Assurance cyber pour entreprise : prix, garanties, franchises et conditions à vérifier
Prix d'une assurance cyber en France, facteurs de prime, garanties, exclusions, franchise et obligation de dépôt de plainte sous 72 heures pour être indemnisé.
La prime d'une assurance cyber dépend surtout du chiffre d'affaires, du secteur d'activité, des plafonds de garantie choisis et du niveau de sécurité démontré lors de la souscription. Il n'existe pas de grille publique de prix : pour une TPE ou une PME, les devis s'obtiennent via un courtier ou directement auprès de l'assureur, après un questionnaire détaillé sur vos mesures de protection. Le bon réflexe est de comparer non seulement la prime, mais aussi les plafonds par poste de dommage, la franchise, les exclusions et les obligations à respecter après un sinistre, notamment le dépôt de plainte dans les 72 heures.
Ce que couvre généralement une assurance cyber
Les contrats se structurent en deux grands blocs, avec des intitulés variables selon les assureurs.
Les dommages propres à l'entreprise (garanties de première partie) :
- frais de gestion de crise et d'expertise informatique pour comprendre et contenir l'attaque ;
- coûts de restauration des systèmes et des données ;
- pertes d'exploitation liées à l'arrêt de l'activité, avec un délai de carence et une durée d'indemnisation limités ;
- frais de notification aux personnes concernées et aux autorités ;
- frais de communication de crise et de surveillance des identités pour les personnes touchées ;
- selon les contrats, cyber-extorsion et fraude au virement, avec des sous-limites parfois faibles.
La responsabilité vis-à-vis des tiers (garanties de seconde partie) :
- frais de défense et indemnisation en cas de réclamation d'un client ou d'un partenaire ;
- dans certains contrats, prise en charge de frais liés à une procédure administrative, dans les limites permises par la loi.
Les facteurs qui font varier la prime
- Le chiffre d'affaires et la taille : plus l'entreprise est grande, plus l'exposition est élevée.
- Le secteur : santé, finance, industrie, commerce en ligne ou collectivités sont évalués différemment, selon la sensibilité des données et la dépendance au numérique.
- Les plafonds et sous-limites : un plafond plus élevé augmente la prime.
- La franchise : une franchise plus élevée réduit la prime mais augmente votre reste à charge.
- Les mesures de sécurité : authentification multifacteur, sauvegardes hors ligne, protection des postes, gestion des correctifs. Les assureurs demandent de plus en plus des preuves, et un questionnaire inexact peut remettre en cause l'indemnisation.
- L'historique de sinistres et la qualité de la gouvernance.
L'obligation de dépôt de plainte
En France, la loi d'orientation et de programmation du ministère de l'Intérieur (LOPMI) du 24 janvier 2023 a prévu que l'indemnisation des pertes et dommages causés par une atteinte à un système de traitement automatisé de données est subordonnée au dépôt de plainte de la victime, au plus tard 72 heures après la connaissance de l'atteinte par la victime. Cette condition figure dans le Code des assurances. Concrètement, il faut déposer plainte auprès de la police ou de la gendarmerie sans attendre, et conserver le récépissé. Vérifiez dans votre contrat la procédure de déclaration à l'assureur et les délais, qui peuvent s'ajouter à cette obligation légale. Pour les modalités exactes, consultez les textes sur Légifrance et demandez conseil à votre courtier ou à un juriste.
Exemple chiffré : comparer trois offres face à un sinistre
Voici un cas illustratif avec des chiffres inventés pour l'exemple. Une PME imagine un sinistre de 150 000 euros (restauration, pertes d'exploitation, expertise).
| Offre | Prime annuelle | Franchise | Plafond | Reste à charge | Coût total |
|---|---|---|---|---|---|
| A | 1 200 | 5 000 | 250 000 | 5 000 | 6 200 |
| B | 800 | 2 500 | 100 000 | 2 500 + 50 000 = 52 500 | 53 300 |
| C | 1 900 | 10 000 | 500 000 | 10 000 | 11 900 |
L'offre B, la moins chère à l'année, devient la plus coûteuse si le sinistre dépasse son plafond. L'offre A est la plus avantageuse pour ce scénario, mais le résultat serait différent pour un sinistre de 20 000 euros. Reproduisez l'exercice avec vos devis dans le comparateur de devis cyber.
Les exclusions et pièges à surveiller
- Mesures de sécurité obligatoires : le contrat peut exclure ou réduire l'indemnisation si une mesure déclarée (MFA, sauvegardes) n'était pas réellement en place.
- Sous-limites : une garantie « fraude au virement » ou « cyber-extorsion » peut être plafonnée très bas par rapport au plafond global.
- Délai de carence et durée d'indemnisation de la perte d'exploitation.
- Systèmes obsolètes : certains contrats excluent les incidents liés à des logiciels qui ne sont plus mis à jour.
- Actes de guerre ou d'État : clauses d'exclusion de plus en plus détaillées.
- Choix du prestataire de réponse : certains assureurs imposent leur propre réseau d'experts.
Comment procéder pour souscrire
- Rassemblez les informations : chiffre d'affaires, effectifs, description des systèmes, mesures de sécurité en place, sinistres passés.
- Remplissez le questionnaire avec exactitude, idéalement avec votre responsable informatique ou votre prestataire. Toute déclaration inexacte expose à une réduction ou un refus d'indemnisation.
- Demandez deux ou trois devis avec les mêmes plafonds pour pouvoir les comparer, via un courtier ou en direct.
- Lisez les conditions générales et particulières, pas seulement la fiche commerciale.
- Prévoyez la procédure de crise : numéro d'assistance, rôles, documents à conserver, plainte.
Pour les mesures qui améliorent vos conditions de souscription, voir le guide sur le MFA et le gestionnaire de mots de passe et celui sur les sauvegardes.
Assurance et sécurité : un duo, pas un choix
L'assurance transfère une partie du coût financier, mais elle ne protège ni votre réputation, ni la continuité de vos relations clients. Elle ne compense pas non plus des semaines de désorganisation. Une entreprise bien préparée paie souvent moins cher et se fait indemniser plus facilement qu'une entreprise sans mesures de base. Considérez l'assurance comme le dernier maillon de votre dispositif, après la prévention et la capacité de restauration.
Quand consulter un professionnel
Un courtier spécialisé peut vous aider à calibrer les plafonds, à négocier les exclusions et à vérifier la cohérence avec vos autres assurances (responsabilité civile professionnelle, multirisque). Pour une question de droit, notamment l'articulation entre plainte, déclaration à l'assureur et obligations RGPD, faites-vous conseiller par un avocat.
Questions fréquentes
Mon assurance responsabilité civile professionnelle couvre-t-elle le risque cyber ?
Pas nécessairement. Beaucoup de contrats excluent ou limitent les dommages liés à un incident informatique. Relisez les exclusions et demandez par écrit à votre assureur.
Quel plafond choisir ?
Il doit être cohérent avec le coût d'une paralysie prolongée de votre activité plus les frais de restauration et de notification. Évaluez votre perte journalière et multipliez par une durée d'arrêt réaliste.
Faut-il déclarer le sinistre même si les dégâts semblent faibles ?
Respectez les délais du contrat. Un retard de déclaration ou l'absence de plainte dans les 72 heures peut compromettre l'indemnisation.
Sources et références
- France Assureurs — fédération professionnelle, ressources sur les assurances.
- ACPR — autorité de contrôle des assureurs et courtiers.
- Légifrance — texte de la loi du 24 janvier 2023 (LOPMI) et Code des assurances.
- Cybermalveillance.gouv.fr — assistance aux victimes.
