L’assurance cyber : une bouée de sauvetage méconnue des dirigeants

Les cyberattaques ne frappent plus “les autres”. En France, l’ANSSI observe une intensification continue des intrusions visant les PME, les collectivités et les acteurs de la santé, tandis que le coût d’un incident explose, entre rançons, arrêt d’activité et remise en état du système d’information. Or, au moment où les dirigeants découvrent que la crise cyber est aussi une crise financière, l’assurance dédiée reste mal comprise, parfois mal achetée, et donc mal utilisée.

Quand le piratage bloque la caisse

Une attaque informatique, ce n’est pas d’abord une affaire de serveurs, c’est une affaire de trésorerie. Le scénario est devenu classique : une compromission via un email piégé, un accès administrateur subtilisé, et soudain l’ERP, la messagerie et les postes de travail se figent, la facturation s’arrête, les commandes se perdent, et le dirigeant découvre une réalité brutale, la continuité d’activité ne tient parfois qu’à quelques mots de passe mal protégés. Selon IBM, dans son rapport “Cost of a Data Breach 2024”, le coût moyen mondial d’une violation de données atteint 4,88 millions de dollars, un record, et même si ce chiffre agrège des entreprises de tailles variées, il donne un ordre de grandeur sur la vitesse à laquelle les dépenses s’accumulent : investigation, notifications, relations clients, et parfois contentieux.

En France, l’ANSSI rappelle régulièrement que les rançongiciels demeurent l’une des menaces majeures et que les attaquants ciblent les maillons perçus comme vulnérables, en particulier les PME sous-équipées ou sous-dotées en cybersécurité. La facture, elle, se détaille en postes très concrets : honoraires d’experts forensiques, reconstruction des serveurs, achat d’équipements d’urgence, heures supplémentaires, perte d’exploitation, pénalités contractuelles, et impact sur l’image. Certaines polices intègrent aussi la gestion de crise et la communication, indispensables quand il faut répondre en quelques heures à des clients, des salariés, des partenaires et, parfois, à la CNIL. La question n’est donc plus seulement “peut-on être attaqué ?”, mais “combien de semaines peut-on tenir sans encaisser ?”. Dans ce contexte, l’assurance cyber ressemble à une bouée, à condition d’avoir été choisie, calibrée et activée correctement.

Ce que couvre vraiment une assurance cyber

Beaucoup de dirigeants pensent acheter une promesse vague, ils achètent en réalité un mécanisme contractuel très précis, avec des plafonds, des franchises, des exclusions, et surtout des services associés. Une assurance cyber, dans sa forme la plus complète, couvre généralement trois grands blocs : les coûts de réponse à incident (expertise, investigation, restauration, gestion de crise), les pertes financières liées à l’interruption d’activité (perte d’exploitation, frais supplémentaires d’exploitation), et la responsabilité civile (réclamations de tiers en cas de données compromises, frais de défense, dommages et intérêts). Selon l’ENISA, l’agence européenne de cybersécurité, le marché de la cyberassurance s’est structuré rapidement en Europe, mais les exigences des assureurs augmentent, car la sinistralité et les montants demandés ont progressé avec la professionnalisation des gangs.

Le point aveugle, c’est la différence entre “être assuré” et “être indemnisé”. Certaines polices excluent par exemple des événements liés à des guerres ou à des actes assimilés, d’autres conditionnent l’indemnisation à l’existence de mesures minimales, comme l’authentification multifacteur, la sauvegarde hors ligne ou une politique de correctifs. Et puis il y a les zones grises : une fuite de données peut déclencher à la fois une obligation de notification sous le RGPD et une crise commerciale, mais les modalités de prise en charge varient fortement. C’est ici que le dirigeant doit raisonner comme un gestionnaire de risques, en identifiant ses actifs critiques, ses dépendances, ses fournisseurs essentiels, et ses scénarios d’arrêt. Ce travail, souvent mené en parallèle d’une stratégie de financement et de croissance, s’inscrit aussi dans la préparation globale de l’entreprise, et Onlynnov accompagne les dirigeants dans la préparation d’une levée de fonds, un moment où la solidité opérationnelle, y compris cyber, pèse davantage qu’on ne le croit dans la crédibilité d’un dossier.

