Une assurance cyber peut financer l’intervention d’experts, compenser une interruption d’activité et couvrir certaines réclamations après une violation de données. Mais les garanties, leurs sous-plafonds et leurs exclusions varient d’un contrat à l’autre.
Pour une entreprise, le montant affiché en première page ne suffit donc pas à mesurer la protection réelle. Il faut examiner les dépenses effectivement couvertes, les conditions d’accès à l’assistance et les limites prévues pour chaque risque.
A retenir :
- Cinq garanties essentielles pour répondre aux principaux coûts d’une cyberattaque
- Sous-plafonds et franchises déterminants pour l’indemnisation réellement accessible
- Exclusions contractuelles à confronter aux pratiques de sécurité de l’entreprise
- Assistance de crise à vérifier avant toute comparaison des primes
Assurance cyber : les garanties qui couvrent les coûts d’une attaque
Ces protections deviennent concrètes dès qu’une attaque bloque les outils de travail ou expose des informations clients. Une PME qui découvre un rançongiciel doit souvent financer plusieurs interventions avant même de connaître le coût total du sinistre.
Réponse à incident, frais de récupération et perte d’activité
Au cœur du contrat, les frais de réponse à incident peuvent couvrir des spécialistes chargés d’identifier l’intrusion, de limiter sa propagation et d’accompagner le rétablissement des systèmes. Selon France Assureurs, un sous-plafond fixe une limite propre à une garantie, parfois inférieure au plafond général.
Les frais de récupération méritent une lecture attentive : restaurer une sauvegarde n’équivaut pas toujours à ressaisir les données perdues. La garantie de perte d’exploitation peut compenser une partie de la marge perdue, sous réserve d’une franchise et d’une durée d’indemnisation définies au contrat.
Garanties à contrôler :
- Intervention d’experts techniques et coordination de la gestion de crise
- Restauration technique et éventuelle ressaisie manuelle des fichiers perdus
- Indemnisation de l’interruption d’activité après application de la franchise
- Prise en charge des frais de notification après une violation de données
Responsabilité civile et frais de défense
Lorsqu’une fuite de données entraîne des réclamations, la responsabilité civile peut couvrir certains dommages dus à des tiers. Les frais de défense financent les conseils juridiques, mais leur mode de calcul change fortement le montant restant pour indemniser l’entreprise.
Si ces frais sont compris dans le plafond global, les honoraires réduisent la somme disponible pour les autres garanties. Selon l’ANSSI, l’entrée en vigueur de NIS2 en France dépend de la promulgation des textes de transposition ; cette évolution réglementaire ne signifie pas que les amendes sont assurées.
La répartition des garanties compte davantage que l’affichage d’un plafond élevé, comme le montre la comparaison des postes ci-dessous.
Repères pour comparer les garanties :
Garantie
Ce qu’elle peut couvrir
Point à vérifier
Réponse à incident
Expertise et endiguement
Assistance immédiate ou remboursement ultérieur
Perte d’exploitation
Marge perdue pendant l’arrêt
Franchise et durée d’indemnisation
Récupération des données
Restauration, parfois ressaisie
Étendue exacte des opérations couvertes
Responsabilité civile
Réclamations de tiers concernés
Clients professionnels inclus ou non
Frais de défense
Avocats et conseils juridiques
Frais inclus dans le plafond ou en sus
Exclusions de garantie : les limites à repérer dans le contrat
Une fois les postes couverts identifiés, il faut repérer ceux qui restent à la charge de l’entreprise. Une garantie annoncée ne s’applique pas automatiquement à toute cyberattaque : les exclusions de garantie et les obligations de sécurité pèsent aussi dans l’examen du dossier.
Rançongiciel, fraude au virement et sanctions
La cyber-extorsion peut relever d’une garantie spécifique, avec un sous-plafond et parfois un accord préalable exigé avant toute décision. La fraude au virement, elle, n’est pas systématiquement comprise dans l’assurance cyber et peut nécessiter une couverture distincte.
Les amendes administratives, notamment celles prononcées par une autorité, sont généralement considérées comme non assurables en droit français. Les frais de défense ou de notification peuvent toutefois relever d’autres garanties, selon leur rédaction et les circonstances du sinistre.
