Tout savoir sur l’assurance contre les risques cyber
.png)
DPO Consulting Rejoint Grant Thornton
Sommaire
La cyber assurance est un contrat qui prend en charge les pertes et les frais générés par un incident informatique, depuis la réponse technique jusqu'aux conséquences juridiques et commerciales. Elle ne remplace pas la sécurité, elle absorbe le coût résiduel quand les mesures en place ont été insuffisantes.
Deux particularités françaises changent la lecture d'un contrat, et elles sont absentes de la plupart des contenus disponibles en ligne. La première est l'obligation de dépôt de plainte sous 72 heures pour déclencher l'indemnisation. La seconde est l'inassurabilité des sanctions administratives, qui place les amendes RGPD hors du champ de toute police.
La cyberassurance est une couverture dédiée aux risques liés aux systèmes d'information et aux données. Elle combine en général trois blocs, les frais de réponse à l'incident, les pertes subies par l'entreprise elle-même, et la responsabilité envers les tiers dont les données ou les services ont été affectés.
Elle se distingue d'une responsabilité civile professionnelle classique sur un point décisif. La RC professionnelle indemnise les dommages causés à des tiers, elle ne couvre pas les pertes propres de l'entreprise, ni les frais d'expertise technique, ni la reconstruction d'un système d'information. Une assurance cyber sécurité dédiée existe précisément pour ces postes.
Les garanties varient d'un contrat à l'autre, mais la structure reste stable. Quatre blocs reviennent dans la quasi-totalité des polices du marché français. Le tableau ci-dessous résume ce qui est habituellement pris en charge et les points à vérifier avant de signer.
Ce premier bloc finance l'intervention immédiate, investigation forensique, confinement, remise en service, assistance juridique et communication de crise. Il couvre aussi la notification aux personnes concernées quand elle est requise par l'article 34 du RGPD, poste qui devient très coûteux dès que le nombre de personnes se compte en dizaines de milliers.
Ce bloc vise les dommages subis par l'assuré, destruction ou altération de données, reconstruction des systèmes, frais d'expertise. Le paiement d'une rançon reste une garantie possible en droit français, confirmée dans son principe par la loi du 24 janvier 2023, mais toujours optionnelle et strictement conditionnée. Une assurance cyber attaque qui mentionne la rançon sans préciser ces conditions mérite un examen attentif.
La perte d'exploitation est souvent le poste le plus lourd. La garantie compense la marge perdue pendant l'indisponibilité, selon une période d'indemnisation définie au contrat et après un délai de carence exprimé en heures. Ce délai de carence, généralement de huit à vingt-quatre heures, détermine si un incident court est indemnisé ou non.
Ce bloc prend en charge la défense de l'entreprise, y compris devant une autorité de contrôle, les frais de procédure et les éventuels dommages et intérêts dus à des tiers. Les frais de défense devant la CNIL sont assurables, la sanction prononcée à l'issue ne l'est pas, distinction développée plus bas.
Les exclusions font la valeur réelle d'un contrat. Elles portent moins sur des événements exotiques que sur des situations courantes, défauts de sécurité connus et non corrigés en tête. Le tableau ci-dessous reprend les exclusions les plus fréquentes du marché français.
Les polices excluent classiquement les faits de guerre et les actes d'État, les défaillances d'infrastructures publiques comme une panne électrique généralisée, l'usure ou la vétusté des systèmes, et les pertes purement immatérielles de valeur comme une baisse de cours de bourse. La clause de guerre cyber est devenue un point de négociation, sa rédaction variant fortement d'un assureur à l'autre.
C'est l'exclusion qui déclenche le plus de litiges. Si l'entreprise a déclaré lors de la souscription disposer d'une authentification multifacteur, de sauvegardes testées ou d'une politique de correctifs, et que l'incident révèle le contraire, l'assureur peut réduire ou refuser sa garantie. La déclaration de risque engage, elle n'est pas un formulaire administratif.
La faute intentionnelle ou dolosive de l'assuré est inassurable en droit français, conformément à l'article L. 113-1 du code des assurances. Un acte malveillant commis par un dirigeant engage donc l'entreprise sans couverture. La fraude interne commise par un salarié relève en revanche souvent d'une garantie spécifique, à souscrire séparément.
Au-delà des exclusions nommées, trois paramètres limitent l'indemnisation réelle, le plafond global, les sous-limites par garantie et la franchise. Une police affichant un plafond élevé peut comporter une sous-limite très basse sur la perte d'exploitation ou sur la rançon. Lisez les sous-limites avant le plafond, c'est là que se joue la couverture effective.
