Assurance cyber PME : ce que l'assureur ne dit pas.

Une police mal comprise peut ne rien vous rembourser

Vous avez souscrit une assurance cyber "pour être tranquille". Bonne nouvelle : c'est une vraie protection financière. Mauvaise nouvelle : ce n'est pas un chèque en blanc.

Chaque année, des dirigeants de PME découvrent qu'une clause d'exclusion, un délai non respecté ou une case mal cochée dans le questionnaire de souscription suffit à faire tomber leur indemnisation. Accès distant sans double authentification, plainte déposée trop tard, sauvegarde jamais testée : en 2026, ces situations peuvent transformer une attaque par ransomware couverte sur le papier en un sinistre non remboursé dans les faits.

Cet article détaille ce que couvre réellement une assurance cyber pour une PME française, ce qu'elle exclut le plus souvent, l'obligation légale née de la loi LOPMI, et les prérequis techniques à mettre en place avant même de demander un devis.

Qu'est-ce qu'une assurance cyber ?

Une assurance cyber est un contrat qui indemnise une entreprise pour les pertes financières causées par une cyberattaque ou un incident informatique. Elle comprend généralement deux volets : les dommages propres (frais de gestion de crise, perte d'exploitation, restauration) et une garantie de responsabilité civile cyber, qui indemnise les tiers (clients, partenaires) affectés par l'incident. À l'inverse, la responsabilité civile professionnelle classique de l'entreprise exclut le plus souvent ce type de risque, d'où l'intérêt d'un contrat dédié.

Vos questions immédiates sur l'assurance cyber

Une assurance cyber est-elle obligatoire en France ?

Non, aucune loi n'impose à une PME française de souscrire une assurance cyber. C'est une démarche volontaire. En revanche, certains donneurs d'ordres, certains marchés publics et certains partenaires bancaires l'exigent de plus en plus dans leurs contrats.

Que couvre concrètement une assurance cyber pour une PME ?

Elle couvre généralement les frais d'expertise technique, la perte d'exploitation, les frais de notification aux victimes et, selon les contrats, le paiement d'une rançon. L'étendue exacte varie fortement d'un assureur à l'autre, d'où l'importance de lire les clauses d'exclusion avant de signer.

Pourquoi mon assureur peut-il refuser d'indemniser un sinistre pourtant couvert sur le papier ?

Le plus souvent parce qu'une condition préalable n'a pas été respectée : absence de MFA, sauvegarde jamais testée, ou plainte déposée après le délai légal de 72 heures. Ces conditions figurent dans le questionnaire de souscription et engagent l'assuré, même si elles paraissent secondaires au moment de la signature.

Ce que couvre (et ne couvre pas) une police cyber

Les contrats varient d'un assureur à l'autre, mais la structure reste proche. Voici les grandes catégories de garanties et les exclusions les plus fréquentes.

Selon l'ANSSI, 48 % des victimes françaises de rançongiciel sont des TPE, PME ou ETI. Ce chiffre explique pourquoi les assureurs ont considérablement resserré leurs conditions d'accès à la garantie ransomware ces deux dernières années.

Autre point souvent ignoré : la garantie responsabilité civile de votre entreprise ne couvre pas les mêmes situations qu'une assurance cyber. Elle indemnise un tiers lésé, pas votre propre perte d'exploitation. D'où l'intérêt d'inscrire cette réflexion dans une véritable démarche de gestion des risques cyber, plutôt que de considérer le contrat d'assurance comme votre seule ligne de défense.

L'obligation légale née de la loi LOPMI : deux délais de 72 heures à ne pas confondre

Le délai légal de 72 heures pour porter plainte

Depuis le 24 avril 2023, l'article L12-10-1 du Code des assurances, issu de la loi LOPMI, conditionne l'indemnisation d'une cyberattaque au dépôt d'une plainte pénale dans un délai de 72 heures à compter de la découverte de l'incident. Cette règle est d'ordre public : elle s'applique même si le contrat ne la mentionne pas explicitement, et elle vaut aussi pour les attaques avec demande de rançon.

Cette obligation concerne les contrats d'assurance cyber, les contrats "Kidnapping et Rançon", ainsi que les contrats de dommages consécutifs à une atteinte cyber. Les garanties de responsabilité civile ne sont pas concernées.

LOPMI et RGPD : deux délais de 72 heures, deux autorités différentes

Attention à ne pas confondre ce délai avec celui du RGPD. En cas de violation de données personnelles, l'entreprise doit également notifier la CNIL dans un délai de 72 heures après en avoir eu connaissance, sous peine d'une sanction distincte de l'assurance. Ce sont deux obligations différentes, adressées à deux autorités différentes, avec deux conséquences différentes en cas de manquement.

Le risque de résiliation après sinistre

Autre point de vigilance en 2026 : un assureur peut résilier un contrat après sinistre, dans les conditions prévues par l'article R.113-10 du Code des assurances. Un dirigeant qui a subi une attaque doit donc anticiper un renouvellement plus exigeant, voire un changement d'assureur.

Le questionnaire de souscription : ce que l'assureur vérifie vraiment

Souscrire une cyberpolice en 2026 ressemble de plus en plus à un audit de sécurité. Le questionnaire, souvent composé de 40 à 80 questions, conditionne à la fois l'acceptation du dossier et le montant de la prime.

