Cyberassurance : ce que l’assureur vérifie avant de couvrir votre PME.

Un dirigeant de PME nous a montré, un peu gêné, le questionnaire de renouvellement de sa cyberassurance. Il avait coché oui à « double authentification sur tous les accès », alors que la moitié des comptes n’en avaient pas. Rien de grave… tant qu’aucune attaque ne venait vérifier la réponse.

Ce que l’assureur demande avant de couvrir une PME.

Il y a quelques années, souscrire une cyberassurance se résumait à une ligne dans le contrat multirisque. Les sinistres se sont multipliés, et les assureurs ont durci le ton. Aujourd’hui, ils veulent savoir précisément comment l’entreprise se protège avant d’accepter le risque, et à quel prix.

Un questionnaire technique de plus en plus précis.

Le questionnaire passe en revue les accès, les postes, les sauvegardes, les mises à jour et la sensibilisation des salariés. Certaines questions sont éliminatoires. Sans double authentification ou sans sauvegarde isolée, de nombreux assureurs refusent purement et simplement de couvrir, ou appliquent une franchise qui vide la garantie de son intérêt.

Le questionnaire s’intéresse aussi à l’activité elle-même. Chiffre d’affaires, nombre de postes, part du travail réalisé en ligne, données de santé ou bancaires manipulées… ces éléments fixent le montant de garantie proposé et le prix. Une agence immobilière et une clinique ne remplissent pas le même dossier, et ne paient pas la même prime.

Une réponse fausse peut coûter la garantie.

Le questionnaire n’est pas une formalité. En cas de sinistre, l’assureur mandate des experts qui vérifient chaque réponse. Une fausse déclaration intentionnelle peut entraîner la nullité du contrat, et une erreur de bonne foi réduire l’indemnité en proportion. Autant dire qu’un oui coché trop vite coûte très cher.

Avant de remplir ce document, mieux vaut connaître la réalité de son système. Un audit cybersécurité pour PME passe en revue les accès, les sauvegardes et les postes, puis remet un rapport hiérarchisé avec un plan d’action. Vous répondez au questionnaire sur des faits, pas sur des impressions.

Les mesures que les assureurs exigent.

D’un assureur à l’autre, les questionnaires se ressemblent beaucoup. Quatre mesures reviennent presque toujours, et leur absence ferme souvent la porte. Bonne nouvelle, aucune n’est hors de portée d’une PME, même petite.

La double authentification partout.

Un mot de passe volé suffit à ouvrir une messagerie ou un accès distant. La double authentification ajoute une validation sur le téléphone, et l’attaquant reste dehors. Les assureurs la demandent sur la messagerie, sur les accès à distance et sur tous les comptes administrateurs, sans exception.

Concrètement, la mise en place prend rarement plus d’une journée pour une PME de vingt personnes. Les applications d’authentification sont gratuites, et la plupart des messageries professionnelles intègrent déjà la fonction. Le plus long reste d’expliquer aux équipes pourquoi on leur demande un code de plus, de temps en temps.

Un EDR sur chaque poste et chaque serveur.

L’antivirus classique reconnaît les menaces connues. L’EDR surveille le comportement des machines et bloque un rançongiciel au moment où il commence à chiffrer. Un EDR supervisé 24 heures sur 24 ajoute une équipe qui réagit aux alertes, la nuit comme le week-end, quand les attaques se déclenchent le plus souvent.

Des sauvegardes isolées et testées.

Les assureurs ne se contentent plus d’un oui à « avez-vous des sauvegardes ». Ils demandent une copie isolée du réseau et la preuve d’une restauration récente. Notre article sur la sauvegarde 3-2-1 en PME détaille l’organisation qui répond à ces deux exigences.

Des mises à jour suivies.

Une faille connue et non corrigée reste la porte d’entrée préférée des attaquants. Le questionnaire demande souvent le délai d’application des correctifs critiques, et la liste des systèmes qui ne sont plus mis à jour. Un vieux serveur oublié dans un coin peut, à lui seul, faire grimper la prime.