Les garanties d'une cyber assurance se répartissent en deux familles, celles qui indemnisent les dommages propres de l'entreprise et celles qui couvrent sa responsabilité envers les tiers. La plupart des contrats combinent les deux, mais dans des proportions très inégales selon qu'ils s'adressent à une PME ou à un grand compte.
Une assurance cyber risques vise les scénarios dont la fréquence est avérée, pas les menaces théoriques. Quatre familles d'incidents représentent l'essentiel des sinistres déclarés, le rançongiciel, la compromission de messagerie, la violation de données et l'indisponibilité liée à un prestataire.
Une assurance cyber risques bien calibrée tient compte de la dépendance aux prestataires, qui mérite une attention particulière. Un incident chez un hébergeur ou un éditeur SaaS peut interrompre l'activité sans qu'aucun système interne n'ait été attaqué. La couverture de ce scénario, dite carence de fournisseur, n'est pas systématique. Notre guide sur la gestion des risques liés aux tiers (TPRM) détaille la cartographie à produire en amont.
Le point le plus mal compris du sujet tient en une phrase, une amende de la CNIL n'est pas assurable en France. L'Autorité de contrôle prudentiel et de résolution l'a rappelé dans un communiqué du 18 mars 2025, le respect de l'ordre public s'oppose à ce que des amendes ou sanctions pécuniaires prononcées par des autorités administratives soient couvertes par une assurance, et toute clause contractuelle le prévoyant serait nulle, sous réserve de l'appréciation des tribunaux.
Ce que la police peut prendre en charge autour d'une sanction reste substantiel. Les frais de défense devant la CNIL, l'accompagnement juridique, l'investigation technique, la notification aux personnes concernées et les actions en réparation engagées par des tiers entrent dans le champ des garanties habituelles. La sanction elle-même reste à la charge de l'entreprise.
Une seconde obligation française structure la relation avec l'assureur. L'article L. 12-10-1 du code des assurances, issu de la loi du 24 janvier 2023 et applicable depuis le 24 avril 2023, subordonne l'indemnisation au dépôt d'une plainte auprès des autorités compétentes dans les 72 heures suivant la connaissance de l'atteinte. Ce délai coexiste avec celui de l'article 33 du RGPD pour la notification à la CNIL, sans se confondre avec lui. Notre article sur comment gérer une violation de données à caractère personnel détaille la chronologie complète.
La qualité de la gestion des premières heures détermine le montant réellement indemnisé. Quatre étapes structurent la déclaration, et deux d'entre elles sont encadrées par un délai strict. Les équipes qui improvisent à ce stade perdent des garanties par simple défaut de procédure.
Prévenez l'assureur ou le courtier dès la détection, avant même d'avoir qualifié l'incident. La plupart des contrats imposent un délai de déclaration court et l'intervention de prestataires agréés. Déposez la plainte dans les 72 heures, faute de quoi l'indemnisation peut être refusée au titre de l'article L. 12-10-1.
L'investigation établit le point d'entrée, l'étendue de la compromission et les données concernées. Préservez les journaux et les images disque avant toute remise en service, car un système restauré trop vite détruit la preuve dont l'assureur a besoin pour évaluer le sinistre.
La plupart des polices imposent de recourir aux prestataires référencés par l'assureur, ou d'obtenir son accord préalable avant d'engager un tiers. Engager son propre prestataire sans validation expose à un refus de prise en charge des honoraires. Notre guide sur la réponse aux incidents de cybersécurité décrit les rôles à définir avant le sinistre.
La perte d'exploitation se démontre, elle ne se déclare pas. Comptabilité analytique, historique de chiffre d'affaires, preuve des commandes perdues et des frais supplémentaires engagés constituent le dossier. Les entreprises qui tiennent déjà ces éléments sont indemnisées plus vite et plus complètement.
Une police utile se prépare avant la souscription et s'entretient ensuite. Quatre pratiques font la différence entre un contrat qui paie et un contrat qui discute. Elles portent toutes sur la preuve, puisque c'est elle que l'assureur examinera.
L'évaluation des risques sert deux fois, pour prioriser les mesures et pour remplir correctement le questionnaire de souscription. Une déclaration inexacte fragilise la garantie. Notre guide d'évaluation des risques de cybersécurité donne la méthode de cotation attendue.
Authentification multifacteur, gestion des correctifs, segmentation, supervision et sensibilisation forment le socle que les assureurs vérifient. Ce qui compte n'est pas de les avoir, c'est de pouvoir le prouver à une date donnée. Une politique de cybersécurité écrite et appliquée constitue cette preuve.
