cyberattaque bloque souvent l’activité pendant plusieurs jours, parfois plusieurs semaines. L’assurance cyber compense, selon les termes du contrat, la marge brute non réalisée durant l’arrêt des systèmes, un volet qui distingue nettement un contrat cyber d’une assurance professionnelle classique.

La responsabilité civile cyber

Cette garantie protège l’entreprise si l’attaque qu’elle a subie cause des dommages à des tiers : elle couvre les frais engagés si des clients se retournent contre elle après le vol de leurs informations personnelles, hébergées ou traitées par l’entreprise assurée.

À retenir :
une loi issue de la LOPMI (article L.12-10-1 du Code des assurances) conditionne l’indemnisation du volet rançon au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque. Sans ce dépôt de plainte, ce volet spécifique de la garantie ne peut pas être activé.

Les prérequis pour être assuré

Les assureurs imposent de plus en plus des mesures de sécurité minimales avant d’accorder un contrat, et vérifient parfois leur application réelle au moment d’un sinistre :

  • Authentification multifacteur (MFA) : exigée sur l’ensemble des accès distants, en particulier pour les comptes à privilèges.
  • Sauvegardes déconnectées et régulières : l’assureur demande une preuve que les copies de données restent hors de portée d’un rançongiciel qui chiffrerait le réseau principal.
  • Antivirus à jour sur l’ensemble des postes : une protection de base, mais vérifiée malgré tout avant la souscription.

Un audit de sécurité informatique permet de vérifier, avant la souscription, que ces prérequis sont effectivement réunis, plutôt que de les découvrir à l’occasion d’un refus d’indemnisation.

FORTALICIA relie l’assurance cyber à ce diagnostic préalable : un audit et une supervision continue qui réduisent le risque d’un côté, une couverture qui absorbe ce qui reste malgré tout de l’autre.

Icône de cadenas affichée sur un écran d'ordinateur

Vérifier les prérequis avant de signer, pas après un refus d’indemnisation

Les assureurs durcissent chaque année leurs exigences de sécurité préalables, et une entreprise qui ne les respecte pas s’expose à un refus de prise en charge au moment où elle en a le plus besoin. FORTALICIA relie l’audit préalable à la couverture assurantielle, pour que les deux se renforcent plutôt que de fonctionner séparément. Contactez nos experts pour faire le point sur votre couverture actuelle.

Questions fréquentes

Mon assurance multirisque professionnelle couvre-t-elle les cyberattaques ?
Généralement non. Les contrats d’assurance multirisque professionnelle standard n’incluent pas la perte d’exploitation liée à un piratage. Un contrat cyber spécifique reste nécessaire pour cette couverture.

L’assurance cyber remplace-t-elle les outils de sécurité ?
Non. L’assurance intervient après l’attaque et ne remplace pas les barrières techniques comme un pare-feu ou une supervision continue. Sans un niveau de sécurité suffisant, l’assureur peut d’ailleurs refuser l’indemnisation.

Comment déclarer un sinistre cyber ?
L’assistance de l’assureur doit généralement être contactée dans les 24 à 48 heures suivant la découverte de l’incident. Un dépôt de plainte est systématiquement exigé pour activer l’ensemble des garanties.

Sources