Selon une enquête de Deloitte publiée en août 2026, la Suisse compte environ 72’000 polices d’assurance cyber. Parmi les PME, seule une entreprise sur neuf environ est assurée. Dans le même temps, les exigences des assureurs augmentent nettement. Pour conclure ou renouveler une police, il faut remplir un questionnaire qui ressemble davantage à un audit informatique.
Cet article explique ce que couvre une assurance cyber, ce que les assureurs demandent et à quoi faire attention en remplissant le questionnaire.
Ce que couvre une assurance cyber
La plupart des polices comportent deux volets. Les dommages propres couvrent les coûts dans votre entreprise : restauration des systèmes et des données, analyse forensique, interruption d’exploitation et, selon le contrat, communication de crise. La responsabilité civile couvre les prétentions de clients ou partenaires, par exemple lorsque leurs données ont fuité.
Beaucoup d’assureurs proposent aussi une ligne d’urgence avec des entreprises spécialisées qui interviennent en quelques heures. Pour les petites structures, ce service vaut souvent plus que l’indemnisation elle-même.
Les mesures vérifiées par les assureurs
Les questionnaires varient dans le détail, mais les points essentiels sont toujours les mêmes :
- Authentification multifacteur pour la messagerie, l’accès à distance et les comptes administrateur. Sans MFA, beaucoup d’assureurs refusent la demande. Notre article sur l’authentification multifacteur explique comment l’introduire.
- Sauvegardes séparées du réseau ou immuables, testées régulièrement. Les bases sont décrites dans la règle 3-2-1.
- Mises à jour des systèmes, serveurs et pare-feu dans des délais définis. Les systèmes sans support de l’éditeur, comme Windows Server 2016 dès janvier 2027, sont jugés sévèrement.
- Protection des postes avec une solution actuelle qui détecte et signale les comportements suspects.
- Comptes administrateur séparés, qui ne servent ni aux e-mails ni à la navigation.
- Formation du personnel, notamment pour reconnaître le phishing.
- Un plan d’urgence qui définit qui fait quoi en cas d’incident.
Attention au questionnaire
Les réponses au questionnaire font partie du contrat. Si l’on découvre après un incident qu’une information était inexacte, l’assureur peut réduire ou refuser sa prestation. Pièges fréquents :
- La MFA est active pour la plupart des comptes, mais pas pour un ancien compte de service ou l’accès de l’éditeur de logiciel.
- Une sauvegarde existe, mais la restauration n’a jamais été testée.
- Un serveur tourne encore sans mises à jour, car le logiciel n’est pas validé.
Ne remplissez donc pas le questionnaire seul au bureau. Passez-le en revue point par point avec la personne qui s’occupe de votre informatique et notez sur quoi repose chaque réponse.
Ce que l’assurance ne remplace pas
Une police paie après le dommage. Elle n’empêche pas la panne. Aucune assurance ne récupère des données clients qui ont fuité, et la confiance des clients ne s’achète pas. Les mesures techniques restent donc la base. L’assurance couvre le risque résiduel qu’on ne peut plus réduire avec un effort raisonnable.
Notre aide
Nous vérifions votre informatique à l’aide des questions habituelles des assureurs, comblons les lacunes et vous remettons un récapitulatif écrit utilisable pour la demande. Plus d’informations sous Sécurité informatique.
Questions fréquentes
Combien coûte une assurance cyber pour une PME ?
La prime dépend du chiffre d’affaires, de la branche, de la somme assurée et du niveau de sécurité informatique. Pour les petites entreprises, les primes commencent à quelques centaines de francs par an. De bonnes mesures de protection influencent directement le prix.
L’assurance paie-t-elle aussi une rançon ?
Cela varie selon le contrat et c’est limité dans de nombreuses polices. L’essentiel est que des sauvegardes fonctionnelles vous évitent d’avoir à prendre cette décision.
Notre responsabilité civile d’entreprise ne suffit-elle pas ?
En général, non. Les assurances classiques de responsabilité civile et de choses excluent le plus souvent les cyberdommages ou ne les couvrent que de façon très limitée. Posez la question précise à votre courtier.
Faut-il remplir toutes les exigences avant de conclure ?
Certains points comme la MFA et les sauvegardes sont une condition chez beaucoup d’assureurs. D’autres influencent la prime. Un questionnaire honnête avec un plan pour les points ouverts vaut mieux que des réponses embellies.
