Cyber assurance entreprise : ce qu'elle couvre vraiment pour une PME

Une cyber assurance d'entreprise est un contrat qui intervient lorsque les systèmes informatiques ou les données d'une société sont attaqués, chiffrés, volés ou rendus inutilisables. Elle ne remplace ni la sauvegarde, ni l'antivirus, ni la formation du personnel : elle paie une partie des conséquences financières quand la prévention a échoué. Pour une PME de Suisse romande, la question n'est plus de savoir si l'informatique est un point faible, mais de savoir qui supporte la facture le jour où elle s'arrête.

Ce guide présente ce qu'une police cyber couvre en pratique, ce qu'elle exclut presque toujours, le lien avec la nouvelle loi sur la protection des données (LPD) et l'obligation d'annoncer, et les points à vérifier avant de signer. Il s'agit d'une information générale : la couverture réelle dépend du contrat, de votre activité et de votre niveau de sécurité, et aucune prime n'est indiquée ici.

Pourquoi une assurance cyber, alors qu'on a déjà une RC et une assurance choses ?

Beaucoup de dirigeants pensent être déjà couverts. C'est rarement le cas, pour une raison simple : les polices classiques ont été écrites pour des dommages matériels, pas pour des données.

• L'assurance choses d'entreprise couvre en principe les dégâts matériels causés par un incendie, l'eau, le vol ou le bris. Un serveur détruit par un incendie y trouve sa place ; un serveur intact dont toutes les données sont chiffrées par un pirate, en général non, puisqu'aucun bien n'a subi de dommage physique.
• L'assurance responsabilité civile d'entreprise protège contre les dommages causés à des tiers, mais beaucoup de conditions générales excluent ou limitent les dommages purement immatériels, la perte de données et les atteintes liées au traitement de données personnelles.
• L'interruption d'exploitation est le plus souvent liée à un dommage matériel assuré. Sans événement matériel couvert, la perte de revenus qui suit une panne informatique n'est pas indemnisée.

La cyber-assurance comble précisément cet espace : l'événement déclencheur est informatique (attaque, intrusion, erreur humaine, panne causée par un logiciel malveillant) et le dommage est souvent immatériel (données, temps perdu, image, obligations légales).

Un point de vigilance : certaines compagnies proposent la couverture cyber comme un module ou une extension d'une police existante, d'autres comme un contrat distinct. Les deux formules existent, avec des niveaux de protection très différents. Lisez toujours les conditions générales du module, pas seulement la page de présentation.

Les garanties que l'on trouve dans une police cyber

Les contrats se répartissent en deux grandes familles de garanties : les dommages que subit l'entreprise elle-même et la responsabilité envers les tiers. Les intitulés varient d'un assureur à l'autre ; ce qui compte est le contenu de chaque garantie, ses limites et ses conditions.

Les dommages subis par l'entreprise

Frais de gestion de crise. C'est souvent la garantie la plus utile dans les premiers jours. Elle prend en charge l'intervention d'experts en informatique légale pour comprendre ce qui s'est passé, isoler les systèmes touchés et reconstruire un environnement sain. Elle peut aussi financer des conseils juridiques, une aide en communication de crise et la notification des personnes concernées.

Restauration des données et des systèmes. Après une attaque, il faut réinstaller, restaurer depuis les sauvegardes, parfois reconstituer des données à la main. La garantie couvre en général les frais externes de remise en état ; elle ne rembourse pas toujours le travail de vos propres employés, ni l'achat de nouveaux logiciels plus performants que ceux d'avant.

Perte d'exploitation cyber. Lorsque l'activité s'arrête ou ralentit à cause d'un événement cyber, la police peut indemniser la perte de marge et certains frais fixes qui continuent de courir. Elle est presque toujours soumise à une durée d'attente avant que l'indemnisation commence, et à une durée maximale d'indemnisation. Ces deux paramètres déterminent en réalité l'utilité du contrat : une panne de quelques heures peut tomber entièrement dans la période non indemnisée.

Extorsion et rançongiciel. Certaines polices couvrent les frais liés à une demande de rançon : négociation par un spécialiste, expertise pour évaluer la menace, et, selon les contrats et le cadre légal applicable, une part de la somme exigée. D'autres contrats excluent le paiement de la rançon elle-même ou le soumettent à l'accord préalable de l'assureur. Là encore, c'est la formulation exacte qui décide.

Cybercriminalité financière. Fraude au président, détournement de paiement par usurpation d'identité, piratage d'une messagerie qui conduit à un virement vers un faux compte : ces cas sont parfois couverts par une extension distincte, avec des conditions strictes (procédure de double validation, par exemple). Ils ne figurent pas dans toutes les polices de base.