Les prérequis techniques attendus

Les points les plus fréquemment vérifiés sont les suivants :

• L'authentification multi-facteurs sur les accès distants, les comptes administrateurs et la messagerie,
• Une solution de détection et réponse sur les postes, de type EDR, plutôt qu'un simple antivirus,
• Des sauvegardes régulières, testées, et si possible déconnectées du réseau principal,
• Un plan de continuité et de reprise d'activité documenté,
• Un programme de sensibilisation des équipes aux tentatives de phishing,
• Un traitement prioritaire et rapide des vulnérabilités critiques dès la mise à disposition des correctifs de sécurité.

Selon le baromètre du CESIN, le phishing reste le premier vecteur d'incidents cyber significatifs. C'est notamment pour cette raison que les assureurs accordent une importance croissante à la sensibilisation et à la formation anti-phishing des équipes dans leurs questionnaires de souscription.

MFA, sauvegardes et supervision : les points de vigilance

Sans authentification multi-facteur déployée sur ces accès, de nombreux assureurs refusent purement et simplement le dossier, ou appliquent une surprime pouvant atteindre 30 à 50 %. La raison est simple : la majorité des ransomwares entrent aujourd'hui par un accès distant compromis.

Concernant les sauvegardes, l'assureur ne se contente plus d'une déclaration sur l'honneur. Il attend une preuve : rapports de tests de restauration, fréquence documentée, copie hors ligne ou immuable. Une stratégie de sauvegarde et de restauration solide fait souvent la différence entre un dossier accepté et un dossier rejeté.

Enfin, disposer d'une supervision continue, via un SOC externalisé 24h/24 et 7j/7, rassure fortement les souscripteurs : c'est la preuve d'une capacité réelle de détection et de confinement d'une attaque en cours, et non pas uniquement d'une protection passive.

Les exclusions qui surprennent le plus les dirigeants

La plupart des refus d'indemnisation ne viennent pas d'une attaque exceptionnelle, mais d'une négligence facile à corriger en amont.

Le top 5 des exclusions les plus fréquentes

• La négligence caractérisée, comme l'absence de mise à jour d'un logiciel connu comme vulnérable depuis plusieurs mois,
• L'absence de MFA sur un accès qui a servi de porte d'entrée à l'attaque,
• Une sauvegarde jamais restaurée avec succès, alors qu'elle figurait dans le questionnaire de souscription,
• Un délai de déclaration ou de plainte dépassé,
• Une attaque attribuée à un acteur étatique, souvent exclue par une clause dite d'acte de guerre.

C'est pourquoi une analyse des vulnérabilités régulière n'est pas seulement une bonne pratique technique : c'est aussi ce qui évite qu'une négligence documentée ne serve de motif de refus le jour où vous en avez le plus besoin.

Assurance ou prévention : ne vous trompez pas de priorité

Une assurance cyber indemnise après le sinistre. Elle ne l'empêche pas. Un dirigeant qui considère son contrat d'assurance comme sa seule ligne de défense prend un risque important : celui de subir l'attaque, l'arrêt d'activité, et un éventuel refus d'indemnisation, cumulés.

La meilleure combinaison reste une protection continue au quotidien, associée à un contrat d'assurance négocié en connaissance de cause. C'est le principe d'une cybersécurité managée as a service : elle réduit la probabilité et la gravité d'un sinistre, tout en produisant les preuves documentées que les assureurs demandent de plus en plus lors de la souscription.

Le plan d'action pour être assurable et bien couvert

Voici la démarche à suivre avant de solliciter un devis, ou avant un renouvellement de contrat.

1. Faire réaliser un diagnostic cybersécurité pour objectiver votre niveau de maturité actuel,
2. Déployer l'authentification multi-facteurs sur tous les accès distants, la messagerie et les comptes à privilèges,
3. Mettre en place une solution EDR sur l'ensemble des postes et serveurs,
4. Vérifier que vos sauvegardes sont régulières, testées, et déconnectées du réseau principal,
5. Documenter un plan de continuité et de reprise d'activité (PCA/PRA),
6. Former vos équipes à reconnaître une tentative de phishing, via un programme régulier de sensibilisation à la cybersécurité,
7. Passer par un courtier spécialisé en risques cyber plutôt que par un assureur généraliste, pour négocier des clauses adaptées à votre secteur,
8. En cas d'incident, contacter immédiatement votre assureur, préserver les preuves techniques, et déposer plainte dans les 72 heures.

En cas d'attaque avérée, le dispositif public Cybermalveillance.gouv.fr peut également orienter votre entreprise vers un prestataire de proximité pour la remédiation technique, en complément de votre assurance.

Points clés à retenir

• Une assurance cyber n'est pas obligatoire en France, mais elle est de plus en plus exigée par les partenaires commerciaux,
• La loi LOPMI conditionne l'indemnisation au dépôt d'une plainte pénale sous 72 heures, un délai distinct de la notification RGPD à la CNIL,
• Le questionnaire de souscription vérifie la MFA, l'EDR, les sauvegardes testées, le PCA/PRA et la sensibilisation des équipes,
• La négligence caractérisée reste le premier motif de refus d'indemnisation,
• L'assurance complète la prévention, elle ne la remplace jamais.

Sécurisez votre PME avant de signer votre contrat

Avant de souscrire ou de renouveler une assurance cyber, la meilleure décision reste de connaître précisément votre niveau d'exposition réelle. C'est justement l'objet du diagnostic gratuit proposé par Core Security : évaluez gratuitement votre niveau de sécurité et identifiez, avant votre assureur, les priorités à corriger.

Les experts certifiés ISO 27001 et ISO 27005 de Core Security, entreprise de cybersécurité basée à Paris, accompagnent les TPE, PME et ETI françaises dans la mise en conformité technique attendue par les assureurs, de l'audit initial jusqu'à la supervision continue.