Faut-il souscrire une assurance cyber pour votre PME ?

📎La réponse courte Oui, probablement. Mais pas tout de suite, et surtout pas les yeux fermés. Une assurance cyber n’est pas une protection : c’est un contrat, avec des conditions d’entrée, des obligations le jour du sinistre et des exclusions. Si votre parc n’est pas déjà tenu, vous paierez une assurance pour rien. On vous explique dans quel ordre prendre le sujet.

Pourquoi votre courtier vous en parle maintenant

On vous a déjà proposé une assurance cyber ? Si la réponse est non, ça ne saurait tarder.

Et rassurez-vous : d’après l’étude LUCY 2026 de l’AMRAE, à peine 1,2 % des PME françaises sont couvertes. Vous êtes donc à peu près aussi en retard que tout le monde. Ou en avance. (Choisissez votre camp)

Sauf que ce 1,2 % ne va pas durer. Les primes baissent et tout le monde se met en ordre de marche vers les PME : les assureurs traditionnels comme les pure players du cyber. Stoïk, qui couvre déjà plus de 10 000 entreprises en Europe, s’est allié à MMA ce printemps pour distribuer son offre via les agents généraux. Autrement dit, ceux qui assurent déjà vos locaux et vos véhicules. Les PME sont le dernier territoire à conquérir. Vous allez donc forcément entendre parler d’assurance cyber très bientôt.

Avant d’accepter le premier devis d’assurance, mieux vaut savoir ce qu’il y a vraiment dans ces contrats. Nous, on n’en vend pas : on peut donc en parler librement.

Ce que ça couvre et ce que ça exclut

Une bonne police d’assurance cyber prend en charge l’essentiel :

• les pertes d’exploitation pendant l’arrêt
• les frais de remédiation (experts, restauration des systèmes)
• la gestion de crise (souvent)

Côté budget, comptez de quelques centaines d’euros par an pour une très petite structure à plus de 10 000 € pour une PME de plusieurs millions de chiffre d’affaires, selon les garanties et votre niveau de sécurité.

Ce qu’elle ne couvre presque jamais :

Les amendes administratives. Si la CNIL sanctionne, c’est pour vous (on en parlait dans notre article sur le RGPD et le phishing).

Regardez aussi la franchise : elle se chiffre vite en milliers, voire en dizaines de milliers d’euros. Le petit incident reste à votre charge.

Le questionnaire de souscription vous engage

Avant de vous couvrir, l’assureur vous fait remplir un questionnaire et vous demande si vous avez :

• Une double authentification sur tous les accès
• Une détection des menaces sur les postes (un EDR, pour les intimes : un outil qui repère les comportements suspects, là où l’antivirus classique attend de reconnaître un malware connu)
• Des sauvegardes isolées et testées
• Des mises à jour suivies
• Un inventaire du parc

Attention, ce document n’est pas une formalité : c’est la référence que l’expert ressortira le jour du sinistre. Cocher « oui, nos sauvegardes sont testées » de bonne foi, parce que Time Machine tourne dans un coin ? L’assureur, lui, voudra des preuves. Une déclaration inexacte, même sans intention de tromper, peut réduire ou annuler l’indemnisation. Des refus ont déjà été prononcés pour un plan de reprise promis au contrat et jamais mis en place.

Le jour J, vous aurez 72 heures pour porter plainte

Depuis 2023, le Code des assurances conditionne l’indemnisation à un dépôt de plainte dans les 72 heures suivant la découverte de l’attaque (article L12-10-1, issu de la loi LOPMI). Pas de plainte dans les temps, pas d’indemnisation.

Un piège dans le piège : la notification à la CNIL sous 72 heures et la plainte sous 72 heures sont deux démarches distinctes, qui se lancent en parallèle. Le jour où ça arrive, il faut donc quelqu’un qui sait quoi faire, dans l’ordre, pendant que vous gérez vos équipes et vos clients. (Posez-vous la question si le problème arrive un 15 août.)

Le bon ordre : on gère le parc d’abord et on envisage une assurance ensuite

Relisez la liste des exigences de l’assureur : double authentification, détection sur les postes, sauvegardes testées, mises à jour, inventaire… C’est, mot pour mot, la description d’un parc bien géré.

Sur un parc Mac bien tenu (gestion centralisée, Jamf Connect pour l’authentification, Jamf Protect pour la détection, sauvegardes 3-2-1 réellement testées, mises à jour pilotées), le questionnaire se remplit avec des faits, preuves à l’appui.

Sur un parc en roue libre, il se remplit avec des espoirs. Et une police souscrite sur des espoirs, c’est le pire des deux mondes : la prime en dépense certaine, l’indemnisation en pari.

Donc, faut-il souscrire une assurance cyber pour votre PME ? La réponse est oui, mais d’abord on gère proprement son parc. Et ensuite, on négocie sa police d’assurance en position de force. Avec des preuves.

Les 5 questions à vous poser avant de signer

1. Que couvre déjà ma multirisque actuelle ? Certaines incluent un volet cyber, souvent symbolique, parfois suffisant.
2. Qu’est-ce que je peux prouver aujourd’hui, documents en main, parmi ce que le questionnaire me demande ?
3. Qu’est-ce qui est exclu du contrat qu’on me propose ? Lire la liste, pas le résumé commercial.
4. Quelle franchise, pour quel plafond ?
5. Qui, chez moi, dépose plainte en 72 heures si ça tombe pendant les congés ?

Si la question 2 vous laisse songeur, c’est par elle qu’il faut commencer.

Bref

L’assurance cyber est un bon outil : elle transfère le risque résiduel, celui qui reste quand le parc est bien tenu. Vous pouvez y souscrire mais après avoir sécurisé votre parc, pas avant. Vous négocierez mieux et vous saurez que l’assurance que vous payez vaut quelque chose.

Un audit de votre parc Apple répond justement à la question 2 : ce que vous pouvez prouver aujourd’hui, ce qui manque et dans quel ordre s’y mettre. On s’en parle ? Contactez Gete.net Consulting pour un premier échange sans engagement.