La responsabilité envers les tiers (RC cyber)

La RC cyber, appelée aussi garantie « atteinte à la sécurité des réseaux » ou « responsabilité en matière de données », protège l'entreprise lorsque des tiers (clients, partenaires, collaborateurs) réclament réparation après un incident. Exemples : un client dont les données ont été volées chez vous, un partenaire contaminé par un virus parti de votre messagerie, une plainte pour atteinte à la confidentialité.

Cette garantie comprend généralement deux volets : l'examen de la prétention (l'assureur vérifie si la demande est fondée et écarte les demandes injustifiées) et l'indemnisation lorsque la responsabilité est établie. Si votre activité consiste à fournir un service ou du conseil, la RC professionnelle reste distincte, et les sociétés informatiques consulteront aussi la RC informatique, qui traite le risque de l'éditeur ou du développeur envers ses clients.

Les frais liés aux procédures et aux autorités

Dans certains contrats, la police prend en charge les frais de défense lors d'une procédure administrative liée à une violation de la protection des données, ainsi que, dans la mesure où la loi le permet, certaines sanctions. Ce point mérite une lecture attentive : en droit suisse, la possibilité d'assurer une sanction dépend de sa nature, et plusieurs assureurs l'excluent expressément. Demandez par écrit ce qui est couvert et ce qui ne l'est pas.

Le déroulé d'un incident : à quel moment l'assurance intervient

Un incident cyber ne se résume pas à une attaque : c'est une suite d'étapes, et chacune mobilise une garantie différente. Le schéma ci-dessous montre l'enchaînement typique et ce que le contrat prend en charge à chaque stade.

Ce parcours montre une réalité souvent mal comprise : la valeur d'une cyber-assurance tient autant aux services qu'au remboursement. Beaucoup d'entreprises n'ont jamais eu à gérer une crise informatique ; pouvoir appeler dès les premières minutes une équipe qui sait quoi faire change la suite des événements.

Exemple : une PME dont les données sont chiffrées

Exemple fictif, à titre d'illustration. Une petite entreprise de service établie à Lausanne gère ses dossiers clients, sa facturation et son planning sur un serveur partagé. Un lundi matin, les employés constatent qu'aucun fichier ne s'ouvre et qu'un message réclame une rançon pour récupérer les données. Les sauvegardes existent, mais elles sont stockées sur le même réseau et ont été chiffrées aussi.

Voici comment la situation se décompose, et ce que la police peut ou non prendre en charge.

1. Les premières heures. La dirigeante appelle la ligne d'assistance prévue par le contrat. Des spécialistes isolent le réseau, identifient le logiciel en cause et conseillent de ne rien éteindre brutalement afin de préserver les traces. Ces interventions relèvent des frais de crise.
2. L'évaluation juridique. Les dossiers clients contiennent des données personnelles. Un juriste détermine si l'incident entraîne un risque élevé pour les personnes concernées, ce qui conditionne l'annonce. Le conseil est couvert si le contrat inclut un volet juridique.
3. La reprise. Faute de sauvegarde saine, les données doivent être reconstituées en partie à partir de documents papier et de courriels. Les frais externes de restauration sont pris en charge ; les heures supplémentaires du personnel ne le sont pas toujours.
4. L'arrêt d'activité. L'entreprise ne peut plus facturer pendant plusieurs jours. La perte d'exploitation cyber indemnise la période qui dépasse la durée d'attente, dans la limite de la somme assurée et de la durée maximale prévues.
5. Les suites envers les clients. Un client reproche un retard et la possible exposition de ses informations. La RC cyber examine la prétention.

Ce scénario illustre trois enseignements. D'abord, la sauvegarde isolée (hors du réseau principal) change tout, y compris pour l'assureur, qui la demande souvent comme condition. Ensuite, la durée d'attente de la perte d'exploitation peut absorber une grande part d'un incident bref. Enfin, ce qui est remboursé dépend de la preuve : journaux, factures d'experts, chiffrage de la perte. Pensez à conserver ces éléments dès le premier jour.

LPD et obligation d'annoncer : ce que l'assurance change, et ne change pas

La loi fédérale sur la protection des données (LPD), dans sa version révisée, impose aux entreprises qui traitent des données personnelles de les protéger par des mesures techniques et organisationnelles adaptées. Elle prévoit aussi une obligation d'annoncer les violations de la sécurité des données lorsqu'elles entraînent probablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L'annonce se fait au Préposé fédéral à la protection des données et à la transparence, et, dans certains cas, les personnes touchées doivent aussi être informées.