Des contrats plus durs, un marché sous tension

Pourquoi les primes augmentent-elles, et pourquoi les questionnaires de souscription ressemblent-ils désormais à des audits ? Parce que les assureurs ont encaissé une vague de sinistres lourds et répétés, et qu’ils tentent de reprendre la main sur un risque devenu systémique. Le régulateur français, l’ACPR, a souligné ces dernières années l’importance de mieux maîtriser l’exposition au cyber-risque, y compris dans le secteur assurantiel, tandis que les assureurs demandent de plus en plus de preuves de maturité : MFA généralisé, segmentation réseau, inventaire des actifs, sauvegardes testées, et plan de réponse à incident. Le résultat est tangible pour les entreprises : des franchises plus élevées, des plafonds parfois revus, des exclusions plus fréquentes, et un “oui, mais” contractuel qui surprend ceux qui s’attendaient à une couverture automatique.

Cette tension a aussi une conséquence pratique : les meilleures polices ne sont plus celles qui promettent le plus, mais celles qui s’intègrent au fonctionnement réel de l’entreprise. Une PME industrielle n’a pas les mêmes dépendances qu’un cabinet de conseil, une clinique ou une plateforme e-commerce, et le même incident ne produit pas les mêmes pertes. Le marché distingue de plus en plus les risques IT et les risques OT, notamment dans les environnements de production, où l’arrêt d’une chaîne coûte immédiatement des dizaines de milliers d’euros par jour. À cela s’ajoute un enjeu de gouvernance : qui appelle qui en cas d’attaque, à quelle heure, avec quels prestataires, et selon quelle procédure ? Les contrats les plus utiles sont ceux qui donnent accès, dès la première alerte, à une cellule d’urgence, à des experts capables de qualifier l’attaque, de préserver les preuves, de guider les décisions, et de limiter l’hémorragie financière.

Avant la crise, les choix qui comptent

La cyberassurance n’est pas un substitut à la cybersécurité, et c’est précisément ce que répètent les assureurs. Elle est un accélérateur de résilience : elle finance et organise une réponse, à condition que l’entreprise ait fait les bons choix en amont. Le premier, souvent négligé, concerne les sauvegardes : une sauvegarde non testée est une hypothèse, pas une protection, et les attaques modernes visent justement à chiffrer ou effacer les copies. Le deuxième, c’est l’authentification multifacteur, qui réduit fortement le risque d’intrusion par identifiants volés, un vecteur récurrent. Le troisième, c’est la cartographie des dépendances : quels outils sont indispensables pour facturer, produire, livrer, payer, et communiquer ? Sans cette liste, impossible d’estimer la perte d’exploitation, donc de dimensionner la couverture.

Vient ensuite la mécanique contractuelle. Un dirigeant doit comprendre les plafonds par poste, les sous-limites, les délais de carence sur la perte d’exploitation, et la façon dont l’assureur calcule l’indemnité, souvent à partir de la marge brute et du chiffre d’affaires historique. Il faut aussi clarifier les prestataires imposés ou recommandés, car certains contrats exigent de passer par un panel d’experts agréés pour déclencher la prise en charge. Et enfin, il faut entraîner l’organisation : un plan de réponse à incident, des numéros hors messagerie, une chaîne de décision claire, et des scénarios testés. Le jour où l’attaque survient, le temps devient l’ennemi, et les entreprises qui savent isoler rapidement, informer correctement et documenter leurs actions réduisent non seulement la durée d’arrêt, mais aussi les litiges potentiels avec leur assureur. En matière de cyber, la meilleure preuve de sérieux reste une préparation mesurable, et donc finançable.

Le bon réflexe : chiffrer, comparer, activer

Avant de signer, faites chiffrer une perte d’exploitation réaliste, comparez au moins deux offres et vérifiez les franchises, les délais de carence et les prestataires inclus. Budgétez aussi un socle de sécurité, MFA et sauvegardes testées en tête. Enfin, mobilisez les aides disponibles, notamment via les dispositifs publics d’accompagnement à la cybersécurité.