Franchises et obligations de sécurité
Certains contrats imposent des conditions liées aux mises à jour, aux sauvegardes ou aux mesures de protection déclarées lors de la souscription. Une vulnérabilité connue et non corrigée peut entraîner une contestation de garantie, selon les clauses applicables.
Avant de signer, demandez comment le contrat traite chaque situation :
- Amendes administratives et sanctions réglementaires
- Faute intentionnelle ou manquement aux conditions de sécurité
- Vulnérabilité connue et défaut de correctif disponible
- Fraude au virement et cyber-extorsion
Un exemple fourni dans les éléments de comparaison oppose un plafond d’un million d’euros, avec 75 000 euros pour la reconstitution, à un plafond de 500 000 euros mieux réparti. Le second contrat prévoit aussi les frais de défense en sus, illustrant pourquoi le montant global ne suffit pas.
Ces clauses étant vérifiées, le choix peut ensuite s’appuyer sur les activités réellement exposées et la qualité de l’assistance.
Profil d’entreprise
Priorité de couverture
Question à poser
TPE de services
Assistance et réponse à incident
Une cellule d’urgence est-elle joignable à toute heure ?
PME industrielle
Perte d’exploitation
Après combien d’heures l’indemnisation démarre-t-elle ?
Entreprise logistique
Durée d’indemnisation
Combien de temps l’arrêt peut-il être couvert ?
Cabinet manipulant des données sensibles
Responsabilité civile et notification
Les réclamations des clients professionnels sont-elles couvertes ?
Choisir une assurance cyber adaptée à son activité
Les priorités varient selon la dépendance de l’entreprise à ses systèmes et les données qu’elle traite. Pour une petite structure sans équipe informatique, l’accès rapide à des experts peut être plus utile qu’une garantie élevée mobilisable seulement après plusieurs démarches.
Comparer les sous-plafonds, les franchises et l’assistance
Présentez le même scénario à chaque assureur : par exemple, un chiffrement des serveurs découvert un samedi. Selon l’ANSSI, la préparation aux risques numériques s’inscrit dans une démarche de sécurité plus large ; le contrat, lui, doit préciser qui intervient et dans quel cadre.
Demandez si la cellule de crise répond en permanence, si les experts sont mobilisés sans accord formel préalable et si les frais sont réglés directement ou remboursés. Ces réponses révèlent souvent mieux la qualité du service qu’une brochure commerciale.
Adapter le contrat cyber au profil de risque
Une activité productive doit examiner de près la franchise horaire et la durée d’indemnisation en cas d’arrêt. Un cabinet détenant des dossiers sensibles accordera davantage de poids à la responsabilité civile, aux frais de défense et aux dépenses de notification.
Le Sénat a indiqué dans ses travaux sur le projet de loi résilience que le périmètre des entités concernées par NIS2 serait bien plus large que sous NIS1. Cette évolution renforce l’intérêt d’examiner les obligations de sécurité, sans remplacer une analyse individualisée du contrat.
Critères de décision par activité :
- Continuité opérationnelle et coût d’un arrêt prolongé
- Volume de données personnelles ou professionnelles traitées
- Capacité interne à gérer seule un incident numérique
- Montants des sous-plafonds face aux pertes envisageables
Source : France Assureurs, documentation sur les sous-plafonds ; ANSSI, documentation officielle MonEspaceNIS2, 2025 ; Sénat, synthèse des travaux parlementaires sur le projet de loi résilience, 2025.
Mieux mesurer le risque, pour décider plus sereinement
Qu'il s'agisse de CVA, de régulation bancaire, de dérivés ou de stratégie d'investissement, chaque repère compris est un pas de plus vers une gestion du risque plus rigoureuse et plus lisible. Aucun modèle ne remplace le jugement professionnel, mais il permet d'aborder chaque décision avec plus de clarté.
Pour aller plus loin
- Croiser plusieurs sources et méthodologies avant de conclure sur un niveau de risque
- Documenter les hypothèses de chaque modèle, jamais les considérer comme acquises
- Suivre les évolutions réglementaires qui peuvent changer le cadre du jour au lendemain
- Revoir régulièrement ses estimations plutôt que de les figer une fois pour toutes