Trois idées à retenir pour une PME :

• L'obligation légale existe indépendamment de l'assurance. Avoir une police ne dispense pas d'annoncer, et ne la rend pas facultative. L'assureur vous aide à évaluer la situation et à préparer le dossier, mais la responsabilité d'annoncer reste celle de l'entreprise.
• Le délai est une contrainte réelle. La loi parle d'une annonce « dans les meilleurs délais » : une fois l'incident détecté, il faut agir vite. C'est pour cela que les services d'assistance disponibles en permanence ont de la valeur, bien plus que la seule indemnité.
• L'annonce à l'assureur est une obligation contractuelle distincte. La plupart des polices exigent d'informer l'assureur sans délai de tout incident ou de toute circonstance susceptible d'entraîner une réclamation. Un retard peut réduire, voire supprimer la prestation. Notez dans votre procédure interne qui prévient qui, dans quel ordre.

La loi sur la protection des données ne dit pas quelles sanctions sont assurables ni quels frais le contrat doit prendre en charge. Cette partie relève du droit des assurances et du texte de la police.

À ce titre, une précision utile : si vous traitez des données pour le compte d'autres sociétés (comptabilité, hébergement, support informatique), vos obligations contractuelles envers ces clients, notamment d'annonce rapide, peuvent être plus strictes que le minimum légal. Elles doivent figurer dans votre analyse avant de choisir une police.

Ce que la cyber-assurance ne couvre généralement pas

Les exclusions sont le cœur d'une police cyber. Voici les plus fréquentes, à repérer dans les conditions générales.

Au-delà de ce tableau, quelques motifs de refus reviennent régulièrement dans les litiges :

• Les mesures de sécurité déclarées dans le questionnaire n'étaient pas appliquées. L'assureur s'appuie sur vos réponses pour évaluer le risque. Si vous avez indiqué une authentification renforcée ou une sauvegarde isolée qui n'existait pas réellement, il peut réduire ou refuser la prestation. Répondez avec exactitude.
• L'incident est antérieur au contrat. Si une intrusion était déjà en cours avant la signature, même sans que vous le sachiez, la garantie peut être contestée selon la clause de date de rétroactivité.
• Le sinistre n'a pas été annoncé à temps. La police prévoit une obligation d'annonce immédiate ; l'ignorer peut coûter cher.
• Le prestataire informatique n'est pas celui que l'assureur impose. Beaucoup de contrats prévoient l'intervention de prestataires désignés. Mandater un autre prestataire sans accord préalable peut limiter la prise en charge.

Les critères à comparer avant de signer

Comparer deux cyber-assurances sur la seule base de leur nom ou de leur argumentaire est un piège. Voici les critères qui font vraiment la différence. Aucun classement n'est possible ici : le bon choix dépend de votre taille, de votre secteur, des données que vous manipulez et de votre dépendance à l'informatique.

La somme assurée et les sous-limites

Une police affiche souvent une somme globale, puis des sous-limites par garantie (frais de crise, extorsion, perte d'exploitation, RC). La somme qui compte pour une garantie donnée est parfois bien plus faible que le total annoncé. Demandez un tableau récapitulatif garantie par garantie.

La franchise et la durée d'attente

La franchise reste à votre charge sur chaque sinistre ; la durée d'attente conditionne la perte d'exploitation. Une franchise basse avec une longue durée d'attente peut offrir moins de protection qu'il n'y paraît. Évaluez combien de temps votre entreprise peut tenir sans système avant que les pertes deviennent critiques : c'est ce temps qui doit guider ce paramètre.

Les conditions de sécurité

De plus en plus de polices exigent un socle minimal : sauvegardes hors ligne, authentification à plusieurs facteurs, mises à jour régulières, protection des postes de travail, sensibilisation du personnel. Ces exigences ne sont pas qu'une contrainte : elles correspondent aux mesures qui réduisent le plus la probabilité d'un incident. Vérifiez que vous les remplissez réellement avant de répondre au questionnaire.

Le périmètre géographique et juridique

Votre entreprise a-t-elle des filiales, des clients ou des serveurs à l'étranger ? Le contrat précise souvent le territoire couvert et le droit applicable. Une PME qui sert des clients dans plusieurs pays doit s'assurer que la garantie de responsabilité les couvre aussi.

Le moment où la garantie se déclenche

Deux logiques existent : la garantie couvre les réclamations présentées pendant la durée du contrat (« base des réclamations »), ou les faits survenus pendant cette durée. Cette nuance détermine ce qui se passe après une résiliation. Demandez s'il existe un délai complémentaire pour déclarer un sinistre qui se révèle après la fin du contrat.

Les services inclus

Ligne d'assistance permanente, réseau d'experts, aide à l'annonce, simulation d'attaque, formation du personnel : la valeur de ces services varie énormément. Pour une petite structure sans service informatique interne, ils pèsent souvent plus que l'indemnité financière.