Les sauvegardes isolées et testées sont devenues un critère de souscription à part entière, parce qu'elles réduisent directement le coût d'un rançongiciel. Un test de restauration documenté deux fois par an pèse plus, dans une négociation de prime, que n'importe quelle déclaration d'intention.
Relisez le contrat chaque année au regard de l'évolution réelle de l'activité, nouveaux services en ligne, nouveaux prestataires critiques, nouveaux volumes de données. Les plafonds définis il y a trois ans couvrent rarement le chiffre d'affaires d'aujourd'hui. La directive NIS2 élargit par ailleurs le périmètre des entités concernées par des obligations de sécurité, ce que notre article sur la cyber résilience et la directive NIS2 détaille.
DPO Consulting n'est ni assureur ni courtier. L'accompagnement porte sur ce que l'assureur exige et sur ce que l'entreprise doit pouvoir prouver, mesures de sécurité documentées, cartographie des traitements, procédure de violation de données et conformité au RGPD. Ce travail conditionne l'accès à une couverture et son prix.
Pour objectiver votre niveau de sécurité avant une souscription ou un renouvellement, commencez par un audit de cybersécurité. Si le questionnaire de l'assureur touche aux données personnelles, un audit de conformité RGPD complète le dossier. Vous pouvez aussi échanger avec un expert DPO Consulting avant de répondre au questionnaire de souscription.
Comparez les offres de cyber assurance sur les sous-limites et les franchises d'abord, ensuite le plafond global, enfin les services d'assistance. Vérifiez la couverture de la carence de fournisseur, le délai de carence sur la perte d'exploitation et la rédaction de la clause de guerre cyber. Un devis assurance cyber ne se compare utilement qu'à garanties et sous-limites identiques.
Les exigences d'une assurance cyber sécurité convergent sur un socle, authentification multifacteur sur les accès distants et les comptes à privilèges, sauvegardes isolées et testées, gestion des correctifs, supervision, sensibilisation des équipes et plan de réponse à incident. Certains assureurs demandent en plus un audit ou un test d'intrusion récent.
La prime dépend du chiffre d'affaires, du secteur, du volume et de la sensibilité des données traitées, du niveau de maturité constaté et des garanties retenues. Elle se construit dossier par dossier. Un même profil d'entreprise peut obtenir des devis assurance cyber très différents selon la qualité des preuves fournies à la souscription, ce qui rend la préparation rentable.
Une police comprend les frais de réponse à l'incident, la reconstitution des données, la perte d'exploitation, la responsabilité civile envers les tiers, les frais de défense devant les autorités, et selon les contrats la cyberextorsion. Les services d'assistance et la liste des prestataires agréés font partie intégrante du contrat.
Une assurance cyber attaque couvre les conséquences, frais d'investigation, reconstruction, perte d'exploitation et négociation. Le paiement de la rançon lui-même est une garantie optionnelle, dont l'assurabilité a été confirmée dans son principe par la loi du 24 janvier 2023, sous réserve du dépôt de plainte dans les 72 heures. Toutes les polices ne la proposent pas.
Oui. Les frais d'investigation, de notification aux personnes concernées, d'assistance juridique et les actions en réparation engagées par des tiers relèvent des garanties habituelles. Le volume de personnes concernées est le principal facteur de coût, ce qui rend la minimisation des données directement rentable.
Non en France. L'ACPR a rappelé en mars 2025 que le respect de l'ordre public s'oppose à ce qu'une sanction pécuniaire prononcée par une autorité administrative soit couverte par une assurance, et qu'une clause contraire serait nulle. Les frais de défense devant la CNIL restent assurables, l'amende ne l'est pas.
Le socle attendu couvre l'authentification multifacteur, les sauvegardes isolées et testées, la gestion des correctifs, la supervision des journaux, la sensibilisation et un plan de réponse à incident. Ces éléments doivent être documentés et datés, une déclaration non étayée expose à une réduction de garantie en cas de sinistre.
Oui, sous réserve du délai de carence et de la période d'indemnisation définis au contrat. L'indemnisation porte sur la marge perdue, pas sur le chiffre d'affaires. La carence de fournisseur, lorsque l'interruption vient d'un prestataire et non de vos systèmes, doit être vérifiée séparément.
Pour une structure sans équipe sécurité interne, l'intérêt tient autant aux services qu'à l'indemnisation. L'accès immédiat à une cellule de crise et à des prestataires référencés vaut souvent plus que le plafond affiché. Le calcul se fait sur la capacité à encaisser plusieurs jours d'arrêt, pas sur la taille de l'entreprise.
.png)
.svg)
.png)
.png)