Ce que couvre une cyberassurance.

Une cyberassurance ne protège pas contre l’attaque elle-même, elle aide l’entreprise à s’en relever. Les garanties varient beaucoup d’un contrat à l’autre, et c’est là que la lecture attentive des conditions prend tout son sens. Voici les postes qu’on retrouve le plus souvent.

Le remboursement d’une rançon n’est pas interdit en France, mais il dépend entièrement du contrat, et il est toujours encadré. Ne payez jamais sans l’accord écrit de l’assureur. Franchement, la meilleure garantie reste de ne jamais avoir à se poser la question, grâce à une sauvegarde saine.

Attention aussi aux exclusions et aux plafonds. Une perte d’exploitation couverte après un délai de carence de plusieurs jours ne protège pas vraiment une entreprise qui redémarre en quarante-huit heures. Lisez les franchises et les sous-limites ligne par ligne, idéalement avec votre courtier.

Côté montants, demandez-vous combien coûterait une semaine d’arrêt complet. Salaires, commandes perdues, intervention d’experts, remise en état… le total dépasse souvent ce qu’imagine le dirigeant. C’est ce chiffre, et non le montant de la prime, qui doit guider le choix du plafond de garantie.

Cyberattaque, la plainte sous 72 heures.

Un point juridique méconnu peut coûter toute l’indemnisation. Depuis 2023, une règle impose un dépôt de plainte très rapide aux professionnels victimes d’une cyberattaque, et beaucoup de dirigeants l’ignorent encore.

Une condition légale depuis 2023.

Depuis la loi d’orientation du ministère de l’Intérieur de janvier 2023, l’indemnisation d’une cyberattaque par l’assurance est subordonnée à une plainte déposée au plus tard 72 heures après que l’entreprise a eu connaissance de l’attaque. Le délai court à partir de la découverte, pas de l’intrusion. Un envoi recommandé avec accusé de réception fournit une preuve datée.

La plainte se dépose dans un commissariat, une gendarmerie ou par courrier au procureur de la République. Gardez une copie du récépissé avec le dossier de sinistre, l’assureur la demandera. Et si l’attaque touche des données personnelles, la CNIL attend de son côté une notification dans le même délai de 72 heures.

Les premiers réflexes après l’attaque.

Dans les premières heures, la tentation est forte de tout éteindre et de tout réinstaller. Mauvaise idée, car les traces disparaissent avec. Notre article sur les rançongiciels en PME décrit la journée type d’une attaque et les gestes qui limitent les dégâts.

Préparer sa demande de cyberassurance.

Un dossier bien préparé rassure l’assureur, et ça se voit sur la prime comme sur la franchise. La démarche commence quelques semaines avant l’échéance, pas la veille. Allez, voici l’ordre qu’on suit avec nos clients.

Les mesures demandées par l’assureur ne servent pas qu’à obtenir un contrat. Ce sont exactement celles qui empêchent l’attaque ou la rendent supportable. Disons-le autrement, une PME bien préparée pour l’assureur est surtout une PME qui a beaucoup moins de chances d’en avoir besoin.

Chez Newlink, on accompagne les PME avant la souscription, avec l’audit, la double authentification, l’EDR et les sauvegardes. On ne vend pas d’assurance, on rend votre entreprise assurable. Et le jour du renouvellement, chaque oui du questionnaire est enfin un vrai oui !

Questions fréquentes.

À lire aussi.

CYBERSÉCURITÉFortinet vs Palo-Alto, quel pare-feu choisir ?CYBERSÉCURITÉComment empecher l’exécution de fichier dans un parc informatique ?CYBERSÉCURITÉAudit informatique et cybersécurité : pourquoi les PME sont les premières cibles des hackers ?CYBERSÉCURITÉVPN site à site : relier deux sites d’entreprise en toute sécurité.