Pour structurer cette comparaison, une méthode générale pour comparer des assurances et une liste des documents à réunir pour une offre d'assurance d'entreprise vous aideront à rassembler les informations qu'un assureur demandera. Vous pouvez aussi passer par l'outil qui indique quelles assurances sont nécessaires à votre entreprise pour situer le cyber-risque par rapport aux autres couvertures.

Check-list avant de demander une offre

• Recenser les données personnelles que vous traitez et où elles sont stockées
• Vérifier si vos sauvegardes sont isolées du réseau principal et testées
• Activer l'authentification à plusieurs facteurs sur la messagerie et les accès à distance
• Désigner qui, dans l'entreprise, décide d'une annonce et prévient l'assureur
• Identifier les prestataires informatiques et leurs engagements contractuels
• Estimer combien de temps l'activité peut s'arrêter avant de devenir critique
• Lire les exclusions, la durée d'attente et les sous-limites de chaque garantie
• Contrôler ce que prévoient déjà vos polices RC et choses en matière de données
• Répondre au questionnaire de l'assureur avec exactitude, sans embellir
• Conserver une copie des conditions générales signées et du questionnaire

Les pièges fréquents

Penser que l'assurance règle le problème. Une police rembourse des frais, elle ne rend pas les données et ne rétablit pas la confiance des clients. La prévention reste la première ligne de défense.

Confondre garantie et service. Un contrat peut annoncer une couverture large mais n'offrir qu'une assistance limitée, ou l'inverse. Évaluez les deux.

Oublier la protection juridique. Une attaque peut déboucher sur des litiges avec des clients, des fournisseurs ou des autorités. Selon les cas, une protection juridique d'entreprise complète utilement le dispositif, mais ses exclusions doivent être lues avec la même attention.

Négliger le facteur humain. La plupart des incidents commencent par un courriel piégé ou un mot de passe faible. Les assureurs en tiennent compte : une équipe formée est un argument lors de la souscription, et surtout un risque réduit.

Signer sans comparer avec l'existant. Avant d'acheter, vérifiez ce que vos polices actuelles couvrent déjà, pour éviter les doublons et repérer les vrais manques. Si vos clients sont des particuliers, rappelez-vous que ces derniers ont leurs propres protections, évoquées dans notre page sur les cyber-risques pour les particuliers.

Négliger la procédure en cas de sinistre. Un contrat solide perd de sa valeur si personne ne sait qui appeler. Rédigez une courte procédure, imprimez-la, et ayez-la accessible hors ligne. Les bons réflexes généraux sont décrits dans la check-list du sinistre en entreprise.

Quand une cyber-assurance est-elle particulièrement utile ?

Toutes les entreprises sont exposées, mais certaines le sont davantage ou en subissent des conséquences plus lourdes :

• les sociétés qui détiennent beaucoup de données personnelles ou sensibles (santé, finance, ressources humaines, conseil) ;
• les entreprises qui vendent en ligne ou dépendent d'une plateforme pour facturer et livrer ;
• les structures sans service informatique interne, qui confient tout à un prestataire externe ;
• les commerces et les artisans qui ont un outil de gestion unique, sans solution de repli ;
• les sociétés dont les clients exigent, par contrat, une preuve de couverture cyber.

À l'inverse, une très petite structure qui traite peu de données et dispose d'une solution de secours simple peut estimer son risque différemment. Cela ne signifie pas qu'elle est à l'abri : la décision gagne à s'appuyer sur une analyse individuelle plutôt que sur une règle générale.

Obligatoire ou facultative ?

La cyber-assurance n'est pas obligatoire en Suisse : aucune loi n'impose à une entreprise de la souscrire. C'est un contrat facultatif, régi par les conditions générales de chaque assureur et par le droit des assurances privées (LCA). En revanche, les obligations de protection des données et d'annonce, elles, sont imposées par la loi, que vous soyez assuré ou non.

Certains clients, partenaires bancaires ou donneurs d'ordre peuvent toutefois exiger une couverture cyber dans leurs contrats. Dans ce cas, l'obligation est contractuelle, et non légale. Vérifiez ce que vos contrats commerciaux prévoient.

Si vous passez par un intermédiaire, la loi sur la surveillance des assurances (LSA) prévoit qu'il doit vous informer sur sa formation, sur l'identité de la personne responsable de ses éventuelles négligences ou fautes, sur la façon dont vos données personnelles sont traitées, et sur la rémunération qu'il reçoit de tiers en lien avec son service. Ces informations vous aident à situer son rôle. Pour comprendre qui contrôle les assureurs et les intermédiaires, voyez la page sur la FINMA et la LSA.